Siete un regolatore olandese della concorrenza. Corrispondete, via email, con le piattaforme statunitensi che vigilate. Date per scontato che quella corrispondenza sia tutelata — dal GDPR, dal diritto amministrativo olandese, dal fatto che quelle piattaforme mantengano filiali europee soggette ai tribunali europei. Lo scorso venerdì pomeriggio avete scoperto quale di queste premesse fosse davvero portante.

La risposta: nessuna.

Venerdì 22 maggio 2026 la rivista olandese Vrij Nederland ha rivelato che Microsoft aveva consegnato le vostre email in risposta a un mandato di comparizione del Congresso statunitense. Il destinatario era la House Judiciary Select Subcommittee on the Weaponization of the Federal Government, presieduta da Jim Jordan. I mandati erano stati emessi nel luglio precedente — a dieci aziende tech, a cui veniva richiesta la corrispondenza interna con governi stranieri sulla moderazione dei contenuti. La risposta di Microsoft, una volta verificata da Vrij Nederland, includeva i nomi in chiaro di funzionari della Autoriteit Consument en Markt (ACM) e dell’Autoriteit Persoonsgegevens (AP) — i regolatori che applicano il Digital Services Act dell’UE nei Paesi Bassi.

Poi Microsoft ha offerto una spiegazione che dovrebbe preoccuparvi più della divulgazione stessa. Il CLOUD Act non era stato invocato. La collaborazione era stata volontaria.

Quella parola — volontaria — è la parte di questa vicenda che quasi nessun commento pubblico ha collocato correttamente. Se il CLOUD Act avesse imposto la divulgazione, i regolatori coinvolti avrebbero almeno una soglia legale da contestare in tribunale. La collaborazione volontaria significa che non c’era alcuna soglia. C’era la valutazione commerciale di Microsoft, secondo cui cooperare con una sottocommissione del Congresso era preferibile al rifiuto. La valutazione era razionale. Era anche, in senso stretto, del tutto svincolata dal diritto europeo.

I nomi adesso sono a Washington. La commissione che li ha richiesti definisce il lavoro dei funzionari coinvolti «censura della libertà di parola americana». La sottosegretaria olandese per la sovranità digitale, Willemijn Aerdts, ha convocato l’ambasciatore statunitense quello stesso venerdì. I dati erano già in viaggio.

Questo articolo è la verifica dell’architettura che ha prodotto l’esito, la riformulazione che rende utile la verifica, e la domanda di approvvigionamento che ogni regolatore e ministero europeo deve porsi prima del prossimo mandato.

Cosa ha consegnato Microsoft

I contenuti non erano sintesi. Erano il materiale di lavoro grezzo dei regolatori: email tra dipendenti di ACM e AP, identificati per nome, e i rappresentanti aziendali di Microsoft, voci di calendario di riunioni interne, verbali di discussioni sull’attuazione del DSA. La commissione ha ricevuto i nomi per esteso. Secondo quanto riferito da iBestuur, anche Meta ha condiviso dati analoghi; le altre otto aziende destinatarie del mandato non hanno confermato pubblicamente di aver collaborato.

Il mandato dichiarato della commissione è accertare se la regolamentazione europea delle piattaforme online costituisca una censura nei confronti delle aziende statunitensi. I funzionari nominati nei documenti sono le persone responsabili, nella giurisdizione olandese, di far rispettare proprio quelle regole su cui la commissione sta indagando. La Weaponization Subcommittee ha ora nei propri archivi i nomi dei funzionari europei che applicano regole che essa considera ostili.

Cybernews riferisce che alcuni dei dipendenti coinvolti hanno familiari negli Stati Uniti e temono ora di vedersi negare l’ingresso. Quel timore non è teorico: l’amministrazione Trump ha sanzionato esponenti della società civile europea, fra cui la direzione della ONG tedesca HateAid nel dicembre 2025, per quella che ha considerato una regolamentazione ostile della libertà di parola. Il percorso che porta da un nome in una lista di una sottocommissione a un divieto d’ingresso alla frontiera statunitense è più breve di quanto i regolatori europei abbiano storicamente ipotizzato.

