Solo dieci anni fa, la sovranità digitale era ben lontana dall’essere una priorità assoluta, per le nazioni come per le istituzioni finanziarie. Nella maggior parte dei casi, anzi, non era nemmeno un argomento di conversazione rilevante. La globalizzazione delle supply chain nel settore bancario era la norma per quasi tutte le categorie di procurement, la scelta di dove e cosa esternalizzare dipendeva semplicemente dal poter acquistare il miglior prodotto o servizio possibile al miglior prezzo possibile, condizionati solo da regolamenti, sanzioni e altri rischi operativi.
Tra gli esempi di supply chain globale, possiamo citare quelli che si appoggiano a hyperscaler statunitensi, gli stessi che utilizzano chip prodotti a Taiwan, la produzione di chip taiwanesi che si avvale di litografie dei Paesi Bassi basate su ottiche avanzate di un’azienda tedesca.
Ma il mondo è cambiato: il COVID e le nuove dinamiche geopolitiche hanno modificato drasticamente questo scenario. Oggi molte banche, assicurazioni e istituzioni finanziarie vogliono disporre di un controllo più autonomo – se non completo – del proprio perimetro tecnologia e operativo. A volte questa scelta è guidata dalla strategia dell’organizzazione, ma in altri casi è imposta dai regolatori dato che il ruolo delle banche nell’economia e nella società ne eleva la criticità ben oltre la loro performance di business.
Di conseguenza, si è passati dalla “globalizzazione by design” alla “regionalizzazione o localizzazione ovunque possibile”: si tratta di un cambiamento che richiederà anni per essere attuato.
Cos’è la sovranità digitale?
Secondo il World Economic Forum, la sovranità digitale dei paesi si riferisce alla loro capacità di controllare il proprio destino digitale: i dati, l’hardware e il software su cui fanno affidamento e che creano. Per esclusione, significa anche che nessuno, al di fuori della governance del paese, può avere il controllo sui suoi dati, hardware e software, nessuno può accedere alla sua tecnologia o spegnere i suoi sistemi senza consenso, e nessuno può aggirare le sue normative. Il paese, quindi, non dipende dalla volontà di terze parti poiché non è tecnicamente possibile per nessuno prendere il controllo di qualsiasi parte critica della sua tecnologia, operatività e dati.
Applicando questo concetto a livello di organizzazione bancaria, vale la pena sottolineare che la sovranità non riguarda solo la residenza dei dati (tema presente da anni), ma anche il controllo di hardware, software e operation da cui le banche dipendono, e persino la governance di quei vendor critici per l’attività di una banca. L’obiettivo finale è mitigare e governare meglio, i rischi potenzialmente provocati dalle decisioni altrui – come nel caso di un vendor che operi in un paese con normative diverse – o anche da interruzioni sistemiche o ripetitive che hanno origine in altri paesi.
Secondo Red Hat, esistono 4 livelli di sovranità digitale:
- Sovranità dei dati: Data center situati nel paese o nella regione (es. UE).
- Sovranità tecnica: Utilizzo di standard aperti e open source.
- Sovranità operativa: Supporto sovrano certificato, per l’Unione Europea e per chiunque preferisca questa scelta.
- Sovranità di assurance: Software open source verificabile, software bill of materials (SBOM) e build riproducibili.
Il ruolo dell’open source a supporto della sovranità digitale
Il software proprietario è controllato dalle aziende che lo sviluppano e distribuiscono, e i clienti hanno su di esso una capacità di governance molto limitata. E nonostante molte aziende di software operino a livello internazionale e in piena conformità con le normative locali attraverso sussidiarie, la loro governance interna spesso le obbliga ad aderire alla regolamentazione e alle linee guida della casa madre. Un esempio emblematico è il U.S. Cloud Act (Clarifying Lawful Overseas Use of Data Act), approvato nel 2018, che ha implicazioni significative sulla residenza e il transito dei dati bancari. Questa legge federale statunitense consente alle forze dell’ordine americane di obbligare le aziende tecnologiche con sede negli Stati Uniti a divulgare dati elettronici anche se archiviati al di fuori degli Stati Uniti. Questa situazione ha spinto molte banche a rivedere le proprie strategie di archiviazione e transito dei dati in conformità con specifiche normative di protezione dei dati, ad esempio il Regolamento Generale sulla Protezione dei Dati (GDPR) dell’UE.
Al contrario, il software open source è creato da community globali e sviluppato da individui e aziende che possono essere situati ovunque nel mondo.
Le 4 libertà dell’open source:
- Uso: Nessuna restrizione su chi può usarlo, dove può essere usato e per quale scopo.
