Jeśli poświęciło się choć trochę czasu na lekturę nagłówków od momentu, gdy Unia Europejska ogłosiła zamiar wprowadzenia Aktu o rozwoju chmury i sztucznej inteligencji (CADA), można dojść do jednego z dwóch wniosków: albo Europa w końcu rozwiązała wszystkie swoje problemy z suwerennością, albo niebo wali się na głowę, a globalni dostawcy usług chmurowych lada moment znikną z europejskiego krajobrazu.
Prawda, jak to zwykle bywa, leży pośrodku.
Rozmawiając z klientami z całej Europy, regularnie spotykam obie te postawy. Jedni obawiają się, że CADA tylko skomplikuje sytuację i nie rozwiąże ich realnych problemów. Inni martwią się, że to koniec ery hiperskalerów na naszym kontynencie. Żadne z tych założeń nie jest jednak trafne.
Moje stanowisko w tej sprawie jest proste. CADA to ani koniec świata, ani uniwersalne panaceum. To ważny krok naprzód, ponieważ daje nam ramy do bardziej świadomego zarządzania ryzykiem związanym z suwerennością danych. Nie eliminuje go jednak w stu procentach i ta różnica jest kluczowa.
PRZECZYTAJ TAKŻE: Prywatna i suwerenna sztuczna inteligencja powinna stać się teraz kluczowym elementem Twojej strategii biznesowej
Suwerenność cyfrowa to tak naprawdę kwestia ryzyka biznesowego
Kiedy rozmawiamy o suwerenności cyfrowej, dyskusja często błyskawicznie schodzi na tematy stricte techniczne. W rzeczywistości jednak suwerenność to przede wszystkim sprawa biznesowa. Powiedziałabym wręcz, że sprowadza się ona do zarządzania ryzykiem, co w erze sztucznej inteligencji nabiera szczególnego znaczenia.
Firmy na co dzień analizują najróżniejsze zagrożenia, począwszy od cyberbezpieczeństwa i kwestii operacyjnych, przez łańcuchy dostaw, aż po klęski żywiołowe. Suwerenność cyfrowa idealnie wpisuje się w tę kategorię.
W przeciwieństwie do tradycyjnych aplikacji, systemy AI nie służą tylko do przechowywania danych. Przetwarzają je, uczą się na ich podstawie i wyciągają wnioski, na bazie których podejmują decyzje. To sprawia, że pojęcie suwerenności wykracza poza samą lokalizację serwerów. Obejmuje również to, gdzie powstaje wiedza, w jaki sposób się nią zarządza, a także czy podejmowane przez sztuczną inteligencję decyzje są przejrzyste, możliwe do wytłumaczenia i weryfikacji.
Suwerenność cyfrowa opiera się na trzech głównych filarach:
- Suwerenność danych
- Suwerenność operacyjna
- Suwerenność techniczna
W praktyce ocena tego ryzyka sprowadza się do następujących pytań:
- Czy rząd obcego państwa może uzyskać dostęp do naszych wrażliwych informacji?
- Czy napięcia geopolityczne zagrażają stabilnemu dostępowi do kluczowych technologii?
- Czy jurysdykcja, pod którą podlega dostawca, naraża firmę na kłopoty prawne?
To właśnie tego typu tematy trafiają prosto na biurka zarządów. Dlatego też CADA należy traktować jako ramy strategiczne, a nie jedynie kolejny techniczny wymóg.
W CADA chodzi o silniejszą suwerenność, a nie o pełną suwerenność
Jednym z największych nieporozumień wokół CADA jest przekonanie, że ustawa ta rzekomo zakazuje korzystania z usług hiperskalerów lub zmusza firmy do pracy w hermetycznie zamkniętych środowiskach. Nic bardziej mylnego.
CADA ma po prostu wprowadzić jaśniejsze zasady kontroli nad suwerennością, pozwalając jednocześnie firmom czerpać pełne korzyści z globalnych ekosystemów chmurowych.
Rynek już od jakiegoś czasu podąża w tym kierunku, a suwerenność staje się kluczowym elementem strategii samych hiperskalerów. Globalni dostawcy inwestują w suwerenne regiony chmurowe, lokalne modele operacyjne, środowiska o ograniczonym dostępie oraz szyfrowanie kontrolowane przez klienta. Rozwijają także opcje offline, fizyczną izolację oraz partnerskie modele usług. Wszystko to powstaje z myślą o europejskich procesach przetwarzania danych, które podlegają surowym regulacjom.
Dlatego też dyskusja o CADA nie powinna sprowadzać się do wyboru między hiperskalerami a Europą. Warto raczej skupić się na tym, jak w odpowiedzialny sposób połączyć globalne możliwości chmury z europejskimi wymogami prawnymi i lokalnymi modelami operacyjnymi.
