La data residency in Svizzera stabilisce dove risiedono i tuoi dati. Dal CLOUD Act statunitense non protegge, perché quella legge si aggancia al controllo sui dati e non alla loro collocazione. Se il gestore appartiene a un gruppo statunitense, l'obbligo di consegna sussiste indipendentemente da dove si trovino i server. Il 3 giugno 2026 la Commissione europea ha tradotto questa distinzione in una griglia di valutazione a quattro livelli, il Cloud and AI Development Act. Non è ancora legge, ma mostra con precisione quali prove le imprese regolamentate dovranno fornire.
In questo articolo
- Che cosa significa il CLOUD Act per le imprese svizzere
- Perché la data residency risponde solo a metà della domanda sulla sovranità
- I quattro livelli CADA e dove passa il confine
- Perché i fornitori statunitensi non raggiungono strutturalmente i livelli superiori
- Se i fornitori svizzeri possono raggiungerli
- Sette domande da porre al tuo fornitore
- Quando Collabase è adatta come alternativa svizzera
Che cosa disciplina il CLOUD Act
Il Clarifying Lawful Overseas Use of Data Act del 2018 obbliga i fornitori soggetti alla giurisdizione statunitense a consegnare i dati che si trovano in loro possesso, custodia o controllo. Determinante è il potere di disposizione. Una società figlia europea resta compresa nella misura in cui la casa madre esercita il controllo. Tali ordini recano per lo più un vincolo di riservatezza che vieta al fornitore di informare il cliente.
Per le imprese svizzere ne nasce un conflitto all'interno del proprio diritto. La collaborazione a un atto ufficiale estero sul territorio svizzero tocca l'articolo 271 CP, la trasmissione di segreti d'affari all'estero l'articolo 273. Per le banche si aggiunge il segreto bancario secondo l'articolo 47 della legge sulle banche, per gli istituti sanitari il segreto professionale secondo l'articolo 321 CP. Gli istituti vigilati soddisfano inoltre i requisiti della circolare FINMA sull'esternalizzazione in materia di diritti di accesso, verifica e istruzione.
La valutazione del singolo caso spetta a una persona esperta in diritto. La struttura però resta sempre la stessa: un fornitore soggetto a due ordinamenti deve, al momento decisivo, scegliere tra di essi.
La data residency in Svizzera basta?
La data residency risponde alla domanda su dove risiedano i dati. Restano aperte tre domande che contano per l'autorità di vigilanza: chi controlla il gestore? Chi può accedere sul piano amministrativo? Quanto in fretta riesci a uscirne?
I grandi fornitori hanno reagito. AWS ha reso la sua European Sovereign Cloud generalmente disponibile nel gennaio 2026 con la prima regione nel Brandeburgo, separata fisicamente e logicamente dalle altre regioni. Microsoft offre controlli di sovranità europei tramite la Sovereign Public Cloud, compresa la vigilanza sugli accessi amministrativi da remoto; Google Cloud lavora con partner europei come S3NS e T-Systems.
Queste costruzioni risolvono problemi reali. La proprietà non la cambiano.
Che cosa richiedono i quattro livelli CADA
Il Cloud and AI Development Act, formalmente COM(2026) 502, istituisce quattro livelli di garanzia dell'Unione. Gli enti pubblici valutano il rischio di un caso d'uso e poi lo assegnano a un livello. I criteri sono cumulativi.
| Livello | Requisito centrale | Prova |
|---|---|---|
| Level 1 | Fornitore stabilito nell'Unione, dati compresi metadati e telemetria nell'Unione | Autodichiarazione con dichiarazione di conformità UE |
| Level 2 | In aggiunta personale e supporto nell'Unione, i dati d'uso non addestrano alcun sistema di IA di uno Stato terzo, distinta base del software completa | Audit indipendente di terza parte |
| Level 3 | In aggiunta cittadinanza dell'Unione del personale, nessun controllo di uno Stato terzo salvo per gli Stati riconosciuti | Audit indipendente di terza parte |
| Level 4 | Nessun controllo di uno Stato terzo senza eccezioni, nessun controllo effettivo di uno Stato terzo sullo sviluppo del software | Audit indipendente di terza parte |
Due aspetti sono importanti. Il Level 1 poggia su un'autodichiarazione del fornitore, solo dal Level 2 in poi vi è dietro una prova verificata. E l'affermazione diffusa secondo cui CADA escluderebbe i fornitori americani non è corretta: ai Level 1 e Level 2 restano ammessi.
