Avvia una prova

Note operative Osservatorio

Microsoft e l’unità 8200: quando il cloud provider stacca la spina

5 min di lettura

Veduta aerea di un grande complesso di data center tra le colline
Il cloud è sempre un luogo fisico, dentro una giurisdizione — e dentro una politica.

Il 25 settembre 2025 Microsoft ha fatto una cosa che nessun hyperscaler aveva mai fatto in modo così esplicito: ha disattivato servizi cloud e AI a un’unità delle forze armate di un governo alleato, dichiarando pubblicamente il perché. Il destinatario era un’unità del Ministero della Difesa israeliano — i resoconti giornalistici la identificano nell’unità 8200, l’intelligence dei segnali — e il motivo era l’uso di Azure per archiviare intercettazioni di massa di telefonate palestinesi. La decisione chiude (per ora) una vicenda durata mesi, costruita da inchieste giornalistiche, proteste interne e due revisioni successive. Vale la pena ricostruirla con precisione, perché per chiunque compri cloud — pubblico o privato — è un caso di scuola.

I fatti, in ordine

  • Febbraio 2025 — l’inchiesta AP. L’Associated Press documenta che l’uso di AI commerciale di Microsoft e OpenAI da parte dell’esercito israeliano è cresciuto fino a circa 200 volte i livelli precedenti al 7 ottobre 2023, e che i dati archiviati su server Microsoft sono raddoppiati, oltre i 13 petabyte. Tra gli usi descritti: trascrizione e traduzione di comunicazioni intercettate. Microsoft, in quella fase, non commenta.
  • Maggio 2025 — la prima revisione. Dopo le proteste di alcuni dipendenti (due erano stati licenziati in aprile per aver interrotto l’evento del cinquantenario), Microsoft pubblica una nota: conferma di fornire al Ministero della Difesa israeliano software, servizi professionali, Azure e Azure AI, e dichiara di non aver trovato prove che le proprie tecnologie siano state usate «per colpire o danneggiare persone» a Gaza. Ammette però un limite strutturale: non ha visibilità sull’uso dei propri prodotti nei sistemi dei clienti.
  • Agosto 2025 — l’inchiesta Guardian/+972/Local Call. La ricostruzione descrive una piattaforma di sorveglianza dell’unità 8200 costruita su Azure e operativa dal 2022, con l’ambizione — riferita da fonti interne — di archiviare «un milione di chiamate l’ora». A luglio 2025 i dati arrivavano a circa 11.500 terabyte, in gran parte in data center nei Paesi Bassi e in Irlanda. Microsoft avvia una revisione formale affidata allo studio legale Covington & Burling e a consulenti tecnici indipendenti. Le proteste interne si intensificano: in agosto un sit-in nell’ufficio del presidente Brad Smith a Redmond finisce con arresti e licenziamenti.
  • 25 settembre 2025 — la decisione. Brad Smith comunica che la revisione ha trovato elementi che confermano parti dell’inchiesta, inclusi il consumo di storage Azure nei Paesi Bassi e l’uso di servizi AI da parte del Ministero della Difesa israeliano. Microsoft «cessa e disabilita» le sottoscrizioni specifiche coinvolte, richiamando un principio di lunga data: la propria tecnologia non deve facilitare la sorveglianza di massa dei civili.

Due precisazioni doverose. Primo: la misura è chirurgica — riguarda servizi e sottoscrizioni specifiche, non il rapporto complessivo con Israele, che prosegue, incluso il fronte cybersecurity. Secondo: Microsoft ha ribadito di non poter accedere ai contenuti dei clienti, e di aver quindi lavorato sui propri registri commerciali; le descrizioni più gravi dell’uso di quei dati restano allegazioni giornalistiche, non accertamenti dell’azienda. I fatti confermati da Microsoft stessa, però, bastano a fondare la lezione.

Lezione n. 1: il cloud provider è un attore geopolitico

Il fornitore di cloud non è un fornitore di corrente elettrica. Ha condizioni d’uso, valori dichiarati, dipendenti che protestano, giornalisti che indagano — e la capacità tecnica di spegnere un servizio unilateralmente. Nel caso in esame lo ha fatto verso un apparato militare; nulla, contrattualmente, rende impensabile che accada ad altri, per ragioni etiche, legali o di pressione politica. Chi progetta sistemi critici su cloud pubblico deve trattare questa eventualità come un rischio concreto: continuità operativa, copie dei dati sotto proprio controllo, piano di uscita testato. È il cuore del nostro modo di progettare architetture che restano del cliente.

Lezione n. 2: le condizioni d’uso sono un contratto vero — nei due sensi

Microsoft ha agito invocando i propri termini di servizio: vietano l’uso della tecnologia per la sorveglianza di massa dei civili. È la dimostrazione che le acceptable use policy non sono boilerplate: definiscono ciò che il fornitore può contestarvi e ciò che voi potete pretendere da lui. Ma il caso mostra anche il rovescio: il fornitore non vede cosa fate nel vostro tenant, e voi non vedete cosa il fornitore decide nei suoi. La conformità dell’uso resta responsabilità di chi compra — con controllo umano documentato sui processi che toccano dati personali, come chiediamo di fare su ogni progetto.

Lezione n. 3: la sovranità è sapere dove sono i dati, e chi può spegnere cosa

Un dettaglio dell’inchiesta merita attenzione: i dati dell’unità 8200 stavano in data center europei, nei Paesi Bassi e in Irlanda. Giurisdizioni terze si sono trovate dentro una vicenda che non avevano scelto — e il cliente militare ha scoperto che la propria infrastruttura dipendeva da decisioni prese a Redmond. Per chi lavora in settori sensibili, difesa inclusa, la domanda non è «cloud sì o no», ma: quali dati possono stare su infrastrutture di terzi, in quale giurisdizione, con quale piano se il fornitore — per sue ragioni — chiude il rubinetto.

Cosa fare, se comprate cloud

  1. Leggete le condizioni d’uso del vostro provider: cosa vieta, cosa può sospendere, con che preavviso.
  2. Mappate dati e regioni: quali informazioni stanno in quali giurisdizioni, e sotto quale diritto.
  3. Testate il piano di continuità: se una sottoscrizione venisse disabilitata domani, cosa si ferma? In quanto tempo ripartite altrove?
  4. Documentate l’uso legittimo: policy interne e controllo umano sui trattamenti sensibili, per reggere l’onere della prova — verso il fornitore e verso il regolatore.
  5. Negoziate trasparenza: clausole su localizzazione, notifica delle sospensioni, esportabilità completa dei dati.

Volete capire quanto la vostra operatività dipende dalle decisioni del vostro cloud provider? Mezz’ora con un nostro esperto per la prima valutazione.

Fonti