Dugo su se tehnološke odluke procjenjivale kroz poznat skup pitanja: Je li brže? Je li jeftinije? Može li se skalirati? Hoće li tim učiniti produktivnijim?
Ta su pitanja i dalje važna. No više nisu dovoljna.
Kada se organizacija oslanja na vanjsku infrastrukturu, platforme i sve više na vanjske AI modele, jedno teže pitanje dolazi prvo: što se događa kada se uvjeti promijene? Što se događa kada pristup postane skuplji, ograničen, politički izložen ili ga je teško objasniti regulatoru, upravi ili korisniku?
To je pitanje suverenosti u IT-u i AI-ju.
Ne radi se samo o tome gdje se podaci nalaze. Riječ je o kontroli u širem smislu: tko može pregledati sustav, prekinuti ga, prisiliti pristup, promijeniti pravila ili otežati odlazak. Riječ je i o odgovornosti. Kada nešto pođe po zlu, tko ostaje odgovoran?
Ne postoji jedinstvena globalna definicija digitalne suverenosti. Različite jurisdikcije naglašavaju različite aspekte: pravni doseg, ovisnost o infrastrukturi, kontrolu nad podacima, operativnu otpornost, koncentraciju pružatelja usluga i, sve više, kontrolu nad slojem AI modela. Zajednička nit je praktična, a ne ideološka.
Suverenost je sposobnost zadržavanja stvarne kontrole nad digitalnim sposobnostima o kojima organizacija najviše ovisi.
To ne znači da svaka država ili tvrtka mora sve graditi sama. To znači znati gdje je ovisnost prihvatljiva, gdje je opasna i koja kontrola mora ostati unutar organizacije ili biti ugovorno provediva.
Suverenost nije samodostatnost
Suverenost se često brka sa samodostatnošću ili pohranom podataka unutar određene jurisdikcije. Ni jedno ni drugo ne obuhvaća cijeli problem.
Tvrtka može pohranjivati svoje podatke u odgovarajućoj jurisdikciji i svejedno biti izložena ako je okolnu platformu teško napustiti, ako pružatelj i dalje podliježe stranim pravnim zahtjevima ili ako se AI sustavi ugrađeni u ključne radne procese ne mogu revidirati niti na njih korisnik može utjecati.
AI ovu razliku čini hitnijom. Model nije samo još jedna softverska komponenta. Može oblikovati način na koji organizacija piše, pretražuje, klasificira, pruža podršku korisnicima, analizira informacije i donosi odluke. Kada se to dogodi, ovisnost se pomiče prema višim slojevima. Pitanje više nije samo gdje se neki stroj izvršava. Pitanje je tko oblikuje inteligenciju unutar samog rada.
Većina organizacija to prepoznaje u svakodnevnim operativnim situacijama. Pružatelj promijeni cijene i održiv slučaj upotrebe odjednom postane skup. Ažuriranje modela promijeni izlaze pa se interni tijekovi rada moraju ponovno prilagoditi. Pravni timovi ili timovi za usklađenost postavljaju jednostavna pitanja o postupanju s podacima i dobivaju nejasne odgovore. Nabava otkriva da bi arhitekturu koja se navodno može fleksibilno prilagoditi bilo skupo i sporo zamijeniti.
Geopolitička kriza nije nužna. Dovoljna je i obična ovisnost.
Globalna rasprava s različitim pravnim nazivljem
Pitanje je globalno, čak i ondje gdje se terminologija razlikuje.
U Sjedinjenim Državama ta se zabrinutost često izražava kroz savezna odobrenja i kontrole nacionalne sigurnosti, a ne kroz izraz digitalni suverenitet. FedRAMP pruža standardiziran pristup procjeni, odobravanju i kontinuiranom nadzoru usluga u oblaku koje koriste savezne agencije. Agencije i nakon prelaska u oblak ostaju odgovorne za svoja radna opterećenja, a obrambena okruženja nameću dodatne zahtjeve.