- Studio: Possibilità di leggere e comprendere il codice sorgente.
- Modifica: Capacità di modificare il codice sorgente, fare fork del progetto.
- Condivisione: Libertà di distribuire il codice sorgente (non modificato o modificato) e gli artefatti binari.
Nessun governo o regolamento può costringere queste community a inserire meccanismi indesiderati in grado di bypassare i controlli dell’utente (backdoor, kill switch, geofence, ecc.), o in qualsiasi modo influenzare o limitare l’uso del codice, perché quest’ultimo è disponibile per l’esame da parte di chiunque in qualsiasi momento.
Due sono le caratteristiche intrinseche del software open source particolarmente adatte alla sovranità digitale:
Autonomia: il software è realizzato da sviluppatori che possono trovarsi ovunque nel mondo e non esiste un paese o un’organizzazione autorizzata a rivendicarne la proprietà intellettuale o la governance, o che possa bloccare applicazioni che lo utilizzino.
Trasparenza: l’open source offre la trasparenza che manca alle soluzioni proprietarie. Ogni riga di codice può essere ispezionata e sottoposta a audit, non solo dall’organizzazione che lo utilizza, ma anche dalle community di sviluppatori. I sistemi di gestione distribuita del codice sorgente più comunemente utilizzati nei progetti open source, come Git, forniscono change log, e tutte le modifiche sono tracciate digitalmente. Questa trasparenza intrinseca favorisce pratiche di sicurezza robuste, facilita la conformità normativa, costruisce fiducia e snellisce i processi di audit.
Hybrid multicloud per flessibilità e resilienza
Una delle principali preoccupazioni in materia di sovranità è la dipendenza da un insieme ristretto di provider di infrastruttura, molti con sede in un singolo paese. Questo è particolarmente vero nel panorama dei cloud service provider, dove di fatto 3 aziende controllano quasi il 65% della quota di mercato globale. Ancora prima dell’ascesa della sovranità digitale, questa concentrazione di rischio era sotto i riflettori di alcune normative, come il Digital Operational Resilience Act (DORA) dell’UE.
Molte banche hanno optato per una piattaforma hybrid multicloud che assicura controllo e scelta con un approccio flessibile e aperto e permette loro di selezionare i servizi cloud da utilizzare, oltre a sfruttare l’innovazione, la velocità e la flessibilità che i servizi cloud native hanno da offrire.
Sbloccare il futuro con l’AI sovrana
Nel panorama AI le alternative di modelli sono numerose – da quelli predittivi che esistono da anni, agli LLM di AI generativa emersi più recentemente – con annunci di nuove innovazioni che vengono rese disponibili quasi ogni settimana.
I modelli di AI generativa (gen AI) hanno una varietà di dimensioni, opzioni di hosting, gradi di apertura, e presentano vantaggi e svantaggi a seconda del caso d’uso. Questo aspetto è particolarmente importante per il settore bancario, poiché i dati dei clienti devono essere protetti e le normative influenzano l’uso delle tecnologie disponibili.
Ci sono 3 dimensioni che determinano se un’AI è fit-for-purpose:
Trasparenza: Per i casi d’uso bancari che prenderanno decisioni o interagiranno con i clienti al momento dell’inferenza, è fondamentale comprendere come funzioni il modello e quali dati siano stati utilizzati per l’addestramento. Questo aspetto è essenziale perché le allucinazioni dell’AI possono avere implicazioni normative, di business e reputazionali significative.
Sovranità tecnologica e operativa: Nessuno al di fuori della governance della banca o del suo supervisore dovrebbe essere in grado di spegnere servizi critici al momento dell’inferenza. Questo requisito significa che i modelli non dovrebbero essere ospitati al di fuori del controllo delle banche.
Dati dei clienti: Le normative rendono le banche interamente responsabili della riservatezza dei dati dei clienti, quindi devono essere in grado di garantire che siano protetti. Anche se alcuni modelli di AI affermano contrattualmente che non utilizzeranno i dati dei clienti, la possibilità di una potenziale violazione significa che – per alcuni casi d’uso – sia preferibile utilizzare modelli che sono più vicini ai dati dei clienti.
La nostra visione è che le banche utilizzeranno diversi modelli AI, infrastrutture e acceleratori hardware, a seconda delle necessità. Crediamo inoltre che questa piattaforma AI sarà strettamente integrata con le altre piattaforme applicative, che condividerà processi e strumenti per gestire in modo più efficiente i servizi tecnologici delle banche e assicurerà loro la flessibilità necessaria per affrontare i requisiti di sovranità digitale in evoluzione.
Di Marco Betti, Associate Principal Account Solution Architect, Red Hat
