Suveräänne pilv: kas saab hakkama ilma USA hiiglasteta?

Digitaalse suveräänsuse küsimus kerkib sageli üles, kui räägitakse tehisintellektist ettevõttes, ja seda binaarsel kujul: kas nõustutakse usaldama kõik suurtele USA teenusepakkujatele või loobutakse tehisintellektist. Mõlemad valikud on halvad. Meie arvates on täielik suveräänsus Euroopale kättesaamatu ja VKE-le veelgi enam. Valikuline suveräänsus on aga saavutatav: teada, mis peab jääma enda juurde, mis võib minna mujale ja kuidas kontroll tagasi võtta, kui tingimused muutuvad. Suveräänne pilv on üks selle tööriistu, kasulik andmete jaoks, mis seda õigustavad, mitte kõige jaoks.

Lühidalt

• Euroopa teenusepakkujatel on alles vaid umbes 15 % Euroopa pilveturust; Amazonil, Microsoftil ja Google’il on 70 %, 2025. aasta juuli mõõtmise järgi.
• Tehisintellektis olid USA erainvesteeringud 2024. aastal ligi kaksteist korda suuremad kui Hiinas ja Euroopa tootis tol aastal 3 märkimisväärseks peetud mudelit, võrreldes 40-ga Ameerika Ühendriikides.
• USA õigus võib kohustada teenusepakkujat väljastama väljaspool Ameerika Ühendriike talletatud andmeid; Euroopa õigus kaotab pilveteenuse pakkuja vahetamise tasud 12. jaanuaril 2027.
• Suveräänset pilve hinnatakse selle teenusepakkujale kohalduva õiguse järgi, mitte ainult serverite asukoha järgi: Prantsusmaal on viiteks ANSSI SecNumCloudi kvalifikatsioon, mis ameti enda sõnul vastab vaid teatud ohtudele.
• Meie seisukoht: valikuline suveräänsus, mis klassifitseerib oma andmed, eelistab eksporditavat ja kavandab väljumise juba sisenemisel.

Enne oma arvamuse täpsustamist vaatame numbreid ja kahte leeri.

Mida ütlevad numbrid

Pilve kohta avaldas analüüsifirma Synergy Research Group 24. juulil 2025 Euroopa teenusepakkujate turuosa mõõtmise Euroopas. Euroopa teenusepakkujad on aastatel 2017–2024 oma käivet enam kui kolmekordistanud; turg ise aga on kuuekordistunud, ulatudes 2024. aastal 61 miljardi euroni, ja sellest kasvust on peamiselt kasu saanud Amazon, Microsoft ja Google.

Tehisintellektis on vahe veelgi selgem. Stanfordi ülikooli AI Index 2025 aruanne arvutab erainvesteeringud tehisintellekti riikide kaupa: Ameerika Ühendriikide omad on ligi kaksteist korda suuremad kui Hiina omad ja kakskümmend neli korda suuremad kui Ühendkuningriigi omad.

Samal aastal tootsid selle aruande järgi USA institutsioonid 40 märkimisväärseks peetud tehisintellekti mudelit, võrreldes 15-ga Hiinas ja 3-ga Euroopas.

Need kaks tähelepanekut paika panevad raamistiku: sõltuvus pole hüpotees, vaid turu seis, nagu need kaks allikat seda mõõdavad.

Seisukoht 1: sõltuvus on strateegiline risk

Esimene leer esitab kolm argumenti.

Õigus. Teise riigi õigusele alluvat teenusepakkujat võib see õigus sundida, ka Euroopas talletatud andmete puhul. Ameerika Ühendriikides on see 2018. aasta märtsi CLOUD Acti mõte.

Ettevõtte jaoks, mis haldab terviseandmeid, finantsandmeid või ärisaladusi, ei lahenda serveri füüsiline asukoht seega küsimust.

Hind. Kui kolm tegijat valdavad suuremat osa turust, kehtestavad nemad mängureeglid: hinnad, väljumistingimused, tasud oma andmete tagasisaamiseks. Mida rohkem ettevõte tugineb teenusepakkuja-spetsiifilistele teenustele, seda kallim on tal lahkuda. Euroopa andmemäärus tegeleb osaga probleemist: Euroopa Komisjoni järgi kaotab see alates 12. jaanuarist 2027 täielikult pilveteenuse pakkuja vahetamise tasud, sealhulgas andmete väljaviimise tasud. Seni võivad teenusepakkujad neid kulusid veel arveldada ja migratsioonitöö ise nendega koos ei kao.

Järjepidevus. Teenus võib muuta oma tingimusi, kaduda või olla ärilistel või poliitilistel põhjustel piiratud. Ettevõttel, mille tegevus tugineb ühele tehisintellekti pakkujale, pole mingit hooba, kui see pakkuja muudab oma mudelit või hindu üleöö.

Seisukoht 2: järelejõudmine on illusioon ja parim tööriist jääb parimaks tööriistaks

Teine leer vastab realismiga.

