Uniunea Europeană încearcă să își țină datele sensibile în clouduri mai puțin dependente de Big Tech american

Uniunea Europeană încearcă să reducă dependența de cloudurile controlate de mari companii americane, într-un moment în care infrastructura digitală a devenit esențială pentru administrații, companii, inteligență artificială, securitate și servicii publice. În ECA Journal, editorialul numărului dedicat tranziției digitale și AI notează că peste 70% din datele UE, personale, comerciale și guvernamentale, sunt stocate în clouduri controlate de Statele Unite.

Pe scurt

1. ECA Journal notează că peste 70% din datele UE sunt stocate în clouduri controlate de companii americane.

2. Comisia Europeană a creat un Cloud Sovereignty Framework pentru a evalua cât control european există asupra serviciilor cloud cumpărate de instituțiile UE.

3. În 2025, Comisia a lansat o achiziție de până la 180 milioane de euro pe șase ani pentru servicii cloud suverane.

4. Cadrul folosește cinci niveluri SEAL, de la lipsă de suveranitate până la control digital complet european.

5. În contractele Comisiei, una dintre cele mai stricte condiții interzice transferul datelor în afara UE, inclusiv metadatele și telemetria rezultate din folosirea serviciului.

Cloudul nu mai este doar un serviciu tehnic pentru stocarea fișierelor. El susține administrații publice, baze de date guvernamentale, sisteme de sănătate, securitate cibernetică, aplicații de inteligență artificială, servicii pentru companii și comunicații sensibile. Cine controlează infrastructura cloud poate influența unde sunt datele, ce lege li se aplică, ce riscuri apar în crize și câtă autonomie reală mai are o instituție europeană.

Articolul din ECA Journal despre Cloud Sovereignty Framework descrie schimbarea de logică a Comisiei Europene. În 2019, politica europeană era încă dominată de ideea de „cloud first”, adică folosirea mai rapidă a cloudului pentru transformare digitală. Beneficiile erau clare: scalabilitate, viteză, costuri mai mici și inovare. Între timp, riscurile au devenit mai vizibile.

Pandemia de COVID-19 a arătat cât de necesare sunt serviciile cloud pentru școli, vaccinare, administrație și servicii publice, dar și cât de fragilă poate fi infrastructura când lanțurile de aprovizionare sunt perturbate. Războiul Rusiei împotriva Ucrainei a arătat că serviciile cloud pot menține funcționarea unui stat în condiții de război, dar și că Europa depinde mult de furnizori non-europeni pentru capacități digitale critice.

Ascensiunea inteligenței artificiale a amplificat problema. Modelele AI au nevoie de capacitate mare de calcul, centre de date, cipuri avansate și servicii cloud performante. Autorii articolului arată că aceste resurse sunt controlate în mare măsură de un număr mic de hyperscaleri americani, iar decalajul de investiții poate lăsa Europa într-o poziție de consumator, nu de producător al tehnologiilor digitale avansate.

Comisia încearcă să răspundă printr-un cadru care transformă „suveranitatea cloud” în criterii concrete de achiziție. Cloud Sovereignty Framework nu tratează suveranitatea ca pe o etichetă binară, suveran sau nesuveran, ci ca pe un spectru. Un serviciu poate oferi mai mult sau mai puțin control european, în funcție de dreptul aplicabil, controlul operațiunilor, tehnologia folosită, lanțul de aprovizionare și dependențele externe.

Cadrul definește opt dimensiuni ale suveranității: alinierea strategică la interesele UE, protecția față de interferențe juridice străine, controlul asupra datelor și sistemelor AI, capacitatea de operare independentă, controlul dependențelor hardware și software, independența tehnologică, respectarea standardelor europene de securitate și sustenabilitatea de mediu.

Pentru evaluare, Comisia folosește scala SEAL, de la SEAL-0 la SEAL-4. SEAL-0 înseamnă lipsă de suveranitate, cu servicii, tehnologie sau operațiuni controlate exclusiv de entități din afara UE și guvernate de jurisdicții non-europene. SEAL-4 înseamnă suveranitate digitală completă, cu tehnologie și operațiuni aflate sub control european complet, supuse doar jurisdicției UE și fără dependențe critice de actori non-europeni.

În achiziția Comisiei pentru servicii cloud suverane, furnizorii au trebuit să atingă cel puțin SEAL-2. Acest nivel înseamnă suveranitate asupra datelor, dar cu dependențe materiale care pot rămâne, inclusiv control indirect al unor terți din afara UE asupra tehnologiei sau operațiunilor.

