• Komisja Europejska chce wprowadzić m.in. czterostopniowy system certyfikacji i oceny wiarygodności dostawców usług chmurowych. To elementy projektowanego rozporządzenia w sprawie rozwoju technologii chmurowych i sztucznej inteligencji (CADA).
• Zdaniem Krajowej Izby Gospodarczej Elektroniki i Telekomunikacji i firmy CloudFerro projekt Komisji wymaga uzupełnienia – m.in. o definicje suwerennej chmury i suwerennego europejskiego dostawcy.
• Konfederacja Lewiatan i Związek Cyfrowa Polska uważają zaś, że propozycja KE grozi odizolowaniem od innowacji i może zaszkodzić europejskiej konkurencyjności.
• Wszystkie podmioty oceniające CADA deklarują jednak poparcie dla strategicznych celów unijnego pakietu na rzecz suwerenności technologicznej.

Zaproponowane przez Komisję Europejską rozporządzenie w sprawie rozwoju technologii chmurowych i sztucznej inteligencji (CADA – z ang. Cloud and AI Development Act) stanowi część unijnego pakietu suwerenności technologicznej, który zmierza do: budowy europejskiego potencjału w zakresie technologii krytycznych, ograniczania ryzyka koncentracji oraz przyspieszenia inwestycji w AI.

Cel: uniezależnić się od hiperskalerów

CADA ma doprowadzić do wzmocnienia europejskiej suwerenności technologicznej, wspomóc budowę unijnego potencjału w obszarze technologii krytycznych oraz stymulować inwestycje w sztuczną inteligencję. Rozporządzenie ma na celu podniesienie odporności i ciągłości operacyjnej strategicznej infrastruktury cyfrowej oraz wsparcie europejskich dostawców chmury i AI w konkurowaniu z dominującymi podmiotami spoza Unii Europejskiej – tj. hiperskalerami.

Projekt rozporządzenia przewiduje:

• promowanie działalności badawczo-innowacyjnej w zakresie chmury obliczeniowej oraz AI w UE,
• przyspieszenie wdrażania centrów danych w całej UE,
• zapewnienie dostępności suwerennej chmury obliczeniowej i AI oraz zmniejszenie zależności od tych technologii spoza UE,
• wspieranie wdrażania usług chmurowych w sektorze publicznym.

Cztery poziomy wiarygodności dostawców chmury

Nowy akt wprowadzi czterostopniowy system certyfikacji i oceny wiarygodności dostawców usług chmurowych. Zastosowanie poszczególnych poziomów w zamówieniach będzie zależało od oceny ryzyka dla suwerenności i konsekwencji utraty kontroli nad danym systemem lub usługą.

• Poziom 1: dane są przetwarzane i przechowywane w UE. To minimalny poziom wymagany w zamówieniach podmiotów publicznych, oparty na samocertyfikacji dostawcy.
• Poziom 2: dostawcy muszą wykazać niezależność od państw trzecich i przejrzystość łańcucha dostaw oprogramowania.
• Poziom 3: dostawcy muszą być własnością podmiotów z UE i znajdować się pod ich kontrolą, a także spełniać dodatkowe kryteria (m.in. dotyczące obywatelstwa personelu). W drodze wyjątku Komisja Europejska może uznać wybranych dostawców z państw trzecich.
• Poziom 4: dostawcy mają pełną przejrzystość i kontrolę nad łańcuchem dostaw oprogramowania oraz gwarantują całkowity brak ingerencji ze strony jakiegokolwiek państwa trzeciego. Poziom odpowiedni dla obronności, danych niejawnych i bezpieczeństwa narodowego.

Polski biznes jest podzielony w sprawie definiowania suwerenności chmury obliczeniowej. Fot. Gorodenkoff / ShutterstockDla jednych projekt jest za słaby, dla innych za ostry

Oceniając propozycję Komisji Europejskiej, przedstawiciele polskiego biznesu dzielą się zasadniczo na dwie grupy. Jedna uważa, że projekt CADA jest zbyt słaby i nie zapewni rzeczywistej suwerenności chmurowej Europy, utrwalając tylko zależność od pozaeuropejskich hiperskalerów. Natomiast druga prezentuje podejście oparte na „otwartej suwerenności” (open sovereignty) i preferuje współpracę z zaufanymi partnerami globalnymi.

