Cel Komisji Europejskiej, by w ciągu 5–7 lat potroić unijny rynek centrów danych, wymaga agresywnej inżynierii rynku – i właśnie tym zajmuje się CADA.
Komisja Europejska przedstawiła niedawno projekt aktu o rozwoju chmury i sztucznej inteligencji (CADA), który ma pobudzić europejski sektor usług chmurowych i AI poprzez zmianę infrastruktury, rynku chmury w UE oraz zasad działania podmiotów publicznych w przyszłości.
REKLAMA
REKLAMA
CADA opiera się na trzech głównych filarach: inwestycjach w badania, rozwój i innowacje, rozbudowie potencjału – tak, by w ciągu 5–7 lat potroić europejski rynek centrów danych – oraz kompleksowych ramach autonomii, obejmujących cztery poziomy suwerenności i bezpieczeństwa oraz nowe obowiązki dla państw członkowskich UE.
CADA przyjęta z mieszanymi opiniami
Jak dotąd projekt spotkał się z mieszanymi ocenami. Organizacje branżowe, takie jak CCIA Europe, uznały go za dyskryminujący, ponieważ CADA zobowiązuje państwa członkowskie do określenia, które zastosowania wymagają konkretnych poziomów suwerenności, których dostawcy spoza UE „nie byliby w stanie spełnić z założenia”.
Polski prawnik specjalizujący się w nowych technologiach, Mikołaj Barcenciewicz, wskazywał wcześniej, że CADA powinna opierać się na analizie ryzyka, a nie sztywnych kategoriach, tak aby zachować indywidualne podejście państw i zasadę subsydiarności, zamiast je ujednolicać.
Szwedzki eurodeputowany Jörgen Warborn przedstawił ostatnio na LinkedInie swoje uwagi do projektu CADA. Argumentował, że cele europejskiej suwerenności cyfrowej trzeba uzupełnić o dalsze uproszczenia oraz lepsze warunki prowadzenia biznesu, a także o silniej zarysowaną „perspektywę zwrotu z inwestycji”.
Podkreślił też, że choć dążenie do suwerenności UE powinno być wzmacniane w zastosowaniach krajowych związanych z bezpieczeństwem narodowym, mniej wrażliwe obszary powinny pozostać otwarte na bezpośrednie inwestycje zagraniczne, ponieważ „zdecydowana większość globalnego bogactwa znajduje się poza UE”, a Unia powinna zabiegać o takie inwestycje, a nie je zniechęcać.
Fińska eurodeputowana Aura Salla wezwała natomiast do jeszcze bardziej scentralizowanego podejścia do testowania w warunkach skrajnych zależności technologicznych i oceny ryzyk na poziomie państw członkowskich.
Część zainteresowanych podmiotów – jak niemiecki dostawca oprogramowania Nextcloud – ocenia z kolei, że obecny projekt jest zbyt mało ambitny i powinien objąć także sektor prywatny.
Limit 12 miesięcy na pozwolenia, ale więcej wymogów
Tytuł III CADA przewiduje dwa główne mechanizmy szybkiego zwiększenia unijnych mocy w centrach danych: Strefy Przyspieszenia Centrów Danych oraz Strategiczne Projekty Centrów Danych.
W ciągu sześciu miesięcy od wejścia w życie rozporządzenia każde państwo członkowskie musi wyznaczyć co najmniej jedną taką strefę. Ma ona zostać włączona do lokalnych planów zagospodarowania przestrzennego, z uwzględnieniem dostępności sieci energetycznej, przepustowości sieci telekomunikacyjnej oraz wyraźnego pierwszeństwa dla terenów poprzemysłowych.
Niezależnie od tego, czy inwestycja znajdzie się w takiej uprzednio zatwierdzonej strefie, czy uzyska status indywidualnego strategicznego projektu, skorzysta z „zielonego korytarza” – maksymalnie 12‑miesięcznej procedury wydawania pozwoleń.
Lista wymogów zgodności z CADA jest jednak rozbudowana: operatorzy infrastruktury będą musieli przyjąć zestandaryzowane unijne wskaźniki zrównoważonego rozwoju, a korzystanie z lokalnych zasobów będzie ściśle nadzorowane, aby zapobiec spekulacyjnemu „zamrażaniu” terenów lub blokowaniu konkurencji.
