Sejak sekian lama, keputusan teknologi dinilai melalui satu set soalan yang sudah biasa: Adakah ia lebih pantas? Adakah ia lebih murah? Bolehkah ia diskalakan? Adakah ia akan menjadikan pasukan lebih produktif?
Soalan-soalan itu masih penting. Namun, ia tidak lagi mencukupi.
Apabila sesebuah organisasi bergantung pada infrastruktur, platform, dan semakin meningkat pada model AI luaran, satu soalan yang lebih sukar muncul terlebih dahulu: apa yang berlaku apabila syarat berubah? Apa yang berlaku apabila akses menjadi lebih mahal, terhad, terdedah kepada risiko politik, atau sukar dijelaskan kepada pengawal selia, lembaga, atau pelanggan?
Itulah persoalan kedaulatan dalam IT dan AI.
Ia bukan hanya tentang di mana data berada. Ia tentang kawalan dalam erti kata yang lebih luas: siapa yang boleh memeriksa sistem, mengganggunya, memaksa akses, mengubah peraturan, atau menyukarkan untuk keluar. Ia juga tentang kebertanggungjawaban. Apabila sesuatu berlaku tidak seperti yang sepatutnya, siapakah yang kekal bertanggungjawab?
Tiada satu definisi global tunggal bagi kedaulatan digital. Bidang kuasa yang berbeza menekankan aspek yang berbeza: jangkauan undang-undang, kebergantungan pada infrastruktur, kawalan data, daya tahan operasi, penumpuan penyedia, dan semakin ketara, kawalan ke atas lapisan model AI. Benang merah yang menghubungkannya bersifat praktikal, bukan ideologi.
Kedaulatan ialah keupayaan untuk mengekalkan kawalan yang bermakna ke atas keupayaan digital yang paling menjadi sandaran sesebuah organisasi.
Itu tidak bermaksud setiap negara atau syarikat mesti membina segala-galanya sendiri. Ia bermaksud mengetahui di mana kebergantungan boleh diterima, di mana ia berbahaya, dan kawalan apa yang mesti kekal di dalam organisasi atau boleh dikuatkuasakan melalui kontrak.
Kedaulatan bukan sara diri
Kedaulatan sering dikelirukan dengan sara diri atau residensi data. Kedua-duanya tidak merangkumi keseluruhan masalah.
Sesebuah syarikat mungkin menyimpan datanya dalam bidang kuasa yang betul dan masih terdedah jika platform di sekelilingnya sukar ditinggalkan, penyedia masih tertakluk kepada tuntutan undang-undang asing, atau sistem AI yang terbina dalam aliran kerja kritikal tidak boleh diaudit atau dipengaruhi oleh pelanggan.
AI menjadikan perbezaan ini lebih mendesak. Model bukan sekadar satu lagi komponen perisian. Ia boleh membentuk cara sesebuah organisasi menulis, mencari, mengelaskan, menyokong pelanggan, menganalisis maklumat, dan membuat keputusan. Apabila itu berlaku, kebergantungan bergerak naik ke lapisan yang lebih tinggi. Persoalannya bukan lagi sekadar di mana sesebuah mesin berjalan. Ia ialah siapa yang membentuk kecerdasan dalam kerja itu.
Kebanyakan organisasi menyedari perkara ini dalam situasi operasi harian yang biasa. Seorang penyedia mengubah harga dan kes penggunaan yang sebelum ini berdaya maju tiba-tiba menjadi mahal. Kemas kini model mengubah output dan aliran kerja dalaman perlu dilaraskan semula. Pasukan undang-undang atau pematuhan mengemukakan soalan mudah tentang pengendalian data dan menerima jawapan yang kabur. Pasukan perolehan mendapati bahawa seni bina yang kononnya fleksibel sebenarnya mahal dan lambat untuk digantikan.
Krisis geopolitik tidak diperlukan. Kebergantungan biasa sudah memadai.
Perdebatan global dengan bahasa perundangan yang berbeza
Isu ini bersifat global, walaupun istilah yang digunakan berbeza-beza.
Di Amerika Syarikat, kebimbangan ini sering dinyatakan melalui kebenaran persekutuan dan kawalan keselamatan negara, bukannya frasa digital sovereignty. FedRAMP menyediakan pendekatan piawai untuk menilai, memberi kebenaran, dan memantau secara berterusan perkhidmatan awan yang digunakan oleh agensi persekutuan. Agensi kekal bertanggungjawab terhadap beban kerja mereka selepas memindahkannya ke awan, dan persekitaran pertahanan menambah lagi keperluan tambahan.
