Cloud Act: perché ospitare in Europa non basta

Chiedi a un fornitore dove finiscono i tuoi dati. La risposta arriva rodata: «i nostri server sono in Europa». Suona come una risposta completa. È solo metà. La localizzazione dei server ti dice dove si trovano i dati. Non ti dice nulla su chi può esigerne legalmente la consegna. Dal 2018 una legge statunitense ha reso quella seconda domanda quella che decide davvero la tua esposizione, ed è esattamente la domanda che quasi nessun fornitore affronta spontaneamente.

Questa guida spiega cosa dice il Cloud Act, chi colpisce davvero, perché il Data Privacy Framework non lo neutralizza e come verificare nella pratica se uno strumento SaaS o di IA si trova fuori dalla giurisdizione statunitense.

Cosa dice davvero il Cloud Act

Il Cloud Act (Clarifying Lawful Overseas Use of Data Act) è stato promulgato il 23 marzo 2018, all'interno della legge di bilancio statunitense. Non è arrivato dal nulla: ha chiuso un caso che la Corte suprema degli Stati Uniti stava esaminando.

Quel caso inizia a dicembre 2013, quando Microsoft riceve un mandato fondato sullo Stored Communications Act per email conservate in un data center di Dublino. Microsoft rifiuta di consegnarle, sostenendo che un mandato statunitense non può raggiungere dati archiviati in Irlanda. La controversia arriva fino alla Corte suprema, che tiene udienza a febbraio 2018. Prima che la Corte possa decidere, il Congresso approva il Cloud Act e il caso viene dichiarato privo di oggetto.

Ciò che il Cloud Act ha cambiato sta in una clausola. Modifica lo Stored Communications Act affinché un fornitore debba conservare, effettuare il backup o consegnare i contenuti e i dati che si trovano in suo possesso, custodia o controllo, «indipendentemente dal fatto che tale comunicazione, dato o altra informazione si trovi all'interno o all'esterno degli Stati Uniti».

Chi vi è realmente soggetto

Il Cloud Act non prende di mira «le aziende americane» come etichetta. Raggiunge qualunque fornitore soggetto alla giurisdizione degli Stati Uniti, categoria ben più ampia di quanto immaginino la maggior parte degli acquirenti europei. Tre situazioni rientrano abitualmente:

• Una società statunitense, qualunque sia la localizzazione della sua infrastruttura. È il caso evidente.
• Una filiale europea di una capogruppo statunitense. È il caso che sorprende. Il criterio è il controllo: quando una capogruppo statunitense controlla la sua entità europea, i dati detenuti da quest'ultima sono di norma considerati sotto il controllo della capogruppo, e un'ingiunzione statunitense può raggiungerli. Nessun giudice si è pronunciato direttamente su questa ipotesi, e alcuni fornitori contestano il punto. La risposta pratica è arrivata da Microsoft stessa, più avanti. Costituire una S.r.l. o una GmbH non erige, di per sé, alcun muro.
• Una società non statunitense con una presenza sufficiente negli Stati Uniti da essere considerata soggetta alla loro giurisdizione.

La conseguenza pratica è scomoda ma semplice: ciò che determina la tua esposizione è la nazionalità giuridica della società che gestisce il servizio, e quella del gruppo che la controlla. La localizzazione dei server è un dettaglio al confronto.

Non è una questione astratta di contratti cloud. Riguarda ogni strumento del tuo stack: il CRM che contiene la tua pipeline, l'app di appunti che contiene le tue riunioni, l'assistente IA in cui incolli i documenti, lo strumento di dettatura in cui detti le tue pratiche. Quest'ultimo è il caso che quasi nessuno anticipa, perché l'audio dettato è spesso la cosa più riservata che un professionista produce in una giornata.

Un rischio non teorico: Microsoft davanti al Senato francese

Se tutto questo suona ancora astratto, un'audizione ha chiuso la questione. A giugno 2025, deponendo sotto giuramento davanti a una commissione d'inchiesta del Senato francese, il direttore giuridico di Microsoft Francia ha riconosciuto di non poter garantire che i dati di cittadini francesi ospitati dall'azienda non sarebbero mai stati consegnati alle autorità statunitensi senza l'accordo della Francia.

Quell'ammissione arriva da un hyperscaler con data center europei considerevoli e una propria ampia offerta di sovranità. Non è l'affermazione di un concorrente, è la risposta del fornitore stesso, sotto giuramento. Per qualunque organizzazione che tratti fascicoli riservati, quel singolo scambio vale più di cento pagine di marketing sull'hosting europeo.