Entro venerdì pomeriggio, la Staatssecretaris Willemijn Aerdts aveva detto in faccia all’ambasciatore statunitense, Joe Popolo: «Als ik problemen heb, vecht je die met ons uit of, indien nodig, in Europa, maar niet over de ruggen van ambtenaren heen.» («Se ha un problema, lo risolva con noi, o se necessario in Europa, ma non sulle spalle dei funzionari.») Aerdts era stata nominata tre mesi prima come prima Staatssecretaris dei Paesi Bassi per l’Economia Digitale e la Sovranità, nel Gabinetto Jetten del 23 febbraio. L’ambasciatore che ha convocato era arrivato all’Aia ancora più di recente. L’intervento è stato di sostanza. È stato anche, in senso strettamente procurement, vuoto: ha convocato un diplomatico, non un fornitore.

La difesa è la divulgazione

Microsoft non ha rilasciato una dichiarazione pubblica circostanziata sul caso olandese. Le ricostruzioni concordi di NL Times, Dutch IT Channel e Cybernews indicano l’argomentazione che l’azienda ha utilizzato in privato e sulla stampa di settore: la divulgazione non era stata innescata da un obbligo del CLOUD Act. Il materiale rilasciato, secondo questa lettura, era corrispondenza tra Microsoft e i rappresentanti di autorità europee — e tale corrispondenza ricadeva al di fuori delle tutele che i regolatori europei avrebbero potuto presumere di avere.

L’argomentazione è stata offerta come scagionante. Letta con attenzione, è il contrario. Se il CLOUD Act avesse imposto la divulgazione, i regolatori europei avrebbero almeno una soglia legale su cui aprire un contenzioso. L’inquadramento della volontarietà significa che non c’era alcuna soglia — solo la valutazione commerciale di Microsoft secondo cui collaborare con la sottocommissione di Jim Jordan era preferibile al rifiuto. La difesa rende la situazione peggiore dell’accusa.

L’inquadramento serve a Microsoft in un secondo modo: consente all’azienda di presentare l’incidente come una questione isolata di valutazione, anziché come un’esposizione strutturale al diritto statunitense. Serve anche al gabinetto olandese, che può scaricare il problema su un fornitore statunitense invece di spiegare perché le comunicazioni di ACM e AP fossero, tanto per cominciare, su una piattaforma ospitata negli Stati Uniti. L’intervento di Aerdts presso l’ambasciatore Popolo, per quanto di sostanza, non ha impegnato il gabinetto a un cambio di fornitore. Il viceministro per gli Affari Economici, Eric van der Burg (VVD), ha definito la divulgazione «più che preoccupante» — linguaggio forte per un esponente di governo olandese, ma più debole di un impegno.

Ciò che l’inquadramento di Microsoft offriva era un’assoluzione. Ciò che è stato effettivamente detto, una volta analizzato, era: non eravamo tenuti a consegnare questo materiale. Abbiamo scelto di farlo. Questa non è una difesa in nessun senso che i funzionari coinvolti potrebbero riconoscere. È un’ammissione, vestita da chiarimento.

L’architettura che il caso espone

Il parco Microsoft 365 dei regolatori europei è ampio, profondo e quasi del tutto non documentato pubblicamente.

Una stima approssimativa, basata su rivelazioni di gare d’appalto e ricostruzioni della stampa di settore, colloca la quota di regolatori europei a livello nazionale con le comunicazioni interne primarie su Microsoft 365 al di sopra del 70%. La Bundesnetzagentur in Germania, ARCEP in Francia, AGCOM in Italia, CNIL in Francia, il Bundeskartellamt tedesco, la CNMC spagnola — la maggior parte di questi enti gira su M365 o ha una presenza M365 significativa nell’operatività quotidiana. La maggior parte di essi applica anche, a vario titolo, normative rilevanti per le piattaforme statunitensi: GDPR, DMA, DSA, Data Act, regole sulla concorrenza. L’intersezione — regolatori di piattaforme statunitensi che usano piattaforme statunitensi per le proprie comunicazioni interne di regolatore — è essenzialmente il panorama regolamentare europeo allo stato attuale.

La conseguenza architetturale è che ogni regolatore in quell’intersezione è esposto al medesimo rischio di catena di approvvigionamento di cui ACM e AP hanno appena appreso la definizione operativa. I dati risiedono su un’infrastruttura gestita da un soggetto che, di fronte a un mandato di comparizione del Congresso statunitense, risponderà sul piano commerciale. Quella risposta commerciale punterà in modo prevedibile nella direzione della cooperazione. L’inquadramento di Microsoft nel caso olandese ha reso esplicita la logica commerciale: l’azienda stava rispondendo a un mandato di comparizione, non a un ordine CLOUD Act; la collaborazione era volontaria. Ogni altro regolatore nello stesso parco si trova nella stessa posizione architetturale. Al prossimo mandato risponderà la stessa logica.