United Kingdom cenderung membingkaikan isu ini dari sudut daya tahan operasi dan kebergantungan sistemik. Bank of England, PRA, dan FCA mewujudkan rejim Critical Third Parties kerana gangguan besar pada penyedia luaran boleh mewujudkan risiko bukan sahaja kepada satu firma, tetapi juga kepada sistem kewangan yang lebih luas.
Profil kawalan awan Kanada untuk maklumat Protected B menjadikan prinsip akauntabiliti jelas: tanggungjawab boleh diwakilkan kepada penyedia awan, tetapi akauntabiliti tidak hilang apabila penyerahan itu dibuat.
India menggandingkan keperluan penyetempatan data untuk data sistem pembayaran dengan jangkaan bahawa entiti yang dikawal selia kekal bertanggungjawab terhadap aturan IT dan awan yang disumber luar. Singapura mengalu-alukan penggunaan awan sambil menganggapnya sebagai penyumberan luar yang mesti ditadbir. Australia, Brazil, dan Afrika Selatan juga mendekati isu ini melalui daya tahan operasi, risiko penyedia perkhidmatan, akses penyeliaan, tadbir urus data, dan infrastruktur strategik.
Polanya jelas. Kedaulatan bukan kebimbangan Eropah yang khusus. Ia ialah respons yang meluas terhadap hakikat bahawa kebergantungan digital telah menjadi strategik.
Mengapa pendekatan Eropah penting
Eropah telah membawa konsep ini lebih jauh daripada kebanyakan bidang kuasa dengan menjadikannya rangka kerja perolehan dan penilaian.
Cloud Sovereignty Framework Suruhanjaya Eropah menilai penyedia sovereign cloud merentas lapan objektif: pertimbangan strategik, perundangan dan bidang kuasa, data dan AI, operasi, rantaian bekalan, teknologi, keselamatan dan pematuhan, serta alam sekitar. Ia menggunakan dua mekanisme yang saling melengkapi:
- Sovereignty Effectiveness Assurance Level (SEAL): tahap jaminan minimum bagi setiap objektif.
- Overall sovereignty score: perbandingan berwajaran antara tawaran yang memenuhi ambang SEAL yang diperlukan.
Perbezaan ini penting. SEAL keseluruhan ditetapkan oleh tahap relevan terendah yang dicapai merentas objektif tersebut. Oleh itu, kelemahan serius dalam satu bidang kritikal boleh mengehadkan tahap keseluruhan penyedia, tanpa mengira kekuatan di tempat lain. Skor pula mempunyai tujuan yang berbeza: ia membezakan antara tawaran yang sudah melepasi ambang minimum.
Tahap ialah logik ambang; skor ialah logik perbandingan.
Panduan Suruhanjaya memberi ruang kepada pihak berkuasa kontrak untuk menetapkan SEAL minimum yang diperlukan bagi sesuatu perolehan, kemudian membandingkan tawaran yang layak melalui skor. Perolehan sovereign cloud 2026 mereka mensyaratkan penyedia mencapai sekurang-kurangnya SEAL-2. Rangka kerja itu juga mengiktiraf darjah kedaulatan: SEAL-2 dikaitkan dengan kedaulatan data, SEAL-3 dengan daya tahan digital, dan SEAL-4 dengan kedaulatan digital penuh.
Tahap tertinggi itu sengaja ditetapkan dengan ketat. Suruhanjaya menyatakan bahawa kedaulatan penuh masih sukar dicapai dalam konteks Eropah semasa kerana kebergantungan berterusan dalam rantaian bekalan, khususnya perkakasan dan cip. Ini ialah pembetulan yang berguna terhadap pemikiran binari. Sesuatu perkhidmatan boleh memperbaiki kedudukan kedaulatan sesebuah organisasi tanpa memenuhi takrif kedaulatan yang paling kuat yang boleh dibayangkan.
Itulah sebabnya rangka kerja ini lebih daripada sekadar senarai semak. Ia memaksa konsep ini bertahan apabila berdepan dengan perolehan, kejuruteraan, semakan undang-undang, dan akauntabiliti institusi.
Mengapa ini penting di luar sektor yang dikawal selia
Bank, pengendali telekom, organisasi pertahanan, sistem kesihatan, dan pihak berkuasa awam cenderung merasai tekanan ini terlebih dahulu kerana peraturan menjadikan taruhannya jelas. Kerentanan asasnya jauh lebih meluas.