Per le piattaforme di collaborazione un dettaglio del Level 2 è centrale. I dati generati dall'uso non devono addestrare alcun sistema di IA di un attore di uno Stato terzo né lasciare l'Unione. Così la domanda sulla sovranità si sposta dalla conservazione dei dati alla pipeline dei modelli.
Dove passa il confine per i fornitori statunitensi
La parte decisiva si trova nell'allegato sull'audit. Se il revisore accerta che un fornitore è sotto il controllo di uno Stato terzo, richiede quattro prove aggiuntive:
- una decisione della Commissione relativa allo Stato terzo in questione
- la prova che il fornitore è giuridicamente, tecnicamente e operativamente impossibilitato a dare seguito a una richiesta di accesso
- la prova che il cliente viene informato di una tale richiesta, con la conferma che è stata respinta
- un registro aggiornato di tutte queste richieste
Per un fornitore soggetto alla giurisdizione statunitense questo insieme non è soddisfacibile. Il CLOUD Act esige l'esecuzione, non il rifiuto. Il vincolo di riservatezza vieta di informare il cliente. E un registro di tali richieste contraddice lo stesso vincolo.
Il requisito punta sulla capacità giuridica anziché sulla tecnica. La Francia segue la stessa logica da anni: SecNumCloud 3.2 esige l'immunità dalle leggi extraterritoriali ed esclude i gestori di proprietà statunitense indipendentemente dall'ubicazione dei server.
La nozione di controllo è qui intesa in senso ampio. Vengono esaminati tutti gli azionisti fino agli aventi economicamente diritto a partire dal cinque per cento, i diritti di veto, la nomina degli organi decisionali nonché le dipendenze commerciali e finanziarie. Un estratto del registro di commercio non basta.
I fornitori svizzeri possono raggiungere i livelli superiori?
In linea di principio sì, ma non automaticamente. L'articolo 18 consente alla Commissione di riconoscere Stati terzi come associati. I fornitori di questi Stati possono allora essere sottoposti ad audit rispetto al Level 3. Sono richiesti tra l'altro una decisione di adeguatezza ai sensi del GDPR, l'assenza di poteri di accesso statali in contrasto con il diritto UE e l'assenza del potere di perturbare il servizio o di applicare sanzioni.
Per gli Stati Uniti ciò fallisce sui poteri di accesso e di sanzione. La Svizzera dispone di una decisione di adeguatezza e soddisfa in modo plausibile i restanti criteri secondo l'attuale quadro giuridico. Un riconoscimento però non esiste.
Indipendentemente da ciò, tutti i livelli richiedono uno stabilimento nell'Unione, il Level 3 in aggiunta la cittadinanza dell'Unione del personale. Per i clienti svizzeri in Svizzera resta quindi il diritto svizzero come riferimento. CADA mostra soprattutto verso dove si muove questo riferimento: via dall'ubicazione dei dati, verso il controllo sul gestore.
Per l'Amministrazione federale lo stesso principio vale già. L'istruzione W012 la obbliga dal 1° gennaio 2026 a valutare e documentare la sovranità digitale nei nuovi progetti informatici, intesa come capacità di controllo e di azione. Per la tua impresa non è vincolante, ma come griglia di valutazione nei confronti della revisione interna resta utilizzabile.
Sette domande da porre al tuo fornitore
| # | Domanda |
|---|---|
| 1 | Chi controlla il gestore fino al livello più alto, e chi può bloccare le decisioni strategiche? |
| 2 | Dove si trova il personale con accesso amministrativo, e attraverso quali percorsi accede? |
| 3 | Come si comporta il fornitore di fronte a una richiesta di consegna estera, e può informarti? |
| 4 | Quali dati d'uso e di telemetria confluiscono nelle funzioni di IA, e dove girano i modelli? |
| 5 | Esiste una distinta base del software completa con l'origine dei componenti? |
| 6 | Esiste un piano di migrazione documentato per il venir meno di un fornitore? |
| 7 | Tutte le risposte valgono anche per i moduli aggiuntivi e le estensioni? |
La domanda 7 è quella più spesso trascurata. Per l'applicazione principale di solito è documentato ciò che per ogni estensione resta aperto singolarmente.
