Chi può spegnere il servizio: gli azionisti Microsoft e l’affidamento a fornitore unico

Se avete chiuso un affidamento diretto motivandolo con l’assenza di concorrenza per motivi tecnici, avete già messo agli atti la parte scomoda: un secondo fornitore da chiamare non c’è. Finché la fornitura regge, quella frase è una formalità di gara. Diventa un problema il giorno in cui non siete voi a decidere se il servizio continua. Il 9 settembre 2026, alla SEC, cinquantasei azionisti hanno chiesto a Microsoft di misurare quanto funzionano i suoi controlli sull’uso che i clienti fanno di cloud e intelligenza artificiale.

Il documento depositato il 9 settembre

Il modulo è un PX14A6G, Notice of Exempt Solicitation: si deposita quando si fa campagna su una proposta assembleare senza raccogliere deleghe (Rule 14a-6(g)). Registrante: Microsoft Corporation; depositante: Investor Advocates for Social Justice.

La proposta è stata ridepositata il 1º luglio 2026 dai capofila Religious of the Sacred Heart of Mary Charitable Trust e Sisters of the Sacred Heart of Mary con altri 54 co-firmatari: cinquantasei azionisti per oltre 300 milioni di dollari in azioni Microsoft, contro i 59 dell’anno prima. Chiede un rapporto sull’efficacia della due diligence aziendale sui diritti umani «in preventing, identifying, and addressing customer misuse of Microsoft artificial intelligence (“AI”) and cloud products or services» (nel prevenire, individuare e affrontare l’uso improprio, da parte dei clienti, dei prodotti e servizi di IA e di cloud di Microsoft).

Il precedente sta in un deposito dell’azienda: nel Form 8-K dell’8 dicembre 2025 Microsoft verbalizza l’assemblea del 5 dicembre e la voce «Shareholder Proposal: Report on Human Rights Due Diligence»: respinta, con il 26,34% dei favorevoli — 1.336.945.255 azioni su 6.321.402.487 votate. Un quarto del capitale votante chiede quel controllo. Il deposito è un fatto; le tesi sono dei proponenti.

Che cosa dice Microsoft

La posizione dell’azienda è in un suo documento del 4 giugno 2026, «Summary of 2025 External Investigation and Follow Up». L’indagine affidata allo studio Covington & Burling ha trovato elementi a sostegno di parti della ricostruzione giornalistica — fra cui il consumo di storage Azure nei Paesi Bassi da parte del ministero della Difesa israeliano — e né Microsoft né i suoi consulenti hanno avuto accesso ai contenuti del cliente: si è lavorato sui dati commerciali dell’azienda. Il documento conferma la decisione, comunicata al cliente il 25 settembre 2025, di «cease and disable specified IMOD subscriptions and services» (cessare e disattivare determinate sottoscrizioni e servizi dell’IMOD).

Due passaggi contano più del caso. Il primo: «an opportunity to provide further information showing that their use of the disabled services was consistent with our terms of service» (l’occasione di dimostrare che l’uso dei servizi disattivati era conforme alle nostre condizioni). Il contraddittorio c’è stato, ma perché concesso. Il secondo, riferito da terzi nel documento stesso: «IMOD apparently planned to transfer the data at issue to a competing cloud platform» (l’IMOD avrebbe programmato di trasferire i dati su una piattaforma cloud concorrente). È l’unica risposta a una disattivazione: andare altrove.

Microsoft elenca cinque aree di intervento — fra cui il riesame preventivo degli ingaggi legati alla sicurezza nazionale — e ne dichiara il fine: «predictability for our customers» (la prevedibilità per i nostri clienti). È l’azienda a scrivere che la posta, per il cliente, è quella. Il perimetro contrattuale esiste già: l’Acceptable Use Policy e l’Enterprise AI Services Code of Conduct impongono supervisione umana e controlli d’accesso. I fatti li avevamo ricostruiti a marzo.

Il pezzo italiano: «dal solo operatore economico»

Il 5 agosto 2026 la Gazzetta europea (S 149/2026) pubblica l’avviso TED 541133-2026. Committente: ATS della Città Metropolitana di Milano, organismo di diritto pubblico. Oggetto: dodici mesi di supporto tecnico «MICROSOFT UNIFIED ENTERPRISE SUPPORT». Procedura negoziata senza previa indizione di gara, ai sensi dell’art. 76, comma 2, lettera b), del d.lgs. 36/2023. Giustificazione a modulo: assenza di concorrenza per motivi tecnici. E in chiaro: «Per quanto noto all’ATS Milano, tale servizio può essere garantito dal solo operatore economico Microsoft S.r.l. […] perché non risultano esistere sul mercato operatori partner Microsoft autorizzati».