Sebuah pengeluar yang bergantung pada satu rantau hyperscaler untuk analitik pengeluaran, sebuah syarikat perisian yang membina ciri teras di sekitar satu penyedia model, sebuah peruncit yang bergantung pada infrastruktur identiti luaran, atau sebuah universiti yang mengintegrasikan alat AI pihak ketiga ke dalam penyelidikan dan pentadbiran semuanya berdepan versi masalah yang sama.
Sebahagian daripada risikonya bersifat geopolitik. Kawalan eksport, sekatan, campur tangan keselamatan negara, dan tuntutan undang-undang rentas sempadan boleh menjangkau lebih jauh ke dalam susunan teknologi daripada yang dijangkakan oleh banyak organisasi. Sebahagian lagi bersifat struktur: sebilangan kecil firma menyokong sebahagian besar kapasiti global bagi cloud, platform, identiti, dan AI. Keupayaan mereka selalunya sangat baik. Itulah sebabnya kebergantungan itu boleh menjadi begitu mendalam.
AI menjadikan isu ini lebih ketara kerana perkhidmatan luaran berubah menjadi keupayaan dalaman. Apabila sesuatu model disepadukan ke dalam aliran kerja sokongan, penggubalan, carian, semakan pematuhan, atau pengalaman produk, ia menjadi sebahagian daripada cara organisasi berfikir dan beroperasi. Jika lapisan itu sukar diaudit, ditadbir urus, atau diganti, kebergantungan itu bukan lagi semata-mata teknikal. Ia menjadi isu pengurusan dan strategik.
Apa yang dapat anda lihat melalui lensa kedaulatan
Kedaulatan paling baik difahami sebagai disiplin pertimbangan, bukannya tuntutan untuk kebebasan sepenuhnya.
Soalan yang berguna bukanlah sama ada sesebuah organisasi mengawal segala-galanya. Hampir tiada yang mampu. Soalan yang lebih baik ialah: objektif kedaulatan yang manakah paling lemah, dan mengapa?
Adakah faktor pembatasnya pemilikan dan tadbir urus? Pendedahan undang-undang? Kawalan data? Kebergantungan operasi? Kerapuhan rantaian bekalan? Keterikatan teknologi? Atau lapisan AI itu sendiri?
Sebaik sahaja perkara itu jelas, tindak balas menjadi konkrit. Sesetengah organisasi memerlukan hak audit dan hak keluar yang lebih kukuh. Sesetengah memerlukan had bidang kuasa yang lebih ketat untuk data atau beban kerja tertentu. Sesetengah mungkin mengekalkan fungsi terpilih agar boleh dialihkan merentas penyedia cloud atau model, walaupun itu menambah kos. Yang lain mungkin menerima kebergantungan terurus dalam bidang yang kurang kritikal sambil mengekalkan kawalan yang lebih kukuh ke atas sistem yang menentukan daya tahan, akauntabiliti, atau kelebihan daya saing.
Itulah nilai lensa kedaulatan. Ia tidak menetapkan satu kesimpulan politik atau menuntut kebergantungan kendiri teknologi yang dramatik. Ia memberi organisasi cara yang berdisiplin untuk mengenal pasti objektif relevan mereka yang paling lemah, memahami mengapa ia lemah, dan memutuskan sama ada pendedahan itu boleh diterima.
Soalan itu kini terpakai kepada infrastruktur, data, dan semakin meningkat, kepada AI.
Sumber
- European Commission: Rangka Kerja Sovereign Cloud dijelaskan (2026)
- European Commission: Rangka Kerja Cloud Sovereignty — Panduan pelaksanaan (2026)
- European Commission: Suruhanjaya memajukan kedaulatan cloud melalui perolehan strategik (2026)
- APRA: CPG 230 Pengurusan Risiko Operasi
- U.S. General Services Administration: Keselamatan Cloud
- Bank of England, PRA, and FCA: Pihak Ketiga Kritikal kepada sektor kewangan UK
- Government of Canada: Profil Kawalan Keselamatan untuk Perkhidmatan GC berasaskan Cloud
- Reserve Bank of India: Soalan Lazim tentang Penyimpanan Data Sistem Pembayaran
- Reserve Bank of India (Commercial Banks – Managing Risks in Outsourcing) Directions, 2025
- Monetary Authority of Singapore: Cloud
- Banco Central do Brasil: Resolução CMN nº 4.893
- Government of South Africa: Dasar Kebangsaan mengenai Data dan Cloud (2024)
