Itävaltalainen päätös Microsoft 365 Educationista, jälleen etualalle noussut Polytechnique-tapaus, sittenkin jatkettu puitesopimus: eurooppalainen pilvidoktriini etenee siksakissa. Tietohallintojohtajien on kuitenkin tehtävä valintansa nyt.
Digitaalinen suvereniteetti ratkeaa harvoin suurissa puheissa; se ratkeaa oikeusriidoissa. Kaksi asiaa muistutti tästä tänä keväänä. Itävallassa tietosuojaviranomainen katsoi, että Microsoft 365 Educationin käyttö rikkoi GDPR:ää, erityisesti siksi, että rekisterinpitäjien on mahdotonta todella hallita datavirtoja ja alihankintaketjua. Ranskassa Polytechniquen valinta Microsoftin hyväksi nousi jälleen etualalle kesäkuun alussa, ja alan lehdistö näki siinä ennakkotapauksen, joka voi jakaa kortit uudelleen koko julkiselle sektorille. Samaan aikaan — ja tässä on koko paradoksi — opetusministeriön ja yhdysvaltalaisen julkaisijan välinen puitesopimus jatkettiin.
Näiden tapausten yhteinen nimittäjä ei ole se amerikkalaisvastaisuus, joka niihin joskus liitetään. Kyse on tosiasiallisesta hallinnasta: kuka voi päästä käsiksi dataan, minkä oikeuden nojalla, millä vastuunalaisilla takeilla? Siitä lähtien kun Privacy Framework mitätöitiin Schrems-tyyliin, jokainen siirtojärjestely nojaa vaikutustenarviointeihin, joita viranomaiset tutkivat nyt rivi riviltä. Yhdysvaltain oikeus — FISA 702, CLOUD Act — pätee edelleen amerikkalaisiin toimittajiin riippumatta siitä, missä data on isännöity. Mikään sopimuslauseke ei mitätöi vierasta pakottavaa lakia: juuri tämän puhtaasti oikeudellisen havainnon sääntelijät alkavat viedä loppuun asti.
Ranskan puolella ANSSIn SecNumCloud-luokitus vakiintuu vähitellen jakolinjaksi: teknisten vaatimusten ohella se asettaa kriteeriksi immuniteetin ekstraterritoriaalista lainsäädäntöä vastaan omistus- ja hallintorakenteen ehtojen kautta. "Cloud au centre" -doktriini varaa periaatteessa valtion arkaluontoiset tiedot luokitelluille tarjoamille. Mikä vuonna 2026 muuttuu, on leviäminen valtion ulkopuolelle: säännellyt toimijat, terveydenhuolto, koulutus, kunnat — ja heijastusvaikutuksena niiden toimittajat. Ohjelmistotalolle mahdollisuus tulla otetuksi käyttöön luokitellulla isännöitsijällä tai on-premise -ympäristössä on nousemassa ensiluokkaiseksi myyntivaltiksi, ei vain vaatimustenmukaisuuden ruuduksi.
Ensinnäkin kartoita kriittisyyden eikä mukavuuden mukaan: mitkä tiedot, mitkä käsittelyt todella vaativat immuniteetin ekstraterritoriaalisuutta vastaan? Rehellinen vastaus on harvoin "kaikki", mutta se ei ole koskaan "ei mikään". Toiseksi vaadi palautettavuutta jo sopimuksesta lähtien: avoimet formaatit, dokumentoitu vienti, katkaisukustannukset ylärajattuina. Kolmanneksi salaa omin hallituin avaimin silloin, kun työkuorma jää hyperskaalaajalle — pitäen mielessä, että salaus ei suojaa käsittelyssä olevaa dataa. Neljänneksi rakenna "suvereeneja taskuja": harhaisen täydellisen migraation sijaan eristä kriittiset käyttötapaukset luokitelluille tarjoamille tai on-premiseen, ja hyväksy hybridimalli lopun osalta.
Luottamuksen pilven toinen näytös ei ole mikään suuri vallankumouksen yö. Se on kertymä päätöksiä, tarjouskilpailuja ja sopimusten uusintoja, joissa asia toisensa jälkeen tosiasiallisen hallinnan kysymys painaa hieman enemmän. Organisaatiot, jotka ovat valmistelleet suvereenit taskunsa, tekevät valintansa levollisesti. Muut joutuvat sääntelijöiden aikataulun armoille.
Strategia · 6 min
Yksikään eurooppalainen toimija ei jätä AWS:ää, Azurea tai Google Cloudia lyhyellä aikavälillä. Viisi liikettä, joilla kärsitty riippuvuus muuttuu hallituksi riippuvuudeksi.
Sääntely · 6 min
Asetusta on sovellettu 2. elokuuta alkaen. Eurooppalaisten ohjelmistotalojen todellinen kysymys ei ole enää itse teksti, vaan NIS2:n, CRA:n, GDPR:n ja AI Actin kasautuminen.
Infrastruktuuri · 6 min
Kypsät avoimet mallit, saatavilla olevat GPU:t, kasvavat rajoitteet: paikallisesta inferenssistä on tullut rationaalinen arkkitehtuurivaihtoehto.
Varaa tapaaminen: muunnamme mielellämme artikkelin vastaukseksi juuri sinun tapaukseesi, isännöinti- ja vaatimustenmukaisuusrajoitteinesi.