La maggior parte delle aziende brasiliane che sono passate al cloud negli ultimi dieci anni hanno preso una decisione implicita che non è mai stata presentata come tale: che i dati dei clienti, i contratti, le operazioni e la strategia dovrebbero vivere su server americani, secondo le leggi degli Stati Uniti, soggetti agli ordini di un tribunale di cui i loro esperti legali non sono a conoscenza. Questa decisione è stata presa nella lista di controllo di una RFP per l'infrastruttura, tra costo per gigabyte e SLA di disponibilità. Nessuno la chiamava geopolitica.
Il problema è che lei è esattamente così. E il contesto è talmente cambiato che ignorare questa dimensione è, in molti settori, un rischio di cui il consiglio di amministrazione dovrebbe essere consapevole.
Cosa significa realmente sovranità digitale
La sovranità digitale non è un concetto unico: è uno spettro di controllo su dati, infrastrutture e capacità tecnologica. Al livello più elementare, significa sapere dove si trovano fisicamente i dati e quali leggi si applicano ad essi. Al livello più avanzato, si tratta di garantire che uno stato-nazione o un’azienda abbia la capacità di gestire i propri sistemi tecnologici critici indipendentemente dalle decisioni di terzi, siano essi altri governi, fornitori privati o regolatori stranieri.
Per le aziende private, il vero terreno si trova tra questi due estremi. Non si tratta di costruire la propria infrastruttura come una banca centrale, ma di capire che stipulare un contratto con un fornitore di servizi cloud americano mette i dati alla portata del CLOUD Act, una legge americana che consente al governo americano di richiedere l'accesso ai dati archiviati dai fornitori americani, anche su server al di fuori degli Stati Uniti. Questa non è un'ipotesi teorica; è già stato esercitato. E nessuna clausola del tuo contratto SaaS cambia questo fatto.
LGPD, GDPR e regolamentazione come vettore di sovranità
La legge generale sulla protezione dei dati è stata il punto di svolta più visibile nella discussione sulla sovranità digitale in Brasile. Ha stabilito che i dati personali dei brasiliani hanno regole di trattamento che devono essere rispettate indipendentemente da dove ha sede la società o dove si trovano i server. I trasferimenti internazionali di dati richiedono ora garanzie adeguate.
Il GDPR europeo è andato oltre e in anticipo. Ciò che l’Europa ha costruito con il Regolamento generale sulla protezione dei dati è, in effetti, l’affermazione che i dati dei cittadini europei non sono soggetti alla giurisdizione americana – e che le aziende che pensavano di utilizzare il Privacy Shield come scorciatoia sono rimaste sorprese quando la Corte di giustizia europea ha annullato quell’accordo due volte. Ogni rimozione ha costretto le aziende a rivedere le proprie architetture di dati.
Lo standard che emerge da queste norme non è solo la tutela della privacy individuale. È la costruzione di un’infrastruttura normativa che definisce dove possono andare i dati e a quali condizioni. Ciò influisce direttamente sulle decisioni sull'architettura del sistema.
La risposta del settore: cloud sovrano
Il mercato del cloud ha risposto con una nuova categoria: il cloud sovrano. La premessa è semplice: offrire la stessa elasticità e gli stessi servizi di un cloud pubblico, ma con la garanzia che i dati rimangano all’interno di una giurisdizione specifica, gestita da enti locali, senza accesso da parte di governi stranieri.
In Europa, il progetto Gaia-X è il tentativo più ambizioso: una federazione di fornitori europei che costruisce un’infrastruttura dati con standard di interoperabilità aperti e governance condivisa tra i paesi membri. OVHcloud è l’esempio più visibile di un fornitore cloud europeo che si è esplicitamente posizionato come alternativa sovrana alla big tech americana.
In Brasile lo scenario è ancora frammentato. Esistono fornitori locali come Ascenty, Localweb e braziliancloud.com; c’è la presenza di fornitori internazionali con regioni locali (AWS São Paulo, Google Cloud São Paulo, Azure Brasil Sul) – che offrono la località geografica dei dati ma non eliminano la giurisdizione americana. La differenza tra "dati in Brasile" e "dati secondo la legge brasiliana con funzionamento nazionale" è reale e sottovalutata.
Come dovrebbe considerare la cosa un leader
La prima mossa è smettere di considerare la sovranità digitale come una questione di conformità e inserirla nell’agenda strategica del rischio. LGPD La conformità è il punto di partenza, non il limite. L’importante è rispondere: se domani il rapporto commerciale o diplomatico con il Paese del nostro principale cloud provider si complicasse, qual è la nostra esposizione?
Per le aziende dei settori regolamentati – sanità, finanza, difesa, infrastrutture critiche – questa domanda ha risposte con conseguenze concrete. Per le aziende di altri settori, la risposta informa le decisioni architetturali che modificano il livello di rischio del business. La distinzione tra dati che possono trovarsi in un cloud internazionale e dati che necessitano di ulteriore protezione giurisdizionale dovrebbe essere presente in ogni seria strategia sui dati.
Il secondo movimento è comprendere che la sovranità digitale ha gradazioni e che la decisione non deve essere binaria tra “tutto nell’AWS americano” e “tutto nel proprio data center in Brasile”. Esistono architetture ibride in cui i dati più sensibili risiedono in fornitori con garanzie di giurisdizione locale e i carichi di lavoro meno critici utilizzano l'elasticità dei cloud internazionali. Questa segmentazione intenzionale è più onesta e più difendibile di una singola architettura che tratta tutti i dati come equivalenti.
La terza dimensione, raramente discussa nelle aziende brasiliane, è la dipendenza tecnologica come rischio operativo. Quando l’intero insieme di dati, intelligenza artificiale, comunicazione e collaborazione passa attraverso cinque società americane, la tua capacità di operare dipende dalla continuità di tali rapporti commerciali. È una posizione che merita di essere conosciuta dal consiglio, non solo dal CTO.
Leggi anche
- Residenza dei dati: cosa significa in pratica garantire che i dati rimangano in Brasile
- LGPD due anni dopo: cosa è veramente cambiato nelle aziende brasiliane
- Crittografia dati
- Dati sintetici e privacy: formarsi e testare senza esporre i dati personali
- Cosa sono i dati sintetici e perché sono importanti per i leader
- Protezione dalla fuga di dati: Guida alla sicurezza