Cos'è il CLOUD Act e cosa significa per il tuo cloud?
Legge USA che obbliga i provider americani a consegnare i dati su ordine delle autorità statunitensi, anche se conservati in Europa.
Il CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) è la legge statunitense che consente alle autorità USA di richiedere ai provider americani i dati dei loro clienti, indipendentemente da dove i dati sono conservati. Il data center a Milano o Francoforte non cambia la sostanza: se il fornitore è soggetto alla giurisdizione statunitense (AWS, Microsoft, Google, ma anche le loro controllate europee), l'obbligo lo segue. Il rischio riguarda in particolare i grandi hyperscaler americani, che restano soggetti alla legge statunitense anche quando offrono region europee o certificazioni locali: la giurisdizione segue l'azienda, non il continente dove si trova il server. Per questo motivo il tema è entrato stabilmente nelle valutazioni di data governance e negli audit di conformità delle aziende europee che trattano dati sensibili o regolamentati, ben oltre l'ambito puramente legale.
Perché se ne parla così tanto ora
Nel 2025 il responsabile legale di Microsoft Francia ha ammesso davanti al Senato francese di non poter garantire che i dati europei non finiscano alle autorità USA. Quell'ammissione ha reso concreto un tema che molti trattavano come teorico, e ha alimentato il dibattito europeo su cloud sovrano e "sovereignty washing": offerte marchiate come sovrane che non cambiano la giurisdizione del fornitore. La distinzione da tenere ferma: data residency è dove i dati risiedono; la sovranità riguarda chi può essere obbligato a consegnarli. La prima non garantisce la seconda.
Cosa fare in pratica
Il CLOUD Act non significa "vietato il cloud americano": significa scegliere con consapevolezza, workload per workload. Per la maggior parte dei dati il rischio è accettabile e gli hyperscaler restano la scelta giusta; per dati regolamentati o strategici le opzioni sono la cifratura con chiavi tue (attenzione alla differenza: con il BYOK la chiave vive comunque nel KMS del provider; solo con HYOK o chiavi gestite fuori dal cloud il provider non può materialmente decifrarli), i provider europei, o architetture ibride che tengono in casa la parte critica. Il punto di partenza è sapere quali dati hai e quanto valgono: un esercizio di classificazione, cioè di data governance.
Questa voce è informativa e non costituisce consulenza legale: per decisioni su dati regolamentati coinvolgi il tuo DPO o il tuo legale.
Domande frequenti
Termini correlati
- Data governance · L'insieme di regole, ruoli e processi che rende i dati aziendali affidabili, sicuri e usabili: chi può fare cosa, su quali dati, con che qualità.
- Shadow AI · L'uso di strumenti AI in azienda senza approvazione né controllo: dipendenti che incollano dati aziendali in ChatGPT e simili.
- Data lakehouse · Architettura dati che unisce la flessibilità del data lake e l'affidabilità del data warehouse in un'unica piattaforma.
- Golden power · Poteri speciali del Governo italiano su acquisizioni e operazioni in settori strategici, cloud e tecnologie incluse.
Un termine che ti riguarda da vicino? Parliamone.
CONTATTAMI