Te różnice odzwierciedlają fundamentalny spór przedstawicieli polskiego i europejskiego biznesu o to, jak Unia Europejska powinna budować swoją odporność cyfrową.

Koniec z udawaną suwerennością

Wzmocnienia CADA oczekuje Sekcja AI Poland Krajowej Izby Gospodarczej Elektroniki i Telekomunikacji (KIGEiT), według której dla realnej ochrony unijnego rynku konieczne jest wprowadzenie do projektu kilku zmian.

Izba domaga się przede wszystkim ustalenia wiążącej, jasnej definicji suwerennej chmury i suwerennego europejskiego dostawcy. Chce także przepisów uniemożliwiających big techom pozorowanie suwerenności (sovereignty washing).

„Cloud and AI Development Act stanowi historyczną szansę na realną przebudowę europejskiego rynku usług chmurowych w kierunku suwerenności i konkurencyjności. Jednak szansa ta może zostać zmarnowana” – ostrzega KIGEiT w stanowisku przekazanym Ministerstwu Cyfryzacji.

Bez wiążących definicji, egzekwowalnych celów zamówień publicznych i skutecznych mechanizmów anty-sovereignty washing CADA stanie się kolejnym dokumentem deklaratywnym, który nie zmieni struktury rynku zdominowanego przez trzech zewnętrznych hiperskalerów - dodaje izba.

Ponadto KIGEiT rekomenduje, aby co najmniej połowa wydatków administracji publicznej na usługi chmurowe trafiała do suwerennych dostawców z UE – spełniających przynajmniej warunki poziomu 2.

Z kolei w przypadku przetargów na infrastrukturę krytyczną instytucje powinny mieć obowiązek wyboru dostawcy europejskiego - o ile istnieje funkcjonalny odpowiednik - a wybór podmiotu spoza UE musiałby być pisemnie i publicznie uzasadniony.

Zdaniem KIGEiT-u duże kontrakty chmurowe w zamówieniach publicznych powinny być dzielone na mniejsze pakiety, aby „ułatwić udział MŚP i zapobiec monopolizacji całych kontraktów przez jednego hiperskalera”.

Izba postuluje też m.in. obowiązkowe pierwszeństwo dla oprogramowania open source w urzędach (open source first). 

Suwerenność to więcej nic certyfikat

Na potrzebę jasnej i możliwej do zweryfikowania definicji suwerennej chmury wskazuje także Stanisław Dałek, Chief Technology Officer w CloudFerro.

W przekazanym WNP komentarzu ostrzega przed sprowadzeniem suwerenności do kolejnego certyfikatu, który globalni hiperskalerzy będą mogli łatwo uzyskać bez eliminowania faktycznej zależności technologicznej i prawnej od państwa trzeciego.

Stanisław Dałek zaznacza, że „chmura, centra danych i moc obliczeniowa nie są już tylko zapleczem IT”.

To zasoby o znaczeniu strategicznym, od których coraz częściej zależy ciągłość działania państwa i gospodarki. Dlatego dyskusja o suwerenności cyfrowej nie może ograniczać się do pytania o to, gdzie znajdują się dane. Mogą być one przechowywane na terytorium Unii Europejskiej, a jednocześnie usługa może pozostawać zależna od technologii, infrastruktury lub decyzji operacyjnych podejmowanych poza europejską jurysdykcją – stwierdza Stanisław Dałek.

Wskazuje, że dobrze zaprojektowane rozporządzenie może zwiększyć odporność Europy i stworzyć konkurencyjny rynek, na którym europejskie firmy będą mogły skalować swoją działalność.

Ekspert z CloudFerro zwraca też uwagę, że rozporządzenie CADA powinno aktywnie wspierać interoperacyjność oraz korzystanie z wielu dostawców.

- Sama możliwość rozwiązania umowy i wyboru innego operatora nie wystarczy, jeżeli wykorzystywane usługi, narzędzia i dane są tak silnie związane z jednym środowiskiem, że ich migracja staje się kosztowna, długotrwała albo technicznie bardzo trudna – uważa Stanisław Dałek.

Postuluje również wdrożenie wspólnych standardów oraz ułatwień dla mniejszych unijnych dostawców w zamówieniach publicznych. - Europejskie firmy mają realne kompetencje technologiczne, by realizować zaawansowane projekty, ale potrzebują warunków, które pozwolą im konkurować o większe kontrakty, rozwijać ofertę w wielu państwach UE i osiągać skalę niezbędną do dalszych inwestycji – argumentuje.

