Biblioteca Brubru Deep Dive
Cloud and AI Development Act (CADA)
Il testo centrale del Pacchetto sulla Sovranita Tecnologica, letto articolo per articolo. CADA abbina una spinta alla capacita (triplicare la capacita dei centri dati dell'UE entro il 2030) a un quadro unico e verificato per la sovranita del cloud articolato in quattro livelli di garanzia dell'Unione, cosi che l'Europa gestisca piu elaborazione dati in proprio e possa scegliere servizi sovrani per i casi d'uso piu critici. Adottato dal Collegio il 3 giugno 2026.
Capacita di calcolo insufficiente e dipendenza eccessiva da pochi fornitori
La capacita di calcolo dell'UE e limitata e geograficamente concentrata, il che frena la competitivita e l'adozione dell'intelligenza artificiale, in particolare per i carichi di lavoro a bassa latenza. Al tempo stesso, tre hyperscaler non europei controllano oltre il 70% del mercato cloud europeo, e la quota dei fornitori UE e scesa dal 29% del 2017 al 15% del 2022. La dipendenza da fornitori soggetti a giurisdizioni di paesi terzi crea rischi per il controllo dei dati e la continuita operativa. Le politiche nazionali frammentano il dispiegamento delle infrastrutture. Il rapporto Draghi ha invitato a recuperare il controllo su dati e cloud, ad ampliare la capacita di calcolo domestica e a costruire un circolo virtuoso finanziario e di competenze.
CADA e il testo centrale del Pacchetto sulla Sovranita Tecnologica Europea adottato il 3 giugno 2026, insieme a Chips Act 2.0, alla Strategia UE per l'Open Source e alla Tabella di marcia strategica per la digitalizzazione e l'IA nel settore energetico. Rende operativi il Piano d'azione AI Continent e la Strategia Apply AI, incluse le fabbriche di IA e le gigafabbriche di IA.
Uno strumento deliberatamente bipartito
CADA si fonda su una duplice base giuridica, che gli conferisce due distinti obiettivi generali:
1 aumentare la capacita di calcolo dell'UE attraverso tecnologie innovative e sostenibili.
2 garantire condizioni attrattive per tale dispiegamento.
3 ridurre la dipendenza complessiva da servizi cloud e IA non sovrani.
4 tutelare l'ordine pubblico rendendo resilienti le catene di approvvigionamento cloud e IA, in particolare nel settore pubblico.
48 articoli suddivisi in cinque titoli, piu tre allegati
| Titolo | Contenuto |
|---|---|
| I. Disposizioni generali (Artt. 1-2) | Oggetto (5 misure); definizioni (servizio cloud = NIS2; sistema di IA = AI Act; software/SBOM = Cyber Resilience Act). |
| II. Iniziative Cloud + AI Leadership (Artt. 3-9) | 8 obiettivi operativi; Centri per l'IA (Art. 5); attuazione tramite grandi sfide (Art. 6); strategie nazionali entro 1 anno (Art. 7); progetti prioritari di IA di frontiera (Art. 8); cofinanziamento EuroHPC per la capacita di calcolo (Art. 9). |
| III. Capacita dei centri dati (Artt. 10-15) | Zone di accelerazione (Art. 10); condizioni (Art. 11); sportelli unici informativi (Art. 12); autorizzazioni in 12 mesi (Art. 13); progetti strategici (Art. 14); monitoraggio del divario di capacita (Art. 15). |
| IV. Autonomia (Artt. 16-44) | Quadro per la sovranita + 4 livelli di garanzia (Artt. 16-28); appalti pubblici lato domanda (Artt. 29-33); EuroCloud Federation (Artt. 34-36); appalti della Commissione (Artt. 37-40); open source (Artt. 41-44). |
| V. Disposizioni finali (Artt. 45-48) | Atti delegati e di esecuzione; revisione dopo 4 anni poi ogni 5 (Art. 47); entrata in vigore e applicazione (Art. 48). |
| Allegati | I grandi sfide; II criteri per i quattro livelli di garanzia; III elementi di prova per l'audit (11 criteri). |
Il motore del sostegno industriale (articolo 173(3) TFUE)
La Cloud Leadership Initiative e la AI Leadership Initiative perseguono otto obiettivi operativi: tecnologie per centri dati efficienti dal punto di vista energetico, stack cloud autonomi, IA di frontiera, IA fisica, IA industriale, piattaforme di agenti IA, IA per il settore pubblico e adozione regionale e locale. Strumenti principali:
Come le iniziative si traducono in pratica
Zone di accelerazione, autorizzazioni piu rapide, progetti strategici (Titolo III)
CADA mira a triplicare la capacita dei centri dati dell'UE entro il 2030 (un obiettivo intermedio; la relazione illustrativa lo inquadra in un arco temporale da cinque a sette anni) e a soddisfare le esigenze dell'UE entro il 2035, con un dispiegamento geografico equilibrato. Ogni Stato membro deve designare almeno una zona di accelerazione per i centri dati entro sei mesi (Art. 10), istituire sportelli unici informativi (Art. 12) e rilasciare un'autorizzazione di base aggregata affinche il procedimento autorizzativo in una zona non superi i 12 mesi (Art. 13). Un obiettivo separato fissa tutte le autorizzazioni per centri dati al di sotto dei 18 mesi entro il 2030. I siti brownfield sono preferiti, il riutilizzo del calore di scarto e gli accordi di acquisto di energia sono incoraggiati, e gli indicatori di performance di sostenibilita seguono il Regolamento delegato (UE) 2024/1364.
