Due data center «di interesse strategico nazionale» da 6,8 miliardi: chi li controlla, e sotto quale giurisdizione

Il 4 agosto 2026 il Consiglio dei ministri ha dichiarato di preminente interesse strategico nazionale due nuovi programmi di investimento per data center, uno in Lombardia e uno in Sardegna: insieme mobilitano «circa 6,8 miliardi di euro di investimenti diretti», scrive il MIMIT, e portano a sette — per «oltre 25 miliardi» — i programmi approvati con lo stesso strumento. Il comunicato dichiara l’obiettivo senza reticenze: i due interventi «rafforzano la strategia del Governo per consolidare la sovranità digitale del Paese» e servono ad «attrarre investimenti ad alto contenuto tecnologico». Lette una accanto all’altra, sono il motivo di questo pezzo: il maggiore dei due programmi fa capo a una società con forma societaria di Singapore; l’altro è controllato indirettamente da una società quotata a New York. Non è una contraddizione nascosta — il comunicato la scrive per esteso — ma è il punto in cui la parola «sovranità» va presa sul serio invece che ripetuta.

Due programmi, due profili

Il primo, il maggiore, è di K2 Strategic Infrastructure Italy S.r.l., «detenuta da K2 Strategic Pte. Ltd. (“K2”)»: un campus hyperscale «di capacità complessiva fino a circa 400 MW» a Zibido San Giacomo e Lacchiarella, area metropolitana di Milano, investimento stimato in «circa 5,3 miliardi di euro». Costruzione di quattro anni con «circa 2.000 unità lavorative annue»; a regime «circa 200 posti di lavoro diretti ad alta specializzazione» più «circa 1.300 unità nell’indotto permanente». Il ministro Urso ha sentito il presidente della Lombardia Fontana per verificarne la conformità alla legge regionale sui data center: l’accelerazione statale non ha bypassato il livello regionale.

Il secondo, «Digital Vault Sulcis», è di Energy Vault Sulcis S.r.l., «controllata indirettamente da Energy Vault Holdings Inc.», presso l’ex miniera di carbone di Monte Sinni a Nuraxi Figus, Sulcis Iglesiente: un «Data Center Edge AI integrato con infrastrutture per la produzione e l’accumulo di energia rinnovabile», fino a 30 MW, circa 1,49 miliardi, circa 400 posti annui tra diretto e indotto. Il comunicato lo lega alla riconversione di un sito industriale dismesso — un fatto positivo, e va detto come tale.

Chi c’è dietro le due S.r.l.

Il comunicato dichiara la catena, non la nasconde. K2 Strategic Pte. Ltd. ha la forma delle private limited companies di Singapore — «Pte. Ltd.» — e non è solo la forma: sul proprio sito la società dichiara di essere costituita a Singapore, sede legale in città, come divisione infrastrutture digitali del gruppo Kuok. Energy Vault Holdings, Inc. è americana e quotata: CIK 1828536, ticker NRGV, NYSE. Nessuna delle due catene è opaca — una si verifica sul sito della società, l’altra su un registro federale — ma nessuna porta a un socio italiano di maggioranza: nel campus più grande, alle porte di Milano, il controllo capogruppo passa da un veicolo di Singapore.

Lo strumento: cosa fa l’articolo 13, cosa lascia intatto

Lo strumento è l’articolo 13 del decreto-legge 104/2023 (il «Decreto Asset»), convertito dalla legge 136/2023. Il comma 1 riserva la dichiarazione ai «grandi programmi d’investimento esteri»; il comma 2 fissa la soglia in un miliardo di euro — entrambi i programmi la superano ampiamente. Il comma 3 prevede un commissario straordinario di Governo, d’intesa con la Regione, senza compenso. Il comma 4 gli dà poteri di ordinanza in deroga a «ogni disposizione di legge diversa da quella penale», con due limiti fermi — codice antimafia e vincoli UE — e quindici giorni alle amministrazioni per esprimersi, altrimenti si procede senza il loro parere. I commi 5 e 6 concentrano tutti i titoli abilitativi in un’unica autorizzazione, con effetto di variante urbanistica e di pubblica utilità.

Il comma 7 è quello che conta di più qui: «rimane ferma in ogni caso» l’applicazione del regolamento (UE) 2019/452 sul controllo degli investimenti esteri diretti e del DL 21/2012, il «golden power» italiano. Lo strumento che accelera i permessi non è quello che vaglia se un investitore estero debba essere autorizzato a controllare un asset critico: due binari distinti, e il comunicato del 4 agosto parla solo del primo. Dello stesso strumento, applicato al primo pacchetto — Equinix e il campus di Trino di TechBau — avevamo già scritto a fine luglio: la sostanza non cambia da un round all’altro, e non la ripetiamo qui.