C’è un’esposizione di secondo ordine che non è stata discussa diffusamente. I funzionari nominati nei documenti olandesi non erano gli unici in quegli scambi di posta. La corrispondenza con Microsoft sull’attuazione del DSA coinvolge abitualmente personale adiacente di altri regolatori europei — il coordinamento tra autorità nazionali è parte di come il DSA viene applicato. Il mandato della sottocommissione a Microsoft copriva, per sua stessa formulazione, le comunicazioni interne con governi stranieri sulla moderazione dei contenuti. Quel linguaggio è abbastanza ampio da raggiungere le catene di corrispondenza, non solo i singoli mittenti. La lista effettiva dei nomi, a una lettura attenta del perimetro del mandato, plausibilmente si estende oltre ACM e AP, fino a regolatori UE adiacenti che non sono ancora stati colpiti pubblicamente — per ora.

Lo schema sotto il caso

Non è la prima volta che un fornitore statunitense espone funzionari europei alle autorità statunitensi sotto pressione politica. È il terzo caso documentato in tredici mesi.

Nel maggio 2025 Microsoft ha sospeso l’account email di Karim Khan, procuratore capo della Corte penale internazionale, dopo che l’amministrazione Trump gli aveva imposto sanzioni a titolo personale in virtù dell’Executive Order 14203. Nel dicembre 2025 la stessa amministrazione ha sanzionato la direzione di HateAid, una ONG tedesca che assiste le vittime dell’odio online, con divieti d’ingresso negli Stati Uniti. Nel maggio 2026 Microsoft ha consegnato i nomi dei regolatori olandesi.

Il caso Khan è proceduto sotto una designazione di sanzioni: costrizione legale. Il caso HateAid sotto regolamenti di divieto d’ingresso: azione amministrativa contro persone nominate. Il caso olandese procede sotto un mandato di comparizione di una sottocommissione della Camera: inchiesta legislativa. Gli strumenti giuridici differiscono. Lo schema no. In ogni caso è stato chiesto a un fornitore di servizi con sede negli Stati Uniti, formalmente o informalmente, di agire contro un europeo divenuto politicamente scomodo a Washington. In ogni caso il fornitore ha collaborato.

Il caso olandese si distingue dai primi due in un modo che conta. Il caso Khan aveva alle spalle una designazione di sanzioni; HateAid aveva un’azione amministrativa. Entrambi davano a Microsoft una costrizione legale da invocare nello spiegarsi ai regolatori europei. Il caso olandese non ha quella copertura. Lo stesso inquadramento di Microsoft riconosce l’assenza: la divulgazione non era richiesta per legge, era commercialmente preferibile. Il terzo caso dello schema è quello in cui la logica commerciale è stata detta ad alta voce.

Quell’esplicitazione ha una conseguenza strategica che la stampa di settore non ha colto. I primi due casi hanno prodotto un nervosismo generale sull’esposizione legale statunitense su M365. Il terzo caso ha prodotto prove specifiche di esposizione commerciale statunitense su M365: lo stesso fornitore, la stessa architettura, può produrre lo stesso esito senza alcuna soglia legale. Non esiste tribunale, in Europa, davanti al quale si possa fare causa alla valutazione commerciale di Microsoft. C’è solo il contratto di approvvigionamento, che è il livello al quale le istituzioni europee possono cambiare l’architettura.

Perché la protesta non cambia l’architettura

Il gabinetto ha convocato l’ambasciatore statunitense. C’è stato uno scambio diplomatico. Microsoft potrà ancora emettere un chiarimento pubblico. Nulla di tutto questo modifica le condizioni strutturali.

Quando la polvere si sarà depositata, tre cose resteranno esattamente come erano. Microsoft potrà ancora ricevere richieste dagli organi legislativi, esecutivi e giudiziari statunitensi. Microsoft potrà ancora decidere volontariamente di collaborare oltre quanto strettamente dovuto. ACM, AP e la maggior parte degli altri regolatori europei continuano a gestire i propri uffici su sistemi Microsoft, con le proprie comunicazioni ancora soggette alla medesima esposizione. L’incidente ha prodotto tensione politica. Non ha prodotto un cambiamento architetturale.

La risposta del gabinetto olandese è strutturalmente quella che l’inquadramento di Microsoft prevedeva. L’intervento ha trattato la divulgazione come un incidente nei rapporti con il fornitore, anziché come un incidente di approvvigionamento. Il fornitore è stato convocato per il tramite del diplomatico; il contratto di approvvigionamento non è stato convocato affatto. Aerdts risulta ufficialmente come sostenitrice della sovranità digitale. Il problema strutturale è che la sua delega non controlla le decisioni di approvvigionamento del gabinetto, e le decisioni di approvvigionamento sono la leva che l’incidente ha illuminato.

