---
title: "Chi può spegnere il servizio: gli azionisti Microsoft e l’affidamento a fornitore unico"
description: "Il 9 settembre 2026 un deposito alla SEC chiede a Microsoft di misurare i controlli sull’uso che i clienti fanno di cloud e IA. Che cosa cambia in Italia."
url: https://csidia.com/note-operative/microsoft-azionisti-due-diligence-fornitore-unico/
lang: it
date: 2026-09-19
label: "Osservatorio"
publisher: CSIDIA S.r.l. (https://csidia.com/)
english: https://csidia.com/en/notes/microsoft-azionisti-due-diligence-fornitore-unico/
---

# Chi può spegnere il servizio: gli azionisti Microsoft e l’affidamento a fornitore unico

Se avete chiuso un affidamento diretto motivandolo con l’assenza di concorrenza per motivi tecnici, avete già messo agli atti la parte scomoda: un secondo fornitore da chiamare non c’è. Finché la fornitura regge, quella frase è una formalità di gara. Diventa un problema il giorno in cui non siete voi a decidere se il servizio continua. Il 9 settembre 2026, alla SEC, cinquantasei azionisti hanno chiesto a Microsoft di misurare quanto funzionano i suoi controlli sull’uso che i clienti fanno di cloud e intelligenza artificiale.

## Il documento depositato il 9 settembre

Il modulo è un PX14A6G, *Notice of Exempt Solicitation*: si deposita quando si fa campagna su una proposta assembleare senza raccogliere deleghe (Rule 14a-6(g)). Registrante: Microsoft Corporation; depositante: Investor Advocates for Social Justice.

La proposta è stata ridepositata il **1º luglio 2026** dai capofila Religious of the Sacred Heart of Mary Charitable Trust e Sisters of the Sacred Heart of Mary con altri **54 co-firmatari**: cinquantasei azionisti per oltre **300 milioni di dollari** in azioni Microsoft, contro i 59 dell’anno prima. Chiede un rapporto sull’efficacia della due diligence aziendale sui diritti umani «in preventing, identifying, and addressing customer misuse of Microsoft artificial intelligence ("AI") and cloud products or services» (*nel prevenire, individuare e affrontare l’uso improprio, da parte dei clienti, dei prodotti e servizi di IA e di cloud di Microsoft*).

Il precedente sta in un deposito dell’azienda: nel Form 8-K dell’8 dicembre 2025 Microsoft verbalizza l’assemblea del 5 dicembre e la voce «Shareholder Proposal: Report on Human Rights Due Diligence»: respinta, con il **26,34%** dei favorevoli — 1.336.945.255 azioni su 6.321.402.487 votate. Un quarto del capitale votante chiede quel controllo. Il deposito è un fatto; le tesi sono dei proponenti.

## Che cosa dice Microsoft

La posizione dell’azienda è in un suo documento del **4 giugno 2026**, «Summary of 2025 External Investigation and Follow Up». L’indagine affidata allo studio Covington & Burling ha trovato elementi a sostegno di parti della ricostruzione giornalistica — fra cui il consumo di storage Azure nei Paesi Bassi da parte del ministero della Difesa israeliano — e né Microsoft né i suoi consulenti hanno avuto accesso ai contenuti del cliente: si è lavorato sui dati commerciali dell’azienda. Il documento conferma la decisione, comunicata al cliente il 25 settembre 2025, di «cease and disable specified IMOD subscriptions and services» (*cessare e disattivare determinate sottoscrizioni e servizi dell’IMOD*).

Due passaggi contano più del caso. Il primo: «an opportunity to provide further information showing that their use of the disabled services was consistent with our terms of service» (*l’occasione di dimostrare che l’uso dei servizi disattivati era conforme alle nostre condizioni*). Il contraddittorio c’è stato, ma perché concesso. Il secondo, riferito da terzi nel documento stesso: «IMOD apparently planned to transfer the data at issue to a competing cloud platform» (*l’IMOD avrebbe programmato di trasferire i dati su una piattaforma cloud concorrente*). È l’unica risposta a una disattivazione: andare altrove.

Microsoft elenca cinque aree di intervento — fra cui il riesame preventivo degli ingaggi legati alla sicurezza nazionale — e ne dichiara il fine: «predictability for our customers» (*la prevedibilità per i nostri clienti*). È l’azienda a scrivere che la posta, per il cliente, è quella. Il perimetro contrattuale esiste già: l’*Acceptable Use Policy* e l’*Enterprise AI Services Code of Conduct* impongono supervisione umana e controlli d’accesso. [I fatti li avevamo ricostruiti a marzo](https://csidia.com/note-operative/microsoft-azure-israele-inchieste).

## Il pezzo italiano: «dal solo operatore economico»

Il 5 agosto 2026 la Gazzetta europea (S 149/2026) pubblica l’avviso TED **541133-2026**. Committente: **ATS della Città Metropolitana di Milano**, organismo di diritto pubblico. Oggetto: dodici mesi di supporto tecnico «MICROSOFT UNIFIED ENTERPRISE SUPPORT». Procedura negoziata senza previa indizione di gara, ai sensi dell’**art. 76, comma 2, lettera b), del d.lgs. 36/2023**. Giustificazione a modulo: assenza di concorrenza per motivi tecnici. E in chiaro: «Per quanto noto all’ATS Milano, tale servizio può essere garantito dal solo operatore economico Microsoft S.r.l. […] perché non risultano esistere sul mercato operatori partner Microsoft autorizzati».

