Al Summit Europe, i riflettori erano puntati sui driver GPU del kernel e sulle promesse dell'AI. Ma l'eredità più interessante è un'altra: la sovranità digitale ha smesso di essere uno slogan e si è trasformata in elenchi di componenti, scale di valutazione e piani pluriennali. Noioso, forse; utile, quasi certamente.

La sequenza lo ha reso visibile. Il keynote di apertura di Nithya Ruff e Johan Linaker ha legato geopolitica e open source, citando casi che vanno dal Canada alla Sierra Leone a Trinidad e Tobago. Subito dopo, il tema della sicurezza delle supply chain open source è diventato il cuore di interventi meno retorici. Dell e Microsoft hanno presentato ORBIT Launchpad e il catalogo CRABFOSC, pensato per aiutare le aziende a prepararsi al Cyber Resilience Act europeo. Le prime scadenze del CRA sono già operative per le vulnerabilità sfruttate attivamente; i requisiti principali entreranno in vigore a dicembre 2027.

Non è un dettaglio: la presenza di vendor come Dell e Microsoft a discutere di due diligence e conformità, più che di bandiere, segnala un mercato in formazione. La sovranità digitale sta diventando una voce di procurement, non solo di policy.

Il framework si è allargato oltre l'Unione. L'OSOR ha ricordato il lavoro di Diaa in Ucraina e la legge EMBAG svizzera. Il modello giapponese presentato da Kazuki Imamura ha aggiunto un numero scomodo: su centinaia di aziende analizzate in sette Paesi e decine di migliaia di repository GitHub, molte organizzazioni parlano di open source, poche lo praticano davvero. La risposta giapponese, basata su un approccio a tre assi e sulla richiesta di norme leggibili dalle macchine, punta a ridurre la distanza tra dichiarazioni e adozione.

Anche la parte dedicata alle metriche ha avuto peso. Dawn Foster ha collegato il rapporto della Linux Foundation sul valore degli OSPO alle guide del progetto CHAOSS, offrendo strumenti per misurare la sostenibilità, dimostrare il valore organizzativo e spiegare ai dirigenti perché un programma open source non è un costo accessorio. È il tipo di materiale che parla la lingua dei management team: indicatori, obiettivi, serie storiche.

Il caso di Berlino è forse il più esplicito. La città-stato lavora con PwC alla migrazione, punta al 70% di software open source sulle postazioni amministrative entro il 2032 e mostra una pianificazione con governance, dipendenze e misure. Sul fronte europeo, Emiel Brok di SUSE ha illustrato il Cloud Sovereignty Framework con i suoi otto obiettivi di sovranità e la scala SEAL, fino al livello di pieno controllo comunitario senza dipendenze critiche extra-UE.

Per chi gestisce stack self-hosted o valuta deployment on-premise, il messaggio è strutturale. La sovranità non si misura a parole ma con livelli, metriche e scadenze. AI-RADAR propone framework per valutare questi trade-off su /llm-onpremise, proprio perché la scelta tra cloud, ibrido e on-premise non dipende solo da prestazioni o TCO, ma dalla possibilità di verificare la posizione dei dati, delle dipendenze e del software.

Essere burocratici, in certi passaggi, è una vittoria.