Il linguaggio del viceministro, «più che preoccupante», è la cartina di tornasole di come finirà questa storia. Il linguaggio forte segnala preoccupazione. Non segnala impegno. Un impegno avrebbe la forma di una data, un budget, un obiettivo, un’alternativa indicata. Una data non c’è.

La sovranità non è un incidente diplomatico

Questa è la riformulazione che l’incidente rende visibile a chiunque, in un regolatore europeo, in un ministero o in un ente del settore pubblico, abbia responsabilità operative.

Il caso olandese non è il fallimento di una relazione diplomatica. La relazione diplomatica sta facendo esattamente ciò che le relazioni diplomatiche fanno — esprime preoccupazione, registra una protesta, convoca ambasciatori, redige note verbali. Il caso olandese è il fallimento di una decisione di approvvigionamento presa anni fa, quando ACM e AP hanno adottato Microsoft 365 sulle stesse ragionevoli basi istituzionali di ogni altro regolatore europeo. La risposta diplomatica del gabinetto opera al livello sbagliato. L’architettura vive al livello dell’approvvigionamento. La risposta architetturale vive allo stesso livello.

Questo è il livello al quale il caso olandese si applica a ogni lettore che lavora in, o con, un ente del settore pubblico europeo. La domanda non è cosa farà il gabinetto? Il gabinetto farà ciò che fanno i gabinetti: convocare, protestare, registrare preoccupazione. La domanda è se la sua organizzazione, alla prossima revisione trimestrale degli appalti, tratterà la divulgazione come un fatto rilevante per il proprio contratto M365.

La questione della sovranità, posta correttamente, non è quale fornitore usiamo per la posta elettronica? È: se a Microsoft venisse chiesto, oggi, da una sottocommissione del Congresso statunitense, di consegnare le nostre comunicazioni interne, quale sarebbe la valutazione commerciale di Microsoft? La risposta onesta, alla luce del precedente olandese, è: la stessa che è stata per i Paesi Bassi. La risposta architetturale a quella domanda non è un fornitore diverso. È un’architettura diversa: comunicazioni regolatorie veicolate su un’infrastruttura che non abbia un calcolo commerciale statunitense nella propria catena di custodia.

Cosa non è questo articolo

Chi legge questa analisi come una tesi che Microsoft abbia agito illegalmente ha mancato il punto — per stessa ammissione di Microsoft, la divulgazione non è stata né giuridicamente imposta né malevola, ma un calcolo commerciale davanti a un potente attore politico statunitense. L’analisi lavora a uno strato più profondo: sulla condizione strutturale che questo calcolo commerciale possa tornare in tavola in qualsiasi momento, finché l’architettura sottostante degli appalti pubblici resta invariata. Le previsioni sul comportamento di singoli fornitori in casi futuri non rientrano nell’oggetto dell’indagine. Per i lettori in contesti regolamentati, questa analisi non sostituisce una consulenza legale né una consulenza in sicurezza delle informazioni.

Il prossimo nome sulla lista

I funzionari i cui nomi compaiono in un fascicolo di una sottocommissione della House Judiciary continuano a lavorare. Il Digital Services Act resta da applicare. La Weaponization Subcommittee non ha chiuso la propria indagine. Microsoft non ha ritirato i documenti — non esiste procedura di ritiro una volta che una sottocommissione li ha in mano.

La prossima richiesta da un’autorità statunitense a un fornitore statunitense in merito a un regolatore europeo riceverà risposta dalla stessa logica commerciale che ha risposto a questa. Finché l’architettura non cambia, i nomi dei funzionari olandesi non saranno gli ultimi a finire in un fascicolo di una sottocommissione della Camera. Sono il terzo caso, non l’ultimo.

Il segnale da osservare, fra dodici mesi, è l’approvvigionamento. Se ACM o AP annunceranno una migrazione delle proprie comunicazioni interne fuori da Microsoft, l’incidente avrà avuto conseguenze strutturali. In caso contrario, l’intervento di Aerdts presso Popolo sarà stato tutta la risposta — e il prossimo nome sulla lista è già in viaggio.

Fonti

Panoramica del tema: Sovranità Digitale in Europa Articoli correlati: Sovranità sui server di Microsoft, Sovranità digitale: perché ora