Oltre il PSN: come la PA può costruire autonomia digitale e future proofing

Il tema dell’indipendenza digitale è diventato in pochissimi anni una delle questioni al centro del dibattito pubblico. Ormai non si tratta più di una formula astratta, ma di scelte concrete che le amministrazioni devono fare quando acquistano un servizio cloud, adottano un sistema di intelligenza artificiale (IA) o decidono dove far risiedere i propri dati.

Se costruire l’indipendenza tecnologica del nostro paese, infatti, implica agire lungo la direttrice della strategia di digitalizzazione del Paese (Strategia Cloud Italia e PSN), vero è anche che non esiste ancora un vero framework metodologico onnicomprensivo capace di orientare in maniera univoca tutte le amministrazioni pubbliche, soprattutto quelle locali. Oltretutto, oggi, l’urgenza di ridurre la dipendenza dai fornitori extraUE si fa più pressante. Il Cloud and AI Development Act (CADA) in via di definizione, rafforzerà i requisiti infrastrutturali e di indipendenza digitale delle amministrazioni pubbliche. Che fare allora?

Il bisogno di rimanere compliant a un quadro normativo che si fa sempre più complesso, continuando a utilizzare i modelli più avanzati, implica costruire oggi infrastrutture resilienti nel tempo, evitare rischi di lock-in e interruzioni della continuità operativa, mantenendo la governance del dato. Una sfida che va affrontata in maniera pragmatica, assumendo come punto di partenza proprio il ruolo e le implicazioni del PSN.

Evoluzione del modello infrastrutturale della PA: dalla frammentazione al PSN

La Strategia Cloud Italia ha permesso di costruire fondamenta molto solide in tema di governance del dato.

Anni fa regnava la frammentazione: le infrastrutture distribuite su migliaia di enti erano eterogenee, spesso obsolete e mancava un disegno comune. I fondi del PNRR hanno consentito a circa 14mila amministrazioni di migrare i propri servizi su infrastrutture qualificate secondo il regolamento ACN. Parallelamente, oltre 16mila enti hanno mappato più di 700mila servizi pubblici, costruendo un database di centinaia di migliaia di voci.

Su questa base si è innestato il Polo Strategico Nazionale (PSN), che oggi, a tre anni dalla nascita, conta oltre 650 pubbliche amministrazioni locali e centrali coinvolte, delle quali 350 hanno già completato la migrazione. Le 280 amministrazioni che costituivano il target originario del PNRR hanno raggiunto l’obiettivo entro la fine dello scorso giugno.

Il PSN è nato con una caratteristica precisa: la sua architettura è stata definita quando il Data Act europeo era già in vigore, con l’obiettivo di limitare l’esposizione ai possibili effetti extraterritoriali del Cloud Act statunitense.

Il lavoro sull’indipendenza digitale è stato articolato su due livelli. Il primo è infrastrutturale: georeferenziazione dei dati sul territorio nazionale, con due region e quattro data center, e impiego di solo personale italiano per la gestione degli accessi. Il secondo riguarda la sovranità del dato in senso stretto, garantita da crittografia end-to-end, le cui chiavi restano nella disponibilità esclusiva delle amministrazioni: chiunque dovesse accedere fisicamente all’infrastruttura si troverebbe di fronte a dati illeggibili.

Oggi, la fase pionieristica del cloud pubblico italiano, quindi, può dirsi conclusa, e si apre quella della gestione a regime, con nuove priorità. Tra le prime, c’è la definizione della strategia degli enti locali che non hanno aderito al PSN. I dubbi di queste amministrazioni si concentrano sulla sostenibilità di un approccio ibrido e su come mappare le tipologie di dati all’interno di un mix di cloud.

Architetture ibride: quando e perché sceglierle

Forrester ha elaborato il principio di “Minimum Viable Sovereignty”: la sovranità digitale non è un interruttore binario, ma una scala di intensità da calibrare caso per caso. Questo concetto apre la strada a player europei e nazionali.