Wcześniej Stanisław Krzyżanowski, strategy and new business director w CloudFerro, wskazywał w rozmowie z WNP, że polski rynek usług chmurowych może być wart ponad miliard euro, co daje EBITDA na poziomie 400 mln euro.

Cała idzie do Stanów Zjednoczonych, więc wszystko, co kupujemy od hiperskalerów, finansuje im dalszy rozwój technologii – np. dużych modeli językowych – mówił Stanisław Krzyżanowski.

Jak stwierdził, „następstwem tego wycieku wartości jest ograniczenie zdolności rozwojowych krajowego przemysłu, a także krajowej nauki”.

Czy Unii grozi odizolowanie od innowacyjnych technologii?

Na przeciwnym biegunie w ocenie CADA znajduje się Konfederacja Lewiatan – chociaż deklaruje poparcie dla strategicznych celów całego pakietu na rzecz suwerenności technologicznej.

Organizacja w stanowisku przekazanym Ministerstwu Cyfryzacji stwierdza, że projekt Komisji Europejskiej wprowadza protekcjonistyczne bariery geograficzne i narodowościowe.

„Komisja proponuje wykluczenie dostawców spoza UE ze znaczącej części rynku, wykraczając poza najbardziej rygorystyczne ramy suwerenności funkcjonujące obecnie na poziomie państw członkowskich” – komentuje Lewiatan. Ostrzega, że grozi to „odizolowaniem UE od innowacyjnych technologii”.

W ten sposób zdaniem Lewiatana powstanie rynek dwóch prędkości.

Suwerenność powinna zapewniać użytkownikom końcowym większy, a nie mniejszy wybór, bez poświęcania innowacyjności i bezpieczeństwa, a drogą do osiągnięcia obu tych celów jednocześnie jest ukierunkowanie na interoperacyjność, otwarte technologie oraz przeciwdziałanie uzależnieniu od jednego dostawcy – podkreśla Lewiatan, wskazując, że „ograniczenie puli dostępnych dostawców zmniejszyłoby konkurencję i presję na innowacyjność, prowadząc jednocześnie do wzrostu kosztów ponoszonych przez sektor publiczny”.

Lewiatan proponuje m.in. przedkładanie zabezpieczeń technicznych nad narodowość dostawców. Zdaniem tej organizacji silne zabezpieczenia techniczne - takie jak szyfrowanie po stronie klienta, czy poufne środowiska obliczeniowe - powinny być uznawane za równoważne metody osiągania celów suwerenności w ramach systemu punktowego.

Istotą suwerenności według Lewiatana jest bowiem „zdolność użytkownika do zachowania kontroli nad danymi i procesami, wyboru oraz łączenia różnych technologii, a także skutecznego przechodzenia między dostawcami”.

Utożsamianie suwerenności z „narodowością” firm

Podobne podejście - ogólne poparcie pakietu na rzecz suwerenności technologicznej połączone z krytyką projektu CADA – prezentuje Związek Cyfrowa Polska (ZCP). W jego opinii w obecnej formie rozporządzenie to może zaszkodzić europejskiej konkurencyjności.

„Współpraca z zaufanymi partnerami globalnymi stanowi kluczowy element dobrobytu i bezpieczeństwa” – podkreśla związek w stanowisku skierowanym do Ministerstwa Cyfryzacji.

Głównym problemem proponowanej regulacji jest utożsamianie suwerenności z »narodowością« firm - usługodawców, czyli pochodzeniem kapitału oraz ostatecznego beneficjenta, a nie z weryfikowalnymi wymogami technicznymi i operacyjnymi” – ocenia ZCP. Jego zdaniem może to ograniczyć europejskim klientom swobodę wyboru rozwiązań niezbędnych do zachowania bezpieczeństwa i konkurencyjności.

Związek proponuje m.in. usunięcie ograniczeń dla dostawców z państw trzecich na poziomie 2. Chce również, aby dostawcy z krajów trzecich objętych umowami GPA/FTA byli domyślnie dopuszczeni do rynku na wyższych poziomach – przy uprawnieniu KomisjI Europejskiej do wykluczenia ich w drodze indywidualnej procedury (opt-out).