Dla wielu organizacji dylemat wcale nie będzie polegał na odgórnym wskazaniu chmury publicznej lub infrastruktury prywatnej. Kluczem okaże się znalezienie właściwej równowagi. Firmy połączą suwerenne usługi chmurowe tam, gdzie spełniają one wymogi prawne i operacyjne, ze środowiskami prywatnymi w tych obszarach, w których wymaga tego wyższy profil ryzyka.
Zintegrowane podejście oparte na ryzyku w praktyce
Sektor bankowy stanowi tu doskonały przykład, ponieważ od dawna z powodzeniem stosuje tę logikę. Podstawowe systemy finansowe i wysoce wrażliwe dane klientów podlegają rygorystycznej kontroli. Jednocześnie wiele instytucji przeniosło do chmury publicznej mniej krytyczne procesy, takie jak analityka, obsługa klienta, platformy programistyczne czy cyfrowe usługi dodane. W tych obszarach korzyści po prostu przeważają nad ewentualnym ryzykiem.
CADA zapewnia znacznie jaśniejsze ramy regulacyjne i gwarancyjne dla takiego modelu zarządzania. Poszerza również wachlarz opłacalnych finansowo rozwiązań, które plasują się gdzieś pomiędzy standardową chmurą publiczną a dedykowaną infrastrukturą prywatną. Dylemat, przed którym stają dziś banki, staje się zatem dużo bardziej konkretny. Muszą one precyzyjnie ustalić, które zadania mogą pozostać w standardowej chmurze, które wymagają wdrożenia mechanizmów suwerennej kontroli, a do których niezbędne okażą się środowiska w pełni prywatne.
Rezultatem tego jest bardziej precyzyjna, oparta na dowodach i gotowa do procedur zakupowych wersja tego, co organizacje podlegające regulacjom robią już od lat.
Celem jest właściwa kontrola, a nie całkowita izolacja
Kolejnym powszechnym mitem jest przekonanie, że Europa może osiągnąć całkowitą niezależność od pozaeuropejskich dostawców. Na ten moment to po prostu nierealny scenariusz. Nie dysponujemy dziś w pełni europejskim, kompleksowym ekosystemem technologicznym, który byłby w stanie zastąpić wszystkie rozwiązania, z jakich obecnie korzystają firmy.
Niektóre organizacje dążą do całkowitego usunięcia zagranicznych komponentów ze swojej infrastruktury. Choć takie podejście jest zrozumiałe, często opiera się na myleniu samej możliwości z realnym prawdopodobieństwem. Ponadto koszty i kompromisy, na które trzeba przy tym pójść, bywają niedoszacowane.
Oczywiście istnieją hipotetyczne scenariusze, w których napięcia geopolityczne mogą doprowadzić do nagłych ograniczeń technologicznych. Firmy powinny jednak podejmować decyzje na podstawie realistycznej oceny ryzyka, a nie wyłącznie pod wpływem najczarniejszych scenariuszy. W ostatecznym rozrachunku chodzi przecież o właściwą kontrolę, a nie o całkowitą izolację.
Na ile słuszna jest powszechna krytyka CADA?
Większość zarzutów wobec CADA wpisuje się w dobrze znane schematy. Przyjrzyjmy się bliżej najpopularniejszym z nich.
„CADA ma charakter protekcjonistyczny i może spowolnić rozwój Europy”.
Rozumiem te obawy. Nie uważam jednak, aby firmy musiały wybierać między innowacyjnością a suwerennością danych. Skuteczne strategie będą łączyć rozwiązania hiperskalerów tam, gdzie jest to uzasadnione, suwerenne środowiska tam, gdzie to konieczne, oraz architektury hybrydowe w obszarach, w których ma to największy sens. W gruncie rzeczy chodzi o zapewnienie organizacjom realnego wyboru.
„CADA zwiększy koszty i poziom skomplikowania.”
Pytanie brzmi: w porównaniu z czym?
W zestawieniu z modelem opartym wyłącznie na chmurze publicznej, niektóre mechanizmy kontroli suwerenności mogą rzeczywiście generować dodatkowe koszty. Jeśli jednak firma miałaby budować i utrzymywać własną infrastrukturę prywatną, rozwiązania suwerenne mogą okazać się znacznie bardziej opłacalną alternatywą.
Co ważniejsze, CADA motywuje organizacje do klasyfikowania procesów pod kątem poziomu ryzyka i stopnia ich krytyczności. Nie każde zadanie wymaga przecież najwyższego poziomu suwerenności. Na przykład firma farmaceutyczna prowadząca poufne projekty badawczo-rozwojowe może stosować rygorystyczne mechanizmy kontroli w odniesieniu do danych naukowych, korzystając jednocześnie z bardziej elastycznych środowisk do obsługi codziennych aplikacji biznesowych. Takie precyzyjne podejście pozwala uniknąć niepotrzebnych kosztów.
„Europa nie dysponuje wystarczającymi zasobami własnymi.”
W tej obawie jest ziarno prawdy. Europejski ekosystem suwerennej chmury i sztucznej inteligencji wciąż się rozwija, a w niektórych obszarach widać jeszcze pewne braki technologiczne.