Investeeringute vahet ei kaotata dekreediga. Selliste erinevuste juures investeeritud summades on lühiajaline pretensioon suurte USA laboritega võrdseks saada soovunelm.

Ettevõtted tahavad seda, mis töötab. VKE juht ei vali tööriista geopoliitilistel põhjustel: ta tahab, et see oleks usaldusväärne, dokumenteeritud ja integreeritud tema teiste programmidega. Halvema tööriista pealesurumine suveräänsuse nimel karistab oma meeskondi.

Suveräänsusel on hind. Ise majutamine nõuab oskusi, hooldust, varukoopiaid. VKE, kellel neid ressursse pole, võib olla oma serveris vähem turvaline kui suure teenusepakkuja juures.

Need argumendid on kindlad. Neil on vaid üks puudus: nad mõtlevad kõik-või-mitte-midagi põhimõttel.

Mida me sellest arvame

Me ise haldame serverit, mis käitab tosinat teenust: CRM (Twenty, mida kasutame juba üle poolteise aasta), automatiseerimine (n8n), külastatavuse mõõtmine (Matomo), e-allkiri, arveldus ja kohalikud tehisintellekti mudelid (Ollama). Me ei tee seda ideoloogia pärast: need avaliku koodiga tööriistad mahuvad ühele masinale ja meil säilib kontroll nende andmete, uuenduste ja varukoopiate üle. Seevastu usaldame USA teenusepakkujatele selle, mis pole üldse tundlik. Meie hallatava Tai kinnisvarakuulutuste portaali Palmora Property tõlkekonveier läks nii üle saksa teenuselt DeepL Google’i Geminile: selle kulu jagati 60-ga. Tundlike andmete (personal, õigus, tervis) jaoks näeb meie suunamistabel ette vastupidist: mudel, mis töötab meie enda serveris Ollamaga, meil juba kasutuses.

Need kaks ei ole vastuolus. Meie seisukoht mahub kolme reeglisse:

1. Klassifitseerige andmed enne tööriistade valimist. Meie enda skaalal on kolm taset. Avalik (tootelehed, artiklid, kinnisvara kirjeldused) võib minna läbi iga hea teenusepakkuja, parima hinnaga. Sisemine mitte-isikuline (protseduurid, teadmusbaasid) läheb teenusepakkujale, kes kohustub andmeid mitte säilitama ega kasutama neid oma mudelite treenimiseks, kohustus, mida tuleb valiku ajal kontrollida. Isikuline või reguleeritud (personal, tervis, õigus, nimelised kliendiandmed) jääb serverisse, mida ise haldate, või lepinguga seotud Euroopa teenusepakkuja juurde.
2. Eelistage eksporditavat. Avatud tarkvara, standardvorming, andmebaas, mida saab kopeerida: need on väljapääsud. Suletud teenus, millest ei saa midagi välja võtta, on sõltuvus, isegi kui see on suurepärane.
3. Kavandage väljumine juba sisenemisel. Küsimus „Kuidas me lahkume, kui hinnad kahekordistuvad?“ tuleb esitada allkirjastamise päeval, mitte päeval, mil hinnad kahekordistuvad.

Mis paneks meid meelt muutma: samaväärse taseme Euroopa pilvepakkumiste ja tehisintellekti mudelite saabumine, võrreldava hinnaga, sama integratsioonide ökosüsteemiga. Sel päeval võiks valikuline suveräänsus laieneda. 2026. aasta oktoobris me seal veel pole.

Suveräänne pilv: mida SecNumCloud tegelikult tagab

Väljendi „suveräänne pilv“ taga on eelkõige juriidiline küsimus. Prantsusmaale paigaldatud serverist ei piisa: kui selle teenusepakkuja allub USA õigusele, kohaldub talle eespool tutvustatud CLOUD Act. Prantsusmaal on viiteks Prantsuse infosüsteemide turvalisuse riikliku ameti ANSSI SecNumCloudi kvalifikatsioon. Selle pilvele pühendatud lehe järgi võimaldab see tunnustada „usaldusväärseid“ pilvepakkumisi, mille kasutamist soovitatakse tundlike andmete kaitsmiseks nii küberkuritegevuse ohu kui ka eksterritoriaalsete seaduste kohaldamise eest.

Lihtsast Euroopas majutamisest eristavad seda kriteeriumid immuunsuse kohta mitte-Euroopa seaduste suhtes. 2016. aastal koostatud nõuete kogumit ajakohastati pärast 5. juuli 2021. aasta ringkirja: see ajakohastus lisas tehnilised ja juriidilised kriteeriumid immuunsuse kohta Euroopa-väliste seaduste suhtes. See hõlmab nii veebitarkvara kui ka taristuid ja kvalifikatsioon kehtib kolm aastat, igal aastal tehtavate järelevalveauditite kaudu.

ANSSI korduma kippuvad küsimused SecNumCloudi kohta kirjeldavad, mida kvalifikatsioon teenusepakkujalt nõuab. Amet määrab ka selle piirid, ja need loevad sama palju kui tagatised.

