Come sviluppare i quattro pilastri fondamentali della sovranità digitale

È un’epoca in cui la sovranità digitale è uno dei principali fattori al centro dell’innovazione in corso e del dibattito pubblico sulle tecnologie.

In sostanza, è la capacità di un’azienda, di una pubblica amministrazione o di uno Stato, di mantenere il controllo effettivo sulle proprie risorse digitali — dati, infrastrutture, sistemi, algoritmi — decidendo dove risiedono, chi può accedervi, quale legge li governa e quanto si dipende da fornitori esterni.

È un concetto che oggi non riguarda solo la privacy o la sicurezza, ma la competitività industriale, la resilienza operativa e la geopolitica tecnologica. La sovranità digitale non implica chiudersi o rinunciare alle tecnologie globali: significa poter scegliere e rimanere il più ‘indipendenti’ possibile.

Significa sapere chi può spegnere o chiudere un servizio, chi controlla gli aggiornamenti, quali modelli AI passano i dati che ricevono, e quanto un’organizzazione dipende da infrastrutture che non governa.

I quattro pilastri della sovranità digitale

Ma “di cosa è fatta”, quali sono le sue componenti e dimensioni essenziali? «Sono quattro i pilastri fondamentali della sovranità digitale», sottolinea Nico Losito, da qualche mese General manager di IBM Italia.

E più in particolare: «la sovranità e localizzazione dei dati; la sovranità tecnologica; quella operativa; e la sovranità dell’intelligenza artificiale».

Analizziamo, dunque, ognuno di questi fattori e pilastri, che reggono e fanno funzionare l’architettura tecnologica complessiva di ogni impresa o pubblica amministrazione.

La sovranità di dati e informazioni

La sovranità dei dati è la capacità di un’organizzazione – azienda, PA o Stato – di mantenere pieno controllo sui propri dati e informazioni, decidendo dove vengono archiviati, chi può accedervi, quale legge li governa e quali tecnologie possono elaborarli. «È diventata un tema strategico per qualsiasi impresa che utilizza cloud, AI e infrastrutture distribuite», fa notare Losito.

In pratica, un’organizzazione ha sovranità sui dati quando può garantire che:

• i dati risiedono in un luogo scelto (data residency);

• sono protetti da norme giuridiche compatibili con le proprie esigenze (per esempio, conformità GDPR o Cloud Act);

• l’accesso è controllato e verificabile.

E ancora: nessun fornitore esterno può accedere, trasferire o elaborare i dati senza autorizzazione; e i processi critici non dipendono da infrastrutture che l’organizzazione non governa. È un concetto che unisce tecnologia, diritto e governance.

Sovranità tecnologica

La sovranità tecnologica è la capacità di un’organizzazione di controllare direttamente le tecnologie che governano i propri dati, i propri servizi digitali e le proprie infrastrutture critiche.

Riguarda l’hardware, il software, gli algoritmi, i modelli AI, le piattaforme cloud e le architetture di rete. In altre parole, la sovranità tecnologica risponde alla domanda “chi controlla davvero la tecnologia che uso?”.

Si tratta quindi di ridurre al minimo il livello di lock-in rispetto ai fornitori stranieri. E bisogna considerare che attualmente le tecnologie che complessivamente sono adottate e utilizzate in Italia corrispondono per il 70% a fornitori americani.

Un’organizzazione ha sovranità tecnologica quando può:

• decidere quali tecnologie adottare e quali evitare;

• verificare come funzionano (auditabilità, trasparenza, logging);

• controllare chi può modificarle, aggiornarle o spegnerle;

• garantire che non esistano dipendenze critiche da fornitori esterni. Quindi, anche: mantenere continuità operativa anche in caso di crisi geopolitiche, commerciali o normative.

È un concetto che va oltre la sicurezza informatica: riguarda la capacità di innovare senza essere ostaggio della tecnologia altrui.

La sovranità operativa digitale

La sovranità operativa è la capacità di un’organizzazione di gestire, controllare e mantenere attivi i propri servizi digitali in modo autonomo, senza dipendere in modo critico da fornitori esterni, da infrastrutture non governabili o da giurisdizioni che potrebbero interferire con la continuità operativa.

«Riguarda ciò che un’azienda può fare davvero, ogni giorno, per garantire che i propri sistemi funzionino, che i dati restino protetti e che i processi critici non si fermino», rileva il General manager di IBM Italia: «è, in pratica, la capacità di continuare a operare con le proprie tecnologie, indipendentemente da ciò che accade all’esterno».

