Urzędnicy obronni sprzeciwiają się naciskowi Brukseli na chmurę wyłącznie krajową
Europejscy urzędnicy obronni i wykonawcy z branży zbrojeniowej publicznie sprzeciwiają się Cloud and AI Development Act Komisji Europejskiej, ustawie przedstawionej w czerwcu 2026 roku, która miałaby klasyfikować usługi publiczne według wrażliwości. Deklarowanym celem ustawy jest ograniczenie strukturalnej zależności Unii Europejskiej od amerykańskich hiperskalerów, ale urzędnicy w kilku państwach członkowskich twierdzą, że harmonogram wyprzedza tempo dojrzewania krajowych alternatyw.
Tylko najwyższy poziom wrażliwości wymagałby technologii "w pełni krajowej", a według własnego szacunku Komisji poziom ten dotyczy zaledwie około jednego procenta usług publicznych. Urzędnicy i wykonawcy obronni ostrzegają, że szybkie odejście od Amazon Web Services, Microsoft Azure i Google Cloud, które razem kontrolują około 70 procent unijnego rynku chmury, grozi pozostawieniem sił zbrojnych z gorszymi systemami, większymi lukami cybernetycznymi i trudniejszą koordynacją z sojusznikami z NATO. Myśliwiec F-35 to przykład, do którego urzędnicy wciąż wracają: jego infrastruktura cyfrowa działa osadzona w amerykańskich usługach chmurowych, zamiast być kupiona jako wymienna subskrypcja, czyli dokładnie ten rodzaj zależności, który najwyższy poziom ma zlikwidować.
Dwóch wysokich rangą unijnych urzędników obronnych i kilka europejskich firm zbrojeniowych szacuje amerykańską przewagę w chmurowych i AI-owych platformach obronnych na osiem do dziesięciu lat, lukę, której ich zdaniem nie da się zamknąć w harmonogramie samej ustawy. Nie każdy wykonawca czeka, by się o tym przekonać: Airbus ogłosił w lipcu 2026 roku, że przeniesie niektóre kluczowe aplikacje z AWS do francuskiego dostawcy Scaleway, jeszcze zanim pojawił się jakikolwiek prawny obowiązek, by to zrobić.
Cztery etapy, jeden szczytowy poziom: czego naprawdę wymaga 'w pełni krajowa'
Cloud and AI Development Act wyznacza cztery rosnące etapy suwerenności, a tylko ostatni wymaga w pełni krajowego stosu technologicznego. Etap pierwszy wymaga fizycznego przechowywania danych na terenie UE, progu, który spełnia już większość obecnych umów z hiperskalerami. Etap drugi dodaje niezależność od prawa państw trzecich i przejrzyste łańcuchy dostaw, wykluczając sytuacje, w których obcy rząd mógłby wymusić dostęp do danych. Etap trzeci wymaga unijnej własności i kontroli nad samym dostawcą, a nie tylko nad jego centrami danych. Etap czwarty, zarezerwowany dla około jednego procenta usług uznanych za najbardziej wrażliwe, wymaga pełnej przejrzystości oprogramowania i braku jakiegokolwiek wpływu państw trzecich.
| Etap | Wymóg | Zakres |
|---|---|---|
| Etap 1 | Fizyczne przechowywanie danych na terenie UE | Szeroki, większość obciążeń sektora publicznego |
| Etap 2 | Niezależność od prawa państw trzecich, przejrzyste łańcuchy | Usługi wrażliwe, ale nie szczytowego poziomu |
| Etap 3 | Unijna własność i kontrola dostawcy | Usługi wysoce wrażliwe |
| Etap 4 | Pełna przejrzystość oprogramowania, brak wpływu państw trzecich ("w pełni krajowa") | Około 1 procent usług publicznych |
Fińska minister spraw zagranicznych Elina Valtonen wprost wyraziła leżącą u podstaw obawę, mówiąc, że Helsinki przygotowuje się na ryzyko, iż zagraniczny dostawca uruchomi "kill switch" przeciwko krajowi. James Appathurai, zastępca asystenta sekretarza generalnego NATO, odpowiedział z perspektywy interoperacyjności, podkreślając, że sojusznicze siły zbrojne muszą wymieniać dane z pola walki płynnie i szybko, co staje się trudniejsze za każdym razem, gdy stos chmurowy jednego państwa członkowskiego oddala się od stosu sąsiadów.