La Commissione puo designare un progetto come strategico se soddisfa almeno due dei cinque criteri: sostiene funzioni essenziali del settore pubblico; e altamente sostenibile o innovativo; rafforza la stabilita della rete o co-localizza energia pulita; integra chip, processori o computer quantistici progettati o prodotti nell'UE; oppure colma una carenza di capacita di calcolo. I progetti strategici ricevono il sigillo di competitivita del Fondo europeo per la competitivita.
L'innovazione centrale: sovranita del cloud graduata e verificabile mediante audit indipendente
| Livello | Verificato da | Criteri principali (cumulativi) |
|---|---|---|
| Livello 1 | Autovalutazione del fornitore + dichiarazione pubblica UE di conformita | Stabilimento nell'UE; residenza di dati e infrastrutture nell'UE (salvo diversa richiesta del cliente); sicurezza informatica all'avanguardia; piena trasparenza sui subappaltatori. Le dichiarazioni delle PMI sono automaticamente riconosciute in tutta l'UE. |
| Livello 2 | Audit indipendente di terze parti | + Personale con sede nell'UE; certificazione di sicurezza informatica UE "sostanziale" (EUCS); i dati dei clienti non vengono mai usati per addestrare IA di paesi terzi; distinta base del software e audit del codice sorgente; assistenza tecnica solo dall'UE; separazione giuridica della societa madre UE da qualsiasi controllata in paesi terzi. |
| Livello 3 | Audit indipendente di terze parti | + Personale di cittadinanza UE (con nulla osta di sicurezza per informazioni classificate); fornitore non sotto controllo di paesi terzi (fatte salve le deroghe per i paesi terzi associati); assistenza solo da residenti UE; puo ospitare informazioni classificate UE. |
| Livello 4 | Audit indipendente di terze parti (massimo livello) | + Certificazione di sicurezza informatica "alta"; dati sensibili valutati come rischiosi conservati nell'UE; nessun controllo effettivo di paesi terzi sulla progettazione, manutenzione o evoluzione dei componenti software. |
Un fornitore sotto controllo di un paese terzo puo comunque raggiungere il Livello 3, ma solo se la Commissione designa tale paese terzo come "associato": deve avere una decisione di adeguatezza GDPR, non avere leggi che impongano l'accesso ai dati, l'interruzione del servizio o sanzioni, un mercato aperto e un accesso reciproco ai propri appalti pubblici.