L’avviso è volontario e contestuale a un’indagine di mercato: l’ente si espone apposta al contraddittorio, come la norma vuole. La direttiva 2014/24/UE, base giuridica citata nell’avviso, all’art. 32, par. 2, lett. b) pone il limite: «Le eccezioni di cui ai punti ii) e iii) si applicano solo quando non esistono sostituti o alternative ragionevoli e l’assenza di concorrenza non è il risultato di una limitazione artificiale dei parametri dell’appalto».

Non è un caso isolato: fra l’8 e il 18 settembre 2026 TED registra ventitré avvisi italiani dello stesso tipo. L’atto certifica l’assenza di alternative, non la crea. La frase che rende legittimo l’affidamento descrive, parola per parola, il vostro rischio di continuità.

## Tre righe da mettere prima della firma

**La sospensione.** Chi può sospendere quale servizio, per quali usi, con che preavviso, e quale replica vi è garantita per iscritto — non concessa dopo.

**L’uscita.** Per le entità finanziarie è già obbligo: il regolamento (UE) 2022/2554 (DORA), art. 28, par. 8, dispone: «Per i servizi TIC a supporto di funzioni essenziali o importanti, le entità finanziarie predispongono strategie di uscita». E l’art. 30, par. 3, lett. f) impone in contratto un periodo di transizione per migrare. Per i soggetti NIS2 vale l’art. 24 del d.lgs. 138/2024 sulla catena di approvvigionamento. Gli altri scrivano comunque il piano: [un audit lo ha già chiesto altrove](https://csidia.com/note-operative/audit-wfp-nessuna-strategia-di-uscita).

**La prova dell’uso.** Se il criterio con cui vi giudicano è l’uso che fate della tecnologia, dovete poterlo documentare: supervisione umana registrata, controlli d’accesso, finalità dichiarate. È quello che la policy d’uso già chiede, e quasi nessuno la tratta come un obbligo probatorio.

## Perché un sistema chiuso

**Il dato non può uscire**: quando la verifica sull’uso la fa un terzo, si fonda — l’azienda lo dichiara — sui propri dati commerciali e sulle notizie di stampa, perché ai contenuti non accede; siete valutati per indizi. **La continuità** qui ha una forma precisa, la disattivazione di sottoscrizioni specifiche, e una sola risposta, migrare: che non ha chi ha dichiarato in un atto pubblico di non avere alternative. **Dovete poter dire che cosa c’è dentro**: senza modello e pesi nel vostro perimetro, la supervisione umana che la policy esige resta una dichiarazione. **Volume e costo**: il supporto si rinnova ogni dodici mesi al prezzo dell’unico operatore indicato. **Il valore resta dentro**: schemi dati, procedure e modelli affinati sul vostro corpus sono il lavoro di anni, e non devono vivere dove un altro li disabilita. Il verso giusto è l’opposto: [l’elaborazione resta nel perimetro](https://csidia.com/soluzioni/protezione-dati), su modelli a pesi aperti e macchine presidiate.

## Quello che non sappiamo

Non sappiamo come voterà l’assemblea 2026 di Microsoft né quando sarà convocata: alla data di questo articolo la proxy non risulta depositata e la posizione del consiglio non è pubblica. Non sappiamo che cosa contengano i contratti: l’avviso TED riporta oggetto, procedura e motivazione, non il testo. Le valutazioni sulle revisioni interne dell’azienda sono dei proponenti, non accertamenti di un’autorità. Il conteggio vale per quella finestra e sopra le soglie europee.

## Fonti

- [SEC EDGAR — PX14A6G su Microsoft, 9 settembre 2026 (depositato; tesi dei proponenti)](https://www.sec.gov/Archives/edgar/data/789019/000121465926011511/o91268px14a6g.htm)
- [SEC EDGAR — Microsoft, Form 8-K 8 dicembre 2025, esiti assembleari (depositato)](https://www.sec.gov/Archives/edgar/data/789019/000119312525311196/d34077d8k.htm)
- [Microsoft — Summary of 2025 External Investigation and Follow Up (dichiarato)](https://cdn-dynmedia-1.microsoft.com/is/content/microsoftcorp/microsoft/msc/documents/presentations/CSR/Summary-of-2025-External-Investigation-Follow-Up.pdf)
- [Microsoft — Update on ongoing Microsoft review, 25 settembre 2025 (dichiarato)](https://blogs.microsoft.com/on-the-issues/2025/09/25/update-on-ongoing-microsoft-review/)
- [TED 541133-2026 — ATS Milano, avviso volontario (atto pubblicato)](https://ted.europa.eu/it/notice/-/detail/541133-2026)
- [EUR-Lex — direttiva 2014/24/UE, art. 32 (fonte primaria)](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32014L0024)
- [EUR-Lex — regolamento (UE) 2022/2554 (DORA), artt. 28 e 30 (fonte primaria)](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32022R2554)
- [Normattiva — d.lgs. 36/2023, art. 76 (fonte primaria)](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2023-03-31;36)

Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/microsoft-azionisti-due-diligence-fornitore-unico/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com