Sovranità digitale nella PA: 3 enti su 4 senza una vera exit strategy dal cloud

L’Osservatorio sulla Sovranità Digitale della PA realizzato da Liferay Italia evidenzia che il 75% degli enti pubblici non ha una exit strategy cloud. Criticità anche su cifratura e AI governance.

La trasformazione digitale della Pubblica Amministrazione italiana procede, ma non in modo uniforme. Accanto a un gruppo di enti ormai allineati alle indicazioni nazionali ed europee sulla sovranità digitale, permane un’ampia fascia che presenta ancora vulnerabilità significative. Tra queste emerge soprattutto l’assenza di una strategia che consenta di cambiare fornitore di servizi cloud senza compromettere dati, applicazioni o continuità operativa. È questo uno dei principali elementi emersi dall’Osservatorio sulla sovranità digitale realizzato da Liferay durante ForumPA 2026, che fotografa una PA ancora divisa tra amministrazioni avanzate e realtà che devono completare il proprio percorso di maturazione.

L’indagine è stata condotta coinvolgendo 36 enti pubblici, tra amministrazioni centrali e locali, attraverso un test di autovalutazione basato su dieci aree considerate fondamentali per valutare il livello di sovranità digitale. L’analisi ha preso in esame aspetti che spaziano dalla governance strategica alla localizzazione dei dati, dal controllo delle chiavi crittografiche fino alla conformità con il nuovo quadro normativo europeo sull’intelligenza artificiale.

Una PA divisa tra enti maturi e amministrazioni ancora in ritardo

L’Osservatorio restituisce l’immagine di una Pubblica Amministrazione che procede a velocità differenti più che lungo un percorso di crescita uniforme. Il 47% del campione, pari a 17 enti su 36, rientra nella fascia definita di “Sovranità avanzata”, dimostrando un livello di preparazione coerente con gli indirizzi europei e nazionali.

La restante parte del campione è invece composta prevalentemente da amministrazioni che hanno già costruito basi solide ma devono ancora colmare alcune lacune strutturali. Questa situazione riguarda il 50% degli enti, cioè 18 amministrazioni. Soltanto un ente presenta criticità diffuse praticamente in tutte le dimensioni analizzate. Nel complesso, il punteggio medio raggiunto dal campione si attesta a 69,3 punti su 100, segnale di un percorso di crescita già avviato ma ancora lontano da una piena maturità.

L’exit strategy resta il principale punto debole

Tra tutti gli aspetti esaminati, quello che desta maggiore preoccupazione riguarda la capacità degli enti di liberarsi dal vincolo con il proprio fornitore tecnologico.

Secondo l’Osservatorio, il 75% delle amministrazioni dispone soltanto di controlli parziali oppure non ne possiede affatto quando si tratta di pianificare il passaggio a un diverso provider cloud senza perdere dati, funzionalità o continuità del servizio. Per l’11% degli enti questa rappresenta addirittura una criticità aperta.

Il dato assume particolare rilevanza perché interessa anche amministrazioni considerate già mature dal punto di vista della sovranità digitale. Questo significa che la pianificazione della portabilità continua a essere percepita come un tema secondario rispetto alla sicurezza informatica o agli adempimenti di compliance, nonostante rappresenti uno dei principali fattori di rischio rispetto al cosiddetto vendor lock-in, cioè la dipendenza tecnologica da un unico fornitore nel medio e lungo periodo.

Il controllo delle chiavi di cifratura è la vulnerabilità più grave

Se l’assenza di una exit strategy è la criticità più diffusa, la gestione delle chiavi di cifratura rappresenta invece il problema più serio sotto il profilo della sicurezza.

Quasi un ente su cinque, pari al 19% del campione, individua infatti questa dimensione come una criticità aperta, la percentuale più elevata tra tutte le dieci aree analizzate.

L’Osservatorio sottolinea come la semplice collocazione dei dati sul territorio nazionale non sia sufficiente a garantire una reale sovranità digitale. Se il controllo delle chiavi crittografiche rimane nelle mani di soggetti terzi, anche un’infrastruttura ospitata in Italia continua a essere potenzialmente esposta a controlli esterni.

Le due problematiche risultano inoltre strettamente collegate. Nel 58% degli enti esaminati, pari a 21 amministrazioni su 36, le carenze relative all’exit strategy coincidono con quelle riguardanti la gestione delle chiavi di cifratura. Una correlazione che, secondo gli analisti, deriva dalla stessa impostazione architetturale adottata nei sistemi digitali.

