In tutta l'Africa, dalla Nigeria al Kenya e al Sudafrica, i regolatori stanno introducendo norme che richiedono che determinate categorie di informazioni sensibili rimangano entro i confini nazionali, o che impongono condizioni più rigorose per il loro trasferimento all'estero. Questa spinta riflette una preoccupazione più ampia: man mano che i dati diventano sempre più preziosi per l'intelligenza artificiale, i governi vogliono un maggiore controllo sulle informazioni generate dai loro cittadini, dalle imprese e dalle istituzioni pubbliche.

Per i fornitori globali di servizi cloud, ciò crea un mercato difficile da navigare. I sistemi di IA hanno bisogno di accedere a grandi volumi di dati per essere utili, ma gli stessi dati sono sempre più soggetti a norme che stabiliscono dove possano essere archiviati, elaborati e consultati.

Amazon Web Services (AWS) scommette di poter risolvere questa tensione: offrire alle organizzazioni africane l'accesso all'IA e alle infrastrutture cloud globali, permettendo al contempo di mantenere il controllo sui dati sensibili. La strategia sta diventando centrale nella proposta di AWS alle imprese africane. Invece di considerare la sovranità dei dati un ostacolo all'adozione del cloud, l'azienda la presenta come un elemento che può essere integrato nell'architettura dei servizi cloud.

Il costo di tenere i dati vicini

La localizzazione, tuttavia, ha dei costi. Mantenere i dati nel paese può ridurre la latenza a meno di 15 millisecondi, un vantaggio prezioso per servizi in tempo reale come il banking e i pagamenti. Tuttavia, l'hosting locale può risultare anche più costoso, in particolare nei mercati in cui forniture elettriche inaffidabili obbligano i data center a dipendere da costosi sistemi di generazione di backup. Le aziende soggette a norme di localizzazione rigorose potrebbero inoltre aver bisogno di configurazioni ibride — mantenendo i dati sensibili a livello locale e accedendo agli strumenti di IA e ad altri servizi da infrastrutture all'estero — il che accresce i costi di infrastruttura e di licenza.

La complessità si accentua per le imprese che operano nei 54 mercati africani. Le diverse norme previste dall'NDPA della Nigeria, dalla POPIA del Sudafrica e dal Data Protection Act del Kenya possono richiedere alle aziende di gestire requisiti di conformità e di rischio distinti in ciascun mercato. Tutte e tre le leggi attingono in larga misura al GDPR europeo, che dal 2018 funge da modello globale per la protezione dei dati — ma ciascuna vi aggiunge requisiti di localizzazione che vanno oltre, trasformando un comune patrimonio giuridico in obblighi pratici divergenti. L'utilizzo di prodotti cloud sovrani come AWS Outposts o Azure Local può inoltre accrescere la dipendenza dalle piattaforme e dalle API dei principali fornitori cloud.

«Rispettare le leggi»

All'AWS Summit di Johannesburg del 19 agosto, Jonathan Allen, executive in residence di AWS, ha dichiarato che l'azienda è concentrata sul rispetto delle leggi dei più di 100 paesi in cui opera e sull'adattamento delle proprie infrastrutture per soddisfare i requisiti locali.

«Siamo sempre concentrati sul rispetto delle leggi dei paesi in cui operiamo», ha dichiarato Allen.

Può sembrare un impegno normativo semplice, ma riflette una trasformazione più ampia del mercato cloud. I governi non chiedono più soltanto se i fornitori cloud possano mettere in sicurezza i loro dati; vogliono sempre più controllo su dove i dati siano archiviati, chi possa accedervi, quali leggi si applichino e come siano gestiti.

La Nigeria è uno degli esempi più lampanti. La Banca Centrale della Nigeria ha introdotto requisiti di localizzazione dei dati e di vigilanza sul mercato per il settore dei pagamenti, esercitando maggiore pressione sulle istituzioni finanziarie affinché dimostrino di avere il controllo su come i dati sensibili siano archiviati e gestiti.

La stessa spinta sta prendendo forma in altri importanti mercati africani, sebbene le norme differiscano:

• Il Sudafrica ha sollecitato un maggiore controllo locale sui dati strategici del governo e dei servizi pubblici attraverso la propria National Policy on Data and Cloud, mentre la POPIA impone condizioni al trasferimento transfrontaliero delle informazioni personali.
• Il Kenya ha adottato un approccio più mirato, richiedendo che determinati dati sensibili, inclusi i registri di stato civile, siano elaborati o conservati a livello locale e imponendo garanzie sui trasferimenti transfrontalieri.
• Il Ruanda è andato oltre nei settori critici, con requisiti di localizzazione che riguardano i dati sensibili finanziari, di pagamento e delle telecomunicazioni.

Nel complesso, queste politiche indicano una trasformazione più ampia: i governi africani vedono sempre più i dati come infrastruttura strategica anziché come semplice asset aziendale, e cercano un maggiore controllo su come vengono archiviati, elaborati e trasferiti. Ciò rende la sovranità dei dati una parte sempre più importante dell'ambiente operativo per le aziende tecnologiche del continente.

