Po dlouhou dobu se technologická rozhodnutí posuzovala podle známé sady otázek: Je to rychlejší? Je to levnější? Dokáže se to škálovat? Zvýší to produktivitu týmu?
Tyto otázky jsou stále důležité. Už ale nestačí.
Když se organizace spoléhá na externí infrastrukturu, platformy a stále častěji i na externí AI modely, přichází nejprve těžší otázka: co se stane, když se podmínky změní? Co se stane, když se přístup prodraží, omezí, stane se politicky citlivým nebo ho bude obtížné vysvětlit regulátorovi, správní radě či zákazníkovi?
To je otázka suverenity v IT a AI.
Nejde jen o to, kde jsou data uložena. Jde o kontrolu v širším smyslu: kdo může systém kontrolovat, přerušit jeho provoz, vynutit si přístup, změnit pravidla nebo ztížit odchod. Jde také o odpovědnost. Když se něco pokazí, kdo za to nakonec nese odpovědnost?
Neexistuje jediná globální definice digitální suverenity. Různé jurisdikce zdůrazňují různé aspekty: právní dosah, závislost na infrastruktuře, kontrolu nad daty, provozní odolnost, koncentraci poskytovatelů a stále častěji i kontrolu nad vrstvou AI modelů. Společným jmenovatelem je praktičnost, nikoli ideologie.
Suverenita je schopnost zachovat si smysluplnou kontrolu nad digitálními schopnostmi, na nichž je organizace nejvíce závislá.
To neznamená, že každá země nebo firma musí všechno budovat sama. Znamená to vědět, kde je závislost přijatelná, kde je nebezpečná a jaká kontrola musí zůstat interně nebo být smluvně vymahatelná.
Suverenita není soběstačnost
Suverenita se často zaměňuje se soběstačností nebo umístěním dat v určité zemi. Ani jedno nevystihuje celý problém.
Firma může svá data ukládat ve správné jurisdikci a přesto zůstávat vystavená riziku, pokud je okolní platforma obtížně opustitelná, poskytovatel nadále podléhá zahraničním právním požadavkům nebo AI systémy zabudované do kritických pracovních postupů nelze auditovat ani zákazníkem ovlivnit.
AI činí toto rozlišení naléhavějším. Model není jen další softwarová komponenta. Může určovat, jak organizace píše, vyhledává, klasifikuje, podporuje zákazníky, analyzuje informace a přijímá rozhodnutí. Jakmile se to stane, závislost se posouvá výš ve stacku. Otázkou už není jen to, kde běží stroj. Jde o to, kdo utváří inteligenci uvnitř práce.
Většina organizací to rozpozná v běžných provozních situacích. Poskytovatel změní cenovou politiku a životaschopný případ použití se najednou prodraží. Aktualizace modelu změní výstupy a interní pracovní postupy je nutné znovu nastavit. Právní nebo compliance týmy položí jednoduché otázky ohledně nakládání s daty a dostanou vágní odpovědi. Nákup zjistí, že architektura, která se tvářila jako flexibilní, by byla při nahrazení drahá a pomalá.
Geopolitická krize k tomu není potřeba. Stačí běžná závislost.
Globální debata v odlišném právním jazyce
Jde o globální problém, i tam, kde se používá odlišná terminologie.
Ve Spojených státech se tato obava často vyjadřuje spíše prostřednictvím federální autorizace a kontrol národní bezpečnosti než výrazem digitální suverenita. FedRAMP poskytuje standardizovaný přístup k posuzování, autorizaci a průběžnému monitorování cloudových služeb využívaných federálními agenturami. Agentury zůstávají za své pracovní zátěže odpovědné i po jejich přesunu do cloudu a prostředí obrany přidávají další požadavky.
Ve Spojeném království se problém obvykle rámuje optikou provozní odolnosti a systémové závislosti. Bank of England, PRA a FCA zavedly režim Critical Third Parties, protože závažný výpadek u externího poskytovatele může vytvářet riziko nejen pro jednu firmu, ale pro širší finanční systém.
Kanadský cloud control profile pro informace Protected B výslovně formuluje princip odpovědnosti: povinnosti lze delegovat na cloudové poskytovatele, ale odpovědnost předáním nezaniká.
Indie kombinuje požadavky na lokalizaci dat pro data platebních systémů s očekáváním, že regulované subjekty zůstávají odpovědné za outsourcovaná IT a cloudová uspořádání. Singapur přijetí cloudu podporuje, ale zároveň k němu přistupuje jako k outsourcingu, který musí být řízen. Austrálie, Brazílie a Jihoafrická republika k problému podobně přistupují skrze provozní odolnost, rizika poskytovatelů služeb, přístup dohledu, správu dat a strategickou infrastrukturu.
Vzorec je zřejmý. Suverenita není okrajové evropské téma. Je to široká reakce na skutečnost, že digitální závislost se stala strategickou.
Proč je evropský přístup důležitý
Evropa tento koncept posunula dál než většina jurisdikcí tím, že z něj vytvořila rámec pro zadávání zakázek a hodnocení.
Cloud Sovereignty Framework Evropské komise hodnotí poskytovatele suverénního cloudu podle osmi cílů: strategických, právních a jurisdikčních, datových a AI, provozních, dodavatelského řetězce, technologických, bezpečnostních a compliance a environmentálních hledisek. Využívá dva vzájemně se doplňující mechanismy:
- Sovereignty Effectiveness Assurance Level (SEAL): minimální úroveň zajištění pro každý cíl.
- Overall sovereignty score: vážené porovnání nabídek, které splňují požadovaný práh SEAL.
