Nicolas Guillou è francese e fa il giudice alla Corte Penale Internazionale dell’Aia: per mestiere decide chi ha violato la legge e chi no. Una sera di fine estate, davanti al portatile, non riesce a comprare un biglietto aereo.
Carta rifiutata. Ne prova un’altra: rifiutata anche quella. Pensa a un blocco antifrode di quelli che scattano per niente, e apre il sito che usa da anni per prenotare gli alloggi. Account sospeso. Ne prova un altro, stessa risposta. Nel giro di una notte, senza che nessuno gli abbia notificato niente, la sua vita digitale si spegne una luce alla volta.
Cosa è successo davvero all’Aia
Nell’agosto del 2025 Guillou è finito su una lista di sanzioni americane, e la sua vicenda l’ha raccontata lui stesso in un’intervista, insieme ai colleghi che avevano firmato con lui il mandato d’arresto della Corte nei confronti del primo ministro israeliano Benjamin Netanyahu. A Washington quel mandato non era piaciuto.
La sua banca è europea, ma la carta era una Visa, e Visa è una società americana. Per continuare a lavorare con i circuiti di pagamento statunitensi una banca deve rispettare le liste di Washington, altrimenti rischia di restarne fuori a sua volta. Così la carta è stata cancellata, senza che nessuno in Europa avesse deciso niente. Stesso meccanismo con Amazon e con Booking.com.
E c’è un dettaglio che allarga il cerchio: alcune banche, per non rischiare, vanno oltre quello che la sanzione impone e bloccano in automatico tutto ciò che sfiora la persona colpita. Sono stati rifiutati anche i bonifici di suoi colleghi, che sanzionati non erano.
Chi decide e chi esegue
La parte da guardare non è la politica, è il meccanismo. Da una parte dell’oceano qualcuno prende una decisione. Dall’altra, una serie di aziende private la eseguono, perché rispondono a una legge che non è la nostra. È successo anche al procuratore capo della Corte, il britannico Karim Khan: conti chiusi, visto revocato, e la casella di posta istituzionale disattivata da Microsoft. Il seguito dice più del fatto: Khan è passato a un fornitore svizzero, e la Corte ha cominciato a portare la propria posta fuori da Microsoft.
Ed è questo il cuore di tutto: quelle persone non sono state punite da un tribunale, sono state punite da un servizio. E un servizio risponde a chi lo possiede, non a chi lo usa. Finché funziona tutto, la differenza non si vede. Si vede nel momento sbagliato.
Questa, in due parole, è la sovranità digitale: sapere sotto quale proprietà e sotto quale legge stanno gli strumenti da cui dipende il tuo lavoro. Non è un tema da convegni: è la domanda su quanto a lungo la tua azienda riesce a lavorare se qualcun altro cambia idea.
Non serve una sanzione
La sanzione, qui, non ha creato niente: ha solo reso visibile una cosa che era già vera il giorno prima, e cioè che quei servizi non erano suoi.
La stessa condizione, in un’azienda italiana di cinquanta o cento persone, non ha bisogno di un decreto americano per farsi sentire. Basta il giorno in cui decidi di andartene e scopri che portare via dieci anni di posta è una migrazione da mettere in preventivo, non una cosa da un pomeriggio.
Non è una preoccupazione da bar: il 3 giugno 2026 la Commissione Europea ha presentato il suo pacchetto per la sovranità tecnologica, e dentro c’è un numero che vale la pena tenersi. Quasi il settanta per cento del mercato europeo del cloud è in mano a società statunitensi, e l’Europa dipende da fornitori non europei per circa l’ottanta per cento dei prodotti digitali che usa. Di quel pacchetto, per ora, non c’è niente di obbligatorio. Ma quando un continente mette una cosa fra i rischi da gestire, ha smesso di considerarla teorica.
Tre domande per lunedì mattina
Una precisazione, perché il rischio di essere fraintesi è alto: la sovranità digitale non è preferire l’italiano all’americano. Le soluzioni migliori spesso vengono da fuori, e cambiare per principio è un errore quanto non cambiare mai.