L'approccio «sovereign-by-design» di AWS

Per AWS, la risposta è un approccio che definisce «sovereign-by-design» (sovrano per progettazione). L'azienda afferma che la propria infrastruttura cloud offre ai clienti maggiore controllo su dove i loro dati siano archiviati ed elaborati, su come siano crittografati e su chi possa accedere alle informazioni sensibili.

L'infrastruttura di AWS include Local Zones e Outposts, mentre il suo Nitro System garantisce un isolamento hardware per i carichi di lavoro in esecuzione su Amazon EC2. I clienti possono inoltre utilizzare chiavi di crittografia gestite dal cliente, incluse opzioni che mantengono il materiale crittografico fuori dal controllo di AWS.

Il significato non sta semplicemente nel fatto che AWS abbia aggiunto più funzionalità di sicurezza. Sta nel tentativo dell'azienda di separare l'utilizzo dell'infrastruttura cloud globale dalla rinuncia al controllo dei dati — una distinzione che conta man mano che l'IA si integra nelle operazioni aziendali quotidiane.

Fred Kitunga, chief information officer di Kenya Airways, sta osservando questa trasformazione in prima persona. La compagnia aerea guarda sempre più all'IA e ai dati non come progetti IT isolati, ma come strumenti per prendere migliori decisioni aziendali — dal calcolo della redditività dei voli alla comprensione dei clienti fino alla risposta alle minacce informatiche.

«Stiamo esaminando come trasformare l'azienda in termini di intento strategico», ha raccontato Kitunga a TechCabal ai margini dell'AWS Summit. «Non guardiamo a quali tecnologie possiamo implementare, ma a quali problemi di business vanno così risolti.»

Questo approccio richiede l'accesso a dati organizzativi affidabili. Ma Kenya Airways opera oltre confine, con clienti e attività distribuiti su più giurisdizioni. Kitunga ha detto che la compagnia si affida quindi a standard internazionali di protezione dei dati, mantenendo al contempo una politica a livello di consiglio di amministrazione che disciplina dati e IA.

«Ci appoggiamo soprattutto agli standard globali del GDPR esistenti», ha affermato.

Le sue parole illustrano perché il dibattito sulla sovranità in Africa sia più complesso della semplice richiesta che tutti i dati rimangano entro i confini nazionali. Per un'azienda multinazionale, la sfida spesso non consiste nel tenere ogni informazione fisicamente in un solo paese, ma nel sapere quali dati siano soggetti a quali regole e nel disporre di controlli tecnici e organizzativi sufficienti per dimostrare la conformità.

È il vuoto che AWS dice di voler colmare. L'azienda vuole convincere le imprese che possono usare la potenza di calcolo e le capacità di IA di un fornitore cloud globale mantenendo il controllo sui carichi di lavoro sensibili. Nel modello di AWS, la sovranità diventa una questione di architettura e governance, anziché di semplice geografia.

Un esame sempre più attento

Questa proposta sarà sottoposta a un esame sempre più attento. Man mano che i sistemi di IA diventano più potenti, i dati che utilizzano assumono maggiore importanza strategica. Registrazioni finanziarie, informazioni identitarie, dati sanitari, banche dati governative e storici dei clienti possono tutti fungere da input per i sistemi di IA. I governi hanno quindi un incentivo più forte a normare non solo il luogo in cui tali informazioni vengono archiviate, ma anche il modo in cui vengono elaborate.

Ciò è particolarmente importante per le istituzioni finanziarie. AWS afferma che la propria infrastruttura cloud è costruita per soddisfare le esigenze di sicurezza e conformità di organizzazioni fortemente regolamentate. L'azienda opera in Nigeria dall'apertura del proprio ufficio a Lagos nel 2022 e ha investito in infrastrutture locali, tra cui una AWS Local Zone. Dichiara inoltre di aver formato più di 180.000 nigeriani nelle competenze cloud dal 2017. Questa spinta locale avviene accanto a un più ampio boom edilizio dei data center in tutto il continente, sebbene l'Africa rappresenti ancora solo una piccola quota della capacità globale dei data center.

Ma una presenza locale non risolve la domanda più grande che i fornitori cloud globali devono affrontare: chi controlla le infrastrutture e i dati che sostengono sempre più le economie nazionali? Man mano che i governi attribuiscono maggiore valore alla sovranità dei dati, le aziende cloud devono offrire ai clienti più controllo su dove i dati siano archiviati, su come vi si acceda e su quali leggi li disciplinino.