W praktyce daje to państwom członkowskim zaledwie sześć miesięcy na wyznaczenie stref zgodnych z przepisami w ramach złożonych lokalnych systemów planowania, a następnie równie napięty, 12‑miesięczny termin na wydanie indywidualnych pozwoleń.
Sama budowa centrów danych już dziś jest mocno ograniczana przez realia fizyczne: jedynie niewielka liczba wyspecjalizowanych wykonawców dysponuje wymaganymi certyfikatami, każdy etap inwestycji podlega rygorystycznym audytom, a nawet stosunkowo niewielkie obiekty powstają czasem przez wiele lat.
Dokładając liczne nowe obowiązki związane ze zgodnością zarówno po stronie państw członkowskich, jak i dostawców infrastruktury, decydenci unijni ryzykują, że ich limit „maksymalnie 12 miesięcy” na wydanie pozwolenia stanie się jedynie mało znaczącym punktem odniesienia w strukturalnie skomplikowanym procesie inwestycyjnym.
Duże zmiany w zamówieniach publicznych
Tytuł IV CADA i towarzyszące mu załączniki wprowadzają sztywny nowy system, który dokładnie określa, jakie rodzaje oprogramowania i usług chmurowych mogą kupować państwa członkowskie UE.
Popyt sektora publicznego ma być ściśle przypisany do czterech poziomów gwarancji określonych w załączniku II do CADA.
Poziom 1 obejmuje podstawową suwerenność i bezpieczeństwo, przy dopuszczeniu własności korporacyjnej przez podmioty z państw trzecich.
Poziom 2 dotyczy znacznej suwerenności cyfrowej. Własność korporacyjna przez podmioty z państw trzecich jest tu nadal możliwa, pod warunkiem że wszystkie operacje, infrastruktura, personel i wsparcie pozostaną ściśle na terenie UE, będą objęte „istotną” certyfikacją cyberbezpieczeństwa, a dane klientów nie będą wykorzystywane do trenowania systemów AI w krajach trzecich.
Poziom 3 oznacza wysoki poziom suwerenności i bezpieczeństwa narodowego, przy domyślnym zakazie kontroli korporacyjnej przez podmioty z państw trzecich, z rzadkimi wyjątkami, które może dopuścić Komisja Europejska. Poziom 4 zakłada maksymalną autonomię i krytyczne bezpieczeństwo, przy całkowitym zakazie takiej kontroli.
Jak państwa członkowskie mają wdrożyć nowe ramy CADA w praktyce? Po pierwsze, mają wyznaczyć jeden lub kilka krajowych organów właściwych do egzekwowania przepisów, audytowania dostawców i rozpatrywania wniosków o uznanie dostawców chmury.
W ciągu roku państwa członkowskie muszą przeprowadzić ocenę ryzyka – powtarzaną co 2 lata – aby zidentyfikować działania sektora publicznego opierające się na usługach chmurowych i przypisać im odpowiedni poziom gwarancji bezpieczeństwa.
Obecny projekt CADA całkowicie zmieni sposób, w jaki dotąd funkcjonowały zamówienia publiczne na usługi chmurowe.
Do tej pory podmioty sektora publicznego w państwach członkowskich mogły swobodnie wybierać dostawców chmury, kierując się ceną, jakością usług, potrzebami organizacyjnymi oraz krajowymi przepisami dotyczącymi zarządzania danymi opartymi na analizie ryzyka suwerenności.
Tam, gdzie dotychczas o przyznaniu zamówienia publicznego w głównej mierze decydowała cena i standardowe parametry techniczne, państwa członkowskie będą musiały brać pod uwagę także kryteria pozacenowe, na przykład to, w jakim stopniu dany dostawca przyczynia się do rozwoju europejskiego ekosystemu cyfrowego.
Artykuł został po raz pierwszy opublikowany w serwisie EU Tech Loop (źródło w Angielski) i udostępniony w Euronews na mocy porozumienia.