L’esplosione dell’Intelligenza Artificiale ha trasformato i Data Center in infrastrutture critiche ad altissimo consumo energetico, essenziali per la sovranità digitale del Paese. Questa evoluzione li fa rientrare nell’ambito di applicazione della normativa Golden Power, rendendoli asset strategici sia per la rete elettrica nazionale che per la sicurezza cibernetica.
Il data center tradizionale può essere definito come un’infrastruttura fisica dedicata all’ospitalità, alla gestione e all’interconnessione di sistemi informatici, apparati di rete, sistemi di archiviazione e relativi componenti. Nella sua configurazione classica, il data center svolge funzioni di elaborazione, storage e distribuzione dei dati attraverso un’architettura che richiede continuità energetica, raffreddamento, ridondanza delle connessioni e sistemi di sicurezza fisica e logica.
Il data center di nuova generazione dedicato all’intelligenza artificiale (AI data center) si distingue dal modello tradizionale per la natura e l’intensità dei carichi computazionali che è chiamato a supportare.
La proliferazione degli AI data center è un fenomeno recente ma di accelerazione esponenziale.
In Italia, tale tendenza si è tradotta in annunci di investimenti miliardari da parte di operatori nazionali e internazionali, con l’individuazione di siti strategici in diverse regioni del Paese. La rilevanza di questo fenomeno non è sfuggita al legislatore nazionale: la legge 23 settembre 2025, n. 132, recante “Disposizioni e deleghe al Governo in materia di intelligenza artificiale”, ha previsto che le pubbliche amministrazioni, nella scelta dei fornitori di sistemi di intelligenza artificiale, «possano essere privilegiate quelle soluzioni che garantiscono la localizzazione e l’elaborazione dei dati strategici presso data center posti nel territorio nazionale», segnalando così una precisa volontà politica di presidio nazionale di tali infrastrutture.
Parallelamente, a livello europeo, l’AI Act ha introdotto una classificazione dei sistemi di intelligenza artificiale in base al rischio, includendo tra i sistemi ad alto rischio quelli «destinati a essere utilizzati come componente di sicurezza ai fini della gestione e del funzionamento delle infrastrutture digitali critiche», con conseguenze dirette sull’inquadramento regolatorio dei data center che tali sistemi ospitano.
La disciplina italiana dei poteri speciali – comunemente denominata “Golden Power” – è stata introdotta dal decreto-legge 15 marzo 2012, n. 21, convertito con modificazioni dalla legge 11 maggio 2012, n. 56, e successivamente oggetto di numerose e significative modifiche.
Con riferimento specifico al settore energetico, gli attivi di rilevanza strategica sono stati individuati dal D.P.C.M. n. 180 del 30 dicembre 2020, che ha identificato nelle «reti energetiche di interesse nazionale» gli asset soggetti alla disciplina dei poteri speciali, e in particolare: (a) la rete nazionale di trasporto del gas naturale e relative stazioni di compressione; (b) le infrastrutture di approvvigionamento di energia elettrica e gas da altri Stati; (c) la rete nazionale di trasmissione dell’energia elettrica e relativi impianti di controllo.
Già in questa prima configurazione normativa emerge la rilevanza potenziale dei data center: la loro connessione alle reti di trasmissione dell’energia elettrica – per volumi di consumo sempre più comparabili a quelli di grandi impianti industriali – potrebbe determinare interferenze con la gestione delle reti stesse, configurando una forma di dipendenza strategica dell’infrastruttura energetica dall’operatività dei data center.
La progressiva espansione dell’ambito applicativo della normativa Golden Power, intervenuta con il decreto-legge n. 105 del 2019 e con i successivi decreti attuativi, ha spostato l’asse della tutela dal mero settore energetico a una più ampia costellazione di asset digitali e tecnologici, al cui centro si collocano proprio le infrastrutture di calcolo e archiviazione dei dati.
Il D.P.C.M. n. 179 del 30 dicembre 2020, adottato in attuazione dell’art. 2, comma 1-ter, del d.l. n. 21/2012, ha individuato, tra i beni e rapporti di rilevanza strategica per l’interesse nazionale, le «tecnologie nel campo della distribuzione di servizi su richiesta di calcolo (server), archiviazione (database) e analisi (software), configurabili e disponibili da remoto (Cloud Computing)».
Il Regolamento (UE) 2019/452 del 19 marzo 2019, che ha istituito il quadro europeo per il controllo degli investimenti esteri diretti, ha ulteriormente consolidato questa prospettiva, includendo tra i fattori rilevanti per la valutazione delle operazioni soggette a screening: le «infrastrutture critiche, siano esse fisiche o virtuali, tra cui […] le comunicazioni, i media, il trattamento o l’archiviazione di dati» nonché il settore della «cibersicurezza».
L’individuazione dei rischi per la sicurezza nazionale connessi ai data center deve essere condotta su un duplice piano: il piano della sicurezza energetica e il piano della sicurezza cibernetica e informativa.
Sul piano energetico, i data center AI rappresentano carichi elettrici di grandissima entità, capaci di incidere sull’equilibrio delle reti nazionali di trasmissione. Il controllo di tali infrastrutture da parte di soggetti esteri – in particolare di soggetti «direttamente o indirettamente controllati dall’amministrazione pubblica […] di un paese terzo» – determina potenziali vulnerabilità nella gestione della domanda elettrica nazionale, con effetti sulla sicurezza e sulla continuità del sistema energetico.
