מה באמת פירושה ריבונות ב-IT וב-AI

במשך זמן רב, החלטות טכנולוגיות נבחנו דרך סט מוכר של שאלות: האם זה מהיר יותר? האם זה זול יותר? האם זה יכול להתרחב? האם זה יהפוך את הצוות ליותר פרודוקטיבי?

השאלות האלה עדיין חשובות. אבל הן כבר לא מספיקות.

כשארגון נשען על תשתיות, פלטפורמות, ובמידה הולכת וגוברת גם על מודלי AI חיצוניים, שאלה קשה יותר עולה קודם: מה קורה כשהתנאים משתנים? מה קורה כשהגישה נעשית יקרה יותר, מוגבלת יותר, חשופה פוליטית, או קשה להסביר אותה לרגולטור, לדירקטוריון או ללקוח?

זו שאלת הריבונות ב-IT וב-AI.

זה לא נוגע רק למקום שבו הנתונים נמצאים. זה נוגע לשליטה במובן הרחב יותר: מי יכול לבדוק את המערכת, להפסיק אותה, לכפות גישה, לשנות את הכללים, או להקשות על היציאה ממנה. זה נוגע גם לאחריותיות. כשמשהו משתבש, מי נשאר אחראי?

אין הגדרה גלובלית אחת לריבונות דיגיטלית. תחומי שיפוט שונים מדגישים היבטים שונים: תחולה משפטית, תלות בתשתיות, שליטה בנתונים, חוסן תפעולי, ריכוזיות ספקים, ובמידה הולכת וגוברת גם שליטה בשכבת מודלי ה-AI. החוט המקשר הוא מעשי ולא אידאולוגי.

ריבונות היא היכולת לשמר שליטה ממשית ביכולות הדיגיטליות שעליהן ארגון תלוי יותר מכול.

זה לא אומר שכל מדינה או חברה חייבת לבנות הכול בעצמה. זה אומר לדעת היכן תלות היא מקובלת, היכן היא מסוכנת, ואיזו שליטה חייבת להישאר בתוך הארגון או להיות ניתנת לאכיפה חוזית.

ריבונות אינה עצמאות מלאה

לעיתים קרובות מבלבלים בין ריבונות לבין עצמאות מלאה או מיקום נתונים. אף אחד מאלה לא תופס את הבעיה במלואה.

חברה יכולה לאחסן את הנתונים שלה בתחום השיפוט הנכון ועדיין להיות חשופה, אם קשה לצאת מהפלטפורמה שסביבה, אם הספק עדיין כפוף לדרישות משפטיות זרות, או אם מערכות ה-AI המשולבות בתהליכי עבודה קריטיים אינן ניתנות לביקורת או להשפעה מצד הלקוח.

AI הופך את ההבחנה הזו לדחופה יותר. מודל אינו רק עוד רכיב תוכנה. הוא עשוי לעצב את האופן שבו ארגון כותב, מחפש, מסווג, תומך בלקוחות, מנתח מידע ומקבל החלטות. ברגע שזה קורה, התלות עולה במעלה המחסנית. השאלה כבר אינה רק היכן מכונה פועלת. השאלה היא מי מעצב את האינטליגנציה שבתוך העבודה.

רוב הארגונים מזהים זאת ברגעים תפעוליים שגרתיים. ספק משנה את התמחור שלו, ומקרה שימוש שהיה כדאי הופך לפתע ליקר. עדכון למודל משנה את הפלטים, ויש לכייל מחדש תהליכי עבודה פנימיים. צוותים משפטיים או צוותי ציות שואלים שאלות פשוטות על אופן הטיפול בנתונים ומקבלים תשובות מעורפלות. מחלקת הרכש מגלה שארכיטקטורה שהוצגה כגמישה תהיה יקרה ואיטית להחלפה.

אין צורך במשבר גיאופוליטי. די בתלות שגרתית.

דיון גלובלי בשפה משפטית שונה

הסוגיה היא גלובלית, גם במקומות שבהם המינוח שונה.