Sovranità è giurisdizione, non indirizzo

L’investimento estero diretto in infrastruttura è una scelta esplicita di politica industriale, dichiarata come tale — non un’omissione da scoprire. E la dichiarazione di interesse strategico è accelerazione amministrativa, non un titolo di proprietà pubblica: non altera chi controlla la società che gestisce il sito. Il punto, per chi un giorno metterà i propri carichi in quelle sale, è un altro: la sovranità di un’infrastruttura non è una proprietà della sua geografia, è una proprietà del regime giuridico a cui è soggetta — i due non coincidono automaticamente. Le domande che la riducono a cose verificabili, non a uno slogan, le avevamo già messe in fila. È la distinzione che il Data Act mette per iscritto: l’articolo 28 del regolamento (UE) 2023/2854 obbliga i fornitori a pubblicare «la giurisdizione cui è soggetta l’infrastruttura TIC utilizzata per il trattamento dei dati dei loro servizi individuali» — non l’indirizzo del capannone. Ne abbiamo scritto ieri: obbligo già in vigore, che quasi nessun fornitore ha ancora verificato.

Tre conseguenze per chi compra

«Data center in Italia» non risponde alla domanda sulla giurisdizione. Risponde alla domanda su latenza e residenza del dato — requisito reale, ma diverso. Vanno scritti separati in capitolato: dove sta il dato, sotto quale ordinamento risponde chi lo gestisce.
La catena di controllo va risalita, e scritta nel contratto. Una S.r.l. italiana detenuta da un veicolo estero è lecita — lo sono entrambe quelle di oggi. Ma è la catena a determinare a quali ordini, di quale Paese, il fornitore possa essere soggetto. Il MIMIT la dichiara riga per riga; nei contratti di fornitura, quasi mai.
Un commissario straordinario accelera l’autorizzazione, non la conformità. Lo stesso comma 4 lo scrive: la deroga non tocca la legge penale, l’antimafia, né — comma 7 — il golden power. Restano gli obblighi ordinari del gestore: sicurezza, continuità, comunicazione al CVCN per chi rientra nel perimetro cibernetico, NIS2 dove applicabile. Il procedimento più veloce li concentra, non li riduce.

Il rovescio, e va detto

L’Italia ha bisogno di capacità di calcolo e non ne ha a sufficienza: questi investimenti la portano, dichiarano lavoro reale — duemila unità in cantiere sul solo campus milanese, quattrocento posti a regime nel Sulcis — e nel caso sardo riconvertono un sito minerario dismesso: un fatto positivo, da riconoscere come tale. Non ci sono, negli atti pubblici disponibili, elementi che indichino nulla di improprio da parte di K2 Strategic o di Energy Vault: nessuna delle due ha fatto niente che il diritto italiano o quello dei rispettivi Paesi non consenta, e questo articolo non lo insinua. La domanda aperta non è se questi investimenti vadano fatti — è politica industriale dichiarata come tale. È se la parola «sovranità», usata per descriverli, misuri ciò che succede sotto il tetto di quei capannoni, o solo dove sorgono.

Il controllo che serve, sui contratti che avete già

Ricostruire la catena di controllo di un fornitore critico — chi lo possiede, chi lo governa, sotto quale ordinamento risponde ciascun anello — non è un esercizio da fare una volta, alla firma, e archiviare: è un controllo che gira sui contratti e sui sistemi di chi compra, con un registro aggiornato a ogni cambio di assetto e la traccia pronta per un’ispezione. Lo stesso impianto tiene insieme, in un modello operativo unico, i dati oggi sparsi di un’organizzazione — contratti, fornitori, archivi, gestionali, inventari dei sistemi — perché su quel modello agiscano agenti AI che eseguono decisioni con un operatore umano al comando: per grandi imprese, difesa, pubblica amministrazione e sanità. Sempre in due modalità — on-premise su macchine autonome senza integrazione profonda nella rete del cliente, o cloud dedicato con VPN dedicata e data center in Italia, locali presidiati da noi — sempre a gestione condivisa e multimodello: sistemi già in esercizio in diverse realtà enterprise, non una promessa da comunicato.

Volete sapere chi controlla davvero, e sotto quale legge, il fornitore che ospiterà i vostri dati? Mezz’ora per ricostruire insieme i tre nomi che contano.