Il 10 giugno 2025, davanti a una commissione d'inchiesta del Senato francese, il direttore degli affari pubblici e legali di Microsoft France viene interrogato sotto giuramento. La domanda: può garantire che i dati dei cittadini francesi affidati a Microsoft non saranno mai trasmessi alle autorità americane senza il consenso delle autorità francesi? La sua risposta sta in una frase: «No, non posso garantirlo» (tradotto dal francese). Aggiunge che non è mai successo — e che, se una decisione di un tribunale americano lo impone, Microsoft deve consegnare i dati (Usine Digitale, Techniques de l'Ingénieur).
Non è una confessione che riguarda solo Microsoft. È la descrizione esatta di una legge che vale anche per tutti i suoi concorrenti americani: il CLOUD Act. E riguarda direttamente il file che stai per caricare su un convertitore PDF.
Cosa dice la legge, in tre frasi
Il Clarifying Lawful Overseas Use of Data Act è stato approvato dal Congresso americano nel 2018, dopo anni di braccio di ferro tra l'FBI e Microsoft su alcune e-mail archiviate in Irlanda (Techniques de l'Ingénieur, risorse del Dipartimento di Giustizia americano). Autorizza le autorità americane a esigere da un fornitore di servizi soggetto alla giurisdizione degli Stati Uniti i dati che sono in suo «possesso, custodia o controllo», ovunque siano fisicamente archiviati (IT for Business). Il criterio non è dove si trova il server. È la nazionalità dell'azienda che lo controlla.
In concreto: un file su un server AWS a Parigi, Azure a Marsiglia o Google Cloud a Saint-Ghislain è raggiungibile da una richiesta americana esattamente come se fosse in Virginia. «Server in Europa» è un'informazione geografica. Il CLOUD Act è una questione di diritto.
Chi è coinvolto
Qualsiasi azienda «soggetta alla giurisdizione degli Stati Uniti»: le società americane e le loro filiali, ovunque operino. Rientrano i tre hyperscaler (Amazon Web Services, Microsoft Azure, Google Cloud) e, più in generale, ogni editore americano di software o di servizi online.
Per gli strumenti PDF, questo disegna due cerchi:
I servizi che sono essi stessi americani. Adobe (Acrobat online) e Foxit sono società americane. Un file caricato da loro è, per tutta la durata della conservazione, detenuto da un'entità direttamente presa di mira dalla legge.
I servizi europei ospitati da un americano. È il caso più frequente e il meno visibile. iLovePDF (Barcellona) descrive nella sua pagina Sicurezza un'infrastruttura basata su «partnership cloud» e un fornitore di storage che non nomina. Smallpdf (Svizzera) dichiara di elaborare i file «nel cloud». Se quel cloud è uno dei tre hyperscaler — ed è così per la stragrande maggioranza dei servizi di quelle dimensioni — il file è detenuto da un fornitore soggetto al CLOUD Act, qualunque sia la nazionalità del servizio che vedi sullo schermo. Solo PDF24 scrive «server localizzati in Germania», senza precisare nemmeno lui presso chi.
La domanda da porre a qualsiasi servizio non è quindi «dove sono i vostri server?» ma «di chi sono?». Nessuno dei cinque grandi convertitori risponde nella pagina in cui carichi il file — abbiamo letto le loro pagine una per una.
«Non è mai successo»
È la seconda metà della risposta di Microsoft, ed è vera per quanto ne sa l'azienda. Tre osservazioni:
- Una richiesta fondata sul CLOUD Act può essere accompagnata da un divieto di informarne il cliente. «Mai successo» significa «mai successo per quanto ne sappiamo, o mai reso noto».
- Il rischio non è statistico, è strutturale: la legge esiste, la procedura esiste, e un file che si trova presso un fornitore coinvolto vi è esposto per tutto il tempo in cui ci resta.
- Lo Stato francese ne ha tratto le conseguenze: la legge SREN del 2024 impone di ospitare i dati sensibili della pubblica amministrazione su infrastrutture qualificate SecNumCloud (la qualificazione di sicurezza francese rilasciata dall'ANSSI, l'agenzia nazionale per la cybersicurezza). La versione 3.2 di quel referenziale esige che il fornitore e le sue filiali non siano soggetti — né per la sede, né per l'azionariato, né per il diritto applicabile — a ingiunzioni di accesso di autorità straniere (donneespersonnelles.fr). Il Health Data Hub, ospitato su Microsoft Azure dal 2020 e criticato per questo, ha annunciato il 23 aprile 2026 il passaggio a Scaleway, fornitore qualificato (Tech Insider, ActuIA). Quando lo Stato rinuncia a un fornitore per i suoi dati sanitari, la domanda merita di essere posta anche per i tuoi.
La risposta degli hyperscaler: tre strategie, uno stesso problema
I fornitori americani hanno capito che «server in Europa» non basta più. Ciascuno ha costruito una risposta, e il modo in cui l'ha costruita dice molto su cosa la legge esige davvero.
