Sovranità digitale per individui: cosa significa e cosa puoi fare davvero

La risposta in breve. Per una persona, sovranità digitale significa poter decidere dove risiedono i propri dati, chi può leggerli e cosa ne sarà se un'azienda cambia prezzi, condizioni d'uso o strategia. Non significa fare tutto da soli, ma conoscere le proprie dipendenze e sceglierle consapevolmente.

Cos'è la sovranità digitale, in parole semplici?

I governi usano questo termine per indicare il controllo sulle proprie infrastrutture e sui propri dati. Per i singoli individui, si riduce a tre domande a cui puoi dare una risposta concreta:

• Dove si trova? Quale azienda, quale Paese, quale dispositivo conserva i tuoi appunti, il tuo elenco di lettura, le tue foto.
• Chi può leggerlo? Il provider, il suo personale, un'autorità con poteri di ingiunzione o solo tu.
• Puoi andartene? Puoi esportare tutto, in un formato apribile da altri software, il giorno in cui decidi di farlo?

Se sai rispondere a tutte e tre le domande per le cose a cui tieni, hai la sovranità su di esse. Per la maggior parte delle persone, la risposta onesta oggi è «non ne ho idea» nella maggior parte dei casi. È un problema che si può risolvere, un passo alla volta.

Perché è importante adesso: cinque cambiamenti chiave

1. Un data center europeo non rende europea un'azienda statunitense. Il CLOUD Act statunitense consente alle autorità degli Stati Uniti di imporre ai provider con sede negli USA la consegna dei dati sotto il loro controllo, ovunque siano archiviati. La compatibilità con il GDPR è controversa: gli ordini forensi europei hanno sostenuto che trasferire dati personali UE a seguito di tale ordine costituirebbe una violazione. Gli esperti legali spiegano il conflitto in dettaglio (Linklaters, Cleary Gottlieb, Valutazione del CCBE). La lezione pratica: «ospitato nell'UE» indica dove si trova il server, non quale giurisdizione può raggiungerlo.

2. Il ponte legale per i dati inviati negli USA è oggetto di ricorso. I trasferimenti di dati personali verso aziende statunitensi certificate si basano attualmente sul EU-US Data Privacy Framework. I suoi due predecessori, Safe Harbor e Privacy Shield, sono stati entrambi annullati dalla massima corte dell'UE. Nel settembre 2025 il Tribunale dell'UE ha respinto un ricorso contro il nuovo quadro; il ricorrente ha impugnato la decisione e il ricorso (causa C-703/25 P) è ancora pendente al momento della stesura (WilmerHale, Digital Policy Alert). Il quadro normativo è valido oggi. Il fatto che rimanga valido o meno non è qualcosa che un singolo individuo possa controllare, ed è proprio questo il punto.

3. Lasciare un servizio cloud sta diventando un diritto legale. Il Data Act dell'UE è applicabile dal 12 settembre 2025. I provider cloud devono consentire ai clienti di cambiare fornitore con un preavviso massimo di due mesi, possono addebitare solo i costi vivi di migrazione fino a gennaio 2027 e, a partire dal 12 gennaio 2027 non potranno più applicare alcuna spesa di cambio fornitore (Latham & Watkins, McCann FitzGerald). Queste norme si rivolgono ai clienti di servizi cloud e infrastrutture, non alla tua app di lettura, ma mostrano la direzione intrapresa dalla legge: la portabilità è un requisito fondamentale, non un favore.

4. I servizi possono chiudere da un giorno all'altro. Mozilla ha annunciato a maggio 2025 la chiusura di Pocket per l'8 luglio 2025, con un successivo periodo per la sola esportazione, poi esteso fino al 6 novembre 2025 (9to5Mac, Vice). Se non hai esportato in tempo, la tua libreria era persa. Abbiamo scritto cosa cercare in un'alternativa in guida alle alternative a Pocket.

5. Gli enti pubblici si stanno muovendo, dimostrando che è possibile. Lo stato tedesco dello Schleswig-Holstein sta sostituendo il software Microsoft nella propria pubblica amministrazione con strumenti open source attraverso il programma «Digital Souveräner Arbeitsplatz», a partire dalla posta elettronica e dalla suite per ufficio; il Meclemburgo-Pomerania Anteriore ha avviato una cooperazione analoga (approfondimenti: PC-WELT, CIO). È un processo graduale che non è esente da critiche, e Microsoft non viene abbandonata del tutto. Ma se un'amministrazione pubblica può cambiare rotta passo dopo passo, puoi farlo anche tu con il tuo elenco di lettura.

La sovranità è una scala, non un interruttore

Chiedersi «sono sovrano o no?» è la domanda sbagliata. La domanda giusta è: a quale gradino della scala vuoi arrivare per ciascun tipo di dato?

Quasi nessuno si trova al livello 5 per qualsiasi cosa, e non ce n'è bisogno. Un elenco di letture e un diario personale non richiedono lo stesso livello di protezione. L'abitudine utile è sapere esattamente a che livello si trova ogni dato.

