Don’t Outlook Up. Il blackout Microsoft e la sovranità digitale che l’Europa non ha

Dopo una settimana passata a guardarsi le spalle da hacker, falsi allarmi e frigoriferi sabotati, il colpo più duro alla vita digitale europea è arrivato da dentro. Giovedì sera, verso le 18.30 ora italiana, Outlook, Teams e Copilot sono andati giù in 74 paesi, con oltre 130 mila segnalazioni su Downdetector nel momento peggiore. Nella notte il servizio è stato ripristinato in parte, ma stamattina interi uffici, Italia compresa, aprivano ancora caselle vuote. Microsoft ha escluso attività malevole. Nessun Mikhail Andropov questa volta: il nemico era il termometro.

La dinamica dell’incidente merita attenzione: è più istruttiva per l’Italia e per l’Europa di quanto lo sia un attacco hacker. Un gran numero di server ha fallito i controlli automatici di salute ed è stato messo fuori servizio. I superstiti hanno dovuto reggere il traffico degli assenti e sono collassati a loro volta. Il processo che stabilisce le connessioni sicure si è ingolfato. E i server rimessi in piedi si bloccavano di nuovo appena tornava il traffico. Microsoft sospetta proprio il componente che elabora i controlli di salute, ma non ha ancora pubblicato la causa definitiva. Un cloud che si ammala per eccesso di diagnosi somiglia a una malattia autoimmune: il sistema nato per proteggere l’organismo finisce per attaccarlo.

Qui si riconosce un vecchio paradosso economico. La concentrazione genera efficienza: un unico gigante ammortizza i costi fissi, aggiorna la sicurezza per tutti e distribuisce il carico su scala planetaria. Ma la stessa concentrazione trasforma guasti indipendenti in guasti correlati. Quando migliaia di organizzazioni comprano lo stesso servizio, comprano anche lo stesso rischio. I contratti di Microsoft 365 prevedono crediti di servizio, cioè sconti sulle fatture future, non risarcimenti per la produttività perduta, per le udienze rinviate o per i referti non spediti. Il danno vero ricade su clienti e collettività: un’esternalità negativa da manuale. Le banche, dopo il 2008, sono state costrette a misurare il proprio rischio sistemico. I fornitori digitali, finora, solo in parte.

Il problema per l’Europa è di scala. Secondo uno studio di Compass Lexecon per l’Open Cloud Coalition, Microsoft detiene il 77 per cento del software di produttività nel settore pubblico europeo, con punte dell’84 negli strumenti di collaborazione. La coalizione è sostenuta da Google, che ha tutto l’interesse a dirlo, ma l’interesse non rende falso il dato. Ministeri, tribunali, scuole e ospedali parlano la stessa lingua digitale, scritta a Redmond. Quando quella lingua si inceppa, l’amministrazione resta muta. E i rischi non sono solo tecnici: al Senato francese, nel 2025, un dirigente di Microsoft ha ammesso di non poter garantire che i dati europei restino al riparo dalle richieste delle autorità americane.

La tentazione che segue ogni blackout è l’autarchia di stampo sovranista: costruiamoci il nostro Outlook. E’ la risposta sbagliata a una domanda giusta. Un fornitore unico nazionale, magari pubblico, sarebbe un single point of failure con la bandiera tricolore: meno efficiente, meno sicuro e altrettanto vulnerabile. La sovranità tecnologica non consiste nel possedere le macchine, ma nel conservare l’opzione di uscita. In termini economici, sovranità vuol dire ridurre i costi di cambiamento fino a rendere credibile la minaccia di andarsene. Un fornitore che sa di poter essere lasciato si comporta meglio di uno che si sa insostituibile.

Da qui alcune conseguenze pratiche, che non richiedono miliardi ma disciplina. La prima riguarda gli appalti. Ogni contratto pubblico per servizi critici dovrebbe includere un piano di uscita verificato, formati aperti e interoperabili per i dati, e prove periodiche di migrazione, come si fa con le esercitazioni antincendio. La seconda è la ridondanza delle funzioni essenziali. Una Pubblica amministrazione che ha un solo canale di posta ne ha zero il giorno in cui quel canale si spegne. Lo hanno appena scoperto le scuole italiane, inondate di minacce attraverso un unico imbuto ministeriale. Un canale di emergenza indipendente costa poco e vale moltissimo. La terza è misurare il rischio di concentrazione con gli strumenti che già esistono. Il regolamento Dora impone alla finanza di mappare la dipendenza dai fornitori Ict e sottopone i più critici, Microsoft inclusa, alla vigilanza delle autorità europee. La stessa logica va estesa a sanità, giustizia e amministrazione, senza reinventare la ruota.

Resta la quarta conseguenza, la più ambiziosa: usare la domanda pubblica europea, centinaia di miliardi all’anno, come leva di politica industriale. Non per escludere i giganti americani, ma per obbligarli a competere su standard aperti, accanto a fornitori europei che oggi non hanno la scala per farsi notare. E’ questa la vera differenza tra protezionismo e mercato contendibile. Il cloud resta una delle grandi conquiste di produttività del secolo, e nessuno può pensare di voler tornare al server in cantina. Ma la produttività digitale non è un dono di natura: è un’infrastruttura con un proprietario, un punto di rottura e un prezzo nascosto. Giovedì i server di Redmond hanno fallito il loro controllo di salute. Sarebbe ora che anche l’Europa e l’Italia, sia per le loro istituzioni sia per le loro imprese, sottoponessero a un radicale check-up strategico la propria dipendenza tecnologica.