AI Governance e qualità dei dati: il prossimo banco di prova

Anche la governance dell’intelligenza artificiale evidenzia una situazione fortemente polarizzata.

Più della metà degli enti, il 56%, ritiene di essere già conforme ai requisiti richiesti, mentre il 17% considera questo ambito una criticità aperta. Si tratta del secondo valore più elevato registrato dall’indagine dopo quello relativo alle chiavi di cifratura.

L’entrata in vigore graduale degli obblighi previsti dall’EU AI Act potrebbe accentuare ulteriormente questo divario, ampliando la distanza tra le amministrazioni che hanno già predisposto modelli di governance e quelle che devono ancora strutturare procedure adeguate.

L’Osservatorio evidenzia inoltre due aree meno appariscenti ma comunque strategiche. Il 58% degli enti presenta controlli soltanto parziali o assenti nella classificazione dei dati, mentre il 56% mostra ancora margini di miglioramento nell’interoperabilità con la Piattaforma Digitale Nazionale Dati. Si tratta di attività già avviate da molte amministrazioni ma non ancora completate o integrate stabilmente nei processi organizzativi. Secondo Liferay, proprio questi interventi rappresentano oggi quelli con il miglior rapporto tra investimenti richiesti e benefici ottenibili.

Liferay: “La sovranità digitale PA è libertà di scelta”

Commentando i risultati dell’indagine, Matteo Mangiacavalli, Sales Manager di Liferay Italy, sottolinea come il concetto di sovranità digitale vada ben oltre la semplice localizzazione geografica delle informazioni:

“I dati dell’Osservatorio ci dicono che la sovranità digitale non si misura da dove sono fisicamente i dati oggi, ma da quanto un ente è davvero libero di decidere quando cambiare fornitore, come controllare le proprie chiavi di cifratura e governare l’AI che adotta” ha dichiarato Matteo Mangiacavalli, Sales Manager di Liferay Italy. “È significativo che queste lacune emergano anche tra gli enti che si considerano già maturi: significa che la consapevolezza c’è, ma va tradotta in scelte architetturali concrete prima che diventino obblighi normativi da rincorrere in emergenza.”

Le priorità individuate dalla survey

Alla luce delle criticità rilevate, Liferay individua tre interventi che gli enti pubblici dovrebbero affrontare nel breve periodo per rafforzare la propria sovranità digitale.

• La prima raccomandazione riguarda la formalizzazione di una vera exit strategy prima del rinnovo o dell’estensione dei contratti con gli attuali fornitori cloud, introducendo clausole che garantiscano esplicitamente la portabilità dei dati e dei relativi formati.
• Il secondo passaggio consiste nell’effettuare un audit approfondito sulla gestione delle chiavi di cifratura, verificando chi esercita realmente il controllo tecnico e operativo e non limitandosi alle responsabilità indicate formalmente nei contratti.
• Infine, l’Osservatorio invita le amministrazioni ad anticipare gli obblighi previsti dall’EU AI Act predisponendo, prima dell’adozione di strumenti basati sull’intelligenza artificiale generativa, un framework di governance che assicuri supervisione umana, tracciabilità delle decisioni e sistemi di audit.

L’Osservatorio Liferay sulla Sovranità digitale nella PA: un monitoraggio destinato a proseguire

L’edizione 2026 dell’Osservatorio rappresenta soltanto il primo passo di un’attività destinata a proseguire nel tempo. La survey rimarrà infatti aperta e continuerà a raccogliere nuove adesioni attraverso gli eventi e le iniziative organizzate da Liferay dedicate alla Pubblica Amministrazione.

L’obiettivo è costruire un osservatorio permanente capace di monitorare l’evoluzione della sovranità digitale negli enti italiani, offrendo un quadro sempre più rappresentativo nel corso dei prossimi due anni. Un periodo che sarà particolarmente significativo per effetto della progressiva applicazione dell’EU AI Act, dello sviluppo del Cloud Nazionale e del consolidamento del Polo Strategico Nazionale.

Consulta QUI il report completo dell’Osservatorio di Liferay Italia, comprensivo dell’analisi delle dieci dimensioni valutate e delle raccomandazioni operative rivolte agli enti pubblici.