واقعیت جدید فضای ابری اتحادیه اروپا: راهنمای قانون توسعه ابری و هوش مصنوعی (CADA)، سطوح حاکمیت و الزامات بخش دولتی

بخش دولتی اروپا بر زیرساخت ابری آمریکایی متکی است، که این امر تضاد مستقیمی بین تمایل قاره برای استقلال دیجیتال و واقعیت سلطه بازار آمریکا ایجاد کرده است. سه هایپراسکالر آمریکایی — آمازون وب سرویسز، گوگل کلود و مایکروسافت آژور — در حال حاضر بیش از ٧٠ درصد بازار ابری اروپا را کنترل می‌کنند. سیاست‌گذاران اروپایی سال‌ها هشدار داده‌اند که اتکا به گروه متمرکزی از ارائه‌دهندگان خارجی برای میزبانی حیاتی‌ترین خدمات عمومی و داده‌های سازمانی قاره، یک وابستگی استراتژیک غیرقابل قبول ایجاد می‌کند. این عدم تعادل ساختاری، تلاش یک دهه‌ای برای حاکمیت تکنولوژیک را به دنبال داشته که اوج آن در تلاش قانون‌گذاری برای بازنویسی کامل قوانین خرید دیجیتال نمایان شده است.[1]

این تنش در جایی به اوج می‌رسد که حریم خصوصی داده‌ها با قوانین خارجی تلاقی پیدا می‌کند. بر اساس قانون CLOUD آمریکا، مقامات آمریکایی می‌توانند شرکت‌های مستقر در ایالات متحده را مجبور کنند که داده‌ها را تحویل دهند، صرف نظر از اینکه سرورها از نظر جغرافیایی کجا قرار دارند. برای دولت‌های اروپایی که داده‌های شهروندان، لجستیک دفاعی و زیرساخت‌های حیاتی را مدیریت می‌کنند، این دسترسی فرامرزی یک آسیب‌پذیری ساختاری است که دیگر نمی‌توانند آن را بپذیرند. ارائه‌دهنده‌ای که مشمول قانون CLOUD است، نمی‌تواند به طور موثق تضمین کند که یک کشور ثالث هرگز در عملیات آن دخالت نخواهد کرد. این درگیری قضایی، میزبانی ابری را از یک تصمیم صرفاً فنی و مالی به یک تمرین انطباق ژئوپلیتیکی با ریسک بالا تبدیل کرده است.[1]

راه‌حل در قالب «قانون توسعه ابری و هوش مصنوعی» (CADA) ارائه شده است. CADA که توسط کمیسیون اروپا در ٣ ژوئن ٢٠٢٦ پیشنهاد شد، به عنوان محور اصلی یک بسته گسترده‌تر حاکمیت فناوری عمل می‌کند. هدف این قانون، توسعه زیرساخت‌های ابری و هوش مصنوعی مستقر در اتحادیه اروپا و همزمان ایجاد یک چارچوب واحد در سراسر اتحادیه برای درجه‌بندی حاکمیت ارائه‌دهندگان ابری است. کمیسیون اروپا با تدوین معنای واقعی «حاکمیت دیجیتال» در مراحل قابل تأیید، از اصطلاحات بازاریابی فاصله گرفته و به سمت استانداردهای خرید سخت‌گیرانه و قابل ممیزی برای بخش دولتی حرکت می‌کند.

نکته عملی فوری برای خریداران فناوری اطلاعات در بخش دولتی و شرکت‌ها این است: خرید خدمات ابری اکنون مستلزم تطبیق بارهای کاری با ریسک ژئوپلیتیکی است. نهادهای بخش دولتی، اپراتورهای زیرساخت‌های حیاتی و سازمان‌هایی که خدمات را تحت قراردادهای عمومی خریداری می‌کنند، باید سیستم‌های خود را بر اساس حساسیت دسته‌بندی کرده و آنها را با سطوح حاکمیتی جدید CADA هماهنگ کنند. اگرچه این قانون هنوز در پارلمان اروپا در حال بررسی است، اما چارچوب آن از هم‌اکنون انتظارات خرید در صنایع تحت نظارت را شکل داده است. سازمان‌ها نباید برای شروع ممیزی زیرساخت‌های خود و برنامه‌ریزی برای مهاجرت‌های احتمالی، منتظر تصویب نهایی بمانند.[2]

چارچوب CADA به جای یک سیستم دوگانه که صرفاً ارائه‌دهندگان خارجی را تأیید یا ممنوع می‌کند، خدمات ابری را در چهار «سطح تضمین اتحادیه» (UAL ١ تا UAL ٤) درجه‌بندی می‌کند. هر سطح تعیین می‌کند که یک ارائه‌دهنده مجاز به میزبانی چه نوع بارهای کاری دولتی و زیرساخت‌های حیاتی است، بر اساس معیارهایی مانند مکان زیرساخت، شفافیت زنجیره تأمین و مالکیت شرکتی. این رویکرد چندلایه به اتحادیه اروپا اجازه می‌دهد تا حساس‌ترین داده‌های خود را ایمن کند، بدون اینکه به طور کامل خود را از اکوسیستم فناوری جهانی جدا سازد.