U Ujedinjenoj Kraljevini to se pitanje obično promatra kroz operativnu otpornost i sustavnu ovisnost. Bank of England, PRA i FCA uspostavili su režim Critical Third Parties jer veliki poremećaj kod vanjskog pružatelja može stvoriti rizik ne samo za jednu instituciju nego i za širi financijski sustav.
Kanadski profil kontrola za oblak za informacije razine Protected B izričito naglašava načelo odgovornosti: odgovornosti se mogu delegirati pružateljima usluga u oblaku, ali odgovornost ne nestaje samim prijenosom.
Indija zahtjeve za lokalizaciju podataka za podatke platnih sustava povezuje s očekivanjem da regulirani subjekti ostanu odgovorni za izdvojene IT i cloud aranžmane. Singapur prihvaća usvajanje oblaka, ali ga tretira kao outsourcing kojim se mora upravljati. Australija, Brazil i Južna Afrika tom pitanju također pristupaju kroz operativnu otpornost, rizik pružatelja usluga, nadzorni pristup, upravljanje podacima i stratešku infrastrukturu.
Obrazac je jasan. Suverenitet nije usko europsko pitanje. To je širok odgovor na činjenicu da je digitalna ovisnost postala strateška.
Zašto je europski pristup važan
Europa je taj koncept razvila dalje od većine jurisdikcija tako što ga je pretvorila u okvir za nabavu i procjenu.
Cloud Sovereignty Framework Europske komisije procjenjuje pružatelje suverenog oblaka prema osam ciljeva: strateški, pravni i jurisdikcijski, podaci i AI, operativni, opskrbni lanac, tehnološki, sigurnost i usklađenost te okolišni aspekti. Koristi dva komplementarna mehanizma:
- Sovereignty Effectiveness Assurance Level (SEAL): minimalna razina jamstva za svaki cilj.
- Overall sovereignty score: ponderirana usporedba ponuda koje zadovoljavaju traženi prag SEAL-a.
Ta je razlika važna. Ukupni SEAL određuje se prema najnižoj relevantnoj razini postignutoj među ciljevima. Ozbiljna slabost u jednom kritičnom području stoga može ograničiti ukupnu razinu pružatelja, bez obzira na snagu u drugim područjima. Rezultat služi drugoj svrsi: razlikuje ponude koje su već prošle minimalni prag.
Razina je logika praga; rezultat je komparativna logika.
Smjernice Komisije daju naručitelju prostor da za postupak nabave odredi traženi minimalni SEAL, a zatim usporedi kvalificirane ponude prema rezultatu. U njezinoj nabavi suverenog oblaka za 2026. od pružatelja se zahtijevalo da dosegnu najmanje SEAL-2. Okvir također prepoznaje stupnjeve suvereniteta: SEAL-2 povezuje se sa suverenitetom podataka, SEAL-3 s digitalnom otpornošću, a SEAL-4 s punim digitalnim suverenitetom.
Najviša je razina namjerno zahtjevna. Komisija napominje da je puni suverenitet i dalje teško ostvariv u sadašnjem europskom kontekstu zbog trajnih ovisnosti u opskrbnim lancima, osobito kad je riječ o hardveru i čipovima. To je korisna korekcija binarnog razmišljanja. Usluga može poboljšati položaj organizacije u pogledu suvereniteta, a da pritom ne zadovolji najstrožu zamislivu definiciju suvereniteta.
Zato je taj okvir više od kontrolne liste. On prisiljava koncept da izdrži susret s nabavom, inženjeringom, pravnom provjerom i institucionalnom odgovornošću.
Zašto je to važno i izvan reguliranih sektora
Banke, telekom operatori, obrambene organizacije, zdravstveni sustavi i javna tijela obično prve osjete te pritiske jer regulativa čini uloge vidljivima. Temeljna ranjivost mnogo je šira.
