Sovranità digitale, l’Europa regola ma non produce: il confronto Clusit a Milano

Scegliere un fornitore cloud, adottare uno standard, decidere su quali infrastrutture far girare i propri sistemi: per chi governa l’IT di un’azienda o di un ente pubblico sono decisioni tecniche, ma sempre più spesso hanno un peso che passando per la governance arriva alla geopolitica. È il filo conduttore dell’evento “Cybersecurity & Geopolitica: dallo scenario tecnologico alla sovranità digitale”, organizzato da Clusit, l’Associazione Italiana per la Sicurezza Informatica, in collaborazione con Astrea, che si è svolto il 9 giugno a Milano.

Alla tavola rotonda, moderata da Alessandro Da Rold, giornalista de La Verità, hanno partecipato Arturo Di Corinto, giornalista e analista di cybersicurezza, consigliere ACN, Oreste Pollicino, Presidente Class Editori e docente all’Università Bocconi, Gabriele Faggioli, Presidente Onorario Clusit, e Luca Bechelli, del Comitato Direttivo Clusit. Nel corso dell’incontro è stato presentato in anteprima il nuovo libro di Di Corinto, “Guerra profonda. Hacker, bugie e l’architettura segreta dei nuovi conflitti”.

“La geopolitica è entrata definitivamente nei chip che usiamo e nel cloud che scegliamo. Oggi chi si occupa di cybersecurity non può ignorare il contesto internazionale: le alleanze tecnologiche, le dipendenze strategiche, le pressioni normative. Come Clusit sentiamo la responsabilità di portare questo confronto fuori dalla comunità tecnica e dentro il dibattito pubblico”, ha dichiarato Faggioli in occasione del lancio dell’evento.

La guerra che non si vede

Da sinistra, Alessandro Da Rold, Arturo Di Corinto e Luca Bechelli.

Il punto di partenza del confronto è stato il carattere ormai ibrido dei conflitti contemporanei, dove la dimensione cyber si affianca a quella convenzionale e la distinzione tra civili e militari tende a dissolversi. Da Rold ha aperto chiedendo come i cittadini possano accorgersi di una guerra continua e in larga parte sommersa.

Per Di Corinto il problema di fondo è che gli Stati non hanno interesse a rendere pubblica la fragilità delle infrastrutture critiche da cui dipendono, spesso costruite in fretta e senza sufficiente attenzione alla sicurezza, e nemmeno le aziende possono raccontare per intero la propria situazione senza perdere credibilità. A questo si aggiunge il fatto che chi ne scrive non sempre ha la formazione per comprendere e raccontare correttamente questi temi. La risposta, secondo l’autore, sta in un giornalismo indipendente e competente e nell’abitudine a pretendere fonti e trasparenza. Il suo libro, di taglio divulgativo, nasce proprio per spiegare a un pubblico ampio che cosa sta succedendo e quale sia la posta in gioco.

Quanto ai passaggi storici, Di Corinto ha osservato che è difficile individuare un singolo punto di non ritorno, ma l’invasione russa dell’Ucraina rappresenta l’esempio compiuto di guerra ibrida: coinvolgimento dei civili, droni e intelligenza artificiale, mascheramento di intenzioni e risultati. Nel conflitto, ha ricordato, si contano circa 170 attacchi alle reti satellitari, condotti da entrambe le parti. La guerra cinetica, ha sottolineato, è ormai sempre preceduta da quella cibernetica, e accompagnata da campagne di disinformazione, dal blocco delle fonti informative avversarie e dall’uso di deepfake generati con l’AI per diffondere messaggi fuorvianti. Il primo impiego massiccio dell’intelligenza artificiale in un conflitto, ha aggiunto, risale all’operazione israeliana contro Hamas del 2021.

L’Italia spende poco ed è un bersaglio esposto

Da sinistra, Luca Bechelli e Gabriele Faggioli di Clusit.

Sul fronte della preparazione del Sistema-Paese, Faggioli ha tracciato un quadro poco rassicurante: nell’ultimo anno la crescita degli attacchi ha superato persino quella, già sostenuta, degli anni precedenti. I numeri del Rapporto Clusit 2026 lo confermano: 5.265 attacchi gravi a livello globale nel 2025, in aumento del 49%, e 507 incidenti in Italia contro i 357 del 2024, con una crescita del 42%.