In questo perimetro si inserisce, ad esempio, la proposta di Aruba, che mette a disposizione della PA un modello basato su data center proprietari in Italia e qualifiche ACN che raggiungono il livello QC3, il massimo richiesto per la gestione di dati critici e strategici. L’inclusione del provider nel Lotto 6 dell’Accordo Quadro Consip per i servizi Cloud IaaS e PaaS ha tradotto questa opportunità in un’opzione operativa concreta per gli enti, offrendo un’ancora nazionale ed europea che garantisce la residenza del dato e la protezione da normative extra-UE, senza imporre un grado rigido di sovranità, ma lasciando all’amministrazione la libertà di calibrarlo. Una distinzione semantica che segnala l’esistenza di più sfumature infrastrutturali a disposizione degli enti, oltre al perimetro del PSN.

L’indicazione operativa per gli enti, quindi, è mappare dati e servizi, individuando quali carichi critici richiedano protezione totale sotto la normativa europea, e quali possano invece appoggiarsi a un ecosistema più ampio – anche globale – senza perdere il controllo della governance sul dato. In questa logica, i player europei e nazionali si propongono come “ponte” tra i due mondi, abilitando modelli ibridi che coniugano flessibilità operativa e rispetto del quadro regolatorio comunitario.

Standard aperti, no lock-in e interoperabilità

Il tema dell’apertura tecnologica attraversa trasversalmente tutte le strategie in campo. Lo stesso Polo Strategico Nazionale sta lavorando, insieme ai propri soci industriali, all’adozione di soluzioni open source, con l’obiettivo di ridurre nel tempo la dipendenza dai grandi fornitori extraeuropei: un percorso graduale, vincolato dalla necessità di servire volumi enormi di amministrazioni senza interruzioni di servizio.

Sul fronte privato, invece, l’accento cade sulla progettazione di fondamenta tecnologiche capaci di minimizzare il lock-in proprietario: stack che possano evolvere nel tempo, standard aperti, interfacce condivise e architetture componibili. Non è un caso che diverse realtà del settore partecipino a iniziative di interoperabilità cloud europee, pensate per evitare che la scelta tecnologica di oggi diventi il vincolo insormontabile di domani.

La sfida della Compliance

Il quadro normativo che accompagna le scelte degli enti locali è tutt’altro che semplice: Cloud and AI Development Act (CADA), eIDAS 2, NIS 2, DORA e AI Act, costituiscono l’impianto regolatorio che, nel complesso, rende la conformità un esercizio di per sé complesso.

Da qui l’indicazione condivisa da più voci del settore: la compliance non va pensata a valle delle scelte tecnologiche, ma progettata fin dall’inizio, pena il rischio di ostacolare in futuro opzioni oggi ancora aperte. Un rischio che si acuisce con l’IA, tanto da essere definito un vero e proprio “paradosso computazionale della conformità“: la sfida di restare aderenti alle regole europee continuando a utilizzare i modelli di IA più avanzati disponibili sul mercato globale, spesso sviluppati fuori dai confini dell’Unione.

Orientarsi nelle scelte attraverso una strategia di gestione del rischio

Al netto di quanto esposto nei paragrafi precedenti, quindi, l’indipendenza digitale per gli enti locali può configurarsi come una strategia pragmatica di gestione del rischio: il Polo Strategico Nazionale offre il massimo livello di tutela per i dati e i servizi realmente strategici, attraverso crittografia e georeferenziazione totale; i player privati europei mettono a disposizione, invece, la flessibilità per gestire il resto dei carichi di lavoro in modalità ibrida, senza rinunciare al controllo.

Il filo conduttore resta la governance del dato: la capacità dell’ente di mantenere indipendenza tecnologica e continuità operativa, oggi e in prospettiva, man mano che l’IA entrerà sempre più stabilmente nei processi della PA italiana.