Cloud indipendente: il piano d’uscita che le PMI dovrebbero scrivere prima di entrare

La scelta del cloud non è una questione ideologica: è gestione del rischio e del conto economico. Il lock-in spesso non è un incidente di percorso, ma una conseguenza prevedibile del modello di business del fornitore. Per una PMI italiana il punto non è “quale hyperscaler”, ma “quanto mi costa e quanto tempo serve per uscire tra 18 o 36 mesi, quando cambiano prezzi, requisiti di compliance o priorità di business?”.

Chi progetta oggi pensando già a come uscirà domani non compra paranoia: compra flessibilità, negozia da una posizione più forte e dorme meglio il sabato notte del disservizio. Non serve rinunciare al cloud. Serve sapere dove la comodità si trasforma in dipendenza costosa.

1. Non è una crociata: è TCO, tempo e continuità

L’indipendenza dal fornitore non significa diffidare di tutto. Significa riconoscere i segnali di dipendenza prima che diventino vincoli: servizi gestiti proprietari difficilmente sostituibili, costi di egress che scoraggiano la migrazione, configurazioni non esportabili, identità legate a un account chiuso.

Scegliere un database “gestito” è sensato finché l’engine è standard (PostgreSQL, MySQL) e la configurazione è documentata ed esportabile. Lo è meno quando funzioni proprietarie ti incatenano. Stesso discorso per lo storage: un bucket compatibile S3 è utile, ma la vera portabilità sta nei dati cifrati con chiavi sotto il tuo controllo e in un secondo target di replica fuori dal perimetro del fornitore principale.

Il TCO reale comprende ciò che spesso non appare nel preventivo: egress, snapshot a lungo termine, traffico inter-region, retention dei log, supporto premium in emergenza, ore-uomo per rimediare a configurazioni opache. L’economia del managed regge meglio se progetti contestualmente la via d’uscita: infrastruttura come codice davvero portabile, formati aperti, backup testati verso un secondo provider. A proposito di backup, vale la pena ricordare che il backup dei SaaS non esiste finché non lo fai tu: cestino e versioning non sono un piano di ripristino.

2. La normativa non ti chiede il marchio: ti chiede controllo

Le norme europee non impongono un fornitore: chiedono di dimostrare che governi dati, fornitori e continuità.

• NIS2: la direttiva impone alle entità essenziali e importanti misure di gestione del rischio e controlli sui fornitori. Anche se la tua PMI non rientra direttamente nell’ambito di applicazione, in molti casi il requisito arriva “a cascata” attraverso le richieste contrattuali di un cliente regolato. Non serve il timbro di un brand; serve dimostrare di saper governare fornitori, dati e ripristino. Abbiamo approfondito altrove cosa significa davvero la NIS2 per le PMI italiane e le clausole che spesso mancano nei contratti.
• GDPR: l’art. 28 prevede di pattuire con il responsabile del trattamento la restituzione o la cancellazione dei dati a fine servizio; l’art. 32 richiede misure tecniche e organizzative adeguate, backup e ripristino inclusi. Sono leve concrete per chiedere esportabilità, formati leggibili e piani di uscita; la portata pratica va però calibrata sul tipo di trattamento e sul contratto.
• Giurisdizioni extra-UE: dopo la sentenza Schrems II e l’adozione dell’EU–US Data Privacy Framework, il tema dei trasferimenti non è chiuso e va valutato caso per caso, anche alla luce del CLOUD Act statunitense. Questo non vieta i provider globali, ma impone consapevolezza su localizzazione, cifratura, ruoli e trasferimenti. Su questo punto aiuta capire cosa significa davvero “cloud sovrano” e perché, secondo diverse analisi, anche un provider USA con datacenter in Germania può restare astrattamente esposto al CLOUD Act.

La morale: indipendenza significa poter dimostrare “controllo effettivo” su dati e ripristino, più che sventolare un’etichetta.

3. Architettura portabile: scegliere gli strati giusti

Una PMI non ha bisogno di soluzioni esoteriche. Servono scelte sobrie che riducono gli attriti futuri.