Local-first: l'approccio ingegneristico per possedere davvero i tuoi dati

Nel 2019 i ricercatori del laboratorio Ink & Switch hanno pubblicato il saggio «Local-first software», dando un nome a questo paradigma. I loro sette principi stabiliscono che il lavoro non deve dipendere da un server, che la connessione di rete deve essere opzionale, che i dati devono poter essere usati anche a distanza di «decenni» persino se l'azienda produttrice scompare, che sicurezza e privacy devono essere attive per impostazione predefinita (qualsiasi server che memorizza copie riceve solo dati crittografati illeggibili) e che il controllo e la proprietà restano sempre a te (Ink & Switch, 2019). È una checklist utilissima per qualsiasi strumento su cui fai affidamento: chiediti quale di questi sette punti viene violato.

La checklist da completare in un weekend

• Mappa le tue dipendenze. Per appunti, elenco di lettura, password, foto e strumenti IA: verifica quale azienda, quale Paese e quale formato sono coinvolti.
• Testa un'esportazione. Non chiederti «posso esportare?», ma esporta davvero e apri il file con un'altra applicazione. Fallo prima di tutto per i dati a cui tieni di più.
• Prediligi formati aperti. Markdown, testo semplice, JSON, EPUB, formati standard per calendari e contatti: sopravvivono alle singole app.
• Scegli il tuo spazio di archiviazione. Un server Nextcloud (self-hosted o gestito da un provider europeo), un bucket compatibile con S3 intestato a te, oppure semplicemente una cartella sincronizzata tra i tuoi dispositivi con Syncthing o con il client di sincronizzazione del tuo computer.
• Crittografa prima dell'invio. La domanda fondamentale per qualsiasi sincronizzazione o backup: chi possiede la chiave? Se la risposta è «il provider», il provider può leggerne il contenuto.
• Scegli come accedere all'IA. La tua chiave API (paghi al consumo e puoi cambiare fornitore all'istante), un modello in locale sul tuo computer oppure un abbonamento all-in-one. Ognuna di queste opzioni corrisponde a un gradino della scala.
• Conserva un backup verificato. Un backup mai ripristinato è solo una speranza. Esegui una prova di ripristino su un altro dispositivo.

Come AI Summary Helper affronta questi aspetti (e dove si fermano i suoi limiti)

Sviluppiamo AI Summary Helper, un'estensione per browser che riassume pagine web, PDF e video e gestisce la tua libreria di lettura. Il nostro obiettivo è permetterti di salire la scala della sovranità con un unico strumento. Ecco cosa significa in pratica, limiti compresi.

• La tua libreria resta sul tuo dispositivo. Articoli, riassunti, evidenziazioni e note sono memorizzati localmente nel tuo browser. Non è richiesto alcun account per le funzioni principali (informativa sulla privacy).
• Scegli tu come connetterti all'IA. Usa la tua chiave API (BYOK) per il provider che preferisci (perché è importante), esegui un modello in locale con Ollama per non far uscire mai i contenuti dal tuo computer, oppure affidati al nostro servizio hosted opzionale. Con un modello locale, il riassunto non richiede alcuna connessione di rete.
• Sincronizza e fai il backup sul tuo spazio di archiviazione. Collega un server Nextcloud o un altro server WebDAV, un bucket compatibile S3 o una cartella sul tuo computer (guida passo passo). Negli spazi protetti, ogni dato viene crittografato direttamente nel tuo browser (AES-256-GCM, con una chiave derivata dalla tua passphrase) prima di lasciare il dispositivo: a te basta memorizzare una sola passphrase. Il provider di archiviazione vede solo file illeggibili.
• Pubblica sul tuo sito. Uno spazio di pubblicazione genera file in chiaro e una pagina viewer opzionale per il tuo sito web, solo per gli articoli a cui assegni l'apposito tag. Note e testi integrali restano privati a meno che non decida esplicitamente di includerli.
• Un'opzione UE per il servizio hosted. Se utilizzi il nostro servizio hosted opzionale, l'opzione «Preferisci server UE» nelle impostazioni instrada le tue richieste esclusivamente verso endpoint del provider di modelli situati nell'UE, senza mai reindirizzare altrove. I modelli sono contrassegnati come Azienda UE (come Mistral, con sede a Parigi) oppure Server UE (la regione UE di un'azienda statunitense), perché si tratta di due scenari differenti. I modelli senza percorso UE rimangono selezionabili manualmente ma vengono segnalati, e l'opzione Auto non li sceglierà mai automaticamente quando l'interruttore è attivo.
• Le tue app IA, sul tuo computer. Se vuoi, le applicazioni IA desktop possono leggere la tua libreria tramite una connessione locale, senza che alcun dato transiti dai nostri server (come funziona).
• Open source. Il codice sorgente è pubblico su GitHub, così puoi verificare in prima persona ciò che diciamo.

