«Tales of Eternia» er tilbake etter to tiår med en fantastisk remaster

EU-kommissionen offentliggjorde förra veckan sitt paket för teknisk suveränitet, vilket innehåller den hittills tydligaste signalen om dess avsikt att stärka den europeiska molnsuveräniteten och minska beroendet av amerikanska hyperscalers.

Det är ett svar på den växande oron bland europeiska organisationer och tillsynsmyndigheter över beroendet av amerikanska teknikföretag och lagstiftning som den amerikanska Cloud Act, som skulle kunna ge amerikanska myndigheter tillgång till data – även om den lagras i Europa.

Men en övergång till lokala, suveräna molnleverantörer kommer nödvändigtvis att ske gradvis, säger analytiker, eftersom förslagen i Cloud and AI Development Act (CADA) lämnar stort utrymme för amerikanska leverantörer att fortsätta leverera molntjänster till europeiska kunder inom den offentliga sektorn.

– Riktningen är rätt. Genomförandet kommer att gå långsamt, säger Fernando Pereiro, analytiker på Gartner.

Även om kommissionen korrekt har identifierat områden där EU är mest beroende av utländska leverantörer, är det en annan utmaning att förverkliga sina ambitioner, säger han. Att skala upp alternativ till amerikanska leverantörer ”kräver tid, kapital och samordning på en nivå som är svår att upprätthålla i Europa”.

Dario Maisto, analytiker på Forrester, tonade ned utsikterna för en större kortsiktig övergång till europeiska molnleverantörer till följd av CADA-förslagen, även efter det senaste intresset för lokala europeiska leverantörer för verksamhetskritiska arbetsbelastningar och mycket känsliga data.

– Jag förväntar mig ingen omedelbar påverkan på marknaden för molninfrastruktur, säger Maisto. Fullskaliga migreringar är kostsamma och tar flera år. De kommer inte att ske inom den närmaste framtiden.

I stället förväntar sig Pereiro på Gartner en gradvis framväxt av ”suveräna enklaver” eller kontrollerade miljöer för känsliga arbetsbelastningar, särskilt inom offentlig sektor och reglerade sektorer.

– Utanför dessa områden kommer marknaden att förbli global, men i allt högre grad präglas av europeiska regler, säger han.

De tre amerikanska hyperscalers som står för cirka 70 procent av den europeiska molnmarknaden – Amazon Web Services (AWS), Google och Microsoft – kommer dock sannolikt att möta en mer konkurrensutsatt miljö.

– Den verkliga förändringen är symbolisk och strukturell: hyperscalers går från att vara det självklara valet till ett alternativ bland andra, och deras konkurrenskraft kommer i allt högre grad att bero på hur väl de anpassar sig till europeiska kontrollkrav, inte bara på teknik eller pris, sade Pereiro.

Vad är CADA och vad kan det innebära för Europas molnmarknad?

CADA ingår i en rad politiska och lagstiftningsförslag – kända som Tech Sovereignty Package – som publicerats av kommissionen, tillsammans med Chips Act 2.0, Open Source-strategin och en strategisk färdplan för digitalisering och AI inom energiområdet.

CADA innehåller åtgärder för att stärka den europeiska tekniska suveräniteten. Bland annat syftar det till att tredubbla datacenterkapaciteten under de kommande fem till sju åren genom att lätta på restriktionerna för nya infrastrukturprojekt i hela EU, samt insatser för att stödja forskning och utveckling av moln- och AI-teknik.

Det innehåller också ett suveränitetsramverk som, om det antas, skulle kräva att offentliga organ inom EU bedömer suveränitetsrisker och upphandlar molntjänster som uppfyller fyra säkerhetsnivåer.

De olika nivåerna speglar ”en politisk vision med många öppna frågor”, säger Maisto. Mer detaljerat:

• Kraven på nivå 1 är uppnåeliga för hyperscalers, säger Maisto, med krav som främst fokuserar på datalagring.
• Nivå 2 är ”mer kontroversiell”, säger han, eftersom den innehåller krav kring tredjelands tillgång till data och avbrott i tjänsterna.
• Nivå 3 lämnar utrymme för amerikanska leverantörer att vinna upphandlingskontrakt – särskilt när de ingår ett joint venture med en europeisk molnleverantör som S3NS, ett dotterbolag till Thales som har ingått partnerskap med Google.
• Nivå 4 gäller endast en liten andel (1 procent) av de mest känsliga arbetsbelastningarna.