Il Data Privacy Framework risponde a un'altra domanda

Quando insisti con un fornitore statunitense sul tema dei trasferimenti, la risposta è di solito il Data Privacy Framework (DPF), la decisione di adeguatezza adottata dalla Commissione europea il 10 luglio 2023. Un'azienda statunitense si autocertifica e può quindi ricevere dati personali dall'Unione europea senza ulteriori formalità. Sulla carta il trasferimento è lecito. Due cose vale la pena sapere prima di farci affidamento.

Primo, è il terzo strumento del genere, e i due precedenti sono stati annullati. Il Safe Harbor è stato invalidato dalla Corte di giustizia dell'Unione europea a ottobre 2015 (Schrems I) e il Privacy Shield a luglio 2020 (Schrems II), in entrambi i casi perché la sorveglianza statunitense non offriva agli europei una protezione sostanzialmente equivalente a quella del diritto dell'Unione. Il DPF è sopravvissuto al primo ricorso: il 3 settembre 2025 il Tribunale dell'Unione europea ha respinto il ricorso presentato da Philippe Latombe, deputato dell'Assemblea nazionale francese e membro della CNIL (causa T-553/23). Ma quella sentenza è stata impugnata il 31 ottobre 2025 ed è oggi pendente davanti alla Corte di giustizia con il numero C-703/25 P. Ad agosto 2026 l'impugnazione non è decisa, e i commentatori non si attendono una pronuncia prima della fine del 2026 nella migliore delle ipotesi. Fondare la propria riservatezza su un meccanismo già invalidato due volte è una scommessa, non una garanzia.

Secondo, e più a fondo: il DPF non neutralizza il Cloud Act. I due strumenti rispondono a domande diverse. Il DPF rende lecito il trasferimento commerciale di dati verso gli Stati Uniti. Il Cloud Act disciplina l'accesso delle autorità statunitensi a dati che un fornitore già detiene. Un fornitore può essere impeccabilmente certificato DPF e ricevere comunque un'ingiunzione statunitense valida che lo obbliga alla consegna. La conformità del trasferimento non ti protegge dall'accesso.

L'altro fondamento: la sezione 702 del FISA

Il Cloud Act non è l'unica via. La sezione 702 del Foreign Intelligence Surveillance Act consente alle agenzie di intelligence statunitensi di obbligare i fornitori di servizi di comunicazione elettronica a consegnare le comunicazioni di persone non statunitensi situate fuori dagli Stati Uniti. Cioè di europei. È stata proprio l'insufficienza delle garanzie attorno a questa sorveglianza a portare la Corte di giustizia ad annullare il Privacy Shield in Schrems II.

La sezione 702 attraversa una zona di turbolenza legislativa nel 2026. È stata rinnovata l'ultima volta ad aprile 2024 con il Reforming Intelligence and Securing America Act, con una clausola di scadenza insolitamente breve di due anni, e da allora il Congresso non ha approvato una proroga stabile. Questa instabilità nella pratica non cambia nulla per un cliente europeo: come ha documentato il Brennan Center, la raccolta prosegue sulla base di certificazioni già rilasciate dal tribunale FISA, valide fino a marzo 2027 a prescindere dalla scadenza legislativa. Contare sul fatto che questo fondamento decada non è una strategia.

Cosa significa davvero «sovrano», in quattro verifiche

«Sovrano» è diventata una parola di marketing. Ecco come metterla alla prova, nell'ordine che conta.

1. A chi appartiene il fornitore. Cerca la società nel registro delle imprese: forma giuridica, sede, capitale sociale e soprattutto se al di sopra c'è una capogruppo statunitense o un gruppo controllato dagli Stati Uniti. Un marchio europeo può essere una controllata al 100%. Questa verifica richiede cinque minuti e risponde all'essenziale.
2. Chi sono i sub-responsabili e dove operano. L'hosting proprio del fornitore raramente è tutta la storia. Chiedi l'elenco dei sub-responsabili e leggilo: il fornitore dei modelli, il database, il livello di autenticazione, il gestore dei pagamenti. Un solo anello statunitense in quella catena basta a riportare nel campo di applicazione i dati che tocca.
3. Contenuti e dati di account. Quasi sempre sono trattati in modo diverso. Un fornitore può davvero trattare i tuoi documenti in Francia e far comunque transitare i dati di account, indirizzo email, autenticazione, fatturazione, attraverso fornitori SaaS statunitensi. Può starti benissimo, ma devi saperlo anziché scoprirlo. Chiedi al fornitore di tracciare la linea in modo esplicito.
4. A cosa impegna davvero il contratto. Un contratto di nomina a responsabile del trattamento ai sensi dell'articolo 28 del GDPR deve nominare i sub-responsabili, indicare dove ciascuno tratta i dati e impegnare il fornitore a notificarti prima di cambiarne uno. Un fornitore che non vuole nominare la sua catena ti sta dicendo qualcosa.

