Il cloud Microsoft cresce: i dati svizzeri restano un contratto
Azure aumenta del 48 per cento nel trimestre. Ma ciò che i clienti svizzeri devono sapere su sedi dei dati, accesso ed eccezioni non figura nel bilancio dei successi.
Il 28 ottobre 2026 Microsoft ha annunciato per il primo trimestre dell'esercizio 2027 un fatturato di 92,3 miliardi di dollari, il 19 per cento in più rispetto a un anno prima. Azure è cresciuto del 48 per cento nel trimestre conclusosi a fine settembre. Secondo Bloomberg gli analisti si aspettavano il 44 per cento. I numeri mostrano la dinamica economica del business cloud. Non dicono però quali garanzie sulla protezione dei dati riceve un'azienda svizzera per la propria applicazione concreta.
Questa seconda domanda non riguarda solo i grandi gruppi. Chi esternalizza dati dei clienti, documenti del personale o comunicazioni aziendali deve sapere quali dati finiscono dove. L'espressione «cloud svizzero» può descrivere una sede fisica. Non risponde ancora a tutte le domande su elaborazione, gestione operativa e accesso.
Svizzera ed Europa non sono la stessa promessa
Secondo le proprie indicazioni, Microsoft gestisce dal 2019 regioni cloud vicino a Zurigo e Ginevra. Nella sua presentazione sulla sovranità svizzera del febbraio 2026 l'azienda cita inoltre l'EU Data Boundary. Questa comprende l'UE e l'EFTA, Svizzera inclusa. Mantenere i dati entro questo confine non significa quindi automaticamente conservarli ed elaborarli esclusivamente su suolo svizzero.
Microsoft rimanda inoltre ad autorizzazioni di accesso, opzioni di crittografia e chiavi controllate dal cliente. Sono indicazioni del fornitore sulle proprie possibilità, non una prova indipendente che ognuna di esse sia inclusa e attivata in ogni contratto con il cliente. Per un acquisto è quindi più importante un impegno preciso della parola generica «sovranità»: quali tipi di dati, quali servizi e quali processi operativi sono realmente coperti?
Con Azure conta anche la configurazione
La documentazione di Azure distingue i servizi regionali dalle eccezioni. Per molte offerte regionali il cliente può scegliere la regione di distribuzione; l'unità geografica definisce il quadro della residenza dei dati. Una replica all'interno di questa unità può servire alla tolleranza ai guasti. Scelta della sede e copia di sicurezza vanno quindi considerate insieme.
Particolarmente rilevanti sono le applicazioni di intelligenza artificiale. Nelle distribuzioni dell'Azure OpenAI Service denominate «Global», secondo la documentazione di Microsoft, input e output possono essere elaborati in tutto il mondo. Per le distribuzioni «DataZone» vale una zona dati definita invece di un singolo Paese obbligatorio. L'archiviazione locale dei dati a riposo e il luogo dell'elaborazione in corso sono quindi proprietà diverse. Chi attiva un servizio dovrebbe annotare le due cose separatamente e non dedurre dal luogo di archiviazione tutti i passaggi di elaborazione.
Anche i servizi collegati hanno propri percorsi dei dati
Un altro punto di verifica è l'identità digitale. La documentazione di Microsoft su Entra ID descrive la localizzazione dei dati in funzione della configurazione del tenant del cliente. Cita inoltre eccezioni e funzioni opzionali. Nella collaborazione tra tenant, per esempio, dati degli account utente e dispositivo e configurazioni possono essere elaborati presso la sede di un tenant esterno coinvolto.
La conseguenza pratica: non basta controllare solo la memoria di un'applicazione. Accesso, collaborazione e funzioni aggiuntive vanno anch'essi inclusi nella panoramica. Un'organizzazione dovrebbe trattare le modifiche a queste impostazioni come modifiche al flusso dei dati. Un'architettura documentata in origine può perdere la sua validità se in seguito si aggiungono nuove funzioni.
La responsabilità resta al cliente
L'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) sottolinea che la responsabilità per un trattamento lecito non svanisce con l'esternalizzazione. I clienti devono garantire contrattualmente il trattamento per conto terzi ed esaminare separatamente un'eventuale comunicazione di dati all'estero. L'IFPDT cita tra l'altro riservatezza, vincolo alle istruzioni, sicurezza e subappaltatori. Anche la cancellazione o la restituzione alla fine del contratto fanno parte della verifica.
Una prova concreta è l'uscita. Nella sua presentazione svizzera Microsoft indica l'esportazione dei dati come possibile. Un pulsante di esportazione da solo non risponde però alla domanda se un'azienda può continuare a gestire la propria applicazione con sforzi ragionevoli. In un test proprio dovrebbe quindi non solo salvare file, ma anche registrare autorizzazioni e configurazioni necessarie e provare il ripristino. Non è un'affermazione su una lacuna esistente, ma un requisito verificabile per il proprio piano di emergenza.
Per le aziende svizzere ne risulta un ordine concreto: prima determinare i dati e il bisogno di protezione, poi rilevare i servizi e i percorsi dei dati previsti e infine confrontare gli impegni con la configurazione effettiva. I punti aperti vanno chiariti prima dell'approvazione del contratto, non solo nell'inchiesta su un incidente. La crescita di Microsoft può illustrare la domanda. Se una determinata esternalizzazione soddisfa i propri requisiti si decide invece nel contratto e nella gestione operativa – non in borsa.
Fonti
- Microsoft: risultato trimestrale FY2027 Q1, 28 ottobre 2026
- Microsoft Svizzera: sovranità digitale, 25 febbraio 2026
- Microsoft Azure: residenza dei dati ed eccezioni
- Microsoft Learn: conservazione ed elaborazione dei dati in Entra ID
- IFPDT: cloud computing e responsabilità dei clienti
- Bloomberg: il fatturato cloud di Microsoft supera le attese, 28 ottobre 2026
- Immagine di copertina: NOIRLab/NSF/AURA/T. Slovinský, Wikimedia Commons
- Licenza dell'immagine di copertina: CC BY 4.0
- Immagine dell'articolo: Alexander-design, Wikimedia Commons / Pixabay
- Licenza dell'immagine dell'articolo: CC0 1.0