L’avviso è volontario e contestuale a un’indagine di mercato: l’ente si espone apposta al contraddittorio, come la norma vuole. La direttiva 2014/24/UE, base giuridica citata nell’avviso, all’art. 32, par. 2, lett. b) pone il limite: «Le eccezioni di cui ai punti ii) e iii) si applicano solo quando non esistono sostituti o alternative ragionevoli e l’assenza di concorrenza non è il risultato di una limitazione artificiale dei parametri dell’appalto».

Non è un caso isolato: fra l’8 e il 18 settembre 2026 TED registra ventitré avvisi italiani dello stesso tipo. L’atto certifica l’assenza di alternative, non la crea. La frase che rende legittimo l’affidamento descrive, parola per parola, il vostro rischio di continuità.

Tre righe da mettere prima della firma

La sospensione. Chi può sospendere quale servizio, per quali usi, con che preavviso, e quale replica vi è garantita per iscritto — non concessa dopo.

L’uscita. Per le entità finanziarie è già obbligo: il regolamento (UE) 2022/2554 (DORA), art. 28, par. 8, dispone: «Per i servizi TIC a supporto di funzioni essenziali o importanti, le entità finanziarie predispongono strategie di uscita». E l’art. 30, par. 3, lett. f) impone in contratto un periodo di transizione per migrare. Per i soggetti NIS2 vale l’art. 24 del d.lgs. 138/2024 sulla catena di approvvigionamento. Gli altri scrivano comunque il piano: un audit lo ha già chiesto altrove.

La prova dell’uso. Se il criterio con cui vi giudicano è l’uso che fate della tecnologia, dovete poterlo documentare: supervisione umana registrata, controlli d’accesso, finalità dichiarate. È quello che la policy d’uso già chiede, e quasi nessuno la tratta come un obbligo probatorio.

Perché un sistema chiuso

Il dato non può uscire: quando la verifica sull’uso la fa un terzo, si fonda — l’azienda lo dichiara — sui propri dati commerciali e sulle notizie di stampa, perché ai contenuti non accede; siete valutati per indizi. La continuità qui ha una forma precisa, la disattivazione di sottoscrizioni specifiche, e una sola risposta, migrare: che non ha chi ha dichiarato in un atto pubblico di non avere alternative. Dovete poter dire che cosa c’è dentro: senza modello e pesi nel vostro perimetro, la supervisione umana che la policy esige resta una dichiarazione. Volume e costo: il supporto si rinnova ogni dodici mesi al prezzo dell’unico operatore indicato. Il valore resta dentro: schemi dati, procedure e modelli affinati sul vostro corpus sono il lavoro di anni, e non devono vivere dove un altro li disabilita. Il verso giusto è l’opposto: l’elaborazione resta nel perimetro, su modelli a pesi aperti e macchine presidiate.

I due assi, applicati al caso

Adempiere. Il controllo che mettiamo in esercizio è un registro vivo dei servizi critici: quale clausola di sospensione li governa, quale periodo di transizione è pattuito, quale piano di uscita è stato provato e quando — con la traccia datata da esibire a un’ispezione, nei termini dell’art. 28 di DORA e dell’art. 24 del d.lgs. 138/2024.

Decidere. Lo stesso impianto tiene insieme contratti, atti di gara, inventari applicativi e registri di accesso in un modello operativo unico, su cui agenti AI eseguono decisioni con un operatore al comando — per grandi imprese, pubblica amministrazione, sanità e difesa. On-premise oppure cloud dedicato con data center in Italia presidiato da noi, sempre con gestione condivisa.

Sapreste dire, per i tre servizi da cui dipendete di più, chi può sospenderli e in quanti giorni ripartireste? Mezz’ora con un nostro tecnico basta per iniziare.

Quello che non sappiamo

Non sappiamo come voterà l’assemblea 2026 di Microsoft né quando sarà convocata: alla data di questo articolo la proxy non risulta depositata e la posizione del consiglio non è pubblica. Non sappiamo che cosa contengano i contratti: l’avviso TED riporta oggetto, procedura e motivazione, non il testo. Le valutazioni sulle revisioni interne dell’azienda sono dei proponenti, non accertamenti di un’autorità. Il conteggio vale per quella finestra e sopra le soglie europee.