سطح ١ (UAL ١) به عنوان حداقل استاندارد برای همکاری تجاری با بخش دولتی اروپا عمل می‌کند. این سطح مستلزم آن است که پردازش و ذخیره‌سازی داده‌ها به طور کامل در زیرساخت‌های واقع در اتحادیه اروپا انجام شود. هیچ الزامات اضافی در مورد مالکیت شرکتی، تابعیت پرسنل یا زنجیره تأمین نرم‌افزار وجود ندارد. این یک کف استاندارد است که هایپراسکالرهای آمریکایی می‌توانند به راحتی با استفاده از مناطق مراکز داده موجود خود در اروپا آن را برآورده کنند و اطمینان حاصل کنند که برای اکثریت قریب به اتفاق قراردادهای استاندارد دولتی، بدون نیاز به بازسازی نهادهای شرکتی خود، واجد شرایط باقی می‌مانند.

سطح ٢ (UAL ٢) پیچیدگی عملیاتی را معرفی می‌کند. ارائه‌دهندگان باید استقلال قابل تأییدی از کشورهای ثالث نشان دهند و شفافیت کامل را در زنجیره‌های تأمین نرم‌افزاری خود حفظ کنند. ارائه‌دهندگان آمریکایی عموماً می‌توانند با همکاری با شرکت‌های مخابراتی یا فناوری اطلاعات اروپایی به این سطح دست یابند تا به عنوان دیوارهای آتش عملیاتی عمل کنند. با جدا کردن مدیریت روزمره و پشتیبانی فنی از شرکت مادر آمریکایی، این سرمایه‌گذاری‌های مشترک، دسترسی قضایی قوانین خارجی را خنثی می‌کنند، در حالی که همچنان به مشتریان اروپایی اجازه می‌دهند از فناوری هایپراسکالر استفاده کنند.

دیوار ساختاری در سطح ٣ (UAL ٣) ایجاد می‌شود. برای واجد شرایط بودن در این سطح، یک ارائه‌دهنده ابری باید در اتحادیه اروپا مستقر، تحت مالکیت اتحادیه اروپا و تحت کنترل اتحادیه اروپا باشد. همچنین الزامات سخت‌گیرانه‌ای برای تابعیت پرسنل مسئول زیرساخت‌ها معرفی می‌شود. به دلیل دسترسی فرامرزی قانون CLOUD آمریکا، هایپراسکالرهای آمریکایی عملاً از این سطح محروم هستند، صرف نظر از اینکه مراکز داده آنها کجا ساخته شده یا چگونه مشارکت‌های محلی خود را ساختار می‌دهند.[1]

سطح ٤ (UAL ٤) نشان‌دهنده حاکمیت کامل دیجیتال است. این سطح نیازمند شفافیت و کنترل کامل بر زنجیره تأمین نرم‌افزار، با تضمین‌های مطلق علیه دخالت کشورهای ثالث است. این بالاترین درجه استقلال دیجیتال است که توسط چارچوب نظارتی به رسمیت شناخته شده و منحصراً برای حساس‌ترین بارهای کاری امنیت ملی، دفاع، مدیریت مرزها و عدالت رزرو شده است. در حال حاضر تنها بخش کوچکی از ارائه‌دهندگان اروپایی زیرساخت‌ها و کنترل‌های امنیتی لازم برای برآورده کردن این استاندارد سخت‌گیرانه را دارند.[1]

برای رهبران فناوری اطلاعات، هزینه و پیچیدگی انطباق کاملاً به طبقه‌بندی بارهای کاری بستگی دارد. کمیسیون اروپا تخمین می‌زند که تقریباً ٧٠ درصد قراردادهای دولتی فقط به سطح ١ و ٢٠ درصد دیگر به سطح ٢ نیاز خواهند داشت. این رویکرد عمل‌گرایانه به این معنی است که هایپراسکالرهای جهانی همچنان برای ٩٠ درصد از کسب‌وکار دولتی واجد شرایط باقی می‌مانند، که از اختلال ناگهانی در خدمات جلوگیری کرده و به ادارات دولتی اجازه می‌دهد تا همچنان از ابزارهای پیشرفته هوش مصنوعی و ابری استفاده کنند.[2]

