Unijna polityka suwerenności chmury wychodzi poza lokalizację danych

Raport Digital Sovereignty: AI & cloud policies and regulatory frameworks stwierdza, że decydenci coraz częściej przyjmują, iż pełna samowystarczalność technologiczna jest niemożliwa, bo łańcuchy dostaw są globalne. Celem jest raczej strategiczna samodzielność i świadome podejmowanie decyzji, podała Omdia. Ogłoszona w czerwcu 2026 r. ustawa o rozwoju chmury i AI ma dać UE zdolności, infrastrukturę i mechanizmy zarządzania potrzebne do utrzymania autonomii technologicznej.

Co zmieniłaby CADA

CADA ustanowiłaby czteropoziomowe ramy suwerenności dla usług chmurowych używanych przez instytucje UE i organizacje sektora publicznego, podał InfoWorld. Najbardziej wrażliwe obciążenia, w tym w wymiarze sprawiedliwości i egzekwowania prawa, musiałyby działać na usługach o wyższym poziomie zapewnienia. To nie jest całkowity zakaz: projekt przewiduje wyjątki, gdy zgodne z wymogami usługi nie istnieją, podał InfoWorld.

Google Cloud stwierdził, że kryteria na każdym z czterech unijnych poziomów zapewnienia „ograniczyłyby lub wykluczyły globalnych dostawców, niezależnie od stosowanych przez nich zabezpieczeń”. We wpisie na blogu firma przekonywała, że przepisy powinny zostawić miejsce na mechanizmy techniczne, a nie opierać się wyłącznie na sztywnych kryteriach geograficznych.

Model punktowy już w użyciu

Ramy suwerenności chmury Komisji Europejskiej dają już zespołom zakupowym model punktowy, podał Startup Fortune. Ocenia on dostawców w kategoriach obejmujących suwerenność prawną i jurysdykcyjną, suwerenność danych i AI, suwerenność operacyjną, łańcuchy dostaw, technologię, bezpieczeństwo i zgodność oraz względy strategiczne, według Cloud Computing News. Ramy oddzielają miejsce przechowywania danych od tego, czy operatorzy z siedzibą w UE potrafią zarządzać usługą, utrzymywać ją i wspierać bez udziału dostawcy spoza UE.

Ramy posługują się poziomami Sovereignty Effectiveness Assurance Levels (SEAL). SEAL-2 jest traktowany jako minimalny poziom suwerenności danych, a SEAL-3 wskazuje na silniejszą odporność cyfrową, podał Startup Fortune. W przetargu Komisji na suwerenną chmurę z kwietnia 2026 r. większość zwycięskich dostawców osiągnęła SEAL-3, natomiast konsorcjum Proximus osiągnęło SEAL-2 dzięki strukturze wykorzystującej technologię Google Cloud w środowisku prowadzonym przez europejskie firmy, podał Startup Fortune.

W kwietniu 2026 r. Komisja przyznała kontrakty na suwerenną chmurę o wartości do 180 mln euro na sześć lat dostawcom, wśród których znaleźli się Post Telecom z partnerami OVHcloud i CleverCloud, niemiecki STACKIT, Scaleway oraz konsorcjum pod przewodnictwem Proximus, podał Startup Fortune. Proximus poinformował, że Komisja wybrała go wraz z trzema innymi dostawcami do sześcioletniej umowy ramowej obejmującej Komisję, Parlament, Radę, Europejską Służbę Działań Zewnętrznych i 70 europejskich agencji. W jego ofercie wymieniono S3NS, Clarence, Mistral i Thales.

Proximus poinformował, że Komisja wybrała go wraz z trzema innymi dostawcami do sześcioletniej umowy ramowej obejmującej Komisję, Parlament, Radę, Europejską Służbę Działań Zewnętrznych i 70 europejskich agencji. W jego ofercie wymieniono S3NS, Clarence, Mistral i Thales.

Google Cloud przywołał ten zestaw partnerów we wpisie na blogu. Podał, że oferta S3NS we Francji została zakwalifikowana do SecNumCloud 3.2, a Clarence i S3NS wraz z Mistral zostały zatwierdzone przez Dyrekcję Generalną ds. Usług Cyfrowych Komisji dla instytucji UE potrzebujących suwerennej chmury.

AWS, Microsoft i Google kontrolują około 70% europejskiego rynku infrastruktury chmurowej. Sektor publiczny jest przez to narażony na przepisy obowiązujące za granicą, głównie amerykańskie, podał InfoWorld.

Co dalej

Omdia podała, że jasnych wytycznych dotyczących wymogów suwerenności AI i chmury w dużej mierze brakuje, choć suwerenność pojawia się w programach coraz większej liczby rządów. Google Cloud poprosił Komisję o zmianę elementów CADA, by uniknąć tego, co nazwał „niezamierzoną izolacją rynku”.