Il vocabolario dell'IA

Sovranità: il termine garantisce ciò che gli si fa dire?

La sovranità digitale designa la capacità di controllare i propri dati e le infrastrutture che li trattano, senza dipendere da una potenza straniera. Applicato a un prodotto, il termine ricopre realtà molto diverse: hosting in Europa, editore europeo, o immunità dalle legislazioni extraterritoriali. Sono tre cose distinte.

Le tre domande dietro il termine

Dove sono fisicamente archiviati e trattati i dati? È la più semplice e la più spesso messa in evidenza. Un centro dati situato in Italia è un fatto verificabile.

Chi controlla l'impresa che gestisce quel centro? Una filiale europea di un gruppo non europeo ospita in Europa e resta soggetta, tramite la casa madre, ad altri obblighi.

Quale diritto si applica all'impresa e ai suoi amministratori? È la domanda più importante e la meno trattata, perché la risposta non dipende dalla geografia ma dal collegamento giuridico.

Perché l'hosting non basta

Talune legislazioni consentono a un'autorità di esigere da un'impresa soggetta alla propria giurisdizione la consegna di dati che detiene, ovunque siano archiviati. La localizzazione del server non osta a una richiesta rivolta all'impresa stessa.

È ciò che spiega la comparsa di dispositivi più esigenti, in cui il gestore è un'entità di diritto europeo indipendente, con personale e governance distinti.

Tali costruzioni esistono e la loro portata esatta si discute. Uno studio che desideri una posizione ferma su questo punto deve esaminare il collegamento giuridico di ciascun anello della catena, non soltanto del fornitore con cui contratta.

Il caso particolare dei modelli

Un punto è raramente sollevato ed è determinante: anche con hosting ed editore europei, il modello chiamato può essere sviluppato e gestito altrove.

Occorre dunque porre la domanda al livello in cui si gioca: quale modello viene chiamato, da chi è gestito, e sotto quale giurisdizione? Una risposta che verta unicamente sull'hosting lascia la questione intera.

Che cosa il termine non ricopre e che gli si attribuisce

Tre aspettative gli sono comunemente associate a torto.

Che garantisca la riservatezza: un dispositivo sovrano applica le stesse regole di accesso degli altri, e il suo personale di gestione dispone dei medesimi accessi tecnici.

Che escluda ogni richiesta di autorità: sposta la questione verso le autorità nazionali ed europee, che dispongono anch'esse di poteri di acquisizione.

Che implichi una conformità al regolamento europeo: sono due temi distinti, e un dispositivo sovrano non conforme è perfettamente possibile.

Che cosa non risolve

La sovranità non dice nulla della sicurezza. Un dispositivo sovrano mal amministrato è meno sicuro di uno straniero ben tenuto, e gli incidenti constatati derivano molto più spesso da errori di configurazione che da richieste di autorità.

Non dice nulla nemmeno del segreto professionale all'interno dello studio: le separazioni tra team si pongono identicamente quale che sia la nazionalità del fornitore.

E ha un costo, in prezzo come in funzionalità, che va ponderato rispetto al rischio realmente coperto.

Perché conta per un giurista

Perché è un argomento commerciale forte, spesso rivolto alle organizzazioni più prudenti, e ricopre livelli di impegno molto diseguali.

Le tre domande iniziali bastano a deciderlo, e si pongono in un minuto. Un fornitore che risponda a tutte e tre descrive una posizione; un fornitore che risponda alla prima credendo di rispondere alle tre non ha compreso ciò che gli si chiedeva.