Co tak naprawdę się zmieniło?
Przez lata pytanie o chmurę było praktyczne: który dostawca i w jakiej cenie. Europejski Pakiet Suwerenności Technologicznej z 2026 roku oraz zawarty w nim Cloud and AI Development Act zmieniają to pytanie. Wprowadzają czterostopniowe ramy suwerenności, które oceniają, jak niezależna jest Twoja infrastruktura od pojedynczego zagranicznego dostawcy. To, gdzie działają Twoje systemy i kto ostatecznie nad nimi panuje, jest teraz sprawą regulowaną, a nie jedynie wyborem architektonicznym.
Nie pojawiają się w pojedynkę. Nakładają się na DORA, NIS2, Data Act oraz AI Act, z których każdy niesie własne obowiązki dotyczące ciągłości, bezpieczeństwa i rozliczalności. Dla firmy działającej w Europie skutkiem jest środowisko zgodności, w którym koncentracja na jednym dostawcy hyperscaler nie jest już tylko wygodna. Jest udokumentowanym narażeniem.
Dlaczego większość firm nie widzi własnego narażenia?
Ponieważ zależność jest ukryta. Niewiele organizacji zależy od jednej chmury w sposób, który dałoby się objąć wzrokiem na jednej stronie. Prawdziwa zależność przebiega przez usługi zarządzane, narzędzia zgodności, przyjęte systemy AI, platformy analityczne, infrastrukturę tożsamości oraz potoki deweloperskie, z których wiele po cichu prowadzi z powrotem do tych samych jednego lub dwóch dostawców.
Gdy więc zarząd pyta, czy firma mogłaby działać dalej, gdyby jej główny dostawca zawiódł lub został uznany za niezgodnego z przepisami, uczciwa odpowiedź brzmi zwykle, że nikt tego nie zmapował. To właśnie tę lukę nowe przepisy zaraz ujawnią, i to właśnie jej zamknięcia DORA już wymaga od regulowanych firm.
Co powinna teraz zrobić poważna firma?
Zmapuj łańcuch zależności, zanim zrobi to za Ciebie regulator albo awaria. Ustal, które krytyczne funkcje sprowadzają się do jednego dostawcy, gdzie nie masz przetestowanego przełączania awaryjnego oraz gdzie poziom suwerenności postawiłby Cię w niekorzystnej sytuacji. To nie jest wezwanie do porzucenia dostawców hyperscaler. To wezwanie do tego, by dokładnie wiedzieć, co zrobiłbyś bez nich, i umieć to wykazać.
Odporność zawsze dotyczyła tej zależności, której nie da się zastąpić. Nowe przepisy sprawiają po prostu, że ta zależność staje się czymś, co teraz musisz zobaczyć, udokumentować i obronić. Firmy, które zmapują ją wcześnie, potraktują terminy jak rutynę. Te, które zaczekają, odkryją kształt swojej zależności w najgorszym możliwym momencie.
Czytaj dalej: Disney i Paramount pozywają ByteDance za wideo tworzone przez AI | Ubezpieczyciele wpisują wyłączenia dla generatywnej AI do Twoich polis