Cosa non fa. La trasparenza conta più di una bella narrazione:

• Le radici del tuo browser restano comunque americane. Offriamo l'estensione per Firefox—una scelta popolare tra gli utenti attenti alla privacy—oltre che per Chrome. Tuttavia, sia Google sia Mozilla sono entità statunitensi soggette alla giurisdizione degli Stati Uniti. Un modello locale elimina il provider di AI dall'equazione, ma non rimuove del tutto la portata statunitense dall'ambiente del browser stesso.
• La maggior parte dei provider IA nel cloud ha sede negli Stati Uniti. Se ne usi uno con la tua chiave, il testo della pagina che riassumi viene inviato a loro. Solo un modello locale mantiene il contenuto al 100% sulla tua macchina.
• Il nostro servizio hosted opzionale esegue il proprio server e il database presso IONOS in Germania. Il testo viene comunque inoltrato a un provider di modelli tramite OpenRouter, un'azienda statunitense. L'opzione UE vincola i server del modello all'interno dell'UE, ma non cambia la nazionalità delle aziende coinvolte. Considera il servizio hosted come una comodità con un'opzione UE, non come la scelta sovrana definitiva: per quella, usa la tua chiave o un modello locale.
• La chiave di crittografia per uno spazio di sincronizzazione viene salvata nel profilo del tuo browser per consentire la sincronizzazione in background. Chiunque abbia accesso al tuo profilo sbloccato potrebbe utilizzarla. Il provider di archiviazione può comunque rilevare il numero di file, le loro dimensioni e gli orari di modifica.
• L'architettura crittografica è aperta e verificabile, ma non è stata sottoposta a un audit indipendente.
• Uno spazio di pubblicazione (leggibile) non è crittografato. È pensato appositamente per questo scopo, come indicato chiaramente nelle impostazioni.

Per chi costruisce

Se progetti o sviluppi tu stesso prodotti digitali, le scelte architetturali che fai plasmano questa realtà per i tuoi utenti. Decidi tu se possono esportare i loro dati o se restano bloccati nel tuo ecosistema. Per vedere l'altro lato di questa equazione—come costruire tenendo presenti questi principi—leggi il mio saggio correlato: La sovranità digitale per chi progetta (philwornath.com) ↗.

Domande frequenti

È sufficiente archiviare i miei dati nell'UE?

Aiuta con la latenza e alcune questioni legali, ma non risolve chi può obbligare all'accesso: dipende dalla giurisdizionegiurisdizione della società, non solo da quella del server ubicazione. La crittografia con chiavi che tieni tu cambia le cose più di un codice postale.

Un modello di IA europeo equivale a eseguire il carico su server UE?

No. Un'azienda con sede in Europa, come Mistral a Parigi, è soggetta alle leggi nazionali ed europee. Il modello di un'azienda statunitense in esecuzione in una regione UE si trova fisicamente in Europa, ma la società controllante resta americana, con tutte le implicazioni legate al CLOUD Act citate sopra. Entrambe possono essere opzioni valide e nessuna delle due offre garanzie assolute. Per questo le distinguiamo chiaramente. Verifica sempre le condizioni e l'hosting del provider, poiché accordi societari e investitori possono cambiare nel tempo.

Devo necessariamente ricorrere al self-hosting per avere sovranità digitale?

No. Il self-hosting è solo una delle modalità per raggiungere i livelli 3 e 4. Un provider europeo, oppure un bucket S3 sotto il tuo account personale con crittografia eseguita sul tuo dispositivo, ti permette di ottenere quasi gli stessi vantaggi con molto meno lavoro di gestione.

I modelli di IA locali sono abbastanza potenti per riassumere articoli?

Per riassumere normali articoli web, i modelli aperti di medie dimensioni su un laptop recente offrono ottimi risultati. Qualità e velocità variano in base all'hardware e al modello scelto. Il consiglio più pratico è provarne uno sui tuoi testi abituali prima di decidere.

La crittografia da sola è sufficiente?

No. Protegge il contenuto dal provider di archiviazione, ma non da una passphrase debole, da un dispositivo compromesso o dall'analisi dei metadati (come dimensioni dei file e frequenza delle modifiche). Una passphrase casuale composta da più parole e salvata in un password manager rappresenta il requisito minimo essenziale.

Cosa succede se lo strumento che utilizzo smette di funzionare o chiude?

È proprio a questo che serve il test di esportazione. Se i tuoi dati sono salvati in formati aperti su uno spazio di archiviazione sotto il tuo controllo, lo scenario peggiore sarà dover cambiare applicazione, non perdere i tuoi contenuti.

Fonti

• Linklaters: U.S. CLOUD Act and GDPR, is the cloud still safe?
• Cleary Gottlieb: U.S. CLOUD Act's potential impact on the GDPR
• eucrim: CCBE assesses the US CLOUD Act
• WilmerHale: European Court of Justice to review challenge to the EU-US Data Privacy Framework
• Latham & Watkins: EU Data Act switching requirements
• McCann FitzGerald: EU Data Act, switching cloud provider
• 9to5Mac: Mozilla announces shutdown of Pocket
• Ink & Switch: Local-first software (Onward! 2019)
• PC-WELT: Schleswig-Holstein, Open Source statt Microsoft

I quadri normativi e il contesto politico evolvono costantemente. Questo testo ha scopo puramente informativo e non costituisce consulenza legale; consulta le fonti per verificare lo stato attuale.