Durante ForumPA 2026, l’evento di riferimento per l’innovazione nella Pubblica Amministrazione italiana, Liferay ha condotto un Osservatorio sulla sovranità digitale coinvolgendo 36 enti pubblici (della PA italiana tra amministrazioni centrali e locali) attraverso un test di autovalutazione su 10 dimensioni chiave: dalla governance strategica alla residenza dei dati, dal controllo delle chiavi di cifratura alla conformità all’EU AI Act.
Il quadro che emerge è quello di una PA polarizzata più che in progressione lineare: il 47% degli enti (17 su 36) si colloca nella fascia “Sovranità avanzata”, con una postura in linea con le direttive nazionali ed europee; un’altra metà, pari al 50% (18 enti), si trova in una fascia intermedia, con basi solide ma con lacune strutturali ancora da sanare; solo un ente su 36 mostra un’esposizione critica su quasi tutte le dimensioni analizzate. Il punteggio medio del campione è 69,3 su 100.
L’exit strategy, il punto cieco più diffuso
Il dato più ricorrente riguarda la capacità di cambiare fornitore tecnologico senza perdere dati, funzionalità o continuità del servizio: il 75% degli enti del campione ha controlli solo parziali o del tutto assenti su questo fronte, e per l’11% si tratta di un’area di criticità aperta. Un gap che attraversa anche gli enti più maturi: secondo l’Osservatorio, anche amministrazioni collocate nella fascia “Sovranità avanzata” mostrano lacune su questo specifico punto, segno che la pianificazione della portabilità viene ancora trattata come un tema secondario rispetto alla sicurezza o alla compliance immediata, pur rappresentando il principale fattore di rischio di vendor lock-in nel medio periodo.
Le chiavi di cifratura: la criticità più severa
Se l’exit strategy è la lacuna più diffusa, la gestione delle chiavi di cifratura è quella più grave in termini assoluti: il 19% degli enti (quasi 1 su 5) la indica come area di criticità aperta, il tasso più alto registrato tra le 10 dimensioni analizzate. Un dato rilevante perché, sottolinea l’Osservatorio, anche un’infrastruttura formalmente residente sul territorio nazionale resta esposta, di fatto, a un controllo terzo se l’ente non detiene il controllo diretto delle chiavi crittografiche.
Le due criticità, peraltro, tendono a presentarsi insieme; il 58% degli enti della PA italiana del campione (21 su 36) mostra lacune contemporaneamente su exit strategy e chiavi di cifratura, a conferma che entrambe le dimensioni dipendono dalla stessa scelta architetturale di fondo.
AI Governance: una polarizzazione destinata ad ampliarsi
Tra le dimensioni analizzate, l’AI Governance mostra il pattern più polarizzato: il 56% degli enti la considera già conforme, ma il 17% la indica come criticità aperta, il secondo tasso più alto dopo le chiavi di cifratura. Con l’entrata in vigore progressiva degli obblighi previsti dall’EU AI Act, questa divaricazione tra enti pronti ed enti in ritardo è destinata ad ampliarsi nei prossimi mesi.
Completano il quadro le lacune “silenti” rilevate su classificazione dei dati (58% di controlli parziali o assenti) e interoperabilità con la Piattaforma Digitale Nazionale Dati (56%). Due aree in cui gli enti hanno avviato il lavoro ma non lo hanno ancora completato o messo a sistema, e che secondo l’Osservatorio, rappresentano le priorità di intervento con il miglior rapporto costo/beneficio.
“I dati dell’Osservatorio ci dicono che la sovranità digitale non si misura da dove sono fisicamente i dati oggi, ma da quanto un ente è davvero libero di decidere quando cambiare fornitore, come controllare le proprie chiavi di cifratura e governare l’AI che adotta” ha dichiarato Matteo Mangiacavalli, Sales Manager di Liferay Italy. “È significativo che queste lacune emergano anche tra gli enti che si considerano già maturi: significa che la consapevolezza c’è, ma va tradotta in scelte architetturali concrete prima che diventino obblighi normativi da rincorrere in emergenza.”
Le raccomandazioni per la PA italiana
Sulla base dei pattern emersi, l’Osservatorio indica tre priorità di intervento a breve termine per gli enti pubblici, indipendentemente dalla fascia di maturità di partenza:
- formalizzare l’exit strategy contrattuale prima di rinnovare o estendere i contratti con i fornitori cloud attuali, includendo clausole esplicite di portabilità dei dati e dei formati;
- effettuare un audit della gestione delle chiavi di cifratura, verificando chi detiene effettivamente il controllo tecnico e operativo, non solo chi ne è formalmente responsabile;
- anticipare la conformità all’UE AI Act strutturando, prima dell’adozione di strumenti AI generativi, un framework di governance con supervisione umana e audit trail.