Poza sporem: rodzący się problem zgodności o dwóch prędkościach
Spór, który zdominował nagłówki, dotyczy tego, jak szybko Unia Europejska powinna ograniczyć zależność od chmury, ale bardziej użyteczne pytanie dla przedsiębiorcy brzmi, co się stanie, gdy etap czwarty rzeczywiście obejmie zaledwie jeden procent usług. W debacie suwerenność jako cel polityczny i suwerenność jako ryzyko operacyjne traktowane są jak ten sam problem; nie są. Cel polityczny to ograniczenie strukturalnej dźwigni, jaką obcy rząd mógłby mieć nad europejskimi usługami publicznymi w czasie kryzysu. Ryzyko operacyjne polega na tym, że wymuszenie zmiany według sztywnego harmonogramu, zanim krajowe alternatywy zamkną lukę ośmiu do dziesięciu lat, mogłoby samo w sobie stworzyć te awarie cybernetyczne i interoperacyjne, którym ustawa ma zapobiegać.
Ten podział tworzy problem zgodności o dwóch prędkościach, który obok nagłówków o suwerenności otrzymał bardzo mało uwagi. Dziewięćdziesiąt dziewięć procent objętych usług pozostaje przy w dużej mierze niezmienionych umowach z hiperskalerami w ramach etapów pierwszego i drugiego, które głównie formalizują praktyki już wspierane przez AWS, Azure i Google Cloud. Pozostały jeden procent potrzebuje całkowicie odrębnego, dużo mniejszego łańcucha dostaw krajowych dostawców, a nie jest jasne, czy taki łańcuch w ogóle już istnieje w skali i dojrzałości zakładanej przez ustawę. Wykonawcy obsługujący ten szczytowy poziom, od firm takich jak Scaleway po specjalistycznych dostawców chmury obronnej, którzy dziś ledwie istnieją, mają się rozwijać w terminie wyznaczonym przez politykę, a nie przez własne możliwości. Wykonawcy obsługujący wszystkich pozostałych stają przed dużo lżejszym obciążeniem zgodnością, ubranym w ten sam język "suwerenności", co ułatwia obu grupom, i ich klientom z sektora publicznego, błędną ocenę, jakie zasady faktycznie ich dotyczą.
Na co powinien uważać przedsiębiorca powiązany z obronnością w UE
Przedsiębiorca sprzedający instytucjom publicznym UE lub klientom powiązanym z obronnością powinien najpierw ustalić, do którego z czterech etapów będą należeć jego własne umowy, ponieważ obowiązki etapów pierwszego i drugiego są bliskie obecnej praktyce, podczas gdy etap czwarty to zupełnie inny rodzaj działalności. Zapytaj, czy obecni dostawcy chmury lub oprogramowania mają wiarygodną drogę do certyfikacji na etapie trzecim lub czwartym, czy też ta praca jeszcze się nie rozpoczęła, ponieważ dostawca zaskoczony przy umowie na szczytowym poziomie staje się także problemem kupującego.
Obserwuj, jak poszczególne państwa członkowskie wdrażają ustawę, ponieważ właśnie państwa wschodnie i nordyckie, najbardziej skupione na interoperacyjności z NATO, są też najbardziej skłonne szukać wyjątków lub wolniejszych harmonogramów dla usług powiązanych z obronnością, co mogłoby stworzyć drugi, krajowy wzorzec dwóch prędkości obok tego ogólnounijnego. Wreszcie śledź, czy w ciągu najbliższych dwóch do trzech lat w ogóle powstanie prawdziwy, w pełni krajowy łańcuch dostaw chmury i AI; jeśli tak się nie stanie, poziom jednego procenta grozi staniem się kategorią zgodności bez dostawców zdolnych ją wypełnić, co samo w sobie jest ryzykiem operacyjnym.
Czytaj dalej: UE Wiąże Centra Danych AI z Planowaniem Sieci | Komisja użyła amerykańskiej AI do naboru personelu
