La sovranità digitale nel Wealth Management non si ferma al cloud
Friedhelm Schmitt
La sovranità digitale nel Wealth Management non si decide in base alla localizzazione del data center, bensì alla domanda su chi mantenga il controllo dei dati, della tecnologia e della logica di consulenza. Un recente whitepaper sulla sovranità digitale nel settore finanziario sintetizza perfettamente questo cambiamento. Friedhelm A. Schmitt, CEO e Co-Founder di fincite, spiega cosa significa tutto questo per le banche e i gestori patrimoniali.
Cosa significa sovranità digitale?
La sovranità digitale non è autarchia, ma la capacità di gestire in modo autonomo le catene del valore e di fornitura digitali, nonostante le dipendenze esistenti. Lo studio (KPMG, 2026) la definisce esplicitamente come un principio di leadership e di architettura, non come un prodotto pronto per il mercato. Di conseguenza, un'etichetta "Sovereign" su un cloud non crea ancora di per sé sovranità.
L'indagine distingue quattro dimensioni: sovranità infrastrutturale e operativa, sovranità tecnologica, sovranità dei dati e sovranità di governance. La cybersecurity funge da funzione trasversale in tutte e quattro le dimensioni. Se si perde il controllo in una dimensione, si creano dipendenze sistemiche che, sotto la pressione normativa o geopolitica, possono diventare una questione di sopravvivenza.
Il messaggio chiave dello studio è semplice: la sovranità non si può comprare, bisogna saperla esercitare.
Perché la localizzazione del cloud non è sufficiente?
La localizzazione di un data center non è una prova di sovranità giuridica. Leggi extraterritoriali come l'US CLOUD Act e il FISA §702 consentono alle autorità di accedere anche ai dati fisicamente situati all'interno dell'UE, in particolare in caso di riferimento a soggetti statunitensi o di instradamento (routing) negli Stati Uniti. La Data Residency risponde a dove si trovano i dati. Non risponde a chi può essere obbligato a consegnarli.
Lo studio mette a confronto due approcci che sulla carta sembrano quasi identici:
„Compliance First": hosting nell'UE, con chiavi gestite dal fornitore e un rassicurante server all'interno dell'UE.
„Competence First": l'istituto detiene le proprie chiavi crittografiche con cui i dati vengono cifrati e decifrati, ad esempio tramite Confidential Computing e Hold Your Own Key, e rimane effettivamente in grado di agire.
La differenza decisiva sta proprio qui: chi detiene le chiavi controlla l'accesso. Se queste sono in mano al fornitore, anche la localizzazione nell'UE serve a poco. Di conseguenza, solo il secondo approccio è sovrano. Un istituto può essere interamente ospitato nell'UE e strutturato correttamente dal punto di vista contrattuale, eppure non avere un controllo reale sui propri dati.
Dove risiede la vera dipendenza nella gestione patrimoniale?
Su questo punto Friedhelm A. Schmitt fa un passo avanti rispetto allo studio. Questo indica la sovranità di governance come quarta dimensione, ossia la questione di chi decide quali dati confluiscono in una decisione e chi verifica se una raccomandazione rimane comprensibile. Applicato al wealth management, questo non è più un mero problema IT, ma una questione di responsabilità della consulenza nei confronti del cliente.
Dal suo punto di vista, la vera scatola nera non è la localizzazione del server, ma la logica con cui i dati dei clienti vengono trasformati in una raccomandazione di investimento. Se questa logica di consulenza è distribuita su sistemi frammentati e proprietari che solo un fornitore può modificare, la questione della sovranità non è risolta, ma solo rimandata.
Dalla logica di consulenza alla regolamentazione
Per la scelta del sistema ne consegue un requisito chiaro: un'architettura modulare e intercambiabile anziché una piattaforma monolitica. Si raccomanda il controllo sulle interfacce, standard aperti e la rinuncia a soluzioni "scatola nera", in modo che i singoli componenti possano essere sostituiti senza interrompere l'attività operativa.
Il regolamento DORA inasprisce questo aspetto. Ai sensi dell'articolo 28, non richiede solo clausole contrattuali di recesso, ma strategie di uscita testate per i servizi TIC critici. Un istituto la cui logica di consulenza non sia portabile non sarà in grado di fornire questa prova in caso di emergenza. Dal punto di vista di Friedhelm A. Schmitt, questo requisito si sta progressivamente avvicinando al livello di consulenza stesso, e non solo all'infrastruttura sottostante.
Con fincite • cios, fincite sviluppa un software di Wealth Management modulare che è API-first e compatibile con i sistemi bancari core esistenti. Ciò consente di modificare in modo indipendente componenti come l'onboarding, la costruzione del portafoglio o la reportistica, qualora un fornitore non sia più idoneo o lo richieda un requisito normativo.
FAQ
Cosa significa sovranità digitale nel Wealth Management?
La sovranità digitale nel Wealth Management è la capacità di una banca di mantenere il controllo su dati, tecnologia e logica di consulenza. È un principio di leadership e di architettura, non un prodotto, e non si decide in base alla localizzazione del data center.
Perché un data center nell'UE non è sufficiente per la sovranità digitale?
Una localizzazione nell'UE non protegge dall'accesso extraterritoriale. Ai sensi dell'US CLOUD Act e del FISA §702, i fornitori statunitensi possono essere obbligati a consegnare i dati, anche se questi si trovano nell'UE. Gli elementi decisivi sono la sovranità delle chiavi e il controllo tecnico, non la sola Data Residency.
Cosa richiede il DORA in merito alle strategie di uscita (exit strategy)?
Ai sensi dell'articolo 28, il DORA richiede strategie di uscita testate per i servizi TIC critici, non solo clausole contrattuali di recesso. Gli istituti devono essere in grado di dimostrare di rimanere operativi in caso di interruzione del servizio o di cambio del fornitore.
Conclusione: la sovranità è una questione di logica di consulenza
La sovranità digitale nel Wealth Management non si decide in base alla localizzazione dei server, ma al controllo sulla logica di consulenza. Lo studio (KPMG, 2026) dimostra che la sovranità è un principio di leadership e di architettura e che la sola Data Residency non protegge dal CLOUD Act e dal FISA. Il regolamento DORA rende già oggi obbligatoria una capacità di uscita testata. Gli istituti che non hanno strutturato la propria logica di consulenza in modo modulare e portabile avranno grandi difficoltà a fornire questa prova in caso di emergenza.