Un campo affollato di strategie di sovranità

AWS non è l'unica ad adattarsi a questa trasformazione:

• Microsoft ha costruito la propria strategia di sovranità attorno a diversi modelli, tra cui Sovereign Public Cloud, Sovereign Private Cloud tramite Azure Local e National Partner Cloud. Queste opzioni sono concepite per aiutare governi e imprese a mantenere i carichi di lavoro sensibili entro le giurisdizioni richieste, continuando ad accedere ai più ampi servizi cloud di Microsoft.
• Google Cloud adotta un approccio simile attraverso le offerte Data Boundary e Google Distributed Cloud. I clienti possono controllare le chiavi di crittografia e limitare il luogo in cui i dati sono archiviati o trasferiti, mentre i carichi di lavoro più sensibili possono essere eseguiti su infrastrutture distribuite on-premises o in ambienti isolati.
• Huawei Cloud pone maggiore enfasi su infrastruttura e controllo locali. Il suo modello prevede la distribuzione di infrastrutture cloud dedicate all'interno di un paese, con operazioni e controlli locali che disciplinano archiviazione, registrazione ed eliminazione dei dati. L'obiettivo è mantenere i dati sensibili entro i confini nazionali e soddisfare i requisiti locali di sovranità.
• Oracle ha scelto un'altra strada, consentendo a società di telecomunicazioni, istituzioni finanziarie e governi di gestire ambienti cloud dedicati all'interno delle proprie strutture o tramite partner locali. Queste implementazioni sono concepite per mantenere dati e operazioni cloud entro la giurisdizione richiesta, restando compatibili con il più ampio ecosistema cloud di Oracle.

La competizione è già visibile sul campo. Microsoft opera regioni cloud in Sudafrica dal 2019 e Google ha aperto la propria prima regione cloud africana a Johannesburg nel 2024 — un segnale di quanto rapidamente il continente sia diventato una priorità per gli hyperscaler.

Per AWS, la sfida è rendere il proprio modello cloud globale abbastanza flessibile da accogliere questi diversi requisiti nazionali. Allen ha indicato l'Europa come esempio di regione in cui AWS ha sviluppato infrastrutture cloud su misura per specifiche esigenze di sovranità. Lo stesso approccio potrebbe diventare sempre più importante man mano che i governi africani chiedono maggiore controllo sui dati e sulle infrastrutture che sostengono le loro economie digitali.

«Operiamo in ben oltre 100 paesi diversi in tutto il mondo», ha detto. «Se si guarda all'Europa, ad esempio, abbiamo creato specificamente l'European Sovereign Cloud per rispondere a quelle esigenze specifiche. E continuiamo a valutare tutti i paesi e le aree in cui operiamo nel mondo per affrontare le loro esigenze e preoccupazioni specifiche.»

Sovranità o scala

Esiste qui una tensione. Norme di localizzazione stringenti possono dare ai governi maggiore controllo sulle informazioni sensibili, ma possono anche aumentare il costo dei servizi cloud e rendere più difficile per le imprese accedere alle infrastrutture globali e alle capacità di IA. Regole frammentate in 54 paesi potrebbero inoltre rendere più difficile per le aziende africane scalare prodotti digitali oltre confine. Una certa armonizzazione sta lentamente prendendo forma: la Convenzione di Malabo dell'Unione Africana su cybersecurity e protezione dei dati personali è entrata in vigore nel 2023, e il Protocollo sul Commercio Digitale dell'AfCFTA, adottato nel 2024, mira a facilitare il movimento transfrontaliero dei servizi digitali. Fino a che punto questi quadri continentali modereranno le norme nazionali di localizzazione determinerà in larga misura se l'Africa funzionerà come un unico mercato digitale o come 54 mercati separati.

Per i governi, la sfida è quindi proteggere i dati strategici senza creare un ambiente digitale così restrittivo da limitare l'innovazione.

Per AWS, l'opportunità è dimostrare ai governi che sovranità dei dati e adozione dell'IA non debbano essere obiettivi in competizione. La sua nuova organizzazione Forward Deployed Engineering, sostenuta da un investimento di 1 miliardo di dollari, è concepita per affiancare gli ingegneri AWS ai team aziendali per portare più rapidamente in produzione i progetti di IA. Nei mercati africani fortemente regolamentati, questa proposta conta perché implementare l'IA richiede più di un modello potente: richiede anche una solida governance dei dati, sicurezza e conformità.

Le ambizioni africane in materia di IA dipenderanno dall'accesso su larga scala a potenza di calcolo, dati e infrastrutture. I governi devono quindi proteggere le informazioni sensibili senza rendere i servizi cloud troppo costosi o creare 54 mercati digitali separati. Un approccio pratico sarebbe localizzare i dati davvero sensibili, controllare come si muovono oltre confine e fornire alle organizzazioni strumenti chiari per dimostrare dove e come i loro dati vengono utilizzati.

Per AWS e i suoi rivali, la sovranità sta diventando un vantaggio competitivo, e non solo una questione di conformità. I fornitori che riusciranno a dare alle imprese africane accesso alle capacità di IA globali, soddisfacendo al contempo i requisiti locali sui dati, saranno meglio posizionati per la prossima onda di crescita del cloud. Per l'Africa, l'obiettivo dovrebbe essere fare della sovranità dei dati una base per l'adozione dell'IA e per la capacità digitale locale, anziché una regola che rallenti entrambe.