Postęp nie wymaga jednak od razu pełnej doskonałości. Organizacje mogą przyjąć podejście etapowe. Polega ono na korzystaniu z dostępnych usług chmurowych tam, gdzie jest to uzasadnione, przy jednoczesnym stopniowym budowaniu suwerennej infrastruktury wokół absolutnie kluczowych zasobów.
Od 2019 roku Unia Europejska oraz Japonia działają w ramach wzajemnego porozumienia o adekwatności. Warto w tym miejscu przypomnieć, że to właśnie w Japonii mieści się siedziba Grupy NTT, której główną częścią jest NTT DATA. Wspomniane porozumienie oficjalnie uznaje, że systemy ochrony obu stron gwarantują równoważny poziom bezpieczeństwa przy transferze danych osobowych.
W 2023 roku obie strony zakończyły pierwszy przegląd tej umowy i potwierdziły jej dalszą skuteczność. Dzięki temu firmy mogą swobodnie przekazywać dane osobowe między Unią a Japonią. Nie muszą przy tym wdrażać wielu skomplikowanych mechanizmów transferu, które są bezwzględnie wymagane w przypadku innych państw spoza Europy. Otwiera to drogę do budowania płynnych i stabilnych partnerstw strategicznych.
Ma to ogromne znaczenie. Suwerenność nie ogranicza się bowiem wyłącznie do fizycznej lokalizacji serwerów. Obejmuje ona również kwestię zaufanych jurysdykcji, odpowiednich ram zarządzania oraz długoterminowych relacji biznesowych.
PRZECZYTAJ TAKŻE: Przebudowa architektury z myślą o przyszłości. Dlaczego chmury prywatne i suwerenne wiodą prym w erze sztucznej inteligencji
„Definicje są zbyt niejasne.”
Taka krytyka jest w pełni uzasadniona. Twórcy wielu regulacji celowo pozostawiają spore pole do interpretacji, ponieważ technologia rozwija się znacznie szybciej niż prawo. Prawdziwym wyzwaniem dla firm staje się więc przełożenie suchych przepisów na praktyczną architekturę, modele zarządzania oraz procedury operacyjne.
Właśnie w takich sytuacjach kluczowe okazuje się doświadczenie. Nie chodzi bowiem o to, czy definicja jest w stu procentach precyzyjna, lecz o to, jak odnieść ją do realiów konkretnej firmy, przetwarzanych przez nią informacji oraz jej specyficznego profilu ryzyka.
Które branże jako pierwsze odczują te zmiany?
Choć CADA ostatecznie wpłynie na niemal każdy sektor gospodarki, niektóre z nich zmierzą się z nowymi wymogami znacznie wcześniej.
Na pierwszy plan wysuwa się tu branża energetyczna oraz sektor usług komunalnych. Podmioty te zarządzają przecież krytyczną infrastrukturą państwową, a jednocześnie podlegają ogromnej presji związanej z koniecznością pilnej modernizacji.
Wzmożonej kontroli będą oczywiście podlegać również instytucje finansowe, branża farmaceutyczna, sektor obronny oraz szeroko pojęta administracja publiczna.
Dlaczego to cenna szansa dla Europy
CADA nie powinna wywoływać w firmach paniki ani paraliżować ich działań. Zamiast tego musi zachęcać organizacje do podejmowania mądrzejszych decyzji. Rozwiązaniem wcale nie jest gorączkowa próba błyskawicznego osiągnięcia suwerenności na każdym możliwym polu.
W pierwszej kolejności należy zrozumieć skalę ryzyka, odpowiednio sklasyfikować procesy biznesowe, wybrać właściwy model kontroli i opracować praktyczny plan działania. Plan ten powinien umiejętnie łączyć chmurę publiczną, prywatną i suwerenną z nowoczesną infrastrukturą sztucznej inteligencji.
W NTT DATA pomagamy znaleźć idealną równowagę pomiędzy autonomią a otwartością, bezpieczeństwem a innowacjami, a także lokalną kontrolą a globalnymi możliwościami.
Nasze podejście łączy dogłębną ocenę suwerenności, odpowiednią klasyfikację zadań, etapowe planowanie architektury oraz kompleksowe zarządzanie wdrożeniem. Pomagamy optymalnie wykorzystać istniejące rozwiązania chmurowe w miejscach, w których są one w pełni wystarczające. Jednocześnie wspieramy firmy w budowie prywatnych lub suwerennych zasobów w obszarach o absolutnie krytycznym znaczeniu.
CO DALEJ
Dowiedz się więcej o usługach NTT DATA w obszarze prywatnej i suwerennej sztucznej inteligencji. Skontaktuj się z naszym zespołem, aby sprawdzić, w jaki sposób możemy pomóc Ci w skutecznym zarządzaniu systemami AI na dużą skalę, gwarantując Twojej firmie pełną autonomię, cyfrową odporność oraz wyraźną przewagę nad konkurencją.