Toto rozlišení je důležité. Celkový SEAL je určen nejnižší relevantní úrovní dosaženou napříč cíli. Závažná slabina v jedné kritické oblasti tak může omezit celkovou úroveň poskytovatele bez ohledu na jeho silné stránky jinde. Score slouží jinému účelu: rozlišuje mezi nabídkami, které už překročily minimální práh.
Úroveň je logika prahu; score je logika srovnání.
Pokyny Komise dávají zadavateli prostor stanovit pro zakázku požadovaný minimální SEAL a poté porovnat kvalifikované nabídky pomocí score. Její zadání zakázky na sovereign cloud v roce 2026 vyžadovalo, aby poskytovatelé dosáhli alespoň SEAL-2. Rámec také uznává různé stupně suverenity: SEAL-2 je spojován s datovou suverenitou, SEAL-3 s digitální odolností a SEAL-4 s plnou digitální suverenitou.
Nejvyšší úroveň je záměrně náročná. Komise uvádí, že plná suverenita zůstává v současném evropském kontextu obtížně dosažitelná kvůli přetrvávajícím závislostem v dodavatelských řetězcích, zejména u hardwaru a čipů. To je užitečná korekce binárního uvažování. Služba může zlepšit postavení organizace z hlediska suverenity, aniž by naplnila nejsilnější myslitelnou definici suverenity.
Právě proto je tento rámec víc než jen checklist. Nutí tento koncept obstát při střetu se zadáváním zakázek, engineeringem, právním přezkumem a institucionální odpovědností.
Proč na tom záleží i mimo regulovaná odvětví
Banky, telekomunikační operátoři, obranné organizace, zdravotnické systémy a orgány veřejné správy tyto tlaky obvykle pociťují jako první, protože regulace zviditelňuje, co je v sázce. Základní zranitelnost je však mnohem širší.
Výrobce, který je pro produkční analytiku závislý na jediném regionu hyperscalera, softwarová firma, která postavila klíčové funkce na jednom poskytovateli modelů, maloobchodník spoléhající na externí identitní infrastrukturu nebo univerzita, která do výzkumu a administrativy začleňuje AI nástroje třetích stran — všichni čelí různým podobám téhož problému.
Část rizika je geopolitická. Exportní kontroly, sankce, zásahy z důvodu národní bezpečnosti a přeshraniční právní požadavky mohou zasahovat hlouběji do technologického stacku, než mnoho organizací předpokládalo. Další část je strukturální: malý počet firem tvoří základ velké části globální kapacity v cloudu, platformách, identitě a AI. Jejich schopnosti jsou často vynikající. Právě proto se na nich může závislost stát velmi hlubokou.
AI tento problém vyostřuje, protože externí služby se stávají interními schopnostmi. Když je model vetkán do workflow podpory, tvorby návrhů, vyhledávání, kontroly souladu nebo produktové zkušenosti, stává se součástí toho, jak organizace přemýšlí a funguje. Pokud je tuto vrstvu obtížné auditovat, řídit nebo nahradit, závislost už není jen technická. Stává se manažerskou a strategickou.
Co odhaluje perspektiva suverenity
Suverenitu je nejlepší chápat jako disciplínu úsudku, nikoli jako požadavek na úplnou nezávislost.
Užitečná otázka nezní, zda má organizace vše pod kontrolou. To dokáže jen málokterá. Lepší otázka zní: který cíl suverenity je nejslabší a proč?
Je omezujícím faktorem vlastnictví a governance? Právní expozice? Kontrola nad daty? Provozní závislost? Křehkost dodavatelského řetězce? Technologický lock-in? Nebo samotná vrstva AI?
Jakmile je to zřejmé, odpověď se stává konkrétní. Některé organizace potřebují silnější práva na audit a ukončení spolupráce. Jiné potřebují přísnější jurisdikční omezení pro konkrétní data nebo workloady. Některé mohou chtít zachovat přenositelnost vybraných funkcí mezi cloudovými nebo modelovými poskytovateli, i když to zvyšuje náklady. Jiné mohou přijmout řízenou závislost v méně kritických oblastech a zároveň si ponechat silnější kontrolu nad systémy, které určují odolnost, odpovědnost nebo konkurenční výhodu.
V tom spočívá hodnota perspektivy suverenity. Nepředepisuje jediný politický závěr ani nepožaduje dramatickou technologickou soběstačnost. Dává organizacím disciplinovaný způsob, jak určit svůj nejslabší relevantní cíl, pochopit, proč je slabý, a rozhodnout, zda je daná expozice přijatelná.
Tato otázka se nyní týká infrastruktury, dat a stále více také AI.
Zdroje
- Evropská komise: Vysvětlení rámce pro suverénní cloud (2026)
- Evropská komise: Rámec cloudové suverenity — pokyny k implementaci (2026)
- Evropská komise: Komise posiluje cloudovou suverenitu prostřednictvím strategického zadávání veřejných zakázek (2026)
- APRA: CPG 230 Řízení operačního rizika
- U.S. General Services Administration: Bezpečnost cloudu
- Bank of England, PRA a FCA: Kritické třetí strany pro finanční sektor Spojeného království
- Vláda Kanady: Profil bezpečnostních kontrol pro cloudové služby GC
- Reserve Bank of India: Často kladené dotazy k ukládání dat platebních systémů
- Reserve Bank of India: Směrnice (komerční banky – řízení rizik při outsourcingu), 2025
- Monetary Authority of Singapore: Cloud
- Banco Central do Brasil: Resolução CMN nº 4.893
- Vláda Jihoafrické republiky: Národní politika pro data a cloud (2024)