La trappola specifica degli strumenti di IA

C'è una modalità di fallimento in cui gli acquirenti europei di strumenti di IA cadono sistematicamente, e merita di essere detta a parte.

Un fornitore può essere una vera società europea, ospitare la sua applicazione su vera infrastruttura europea, e inviare comunque ognuno dei tuoi documenti negli Stati Uniti. Accade al momento della chiamata al modello. Se l'intelligenza del prodotto proviene da un'API gestita da OpenAI, Anthropic, Google o da un cloud controllato dagli Stati Uniti, il tuo contenuto lascia il perimetro europeo nell'istante esatto in cui il prodotto diventa utile. L'hosting europeo è reale, ed è anche fuori tema: ospita l'interfaccia, non il carico utile.

Per la dettatura vocale questa è quasi la norma. La maggior parte degli strumenti sul mercato, compresi diversi presentati come attenti alla privacy, trascrive chiamando un'API di riconoscimento vocale statunitense. L'audio dettato, spesso la cosa più riservata che un professionista produce in una giornata, finisce direttamente nel campo di applicazione.

Sei domande da porre per iscritto a qualunque fornitore

1. Quale entità giuridica gestisce il servizio, ed è controllata da una capogruppo non europea?
2. Dove vengono trattati i miei contenuti, e da quali società? Non «in Europa», ma l'elenco nominativo.
3. Quali modelli di IA usate, e chi li gestisce? Il punto di rottura tipico dei prodotti di IA.
4. Quali dei miei dati sono contenuti e quali sono dati di account, e vengono trattati diversamente?
5. Voi, o uno dei vostri sub-responsabili, siete soggetti al Cloud Act o a un'altra legge extraterritoriale? Un fornitore europeo senza capogruppo statunitense può rispondere di no, semplicemente.
6. Fornite un contratto ai sensi dell'articolo 28 che nomini i vostri sub-responsabili e vi impegni a notificare i cambiamenti?

Le risposte devono arrivare per iscritto e senza giri di parole. Dove non arrivano, hai comunque la tua risposta. Per il versante GDPR della stessa analisi, la nostra guida su dettatura vocale e GDPR tratta gli obblighi che ricadono sullo strumento stesso, e il nostro articolo sull'AI Act spiega perché la regolamentazione dell'IA non dice nulla di tutto questo.

La posizione di Fast Dictate

Fast Dictate è pensato per rispondere a queste sei domande in una pagina anziché in un incontro commerciale.

• Il fornitore è una società francese. Synapse Crew SAS, iscritta al registro delle imprese di Parigi, senza capogruppo statunitense. Non è soggetta al Cloud Act.
• Piano Pro: i contenuti dettati restano in Francia. Audio e trascrizioni sono trattati esclusivamente su server situati in Francia, su infrastruttura certificata ISO/IEC 27001:2022.
• Anche i modelli girano in Francia. La trascrizione e il post-trattamento linguistico sono operati su infrastruttura francese, senza alcuna chiamata a un'API di IA fuori dalla Francia per trattare quel contenuto. È il punto in cui la maggior parte degli strumenti perde colpi, quindi lo diciamo esplicitamente.
• Zero conservazione su tutti i piani. L'audio viene trascritto e poi eliminato immediatamente, e non è mai riutilizzato per addestrare modelli.
• La sfumatura onesta sui metadati. I dati tecnici di account, indirizzo email, autenticazione, stato dell'abbonamento, passano da sub-responsabili internazionali inquadrati dalle clausole contrattuali tipo della Commissione europea. Nessun contenuto dettato transita da loro. Il dettaglio completo è nella nostra pagina Sicurezza, e il DPA è fornito ai clienti del piano Pro.

Domande frequenti