A fronte di questa escalation, gli investimenti restano insufficienti: secondo l’Osservatorio Cybersecurity & Data Protection del Politecnico di Milano il mercato italiano della sicurezza ha raggiunto nel 2025 i 2,78 miliardi di euro, in crescita del 12%, ma in rapporto al PIL la spesa si ferma intorno allo 0,12%, ultimo posto nel G7, contro lo 0,34% degli Stati Uniti e lo 0,29% del Regno Unito. Un divario che ci rende un bersaglio esposto, aggravato da un tessuto produttivo fatto di tante piccole imprese che offrono agli attaccanti una superficie più facile. La strada indicata è quella del knowledge sharing, per abbassare il costo della cybersecurity per le PMI che da sole non hanno i mezzi per difendersi.

Sulla sovranità digitale, Faggioli ha portato un dato che parla da solo, coerente con le rilevazioni degli Osservatori del Politecnico di Milano: il mercato cloud europeo vale 112 miliardi di euro e sta raggiungendo l’on premise, ma l’85% è in mano a operatori americani, con i tre hyperscaler, Google, AWS e Microsoft, che da soli coprono il 65%. Una sovranità tecnologica europea, in queste condizioni, semplicemente non esiste: la dipendenza è strutturale.

Regolare senza produrre non basta

Da sinistra, Oreste Pollicino e Alessandro Da Rold.

Da Rold ha messo sul tavolo la domanda scomoda sollevata anche dal libro: serve davvero regolamentare l’intelligenza artificiale, se poi la tecnologia la producono altri? Il rischio è arrivare sistematicamente in ritardo.

Per Pollicino la cybersecurity deve uscire dalla torre d’avorio in cui è stata a lungo confinata, a partire dal linguaggio, perché ormai pervade ogni aspetto della vita di tutti e ha impatto sull’intera società. Il giurista ha richiamato il diritto alla sicurezza riconosciuto dalla Carta dei diritti fondamentali dell’Unione, sicurezza che oggi include anche quella cibernetica. La sovranità, nella sua lettura, non è chiusura della conoscenza né affermazione di superiorità, ma una questione di sicurezza, e non deve entrare in conflitto con competitività e crescita: serve un equilibrio, e soprattutto serve un reality check, perché l’Europa pretende di fare l’arbitro di una partita in cui i giocatori non la considerano.

Bechelli ha proposto un cambio di prospettiva: invece di restare a guardare chi guida lo sviluppo tecnologico, l’Europa dovrebbe cercare i propri spazi di crescita. L’esempio citato è quello della Cina, che ha analizzato i propri limiti sui chip per l’AI e ha trovato soluzioni per aggirarli. La cybersecurity, secondo Bechelli, è uno degli ambiti in cui questa riflessione è più praticabile: gli spazi per un mercato europeo esistono, anche se il divario da recuperare rispetto agli Stati Uniti resta notevole.

Il dato come terreno della sovranità

Nella parte conclusiva, Di Corinto ha riportato il discorso sul dato, che è il livello a cui la sovranità tecnologica si esercita davvero. Negli ultimi anni, ha osservato, quella sovranità è stata di fatto conquistata dalle big tech americane, e oggi ogni potenza la rivendica con motivazioni diverse: l’Europa per privacy, sicurezza e concorrenza leale; gli Stati Uniti per sicurezza e protezione; la Cina per il controllo delle persone. Il dato consente di fare previsioni e di proteggere, ma la stessa conoscenza che protegge rende anche più facile il controllo: il GDPR, in questo senso, è il modello europeo che permette la circolazione dei dati proteggendoli.

La sovranità tecnologica, ha proseguito, implica la capacità di uno Stato di gestire e proteggere i dati dei cittadini, una forza lavoro in grado di padroneggiare la tecnologia necessaria e un collegamento controllato con le entità esterne che quei dati trattano. L’Europa oggi fa il regolatore senza avere la tecnologia, ma il suo peso economico come mercato le consente di far valere le proprie regole, eventualmente anche attraverso alleanze non necessariamente occidentali. Per l’intelligenza artificiale servono dati, competenze, potenza di calcolo ed energia: secondo Di Corinto all’Europa manca soprattutto l’energia, ma collaborazioni interne ed esterne possono aprire la strada a un ruolo da protagonista.