Un unico audit, valido in tutta l'UE, per porre fine al "sovereign-washing"
Il fornitore presenta domanda all'autorita nazionale competente del paese di stabilimento (Art. 17), che dispone di 60 giorni per la valutazione e notifica poi agli altri Stati membri per una revisione di 60 giorni; le controversie vengono deferite alla Commissione per una decisione vincolante. Il Livello 1 si basa su un'autovalutazione (Art. 19); i Livelli 2-4 richiedono un audit indipendente di terze parti a spese del fornitore (Art. 20), con rigide norme sull'indipendenza del revisore (nessun servizio non di audit nei 12 mesi precedenti o successivi, nessuna attivita di audit nei 10 anni precedenti, nessun onorario condizionato) e una revisione annuale. I servizi riconosciuti sono elencati in un registro centrale pubblico (Art. 22). L'Annex III elenca 11 criteri di prova per l'audit indipendente: stabilimento nell'Unione, localizzazione dell'infrastruttura e del personale, localizzazione dei dati, cittadinanza UE, certificazione di sicurezza informatica UE, assenza di addestramento di IA da parte di paesi terzi, assenza di controllo da paesi terzi (test sul 5% della proprieta e sull'azionista ultimo), assistenza esclusivamente UE compresi SOC e NOC, trasparenza della catena di fornitura software, open source e separazione delle controllate in paesi terzi.
Trasformare la domanda pubblica in offerta europea
| Meccanismo | Finalita |
|---|---|
| Valutazioni del rischio (Art. 29) | Gli Stati membri e le entita dell'Unione mappano le attivita di ordine pubblico ai livelli di garanzia richiesti, entro un anno e poi ogni due anni. |
| Appalti pubblici (Art. 30) | Gli organismi non di ordine pubblico utilizzano almeno il Livello 1; le attivita di ordine pubblico (settori NIS2 Annex I, sicurezza nazionale, difesa, giustizia, forze dell'ordine, gestione delle frontiere) utilizzano i Livelli 2-4. |
| Soggetti essenziali privati (Art. 31) | Le entita nei settori dell'Annex I di NIS2 possono effettuare le stesse valutazioni. |
| Valore aggiunto dell'Unione (Art. 32) | Criteri di aggiudicazione non di prezzo per la catena di approvvigionamento UE e l'hardware prodotto nell'UE (massimo suggerito: 15 punti su 120). |
| Appalti per l'innovazione (Art. 33) | Gli Stati membri si prefiggono di aggiudicare almeno il 25% degli appalti per l'innovazione cloud e IA a PMI innovative. |
| EuroCloud Federation (Artt. 34-36) | Una federazione riservata al settore pubblico per mettere in comune e condividere la capacita di calcolo inattiva, gratuitamente o a costo, al di fuori delle norme sugli appalti pubblici. |
| Appalti della Commissione (Artt. 37-40) | La Commissione puo fungere da centrale di committenza per le entita dell'Unione e le autorita degli Stati membri (contratti quadro, sistemi dinamici di acquisizione). |
| Open source come prima scelta (Artt. 41-44) | Priorita all'open source per gli organismi pubblici; un Catalogo UE di soluzioni open source sul portale Europa interoperabile; una rete OSPO. |
CADA non e uno strumento isolato
Le misure obbligatorie si applicano al settore pubblico e ai soggetti essenziali privati dei settori di cui all'Annex I di NIS2 (Directive (EU) 2022/2555): energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanita, acqua potabile e reflua, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione e spazio.
| Strumento | Relazione con CADA |
|---|---|
| Data Act | La portabilita del cloud e l'interoperabilita riducono il vendor lock-in, facilitando il passaggio a servizi UE; CADA costruisce la strada sovrana che il Data Act apre. |
| DMA | Tre indagini di mercato sui servizi cloud e la designazione come gatekeeper sono state avviate il 18 novembre 2025. |
| EUCS / Revisione del Cybersecurity Act (CSA2) | Forniscono la certificazione di sicurezza informatica su cui si basano i livelli di garanzia di CADA; CADA colma il vuoto sulla sovranita. |
| Cyber Resilience Act | Definisce la distinta base del software (SBOM) richiesta dagli audit CADA. |
| Piano d'azione AI Continent / Fabbriche di IA | CADA fornisce l'ampia capacita cloud e dei centri dati di cui le fabbriche e le gigafabbriche di IA hanno bisogno. |
| Strategia UE per l'Open Source | Uno strumento gemello all'interno dello stesso pacchetto; CADA incorpora diverse misure relative all'open source. |
A che punto si trova CADA nella procedura legislativa ordinaria
Brubru monitora CADA attraverso la Chat, il Tracker Legislativo e il tuo spazio di lavoro I miei file. Chiedi "Quali sono i quattro livelli di garanzia dell'Unione in CADA?" oppure "Chi rientra nell'ambito del Cloud and AI Development Act?" e Brubru risponde attingendo al record verificato, poi ti collega direttamente al documento.