• Dati prima di tutto: engine standard (PostgreSQL, MySQL) e formati aperti (Parquet o CSV per il data lake, JSON o Avro per gli eventi). Mettere nel contratto, dove possibile, il diritto a un export completo e documentato.
• Storage e cifratura: gli oggetti compatibili S3 sono diffusi; la differenza la fa la chiave di cifratura in tuo possesso (bring your own key, o meglio chiavi gestite on-prem o via HSM di fiducia) e la replica asincrona verso un secondo provider europeo.
• Identità: SAML o OIDC con un Identity Provider sotto il tuo controllo. Evitare directory proprietarie non federabili; legare le applicazioni a gruppi e ruoli standard, non a utenti locali del provider.
• Deploy: container dove ha senso, senza religione. Kubernetes è utile se il carico lo giustifica; altrimenti possono bastare VM con IaC. Il punto non è la moda: è poter riprodurre l’ambiente su un secondo fornitore con tempi e costi noti.
• Osservabilità: log e metriche in formato portabile, con un endpoint alternativo pronto (anche solo un’istanza dedicata in un secondo datacenter). Niente telemetria chiusa.

L’asse è questo: dati portabili, identità federata, infrastruttura riproducibile, log fuori dalle gabbie.

4. Backup e disaster recovery: sovrani perché verificabili

Le PMI spesso rinviano il DR perché “costa”. Ma spesso costa di più il fermo non pianificato, o pagare egress e consulenza d’emergenza nel mezzo di una crisi. Il DR indipendente non deve essere per forza attivo-attivo: per molte realtà italiane ha senso una combinazione di backup immutabili e standby a freddo o tiepido.

• Obiettivi realistici: un RPO di 4–12 ore e un RTO di 8–24 ore per le applicazioni core sono spesso già una svolta rispetto a “si spera”. Vanno scritti nero su bianco e verificati periodicamente, misurando quanto costa rispettarli.
• Backup immutabili: snapshot a prova di manomissione (WORM/Object Lock) con chiavi sotto il tuo controllo e retention coerente con i tuoi obblighi. Copia offsite presso un secondo provider in Italia o UE. La verifica periodica di ripristino su un ambiente isolato è la prova che conta di più.
• Standby su secondo provider: database secondario promosso on demand, immagini delle VM pronte da avviare, segreti sincronizzati. Il costo tende a essere prevedibile: storage, una finestra di compute per i test periodici, qualche automazione.

La differenza operativa sta nella prova: a intervalli regolari si simula la perdita del sito principale e si misura cosa non funziona. È anche una buona assicurazione contro l’errore umano.

5. Contratti: le clausole che valgono più di uno sconto

Le architetture si rompono sulle clausole mancate. Diverse richieste sono spesso negoziabili con un fornitore, grande o piccolo, se arrivano preparate e motivate da norme e rischio reale. Quanto siano effettivamente negoziabili dipende dal potere contrattuale, dai volumi e dal tipo di servizio.

• Diritto di audit/assurance: poter ricevere evidenze (rapporti di test, pen test, certificazioni aggiornate) e condurre audit documentali. Per i contratti già in essere, valutare al rinnovo un addendum con un diritto di audit proporzionato e un impegno a colmare le lacune di sicurezza e continuità secondo un piano condiviso. È una richiesta ragionevole, perché gli obblighi di sicurezza sulla supply chain si stanno ormai standardizzando: ecco come inserire l’audit ai fornitori al rinnovo senza fermare il business.
• Portabilità dei dati: export completo in formati aperti, configurazioni incluse (policy, ruoli, template infrastrutturali), senza costi punitivi. Prevedere, dove possibile, un “servizio di handover” a tariffa chiara.
• Egress e lock-in economico: tetti massimi ai costi di uscita proporzionati ai volumi, e preavviso minimo sui cambi tariffari che impattano egress o storage di lungo periodo.
• Residenza e giurisdizione: localizzazione primaria in UE, elenco dei subfornitori e delle giurisdizioni coinvolte, notifica in caso di cambiamenti sostanziali. Per i provider extra-UE, misure aggiuntive (cifratura end-to-end, gestione delle chiavi) e impegni sulla contestazione di richieste di accesso incompatibili con il diritto UE.
• Continuità operativa: RPO/RTO contrattuali, finestre di manutenzione dichiarate, tempi di escalation, penali o crediti di servizio legati alla capacità di ripristino.
• Terminazione: restituzione o cancellazione certificata dei dati a fine rapporto (in linea con l’art. 28 GDPR) e supporto alla migrazione per un periodo definito.