Oma digiteenuste jaoks on Prantsuse riik otsustanud. Tema doktriin „Cloud au centre“ nõuab iga eriti tundlikke andmeid käsitleva digitoote jaoks SecNumCloudi kvalifikatsiooniga kommertspakkumist või vähemalt samaväärse taseme Euroopa kvalifikatsiooniga pakkumist, mis on „kaitstud kolmandate riikide ametiasutuste igasuguse volitamata juurdepääsu eest“. Silmas peetakse andmeid, mille rikkumine võiks kahjustada avalikku korda, avalikku julgeolekut, inimeste tervist ja elu või intellektuaalomandi kaitset.

Euroopa tasandil ei ole pilveteenuste küberturvalisuse sertifitseerimisskeem, nimega EUCS, „tänaseni lõpule viidud“, 2026. aasta oktoobris vaadatud ANSSI KKK järgi. 17. novembril 2025 avaldasid ANSSI ja tema Saksa vaste BSI ühisavalduse pilve digitaalse suveräänsuse kriteeriumide kohta: see rõhutab Euroopa Liidu vajadust tugevdada oma digitaalset suveräänsust mitte-Euroopa tehnoloogiliste sõltuvuste suhtes.

Meie tõlgendus: SecNumCloud käsitleb CLOUD Actist tulenevat juriidilist riski, mida lihtne Euroopas majutamine ei tee; ülejäänut see ei lahenda. See ei asenda testitud varukoopiaid ega väljapääsu, millest me eespool rääkisime. Sellel on oma koht meie skaala kolmandal tasemel: kui isikuandmed või reguleeritud andmed ei saa jääda ise hallatavasse serverisse, on see viide kontrollimaks, et Euroopa teenusepakkuja on seda ka õiguslikult, ja esimene võimalus, mida vaadata, kui leping või regulatsioon seda nõuab. Enne valimist kontrollige, et konkreetne pakkumine, mida silmas peate, on koos kehtivuskuupäevadega kirjas ANSSI kvalifitseeritud lahenduste kataloogis, mida uuendatakse vähemalt kord kuus: kvalifitseeritud on pakkumine, mitte teenusepakkuja.

Mida see ettevõtte jaoks konkreetselt muudab

20 kuni 500 inimesega ettevõtte jaoks ei alga suveräänsus suurprojektist. See algab inventuurist:

• Kus on minu andmed? Loetlege tööriistad, mis talletavad kliendi- või töötajaandmeid, ja kelle juures. See on ka esimene kriteerium otsustamaks, kuhu oma pilvetaristu paigutada.
• Mis juhtub, kui teenusepakkuja homme kaob? Kontrollige iga kriitilise tööriista puhul, et täielik eksport on olemas ja seda on juba testitud.
• Millised tehisintellekti ülesanded puudutavad tundlikke andmeid? Just need väärivad Euroopas või ettevõtte sees majutatud avatud mudelit, nagu kirjeldavad privaatse tehisintellekti neli taset ettevõttes. Osa neist jaoks piisab väiksemast mudelist, mis on odavam: see on meie privaatse ja õiglase hinnaga ettevõtte tehisintellekti rubriigi teema.
• Milliseid tööriistu saab asendada avatud versiooniga? CRM, automatiseerimistööriist või külastatavuse mõõtmine mahuvad ühele serverile, nagu meie omad, tingimusel et nende käitamine on tagatud. Kust alustada: tööriistad, mis tasub esimesena SaaS-ist välja tuua; ülejäänud valikud on meie taristu ja pilve rubriigis.

Sama loogika kehtib veebisaidi kohta: staatilist saiti saab serveerida igalt majutajalt, sest see koosneb ainult failidest. See on väljapääsu lihtne vorm.

Ja kui soovite teada, mida tasuks enda juurde tagasi tuua, võrdleb meie SaaS-ist väljumise pakkumise audit seda, mida maksate täna, ja seda, mida maksate kolme aasta jooksul; kui migratsioon ei tasu end ära, ütleme Teile seda.

Korduma kippuvad küsimused

Allikad

1. Euroopa teenusepakkujate turuosa mõõtmise Euroopas (uus vahekaart)srgresearch.com
2. Stanfordi ülikooli AI Index 2025 aruanne (uus vahekaart)hai.stanford.edu
3. 2018. aasta märtsi CLOUD Acti (uus vahekaart)law.cornell.edu
4. Euroopa Komisjoni (uus vahekaart)digital-strategy.ec.europa.eu
5. Selle pilvele pühendatud lehe (uus vahekaart)cyber.gouv.fr
6. ANSSI korduma kippuvad küsimused SecNumCloudi kohta (uus vahekaart)cyber.gouv.fr
7. Doktriin „Cloud au centre“ (uus vahekaart)numerique.gouv.fr
8. Ühisavalduse pilve digitaalse suveräänsuse kriteeriumide kohta (uus vahekaart)cyber.gouv.fr
9. ANSSI kvalifitseeritud lahenduste kataloogis (uus vahekaart)cyber.gouv.fr