De två första nivåerna skulle kunna vara öppna för amerikanska hyperscalers, säger Maisto, där 70 procent av befintliga arbetsbelastningar inom den offentliga sektorn i EU faller under nivå 1 och 20 procent under nivå 2, enligt kommissionens egen konsekvensbedömning. Endast 9 procent av arbetsbelastningarna skulle kräva nivå 3.

Den strängaste nivån 4 skulle kräva att molnleverantörerna ”har full transparens och kontroll över sin programvarukedja och ingen inblandning från ett tredjeland”, enligt kommissionen.

För organisationer inom den offentliga sektorn skulle CADA-reglerna kunna skapa större tydlighet kring upphandling, säger Pereiro.

– I dag är begreppet suverän molntjänst ofta vagt och tillämpas inkonsekvent i leverantörernas marknadsföring och kommunikation, säger han.

– Det här paketet standardiserar hur suveränitet ska se ut i praktiken, vilket effektivt avslutar eran av ”sovereign washing”.

Förslagen ger organisationer inom den offentliga sektorn en ”starkare uppsättning krav att utgå ifrån vid riskbedömning, särskilt när det gäller jurisdiktion och tillgång till data”, säger han.

– För företag handlar det mindre om reglering och mer om inflytande, säger Pereiro. De får tydligare riktmärken och mer genomförbara alternativ, särskilt genom öppen källkod och nya europeiska leverantörer.

Den europeiska molnbranschen ser det som ”ett steg i rätt riktning”

Branschorganisationen Cloud Infrastructure Services Providers in Europe (CISPE) välkomnar de ”tydliga definitionerna” av nivå 3 och 4 och säger att de föreslagna reglerna, om de implementeras väl, skulle kunna ”bidra till att utmana den kommersiella dominansen hos etablerade utländska moln- och AI-leverantörer.”

CISPE kallar dock de nuvarande kriterierna för nivå 1 och 2 för ”förvirrande och meningslösa” och säger att de inte bör betecknas som ”suveräna” eftersom amerikanska hyperscalers kan uppfylla kraven.

”Detta kommer att fortsätta att förvirra marknaden, både offentliga och privata kunder, och uppmuntra fler försök till suveränitetstvätt”, skrivet CISPE i ett blogginlägg.

CISPE säger också att förslagen inte kräver att offentliga myndigheter kontrollerar om det finns en europeisk tjänst innan de väljer en utländsk leverantör.

”Vi ser en betydande risk att bedömningarna blir en ren formalitet som gör det möjligt för it-avdelningar att fortsätta köpa icke-suveräna tjänster av bekvämlighetsskäl”, säger organisationen.

Det franska företaget OVHcloud – ett av de ledande europeiska företagen inom molntjänster och webbhotell – välkomnar förslagen, men påpekar att alla regler måste utformas noggrant för att säkerställa att de är effektiva.

– Denna text är ett steg i rätt riktning och utgör en möjlighet att stärka den europeiska strategiska autonomin – något som var otänkbart för bara några år sedan, säger en talesperson för OVHcloud.

– Den ger en användbar ram, men en som inte får lämna för mycket utrymme för undantag och kringgående lösningar.

– Europa måste och kan agera mycket snabbare, med mycket tydliga regler och en genuin europeisk preferens. Utöver denna text har kommissionen med sin uppmaning till suverän upphandling visat att det är möjligt att agera redan nu för att minska kritiska beroenden. Tiden för att vänta är över. Vi måste öka takten. Vi måste förtydliga. Vi måste ta ansvar.

– Europa har aktörerna och expertisen, säger talespersonen. Det är dags att omvandla politisk ambition till europeisk industriell kapacitet.

Det övergripande paketet för teknisk suveränitet ”markerar den försenade övergången från diagnos till behandling”, säger en talesperson för Ionos, ett tyskt moln- och webbhotellföretag. Ionos pekar på kommissionens påståenden att mer än 80 procent av de digitala produkterna, tjänsterna och infrastrukturerna i EU kommer från icke-europeiska leverantörer, medan 264 miljarder euro flödar från EU-organisationer till främst USA-baserade it-produkter.

– Detta är ett strategiskt misslyckande som nu måste rättas till, säger talespersonen. Medan företaget applåderade kommissionens fokus på ”säker och suverän moln- och AI-infrastruktur för mycket kritiska användningsfall”, hävdar det att CADA-förslagen inte räcker till.