בארצות הברית, הדאגה מנוסחת לעיתים קרובות במונחים של הסמכה פדרלית ובקרות ביטחון לאומי, ולא באמצעות הביטוי digital sovereignty. ‏FedRAMP מספקת גישה סטנדרטית להערכה, להסמכה ולניטור מתמשך של שירותי ענן שבהם משתמשות סוכנויות פדרליות. הסוכנויות נשארות אחראיות לעומסי העבודה שלהן גם לאחר המעבר לענן, ובסביבות ביטחוניות מתווספות דרישות נוספות.

בבריטניה נוטים למסגר את הסוגיה דרך חוסן תפעולי ותלות מערכתית. הבנק של אנגליה, ה-PRA וה-FCA הקימו משטר Critical Third Parties משום ששיבוש משמעותי אצל ספק חיצוני עלול ליצור סיכון לא רק לחברה אחת, אלא למערכת הפיננסית הרחבה יותר.

פרופיל בקרת הענן של קנדה למידע מסוג Protected B מבהיר במפורש את עקרון האחריותיות: אפשר להאציל תחומי אחריות לספקי ענן, אך האחריותיות אינה נעלמת עם ההעברה.

הודו משלבת דרישות לוקליזציה של נתונים עבור נתוני מערכות תשלומים עם ציפייה שגופים מפוקחים יישארו אחראים להסדרי IT וענן במיקור חוץ. סינגפור מקבלת בברכה אימוץ ענן, אך מתייחסת אליו כמיקור חוץ שחייב להיות מנוהל. גם אוסטרליה, ברזיל ודרום אפריקה ניגשות לסוגיה דרך חוסן תפעולי, סיכון מצד ספקי שירות, גישת פיקוח, ממשל נתונים ותשתית אסטרטגית.

הדפוס ברור. ריבונות אינה עניין אירופי נישתי. זו תגובה רחבה לעובדה שהתלות הדיגיטלית הפכה לאסטרטגית.

למה הגישה האירופית חשובה

אירופה קידמה את המושג רחוק יותר מרוב תחומי השיפוט, בכך שהפכה אותו למסגרת לרכש ולהערכה.

מסגרת Cloud Sovereignty Framework של הנציבות האירופית מעריכה ספקי sovereign-cloud על פני שמונה יעדים: שיקולים אסטרטגיים, משפטיים ושיפוטיים, נתונים ו-AI, תפעוליים, שרשרת אספקה, טכנולוגיים, אבטחה וציות, וסביבתיים. היא משתמשת בשני מנגנונים משלימים:

Sovereignty Effectiveness Assurance Level (SEAL): רמת הבטחה מינימלית לכל יעד.
Overall sovereignty score: השוואה משוקללת בין הצעות שעומדות בסף ה-SEAL הנדרש.

ההבחנה הזו חשובה. ה-SEAL הכולל נקבע לפי הרמה הרלוונטית הנמוכה ביותר שהושגה בין היעדים. לכן, חולשה משמעותית אחת בתחום קריטי יכולה להגביל את הרמה הכוללת של הספק, בלי קשר לחוזקות שלו במקומות אחרים. לציון יש מטרה אחרת: הוא מבדיל בין הצעות שכבר עברו את סף המינימום.

הרמה היא לוגיקת סף; הציון הוא לוגיקה השוואתית.

ההנחיות של הנציבות מעניקות לרשות המתקשרת מרחב לקבוע את רמת ה-SEAL המינימלית הנדרשת למכרז, ואז להשוות בין הצעות כשירות באמצעות הציון. רכש ה-sovereign-cloud שלה לשנת 2026 דרש מהספקים להגיע לפחות ל-SEAL-2. המסגרת גם מכירה בדרגות שונות של ריבונות: SEAL-2 מזוהה עם ריבונות נתונים, SEAL-3 עם חוסן דיגיטלי, ו-SEAL-4 עם ריבונות דיגיטלית מלאה.

הרמה הגבוהה ביותר תובענית במכוון. הנציבות מציינת שריבונות מלאה עדיין קשה להשגה בהקשר האירופי הנוכחי, בשל תלות מתמשכת בשרשראות אספקה, ובפרט בחומרה ובשבבים. זהו תיקון מועיל לחשיבה בינארית. שירות יכול לשפר את מצב הריבונות של ארגון גם בלי לעמוד בהגדרה החזקה ביותר שאפשר להעלות על הדעת לריבונות.