AWS: una struttura separata, ma sempre Amazon. Il 15 gennaio 2026 AWS ha aperto l'AWS European Sovereign Cloud nel Brandeburgo: infrastruttura fisicamente e logicamente isolata dal resto di AWS, 7,8 miliardi di euro di investimento, gestione riservata a personale residente nell'UE, una nuova società madre e tre filiali di diritto tedesco dirette da cittadini europei, un direttore generale europeo, un comitato consultivo composto esclusivamente da cittadini dell'UE (About Amazon, aws.eu, Developpez.com). È uno sforzo reale e costoso. Ma queste entità restano detenute da Amazon, e il CLOUD Act colpisce ciò che è sotto il «controllo» di un fornitore americano: la stampa specializzata ha osservato che nessuna organizzazione, per quanto compartimentata, può offrire una garanzia assoluta finché la casa madre resta soggetta al diritto degli Stati Uniti (IT for Business). L'offerta non è qualificata SecNumCloud.
Google: cedere il controllo a un terzo europeo. Google ha scelto un'altra strada: S3NS, una joint venture di diritto francese creata nel 2022, detenuta in maggioranza e gestita da Thales, che fornisce i servizi Google Cloud da centri dati francesi. La sua offerta PREMI3NS ha ottenuto la qualificazione SecNumCloud 3.2 nel dicembre 2025 — la prima combinazione di tecnologia americana e gestione francese a superare l'esame di immunità dalle leggi extraterritoriali dell'ANSSI (Business Wire, PAC).
Microsoft: la stessa strada, non ancora fino in fondo. Bleu, società francese detenuta da Orange e Capgemini, distribuisce Azure e Microsoft 365 in un'infrastruttura isolata dai sistemi globali di Microsoft. Ha superato le prime tappe della qualificazione SecNumCloud nel 2025 e punta alla qualificazione completa nel 2026, non ancora ottenuta a metà anno (Usine Digitale, Synapsys). Microsoft propone inoltre l'EU Data Boundary, un impegno a elaborare i dati nell'UE — che non cambia nulla alla nazionalità dell'azienda.
Ciò che queste tre strategie hanno in comune è più interessante delle loro differenze: per sfuggire alla legge, l'azienda che detiene i dati deve smettere di essere americana. Una filiale non basta (AWS); servono un azionista europeo di maggioranza e una gestione indipendente (S3NS, Bleu). È esattamente ciò che il referenziale SecNumCloud 3.2 esige, ed è ciò che gli stessi hyperscaler hanno finito per riconoscere costruendo queste strutture. I critici parlano di «sovranità di facciata», perché il codice e gli aggiornamenti restano di proprietà dell'editore americano (Parlons Cloud); i sostenitori vi vedono l'unico modo di avere servizi ricchi senza esposizione giuridica. Il dibattito è legittimo. Ed è anche fuori dalla portata di chi usa un convertitore PDF.
Perché ecco il punto che ti riguarda: nessuno dei grandi convertitori PDF online dichiara di usare una di queste offerte. Non nominano affatto il proprio fornitore di hosting. Non sei quindi né su S3NS, né su Bleu, né presso un fornitore SecNumCloud; sei, con ogni probabilità, su una regione classica di un hyperscaler americano — la stessa che lo Stato ha deciso di lasciare per i suoi dati sanitari.
Cosa cambia per un file PDF
Un convertitore online conserva il tuo file un'ora, due ore, a volte per una durata non precisata. In quella finestra il file è in chiaro (il server deve leggerlo per elaborarlo) ed è detenuto dal fornitore di hosting. Se quel fornitore è soggetto al CLOUD Act, lo è anche il tuo file, per tutta la finestra.
Per un CV o una brochure, il problema non si pone. Per tutto ciò che rientra nel segreto professionale, in un procedimento, in una cartella clinica, in una trattativa o in dati di terzi di cui sei responsabile ai sensi del GDPR, si pone esattamente come si è posto per lo Stato e i suoi dati sanitari.
E c'è un punto che le discussioni sulla sovranità dimenticano: il GDPR ti rende titolare del trattamento dei dati contenuti nei file che carichi. Le informative sulla privacy dei convertitori lo precisano. Se un file con i dati dei tuoi clienti o dei tuoi dipendenti viene consegnato a un'autorità straniera dai server di un responsabile del trattamento che hai scelto tu, è la tua catena di subfornitura a essere in discussione.
L'unico dato fuori portata: quello che non parte
Il CLOUD Act si applica ai dati detenuti da un fornitore. Un dato che non è mai stato trasmesso a nessun fornitore non è detenuto da nessun altro che te. È un'esenzione per costruzione, non per contratto.
È il principio di PDFKami: unione, compressione, divisione e conversione vengono eseguite nel tuo browser, sulla tua macchina. Il file non viene caricato. Non c'è cloud — né americano né europeo — perché non c'è un server di elaborazione. Il sito stesso è servito da un'infrastruttura europea, ma questo dettaglio riguarda solo la pagina, non i tuoi file: loro non si muovono. E non è una dichiarazione da prendere sulla parola: la politica di sicurezza della pagina (CSP) vieta tecnicamente qualsiasi connessione in uscita, e puoi verificarlo in 60 secondi.
Cosa questo approccio non copre: l'OCR pesante, la conversione da PDF a Word, la firma qualificata. Per queste operazioni serve un server — e solo per queste, la domanda «di chi è il server?» diventa la prima da porre. Dal 2 agosto 2026 si aggiunge a quelle che pone l'AI Act quando uno strumento «IA» legge i tuoi documenti.