– Paketets centrala svaghet: tillvägagångssättet är fortfarande huvudsakligen inriktat på utbudssidan. Den avgörande hävstången – efterfrågesidan – saknas. Offentlig upphandling är det mest kraftfulla instrumentet för digital suveränitet. Den offentliga sektorn som ankarkund är avgörande för att skala upp suveräna moln- och AI-lösningar.

Europa kommer att förbli beroende av Nvidia och AMD för GPU-beräkningar, enligt talespersonen.

– Det viktiga är inte om man ska samarbeta, utan på vilka villkor: data enligt europeisk lag, verksamhet som bedrivs av europeiska leverantörer, ingen extraterritoriell åtkomst. Om EU-medel avsedda för suveräna molntjänster hamnar hos de europeiska dotterbolagen till amerikanska hyperscalers, kommer paketet att ha misslyckats med sitt mål.

Den verkliga inverkan på molnjättarna

De föreslagna reglerna kan tvinga hyperscalers att ändra taktik för att tillgodose europeiska kunders behov, eller åtminstone att intensifiera befintliga strategier för suveräna molntjänster.

– För leverantörerna innebär detta i grunden en förändring av vad konkurrenskraftig betyder, säger Pereiro. Under det senaste decenniet räckte det med skala och anpassning till hyperscalers. Så är inte längre fallet.

Molnleverantörer kommer att behöva visa att de har verklig kontroll över data, infrastruktur och drift, säger han, och inte bara märka lösningar som ”suveräna”.

– Ribban har höjts, och vissa befintliga erbjudanden kommer helt enkelt inte att klara den, säger han.

Även om CADA-reglerna i vissa fall är utformade för att gynna europeiska leverantörer, går förslagen inte så långt som att utestänga amerikanska leverantörer från kontrakt inom den offentliga sektorn.

– Det stänger inte ute dem, säger Pereiro, men det förändrar konkurrensvillkoren avsevärt.

De föreslagna upphandlingskraven gör suveränitet till en ”avgörande faktor” för känsliga arbetsbelastningar, säger Pereiro, och ”skapar verkliga friktioner för leverantörer vars verksamhetsmodeller är beroende av centraliserad kontroll eller jurisdiktion utanför EU”.

Amerikanska teknikföretag uttrycker sitt stöd

Amerikanska hyperscalers välkomnade offentligt förslagen och angav planer på att samarbeta med beslutsfattare och säkerställa vikten av kundernas valfrihet vid upphandling av molntjänster.

– Vi ser fram emot att granska de föreslagna reglerna och fortsätta att arbeta tillsammans med våra partners för att säkerställa att europeiska organisationer har valfrihet och suverän kontroll, säger en talesperson för Google.

En talesperson för AWS säger att företaget har investerat ”tiotals miljarder euro” i europeisk molninfrastruktur, vilket enligt företaget ”redan har främjat kontinentens konkurrenskraft, hjälpt organisationer att innovera och växa samt stöttat utvecklingen och motståndskraften hos både offentliga och privata tjänster som européerna nu förlitar sig på varje dag”.

– Europeiska organisationer förtjänar tillgång till den bästa tillgängliga tekniken från pålitliga leverantörer, utvalda på grundval av säkerhet, prestanda, verifierbara kontroller och värde, säger AWS-talespersonen. Vi ser fram emot att samarbeta med beslutsfattare för att säkerställa att lagen om moln- och AI-utveckling främjar valfrihet när det gäller teknik och belönar långsiktiga investeringar i Europas digitala framtid.

En talesperson för Microsoft säger att företaget delar EU:s ”ambition att stärka den tekniska suveräniteten och den globala konkurrenskraften inom AI, grundad på öppenhet, partnerskap och rättvis konkurrens.

– För att uppnå detta krävs tillgång till infrastruktur och teknik i världsklass i stor skala, säger Microsofts talesperson. Det innebär att europeiska företag och offentliga förvaltningar måste kunna göra upphandlingsval baserade på en bred, riskbaserad bedömning på en öppen och konkurrensutsatt marknad.

– Microsoft erbjuder säkra och suveräna molnlösningar som ger kunderna kontroll, och vi står redo att hjälpa till att bygga ett starkt, motståndskraftigt och globalt uppkopplat AI-ekosystem i Europa.

Även om förslagen innebär potentiella hinder för amerikanska hyperscalers, kommer de som anpassar sig till den nya regleringsinriktningen – och tar hänsyn till europeiska organisationers farhågor – att gynnas, säger Pereiro.

– Om ert erbjudande överensstämmer med suveränitetskraven kommer ert företag sannolikt att se fler möjligheter, inte färre, säger han.