Quando Collabase è adatta come alternativa svizzera
Collabase è una piattaforma svizzera di collaborazione B2B. Docs copre il lavoro di conoscenza e la documentazione, Projects la gestione di progetti e portfolio, Registry la gestione strutturata di asset e dati di riferimento. AI e Automation fanno parte della piattaforma. Il trattamento di dati e informazioni avviene interamente in Svizzera, come presupposto di base anziché come opzione acquistabile.
Misurato sulle sette domande: siamo sotto controllo svizzero, il che fa venire meno il conflitto di norme. Esercizio e supporto li garantiamo dalla Svizzera. Le funzioni di IA fanno parte della stessa architettura, ragione per cui la domanda 4 non passa attraverso una catena di terzi. E poiché concentriamo l'ampiezza funzionale sul nucleo anziché su centinaia di estensioni di marketplace, la domanda 7 resta rispondibile.
Dove stanno i limiti: chi serve committenti pubblici dell'UE esamina i livelli dell'Unione separatamente, perché presuppongono uno stabilimento nell'Unione. E per lo sviluppo software con flussi di lavoro Git, Collabase non è la risposta adatta.
Domande frequenti
CADA è già diritto vigente?
No. È una proposta della Commissione del 3 giugno 2026 nella procedura legislativa in corso. Il regolamento diverrebbe applicabile un anno dopo la sua entrata in vigore. I livelli più severi sono politicamente controversi e possono ancora cambiare.
Un centro di calcolo in Svizzera protegge dal CLOUD Act?
Solo se anche il gestore è esclusivamente sotto controllo svizzero. Il CLOUD Act si aggancia al potere di disposizione sui dati.
CADA esclude i fornitori americani dall'Europa?
No. Ai Level 1 e Level 2 restano ammessi, al Level 2 con notevoli obblighi di prova. I Level 3 e Level 4 sono loro preclusi.
CADA vale per le imprese private?
Per ora le valutazioni d'impatto sono volontarie per le imprese dei settori NIS2. La Commissione può renderle vincolanti per i settori ad alta criticità mediante atti delegati. Vi rientrano energia, sanità e settore bancario.
L'istruzione W012 vale per noi?
È vincolante solo per l'Amministrazione federale centrale e per i progetti a partire dal 1° gennaio 2026. Come griglia di valutazione è utilizzabile anche al di fuori.
Che cosa fare adesso
- Ricognizione. Quali servizi sono in uso, chi li gestisce, a chi appartiene il gestore, quali estensioni girano insieme?
- Rispondere alle domande di verifica. Ciò che il fornitore non può documentare va a verbale come punto aperto.
- Aggiornare i contratti. I vostri contratti disciplinano la procedura in caso di richieste di consegna estere e l'informazione del cliente?
- Inquadrare le funzioni di IA. Quali dati d'uso confluiscono nei modelli, e dove girano questi ultimi?
- Decidere prima della migrazione. Chi è comunque davanti a un cambio di piattaforma chiarisce prima la questione della sovranità. Questo riguarda anche tutti coloro che devono migrare entro il 2029 a causa della fine del ciclo di vita di Atlassian Data Center. Le correzioni successive sono la via più costosa.
Se vuoi verificare dove si colloca la vostra piattaforma rispetto a queste sette domande, o se un cambio è comunque all'ordine del giorno: parlane con noi. Inquadriamo il vostro status quo e ti mostriamo quali passi valgono concretamente la pena per la vostra azienda.
Fonti: proposta di Cloud and AI Development Act, COM(2026) 502 final della Commissione europea, istruzioni W012 sulla sovranità digitale nell'Amministrazione federale della Cancelleria federale (in tedesco).
Ultima verifica: 18 settembre 2026