Se lo spazio negoziale è limitato, può avere senso scegliere due priorità: portabilità ed egress. Senza queste, gran parte del resto rischia di restare retorica.

6. AI senza catene: modelli, dati e gateway

Integrare funzionalità AI non deve significare cedere il controllo. Tre principi pratici:

• Separare il modello dai dati: prompt, contesti e output stanno nel tuo database; il fornitore AI non dovrebbe diventare il tuo archivio operativo. Questo tende ad aiutare anche la conformità al GDPR, perché governi conservazione e cancellazione.
• Usare un gateway di inferenza: un livello intermedio che ti permette di cambiare modello (proprietario o open source) senza riscrivere l’applicazione. È il corrispettivo AI dell’astrazione infrastrutturale. È la logica alla base dell’enclave AI portabile per le PMI italiane, che tiene i dati in casa o in Europa.
• Scegliere l’ibrido con criterio: modelli chiusi per use case generici a basso rischio, modelli open source o self-hosted per dati sensibili o dove riservatezza e latenza contano. Spesso un modello compatto e specializzato rende meglio di un generalista costoso su un task verticale.

L’AI Act chiarisce ruoli e responsabilità lungo la filiera. Anche senza entrare nella tassonomia, un principio operativo vale già oggi: sapere chi è il “fornitore” e chi il “deployer” del sistema, e conservare evidenze di come è stato configurato e valutato. Informazioni che è bene restino tue, portabili e auditabili. Se hai integrato un chatbot, conviene sapere cosa cambia con l’AI Act ad agosto 2026.

7. Da dove iniziare lunedì: 90 giorni per guadagnare indipendenza

Non serve rifare tutto. Serve impostare basi che non si buttano via.

• Inventario e mappa delle dipendenze: elencare servizi gestiti, dati critici, costi attuali (egress medio mensile incluso), RPO/RTO desiderati. Identificare le dipendenze proprietarie “dure”.
• Secondo provider: selezionare un fornitore alternativo in Italia o UE e attivare uno storage di replica e un ambiente minimo di test. Piccolo, ma vero.
• Backup immutabili e test di restore: impostare il WORM sui dataset critici e provare un ripristino end-to-end su ambiente separato. Documentare tempi e colli di bottiglia.
• IaC e documentazione: catturare l’infrastruttura esistente in codice o template riproducibili; dove non è possibile, scrivere runbook dettagliati. Versionare tutto.
• Clausole al rinnovo: portare al fornitore, insieme a legale e acquisti, una proposta di addendum con portabilità, tetto all’egress e audit proporzionato, ancorando la richiesta a obblighi già noti (artt. 28 e 32 GDPR, pratiche NIS2), e verificando cosa è realmente negoziabile.

Dopo 90 giorni non sarai “sovrano”. Ma avrai con buona probabilità più controllo dei dati, un rischio più basso, più potere negoziale e un numero più chiaro su quanto costa davvero cambiare.

8. Cosa non racconta la slide, ma paga il sabato notte

Il mercato venderà sempre la nuova funzione che semplifica tutto, ed è legittimo: l’innovazione può ridurre la complessità. Ma un conto è semplificare, un altro è nascondere l’attrito finché uscire diventa antieconomico.

L’indipendenza dal cloud è più una postura che un prodotto: progettare dati e identità per restare portabili, pretendere clausole chiare, allenare il ripristino, scegliere partner che capiscono il contesto italiano e parlano la lingua dei tuoi vincoli. Un buon system integrator locale, a misura d’azienda, spesso vale più di un catalogo infinito di servizi che non userai.

Le guide di ENISA sulla sicurezza della supply chain e del cloud per le PMI sono una buona griglia per misurare i progressi — non un alibi per rinviare. NIS2, GDPR e AI Act non chiedono di rinunciare al cloud o all’AI: chiedono di dimostrare controllo. Il resto è esecuzione.

La differenza, alla fine, raramente è il logo sul datasheet. È la tua capacità di scollegarti senza panico quando il contesto cambia. Questo è l’unico “cloud sovrano” che conta davvero per una PMI: quello che puoi lasciare, e riprendere, senza chiedere permesso.