La sovranità operativa digitale si manifesta quando un’organizzazione è in grado di: mantenere la continuità dei servizi anche se un fornitore cloud cambia unilateralmente le condizioni; gestire autonomamente accessi, identità, chiavi crittografiche, logging e audit; spostare workload da un’infrastruttura all’altra senza blocchi o lock‑in.

E ancora: controllare gli aggiornamenti di software, modelli AI, API e piattaforme critiche; garantire resilienza in caso di incidenti, attacchi o interruzioni nella supply chain digitale.

La sovranità dell’AI

La sovranità dell’AI è la capacità di un’organizzazione di controllare pienamente i modelli di intelligenza artificiale che utilizza, decidendo dove vengono eseguiti, chi li governa, quali dati elaborano, come vengono aggiornati e quali dipendenze tecnologiche creano.

È l’estensione “naturale” della sovranità digitale, applicata ai modelli, agli algoritmi e alle piattaforme che oggi determinano competitività, sicurezza e autonomia strategica.

La sovranità dell’AI non riguarda solo l’avere un modello “in casa”, ma la capacità di:

• scegliere quali modelli usare e con quali garanzie;

• controllare dove avviene l’inferenza (cloud globale, cloud sovrano, on‑premise);

• verificare come funzionano (auditabilità, logging, trasparenza);

• gestire gli aggiornamenti senza dipendere da un vendor esterno;

• proteggere i dati sensibili da modelli non governabili;

• evitare lock‑in verso piattaforme proprietarie che non permettono autonomia.

In pratica, significa che l’AI lavora per l’organizzazione, non l’organizzazione per l’AI.

Trovare un equilibrio tra mantenimento del controllo e ritmo dell’innovazione

Con l’accelerazione in corso nell’adozione dell’AI, la sovranità digitale è diventata un requisito fondamentale, che si estende oltre la residenza dei dati, per includere il controllo su infrastrutture, operazioni e sistemi di intelligenza artificiale.

Le organizzazioni devono trovare un equilibrio tra il mantenimento del controllo necessario e il ritmo dell’innovazione, affrontando allo stesso tempo un controllo sempre più rigoroso da parte delle autorità di regolamentazione, revisori e consigli di amministrazione.

«Tuttavia, la maggior parte delle piattaforme fatica a fornire risposte coerenti e verificabili a questi requisiti», rileva Losito, “creando un divario tra le indicazioni di policy e la realtà operativa”.

La piattaforma software IBM Sovereign Core

Più in generale, «ognuna delle quattro componenti della più ampia e complessiva sovranità digitale rappresenta un fattore sempre più delicato e critico», rimarca il General manager di IBM Italia.

Che osserva: «la sovranità è una priorità per le aziende, e in questo ambito abbiamo un posizionamento molto chiaro: da maggio, abbiamo rilasciato IBM Sovereign Core, una nuova piattaforma software progettata per aiutare le organizzazioni a creare e gestire ambienti sovrani predisposti per l’intelligenza artificiale e a verificarne il controllo, offrendo alle imprese e alle amministrazioni pubbliche un approccio end-to-end alla sovranità digitale».

In pratica, IBM Sovereign Core «introduce un nuovo modello di sovranità, in cui governance, conformità e controllo sono integrati fin dall’inizio nel sistema per permettere alle organizzazioni di scalare l’AI mantenendo la loro sovranità, la fiducia e l’indipendenza operativa».

Governance dell’AI all’interno dei confini sovrani

Man mano che i sistemi di AI diventano centrali nelle operazioni aziendali, la governance deve estendersi oltre i dati per includere modelli, inferenza e comportamento degli agenti.

In questo quadro, per esempio, la piattaforma IBM Sovereign Core «consente alle organizzazioni – rileva Losito – di distribuire e gestire modelli, agenti e carichi di lavoro di inferenza interamente basati sull’AI all’interno del confine sovrano».

Permette in questo modo: «il controllo su dove avviene l’elaborazione dell’AI; la tracciabilità dell’esecuzione e delle decisioni del modello; la governance su accesso, aggiornamenti e gestione del ciclo di vita».

Ciò «garantisce che i sistemi di AI operino con responsabilità, trasparenza e controllo, anche in ambienti altamente regolamentati».