با این حال، ١٠ درصد باقی‌مانده قراردادها – آنهایی که به سطح ٣ یا ٤ نیاز دارند – منحصراً برای ارائه‌دهندگان اروپایی مانند OVHcloud، STACKIT و Scaleway محفوظ خواهد بود. برای این بازیگران داخلی، CADA یک بازار محافظت‌شده فراهم می‌کند تا به آنها کمک کند در برابر غول‌های آمریکایی رشد کنند. این قانون با اختصاص بارهای کاری بسیار سودآور و حساس به امنیت به شرکت‌های تحت مالکیت اتحادیه اروپا، به عنوان یک سیاست صنعتی هدفمند عمل می‌کند که برای پرورش یک اکوسیستم ابری داخلی رقابتی طراحی شده تا در نهایت بتواند با جایگزین‌های خارجی رقابت کند.[2]

فراتر از سیستم سطح‌بندی، CADA اصل «اولویت با متن‌باز» را برای بخش دولتی اتحادیه اروپا الزامی می‌کند. نهادهای دولتی باید هنگام ساخت اکوسیستم‌های ابری و هوش مصنوعی خود، استانداردها و نرم‌افزارهای منتشر شده تحت مجوزهای متن‌باز را در اولویت قرار دهند. این الزام برای جلوگیری از قفل شدن در یک فروشنده خاص، افزایش قابلیت همکاری بین کشورهای عضو و تضمین این است که پول عمومی صرف کدهایی شود که بتوانند آزادانه توسط عموم استفاده مجدد و ممیزی شوند.

این تغییر در خرید، چالشی مستقیم برای مدل‌های نرم‌افزاری اختصاصی ایجاد می‌کند. نرم‌افزاری که توسط یا برای نهادهای دولتی توسعه می‌یابد، اکنون در «کاتالوگ راه‌حل‌های متن‌باز اتحادیه اروپا» متمرکز خواهد شد. شبکه‌ای از دفاتر برنامه‌های متن‌باز برای تسهیل همکاری ایجاد خواهد شد تا اطمینان حاصل شود که یک برنامه سفارشی ساخته شده برای یک شهرداری در فرانسه می‌تواند به راحتی توسط یک دولت منطقه‌ای در آلمان بدون هزینه‌های مکرر مجوزدهی مستقر شود. هدف، ایجاد یک دارایی دیجیتال مشترک در سراسر قاره است.

این قانون همچنین قصد دارد محدودیت‌های فیزیکی ناشی از رونق هوش مصنوعی را برطرف کند. CADA با درک اینکه حاکمیت نیازمند سخت‌افزار واقعی است، هدف تهاجمی حداقل سه برابر کردن ظرفیت مراکز داده اتحادیه اروپا طی پنج تا هفت سال آینده را تعیین می‌کند. این قانون استقرار مراکز داده را با شناسایی سایت‌های مناسب، ساده‌سازی فرآیندهای صدور مجوز برای پروژه‌های پایدار، و بهبود دسترسی به منابع حیاتی مانند انرژی، زمین و تأمین مالی برای حمایت از نیازهای محاسباتی رو به رشد قاره، تسهیل می‌کند.

در حالی که CADA در حال حاضر یک پیشنهاد قانونی است که در حال گذراندن مذاکرات سه‌جانبه بین کمیسیون اروپا، پارلمان و شورا است، مسیر آن مشخص است. هدف، تصویب نهایی تا اواخر سال ٢٠٢٧ است، اما سیگنال‌های خرید از هم‌اکنون در حال تغییر شکل بازار هستند. مناقصه‌های بزرگ اروپایی در حال حاضر از اصول این چارچوب برای ارزیابی پیشنهادات استفاده می‌کنند، که نشان می‌دهد دوران خرید ابری بدون نظارت رسماً به پایان رسیده و واقعیت جدیدی مبتنی بر انطباق آغاز شده است.[2]

سازمان‌های اروپایی باید از امروز ممیزی معماری ابری خود را آغاز کنند. گام فوری این است که بارهای کاری موجود را بر اساس حساسیت دسته‌بندی کرده و آنها را با سطوح UAL پیشنهادی تطبیق دهند. رهبران فناوری اطلاعات باید هر سیستم حیاتی را که در حال حاضر بر روی زیرساخت سطح ١ یا ٢ میزبانی می‌شود و نیاز به مهاجرت به یک ارائه‌دهنده اروپایی سطح ٣ دارد، شناسایی کنند. با در نظر گرفتن حاکمیت به عنوان یک الزام معماری اصلی از هم‌اکنون، شرکت‌ها می‌توانند از مهاجرت‌های اجباری و پرهزینه در زمان اجرای کامل این الزام جلوگیری کنند.[2]