Un criterio però vale per tutte e tre le domande, ed è quello che quasi nessuno applica: conta più chi possiede il servizio che il paese in cui tiene i dati. Un fornitore statunitense risponde alla legge americana anche quando i dati stanno in un data center in Irlanda. “I miei dati sono in Europa” non chiude la questione: la chiude “il fornitore è europeo e anche i dati sono in Europa”. È esattamente quello che è successo a Guillou: la sua banca era europea, ma il circuito della carta no, e ha deciso il circuito.
La posta. Chi è il fornitore delle tue caselle, di quale paese è, e in quale paese le tiene? E il dominio, quello che sta dopo la chiocciola, è intestato alla tua azienda o al fornitore? Intestato a te, con le credenziali del pannello in mano tua, vuol dire che la posta la puoi spostare senza far cambiare indirizzo a cento persone. Intestato al fornitore, la tua rubrica in un certo senso è sua. Per verificarlo la ricerca pubblica serve a poco, perché su gran parte dei domini i dati di registrazione sono oscurati per privacy. La strada breve è un’altra: chiedi al fornitore le credenziali del pannello di gestione del dominio. Se te le consegna, il dominio è tuo nei fatti. Se la richiesta si perde per strada, hai già la risposta.
I file. Non il file server in sala macchine, che è tuo e la risposta ce l’hai già. Il punto sono le cartelle condivise nate per comodità, quelle su cui la gente ha cominciato a lavorare senza che lo decidesse nessuno. Quasi sempre stanno sullo stesso cloud della posta, e il problema non è che siano lì, è che sia tutto nello stesso posto. Vale la pena farne l’elenco una volta, perché quasi nessuno sa dire quante sono.
I backup. Le copie stanno da un fornitore diverso da quello dei dati, o nello stesso posto? La risposta è buona quando i due proprietari sono diversi, perché se coincidono non hai un backup, hai una seconda cartella dello stesso padrone. Vale soprattutto con Microsoft 365 o Google Workspace: lì la posta c’è finché c’è il contratto, e se nessuno ha attivato un backup esterno le copie stanno dallo stesso padrone degli originali. I servizi di terze parti che lo fanno esistono, e costano poco: il punto è sapere se ce l’avete. Altrimenti non è ridondanza, è un solo punto di rottura.
La domanda che ti farà il tuo capo
E adesso la parte scomoda, che è poi il motivo per cui quelle tre domande vale la pena farsele davvero.
Non serve immaginare un blackout continentale: sarebbe un problema di tutti, e un problema di tutti non è mai colpa di nessuno. Basta una cosa molto più piccola e molto più probabile. Il fornitore della posta viene comprato, o al rinnovo il piano su cui state non esiste più, o un servizio viene dismesso con sei mesi di preavviso. Hai quei sei mesi per spostare tutto, e in quei sei mesi scopri quanto eri legato: a chi è intestato il dominio, dove sono davvero le copie, quante cose passano da lì senza che nessuno se lo ricordi. A Guillou è capitato per una lista di sanzioni, a te può capitare per una riga in un contratto. Quello che ti lascia senza è lo stesso: la decisione non era tua.
Quella mattina il tuo amministratore delegato non ti chiederà se i dati erano cifrati, né in quale data center stavano. Ti farà una domanda sola: sei stato tu a scegliere di mettere tutto lì?
Ci sono due modi di rispondere. Il primo è “sì”. Il secondo è “sì, e nel 2026 abbiamo guardato che alternative c’erano, per queste ragioni abbiamo deciso di restare, e intanto ci siamo intestati il dominio e abbiamo portato le copie da un’altra parte”. È la stessa decisione, ma non è la stessa mattina.
Non serve essere un giudice sanzionato per ritrovarsi con le carte bloccate. Basta aver costruito tutto il tuo lavoro dietro una porta di cui non hai la chiave.
Se la seconda risposta non ce l’hai ancora, parliamone.
🧩 Kaos Informatica ti può aiutare
Se vuoi, Kaos Informatica può aiutare la tua azienda a:
✅ Verificare a chi è intestato il dominio della vostra azienda
✅ Separare le copie di sicurezza dagli originali
✅ Progettare la posta aziendale su infrastruttura europea
Contattaci e parliamone insieme
