Il fornitore che vi vende il controllo dei dati: da che cosa dipende, e per quanti anni

Se avete firmato — o state per firmare — con un fornitore di piattaforme dati, sapete con quanto preavviso potete uscire voi. Quasi nessuno verifica l’altra metà della pagina: da che cosa dipende lui, fino a quando, e che cosa scrive del vostro contratto ai propri investitori. Se è quotato negli Stati Uniti quella metà è pubblica e gratuita.

Prendiamo il caso più scomodo, quello che più spesso finisce nei capitolati europei. Palantir Technologies Inc. ha depositato alla SEC il modulo 10-Q del trimestre chiuso il 30 giugno 2026. Quello che segue è depositato — non dichiarato a un giornale, non riportato da terzi. Nessun addebito in gioco: un metodo di lettura che vale su qualunque fornitore.

La clausola che protegge voi, per lui è un rischio da dichiarare

Sul recesso il documento è esplicito due volte. Nella nota sui ricavi: «the Company allows many of its customers to terminate contracts for convenience prior to the end of the stated term with less than twelve months’ notice» (la Società consente a molti dei suoi clienti di recedere dai contratti per convenienza prima della scadenza del termine stabilito, con un preavviso inferiore a dodici mesi). E nella descrizione del modello di business: «Many of our customer contracts contain termination for convenience provisions.» (Molti dei nostri contratti con i clienti contengono clausole di recesso per convenienza.)

Per chi compra è una tutela: si esce senza dover motivare. Per chi vende è una voce da quantificare agli investitori. Le obbligazioni di prestazione residue sono definite come «noncancelable contracted revenue that has not yet been recognized» (ricavi contrattualizzati non annullabili non ancora rilevati) e al 30 giugno 2026 valgono 4,9 miliardi di dollari, di cui il 43% atteso entro dodici mesi. Un fattore di rischio ricorda che il valore residuo complessivo dei contratti, al 31 dicembre 2025, era 11,2 miliardi: il raffronto è nostro, e misura lo spazio che il recesso lascia aperto.

Dall’altra parte, un impegno che non si disdice

Il rovescio sta nella nota sugli impegni. Nel marzo 2026 la società ha modificato uno dei propri accordi cloud con terzi: «the Company has committed to spend at least $5.6 billion, with annual minimum commitments of $268 million to $979 million, over ten contract years through February 29, 2036» (la Società si è impegnata a spendere almeno 5,6 miliardi di dollari, con impegni minimi annui fra 268 e 979 milioni, su dieci anni contrattuali fino al 29 febbraio 2036). Altrove il documento chiama queste voci «non-cancelable purchase commitments» (impegni di acquisto non annullabili); e se il consumo resta sotto la soglia, «we may be required to pay certain penalties or fees» (potremmo essere tenuti a pagare determinate penali od oneri).

La forma è simmetrica e opposta: il cliente esce con meno di dodici mesi di preavviso, il fornitore resta legato a una spesa minima fino al 2036. Non è un’anomalia né una colpa: quella rigidità regge la flessibilità concessa a voi.

Lo stesso fattore di rischio nomina chi quell’infrastruttura la fornisce: «AWS, Microsoft Azure, and other third parties have no obligation to renew their agreements with us on commercially reasonable terms, or at all.» (AWS, Microsoft Azure e altri terzi non hanno alcun obbligo di rinnovare i loro accordi con noi a condizioni commercialmente ragionevoli, né di rinnovarli affatto.) Chi vi vende il controllo dei vostri dati compra la propria continuità da qualcun altro, e lo mette per iscritto.

La scala, per non equivocare

Il deposito dichiara 1,9 miliardi di dollari di ricavi nel trimestre, con una crescita del 93%, e 3,6 miliardi nel semestre. I ricavi da clienti governativi valgono 990,0 milioni nel trimestre (553,0 un anno prima) e 1.848,4 milioni nel semestre (1.039,9), con una contribution del segmento pubblico al 71% e al 72%. La ripartizione: «In the six months ended June 30, 2026, 52% of our revenue came from government customers and 48% came from commercial customers.» (Nei sei mesi chiusi il 30 giugno 2026 il 52% dei nostri ricavi è venuto da clienti governativi e il 48% da clienti commerciali.) Su come si contano i clienti abbiamo già scritto in agosto.