Comisia a lansat în 2025 o procedură de achiziție de până la 180 milioane de euro pe șase ani pentru servicii cloud suverane destinate instituțiilor, organismelor, oficiilor și agențiilor UE. Suma este mică față de piața globală, dar are valoare strategică deoarece creează cerere, stabilește standarde și arată ce condiții pot fi impuse furnizorilor care vor să lucreze cu instituțiile europene.

Una dintre cele mai stricte condiții contractuale interzice transferul datelor în afara UE. Interdicția nu se aplică doar datelor clienților, ci și datelor generate prin folosirea serviciului cloud, precum metadatele și telemetria. Acest detaliu contează deoarece datele despre utilizare pot spune mult despre activitatea unei instituții, chiar dacă nu conțin documentele originale.

Piața a reacționat pozitiv la aceste cerințe, potrivit articolului. Din cele patru consorții câștigătoare, trei au atins nivelul SEAL-3 și sunt actori europeni: un parteneriat luxemburghezo-francez condus de Post Telecom cu OVHcloud și CleverCloud, compania germană STACKIT din Schwarz Group și compania franceză Scaleway din Iliad Group. Al patrulea consorțiu, condus de Proximus împreună cu Thales și Google, a atins SEAL-2.

Autorii subliniază că participarea unui consorțiu care include tehnologie Google arată că instituțiile europene nu exclud automat hyperscalerii. Diferența este că nivelul de suveranitate este măsurat și comparat, iar reziliența la riscuri geopolitice legate de entități non-UE este luată în calcul.

Articolul descrie și diversitatea furnizorilor cloud din Europa. Există furnizori europeni full stack, furnizori europeni care folosesc tehnologii non-UE, servicii bazate pe tehnologie de hyperscaler operate de firme europene, regiuni cloud europene operate de filiale ale hyperscalerilor și ofertele standard globale ale hyperscalerilor. Fiecare model oferă niveluri diferite de control și expunere.

Această clasificare este importantă pentru instituțiile publice. O autoritate care cumpără cloud nu cumpără doar spațiu de stocare sau putere de calcul, ci și o arhitectură juridică și tehnică. Dacă tehnologia, personalul, operațiunile sau accesul la date depind de actori din afara UE, riscurile pot apărea în situații de criză, litigii, sancțiuni, presiuni politice sau cereri de acces venite din alte jurisdicții.

Autorii articolului menționează și legea americană CLOUD Act, care permite autorităților federale americane să solicite date de la companii tehnologice americane, indiferent dacă datele sunt stocate în Statele Unite sau în afara lor. Pentru Europa, problema nu este doar locul fizic al serverului, ci controlul juridic și operațional asupra furnizorului.

Cloud Sovereignty Framework încearcă să facă aceste riscuri comparabile. Scorul de suveranitate nu permite ca excelența într-un domeniu să compenseze slăbiciuni critice în altul. Un furnizor nu poate acoperi o dependență juridică sau operațională majoră doar prin performanță tehnică bună sau prin prețuri competitive.

Pentru Comisie, achizițiile publice devin astfel un instrument industrial. Instituțiile UE pot crea cerere pentru servicii europene mai suverane, pot forța piața să ofere garanții mai clare și pot ajuta furnizorii europeni să crească. Achiziția de 180 milioane de euro nu schimbă singură piața, dar poate stabili o metodă pe care alte instituții publice sau chiar companii private să o folosească.

Articolul notează că acest cadru ar putea fi folosit și dincolo de prima achiziție, ca instrument de evaluare a altor servicii digitale, ca grilă de audit pentru sistemele interne și ca sprijin pentru politici publice și reglementarea pieței.

Cloudul a devenit o piesă centrală a suveranității digitale europene. Dacă datele, metadatele, modelele AI și operațiunile critice sunt controlate prin infrastructuri externe, autonomia europeană rămâne limitată chiar și atunci când regulile sunt europene.

Cloud Sovereignty Framework nu rezolvă singur dependența de Big Tech american, dar o transformă într-o problemă măsurabilă. Pentru prima dată, instituțiile UE au o metodă de a compara furnizorii nu doar după preț și performanță, ci după controlul real asupra datelor, tehnologiei, operațiunilor și riscurilor geopolitice.