Sul piano cibernetico e informativo, i data center che ospitano sistemi di intelligenza artificiale e cloud computing sono depositari di enormi quantità di dati sensibili, inclusi quelli relativi a infrastrutture critiche, sistemi di pagamento, dati sanitari e informazioni strategiche di imprese nazionali. Il D.P.C.M. n. 179/2020 ricomprende espressamente tra gli asset strategici i «dati relativi alle infrastrutture critiche», e il Reg. (UE) 2019/452 individua nell’«accesso a informazioni sensibili, compresi i dati personali, o la capacità di controllare tali informazioni» un fattore determinante nella valutazione del rischio per la sicurezza.
L’interconnessione tra il data center e il perimetro di sicurezza nazionale cibernetica – istituito dal d.l. n. 105/2019 – aggiunge un ulteriore livello di complessità: i soggetti inclusi nel perimetro sono tenuti a rispettare obblighi di notifica degli incidenti, misure di sicurezza specifiche e verifiche preventive sulle forniture ICT da parte del Centro di Valutazione e Certificazione Nazionale (CVCN).
Sul piano delle incognite legali, la catena contrattuale tipica dei servizi di data center genera significativi problemi di allocazione degli obblighi normativi tra i diversi soggetti coinvolti:
Il gestore/proprietario del data center è il soggetto primariamente esposto agli obblighi di notifica Golden Power quando l’infrastruttura è qualificabile come asset strategico. In base all’art. 2 del d.l. n. 21/2012, qualsiasi atto o operazione che produca effetti modificativi della «titolarità, del controllo o della disponibilità degli attivi medesimi» è soggetto a notifica preventiva alla Presidenza del Consiglio dei Ministri. Ciò include non solo le acquisizioni societarie, ma potenzialmente anche accordi di licenza d’uso e trasferimenti di know-how.
L’utilizzatore del data center si trova esposto a rischi di natura diversa: qualora i servizi acquisiti siano funzionali a reti o sistemi inclusi nel perimetro di sicurezza nazionale cibernetica, scatta l’obbligo di comunicazione preventiva al CVCN ai sensi del d.l. n. 105/2019. La violazione di tale obbligo espone a sanzioni amministrative e, nei casi più gravi, alla nullità dei contratti stipulati in violazione delle prescrizioni imposte.
Il sub-utilizzatore finale – soggetto che accede a servizi erogati attraverso infrastrutture di terzi, spesso ignaro della catena di fornitura sottostante – si trova in una posizione di massima incertezza. La normativa non prevede espressamente meccanismi di trasparenza lungo la filiera dei data center, né obblighi informativi a valle da parte dell’operatore. Tuttavia, qualora il sub-utilizzatore sia a sua volta incluso nel perimetro di sicurezza nazionale cibernetica, dovrà verificare che i servizi acquisiti soddisfino i requisiti di sicurezza imposti dalla normativa, indipendentemente dalla posizione contrattuale intermediaria.
Il peso crescente dei data center nel sistema energetico nazionale impone una riflessione sistematica che attraversa trasversalmente i diversi settori soggetti alla disciplina dei poteri speciali.
Sul fronte energetico in senso stretto, il D.P.C.M. n. 180/2020 ha identificato nella rete nazionale di trasmissione dell’energia elettrica e nei «relativi impianti di controllo e dispacciamento» gli asset strategici del settore. I data center AI, per le loro caratteristiche di consumo, incidono direttamente sulla gestione di tali reti, divenendo di fatto componenti rilevanti dell’ecosistema energetico nazionale.
Sul fronte delle infrastrutture critiche digitali, il Regolamento (UE) 2019/452 identifica il «trattamento o l’archiviazione di dati» come componente delle infrastrutture critiche soggette a screening, e l’AI Act classifica come ad alto rischio i sistemi di IA destinati alla «gestione e del funzionamento delle infrastrutture digitali critiche», confermando la rilevanza pubblica delle infrastrutture su cui tali sistemi operano.
Sul fronte della sovranità tecnologica, la legge n. 132/2025 ha esplicitato la volontà del legislatore di privilegiare «la localizzazione e l’elaborazione dei dati strategici presso data center posti nel territorio nazionale», introducendo un criterio di preferenza che, pur non tradotto direttamente in un obbligo Golden Power, esprime un orientamento normativo che rafforza l’interpretazione estensiva degli obblighi di notifica applicabili alle infrastrutture di data center.
Il combinato disposto di queste norme suggerisce che la rilevanza energetica dei data center non è soltanto una questione di consumo elettrico, ma si estende alla sicurezza dell’approvvigionamento, alla resilienza delle reti e alla dipendenza tecnologica da soggetti esteri nel controllo delle infrastrutture di elaborazione dati.
La dimensione europea del fenomeno impone una lettura coordinata degli obblighi nazionali con il meccanismo di cooperazione UE in materia di screening degli investimenti esteri, tenuto conto che la Commissione europea, pur esprimendo pareri non vincolanti, ha progressivamente intensificato il proprio scrutinio sulle operazioni di maggiore rilevanza.
L’assistenza dello Studio Legale Meliadò si orienta ad affiancare operatori e investitori in questo panorama, trasformando il rispetto dei vincoli normativi in un solido vantaggio competitivo.