Proizvođač koji ovisi o jednoj regiji jednog hyperscalera za produkcijsku analitiku, softverska tvrtka koja je ključne funkcionalnosti izgradila oko jednog pružatelja modela, trgovac koji se oslanja na vanjsku infrastrukturu identiteta ili sveučilište koje ugrađuje AI alate trećih strana u istraživanje i administraciju — svi se suočavaju s različitim inačicama istog problema.
Dio rizika je geopolitički. Izvozne kontrole, sankcije, intervencije u ime nacionalne sigurnosti i prekogranični pravni zahtjevi mogu sezati dublje u tehnološki sloj nego što su mnoge organizacije pretpostavljale. Drugi dio je strukturne naravi: malen broj tvrtki podupire velik udio globalnih kapaciteta u oblaku, platformama, identitetu i AI-ju. Njihove su sposobnosti često izvrsne. Upravo zato ovisnost može postati duboka.
AI dodatno izoštrava problem jer vanjske usluge postaju unutarnje sposobnosti. Kada je model utkan u tijekove rada podrške, izradu nacrta, pretraživanje, provjeru usklađenosti ili korisničko iskustvo proizvoda, on postaje dio načina na koji organizacija razmišlja i djeluje. Ako je taj sloj teško revidirati, njime upravljati ili ga zamijeniti, ovisnost više nije samo tehnička. Postaje upravljačka i strateška.
Što vam perspektiva suverenosti pomaže vidjeti
Suverenost je najbolje razumjeti kao disciplinu prosuđivanja, a ne kao zahtjev za potpunom neovisnošću.
Korisno pitanje nije kontrolira li organizacija sve. Gotovo nijedna ne može. Bolje je pitanje: koji je cilj suverenosti najslabiji i zašto?
Je li ograničavajući čimbenik vlasništvo i upravljanje? Pravna izloženost? Kontrola nad podacima? Operativna ovisnost? Krhkost opskrbnog lanca? Tehnološka vezanost? Ili sam AI sloj?
Kad to postane vidljivo, odgovor postaje konkretan. Nekim organizacijama trebaju snažnija prava revizije i izlaska. Nekima trebaju stroža jurisdikcijska ograničenja za određene podatke ili radna opterećenja. Neke mogu zadržati prenosivost odabranih funkcija između pružatelja oblaka ili modela, čak i ako to povećava trošak. Druge mogu prihvatiti upravljanu ovisnost u manje kritičnim područjima, uz zadržavanje snažnije kontrole nad sustavima koji određuju otpornost, odgovornost ili konkurentsku prednost.
To je vrijednost perspektive suverenosti. Ona ne propisuje jedan politički zaključak niti zahtijeva dramatičnu tehnološku samodostatnost. Organizacijama daje discipliniran način da prepoznaju svoj najslabiji relevantni cilj, razumiju zašto je slab i odluče je li ta izloženost prihvatljiva.
To se pitanje sada odnosi na infrastrukturu, podatke i sve više na AI.
Izvori
- Europska komisija: Objašnjenje okvira za suvereni oblak (2026)
- Europska komisija: Okvir suverenosti oblaka — smjernice za provedbu (2026)
- Europska komisija: Komisija unapređuje suverenost oblaka strateškom nabavom (2026)
- APRA: CPG 230 Upravljanje operativnim rizikom
- U.S. General Services Administration: Sigurnost oblaka
- Banka Engleske, PRA i FCA: Kritične treće strane za financijski sektor Ujedinjenog Kraljevstva
- Vlada Kanade: Profil sigurnosnih kontrola za usluge GC-a temeljene na oblaku
- Indijska središnja banka: Česta pitanja o pohrani podataka platnog sustava
- Indijska središnja banka (Poslovne banke – upravljanje rizicima pri outsourcingu), Smjernice, 2025
- Monetarna uprava Singapura: Oblak
- Središnja banka Brazila: Resolução CMN br. 4.893
- Vlada Južne Afrike: Nacionalna politika o podacima i oblaku (2024)