לכן המסגרת היא יותר מרשימת בדיקה. היא מאלצת את המושג לעמוד במבחן המציאות של רכש, הנדסה, סקירה משפטית ואחריותיות מוסדית.

למה זה חשוב גם מעבר למגזרים מפוקחים

בנקים, מפעילי טלקום, ארגוני ביטחון, מערכות בריאות ורשויות ציבוריות נוטים לחוש בלחצים האלה ראשונים, משום שהרגולציה הופכת את גודל הסיכון לגלוי. הפגיעוּת הבסיסית רחבה הרבה יותר.

יצרן שתלוי באזור יחיד של hyperscaler לצורך אנליטיקת ייצור, חברת תוכנה שבנתה יכולות ליבה סביב ספק מודלים אחד, קמעונאי שנשען על תשתית זהות חיצונית, או אוניברסיטה שמטמיעה כלי AI של צד שלישי במחקר ובניהול — כולם ניצבים בפני גרסאות שונות של אותה בעיה.

חלק מהסיכון הוא גיאופוליטי. בקרות יצוא, סנקציות, התערבויות מטעמי ביטחון לאומי ודרישות משפטיות חוצות גבולות יכולות לחדור עמוק יותר לתוך שכבת הטכנולוגיה מכפי שארגונים רבים הניחו. חלק אחר הוא מבני: מספר קטן של חברות מהווה את הבסיס לחלק גדול מיכולת הענן, הפלטפורמות, הזהות וה-AI העולמית. היכולות שלהן לעיתים קרובות מצוינות. זו בדיוק הסיבה שהתלות עלולה להפוך לעמוקה.

AI מחדד את הסוגיה משום ששירותים חיצוניים הופכים ליכולות פנימיות. כשמודל נשזר בתהליכי תמיכה, ניסוח, חיפוש, בדיקות ציות או חוויית המוצר, הוא הופך לחלק מהאופן שבו הארגון חושב ופועל. אם קשה לבקר, למשול או להחליף את השכבה הזו, התלות כבר אינה טכנית בלבד. היא הופכת לניהולית ואסטרטגית.

מה פריזמת הריבונות עוזרת לכם לראות

את הריבונות נכון להבין כמשמעת של שיקול דעת, לא כדרישה לעצמאות מוחלטת.

השאלה המועילה אינה אם ארגון שולט בכל דבר. כמעט אף אחד לא יכול. השאלה הטובה יותר היא: איזה יעד ריבונות הוא החלש ביותר, ולמה?

האם הגורם המגביל הוא בעלות וממשל? חשיפה משפטית? שליטה בנתונים? תלות תפעולית? שבריריות בשרשרת האספקה? נעילה טכנולוגית? או שכבת ה-AI עצמה?

ברגע שזה נעשה גלוי, התגובה הופכת למעשית. יש ארגונים שזקוקים לזכויות ביקורת ויציאה חזקות יותר. יש כאלה שזקוקים למגבלות שיפוט הדוקות יותר על נתונים או עומסי עבודה מסוימים. אחרים עשויים לשמור על ניידות של פונקציות נבחרות בין ספקי ענן או ספקי מודלים, גם אם הדבר מייקר עלויות. אחרים עשויים לקבל תלות מנוהלת בתחומים פחות קריטיים, תוך שמירה על שליטה חזקה יותר במערכות שקובעות חוסן, אחריותיות או יתרון תחרותי.

זהו הערך של פריזמת הריבונות. היא אינה מכתיבה מסקנה פוליטית אחת ואינה דורשת הסתמכות עצמית טכנולוגית דרמטית. היא מעניקה לארגונים דרך ממושמעת לזהות את היעד הרלוונטי החלש ביותר שלהם, להבין מדוע הוא חלש, ולהחליט אם החשיפה הזו מקובלת.

השאלה הזו חלה כעת על תשתיות, על נתונים, ובמידה הולכת וגוברת גם על AI.

ריבונות אינה עצמאות מלאה

דיון גלובלי בשפה משפטית שונה

למה הגישה האירופית חשובה

למה זה חשוב גם מעבר למגזרים מפוקחים

מה פריזמת הריבונות עוזרת לכם לראות

מקורות

הצטרפו ל-Dvina

עוד תכנים לגלות