Due righe che valgono un capitolato

Il primo sta nella nota sulla concentrazione del rischio di credito: «Customer I represented 27% and 25% of total accounts receivable as of June 30, 2026 and December 31, 2025, respectively.» (Il Cliente I rappresentava rispettivamente il 27% e il 25% dei crediti commerciali totali al 30 giugno 2026 e al 31 dicembre 2025.) Un cliente solo, indicato da una lettera, vale più di un quarto dei crediti; nessun altro supera il 10%, e nessuno supera il 10% dei ricavi. Quale lettera siate voi il documento non lo dice: dice che le lettere esistono.

Il secondo sta nei fattori di rischio sui contratti pubblici, dove la società elenca i diritti che le amministrazioni si riservano e che nei contratti commerciali non ci sono: «claim rights in solutions, systems, or technology produced by us» (rivendicare diritti su soluzioni, sistemi o tecnologie da noi prodotti), per continuare a usarli senza continuare a contrattualizzare il fornitore. È il diritto che ogni compratore vorrebbe e quasi nessuno negozia: se il contratto non ve lo dà, alla scadenza restituite la chiave insieme alla serratura. Lo stesso elenco ricorda che al governo federale statunitense è vietato esercitare opzioni con più di un anno di anticipo.

Il metodo, sul vostro fornitore

Per ciascun fornitore critico, quattro righe.

Con quale preavviso potete uscire, e che cosa vi viene restituito: acconti, dati, configurazioni.
Da che cosa dipende lui, e fino a quando: infrastruttura, licenze, impegni minimi di spesa. Se è quotato, sta in una nota del trimestrale.
Quanto pesate voi su di lui, e quanto pesa un altro cliente solo. Una lettera al 27% dei crediti è un dato sulla sua solidità, non sulla vostra.
Che cosa resta a voi alla scadenza: diritti sul prodotto del lavoro, formati esportabili, dati leggibili senza il suo software. Una strategia di uscita mai eseguita è un paragrafo, come in un audit che quella riga la contestava.

È lo stesso registro che il regolatore europeo impone alle banche sui fornitori ICT critici: non una verifica fatta alla firma, ma una riga che si aggiorna a ogni deposito.

I due assi, applicati al caso

Adempiere. Il controllo che mettiamo in esercizio è un registro vivo delle dipendenze contrattuali e tecniche: per ogni fornitore critico, la clausola di recesso con il preavviso esatto, gli impegni pluriennali che lo vincolano, la data dell’ultima prova di uscita e il documento da cui ogni dato è tratto. Datato, versionato ed esibibile a un’ispezione, non un parere in un fascicolo.

Decidere. Lo stesso impianto tiene insieme contratti, impianti, archivi, gestionali, sensori e documenti in un modello operativo unico, su cui agenti AI eseguono decisioni con un operatore al comando — per grandi imprese, difesa, pubblica amministrazione e sanità. Dentro il vostro perimetro: on-premise su macchine autonome che non richiedono integrazione profonda nella vostra rete, oppure cloud dedicato con data center in Italia presidiato da noi, sempre con gestione condivisa. Un modello che gira dentro non porta con sé una nota di impegni minimi fino al 2036 firmata da qualcun altro.

Sapreste dire, per il vostro fornitore più critico, con quanto preavviso potete uscire e da che cosa dipende lui? Mezz’ora per scrivere la prima riga del registro.

Quello che non sappiamo

Un 10-Q è un documento trimestrale e di parte: redatto per gli investitori, su conti condensati e non sottoposti a revisione contabile. Misura esiti e obblighi, non il modo in cui si lavora dentro l’azienda o dentro i suoi clienti. I fattori di rischio sono ipotesi dichiarate dall’emittente: che cosa potrebbe accadere, non che cosa è accaduto. Non conosciamo i contratti dei singoli clienti né quali contengano la clausola di recesso — il documento dice «many», non tutti. Non sappiamo chi sia la controparte dell’accordo cloud del marzo 2026: il deposito nomina AWS e Microsoft Azure in un fattore di rischio generale sull’hosting, ma non attribuisce a nessuno dei due i 5,6 miliardi. Né sappiamo chi sia il «Customer I».