ナイジェリアからケニア、南アフリカに至るまで、規制当局は、一定の機微情報について国内に保管することを義務づけたり、海外への移転条件を厳格化したりする規則を導入している。この動きの背景には、データが人工知能にとってますます重要になるなか、各国政府が自国の市民、企業、公共機関によって生み出される情報への統制を強めたいという広い懸念がある。

グローバルなクラウド事業者にとって、これは対応の難しい市場環境を意味する。AIシステムは有用であるために大量のデータへのアクセスを必要とする一方で、その同じデータは、どこに保存できるか、どのように処理できるか、誰がアクセスできるかについての規則にますます左右されている。

Amazon Web Services（AWS）は、その緊張関係を解消できると見込んでいる。つまり、アフリカの組織がAIとグローバルなクラウドインフラにアクセスできる一方で、機微データの管理権は保持できるようにするという戦略だ。この方針は、AWSがアフリカ企業向けに打ち出す提案の中核になりつつある。同社は、データ主権をクラウド導入の障壁ではなく、クラウドサービスのアーキテクチャに組み込めるものとして提示している。

データを近くに置くことのコスト

ただし、ローカライゼーションにはコストが伴う。データを国内に保持すれば、レイテンシーを15ミリ秒未満に抑えられ、銀行や決済のようなリアルタイムサービスに有益だ。しかし、特に電力供給が不安定でデータセンターが高価な非常用発電に依存せざるを得ない市場では、ローカルホスティングのほうが高くつくこともある。厳格なローカライゼーション規則に直面する企業は、機微データは国内に置きつつ、AIツールやその他のサービスは海外のインフラから利用するハイブリッド構成も必要になり、インフラとライセンスのコストが増える可能性がある。

アフリカの54市場にまたがって事業を展開する企業では、複雑さはさらに増す。ナイジェリアのNDPA、南アフリカのPOPIA、ケニアのData Protection Actの下で異なる規則があるため、企業は市場ごとに別々のコンプライアンスとリスク要件を管理しなければならない。これら3つの法律はいずれも、2018年以来データ保護の世界的なひな型となってきた欧州のGDPRを強く参照しているが、それぞれがローカライゼーション要件を上乗せしており、共通の法的基盤が実務上は異なる義務へと分かれている。AWS OutpostsやAzure Localのようなソブリンクラウド製品を使うことでも、主要クラウド事業者のプラットフォームやAPIへの依存が高まる可能性がある。

「法令順守」

8月19日にヨハネスブルグで開催されたAWS Summitで、AWS executive in residenceのJonathan Allen氏は、同社が事業を展開する100以上の国の法令順守と、現地要件に合わせたインフラ適応に注力していると述べた。

「私たちは、事業を行う国々の法律を順守することに常に注力しています」とAllen氏は述べた。

それは規制への単純な約束のように聞こえるかもしれないが、クラウド市場におけるより大きな変化を反映している。政府はもはや、クラウド事業者がデータを安全に保てるかだけを問うているのではない。データがどこに保存され、誰がアクセスでき、どの法律が適用され、どのように統治されるのかについて、より強い統制を求めている。

ナイジェリアはその最も分かりやすい例の1つだ。ナイジェリア中央銀行は、決済分野に対してデータローカライゼーションと市場監督の要件を導入し、金融機関に対し、機微データの保管と管理をどのように統制しているかを示す圧力を強めている。

同様の動きは他の主要アフリカ市場でも進んでいるが、規則はそれぞれ異なる。

• 南アフリカは、National Policy on Data and Cloudを通じて、政府および公共サービスの戦略データに対するより強い国内管理を求めており、POPIAは個人情報の越境移転に条件を課している。
• ケニアはより対象を絞ったアプローチを採用し、戸籍記録を含む一部の機微データを国内で処理または保管することを求め、越境移転に対して保護措置を設けている。
• ルワンダは重要分野でさらに踏み込み、機微な金融、決済、通信データを対象とするローカライゼーション要件を設けている。

これらの政策は共通して、アフリカ各国政府がデータを単なる事業資産ではなく戦略的インフラとみなし、どこで保管し、処理し、移転するかに対してより強い統制を求めていることを示している。その結果、データ主権は大陸のテクノロジー企業にとって、ますます重要な事業環境の一部になっている。

AWSの「sovereign-by-design」アプローチ

AWSが示す対応は、同社が「sovereign-by-design」と呼ぶアプローチだ。同社によれば、このクラウドインフラは、データの保存・処理場所、暗号化方法、機微情報へのアクセス権限について、顧客により大きな管理権を与える。

AWSのインフラにはLocal ZonesとOutpostsが含まれ、Nitro SystemはAmazon EC2上で動作するワークロードにハードウェアベースの分離を提供する。顧客は、暗号素材をAWSの管理外に置くオプションを含む、顧客管理型の暗号鍵も利用できる。

重要なのは、AWSが単にセキュリティ機能を追加したということではない。同社は、グローバルなクラウドインフラを利用することと、データの管理権を手放すことを切り分けようとしているのだ。この違いは、AIが日常業務に組み込まれるにつれて重要性を増している。

Kenya Airwaysの最高情報責任者、Fred Kitunga氏は、その変化を現場で感じている。同航空会社は、AIとデータを、独立したIT案件ではなく、より良い経営判断を行うための手段として捉えるようになっている。たとえば、便益性の判断、顧客理解、サイバーセキュリティ脅威への対応などだ。

「私たちは、戦略的意図の観点から、どのように事業を変革できるかを見ています」とKitunga氏はAWS Summitの会場周辺でTechCabalに語った。「どの技術を導入できるかではなく、それによってどの事業課題が解決されるのかを見ています」

このアプローチには、信頼できる組織データへのアクセスが必要だ。しかしKenya Airwaysは国境をまたいで事業を行っており、顧客とオペレーションは複数の法域にまたがる。Kitunga氏によれば、そのため同航空会社は、データとAIを管理する取締役会レベルの方針を維持しながら、国際的なデータ保護基準に依拠している。

「私たちは、そこにあるGDPRのグローバル基準をより活用しています」と同氏は述べた。

同氏の発言は、アフリカの主権をめぐる議論が、すべてのデータを国境内に残せばよいという単純な話ではないことを示している。多国籍企業にとって、課題はすべての情報を物理的に一国に置くことではない。どのデータがどの規則の対象かを把握し、順守を示すのに十分な技術的・組織的統制を持つことだ。

AWSは、その空白を埋めたいとしている。同社は、機微なワークロードの管理権を保ちながら、グローバルクラウド事業者の計算能力とAI機能を利用できると企業に信じてもらいたいのだ。AWSのモデルでは、主権は単なる地理ではなく、アーキテクチャとガバナンスの問題になる。

強まる監視

しかし、その主張は今後、より厳しく検証されることになる。AIシステムが強力になるほど、それが消費するデータの戦略的重要性も増すからだ。財務記録、身元情報、医療データ、政府データベース、顧客履歴はいずれもAIシステムへの入力になり得る。したがって政府は、その情報がどこに保存されるかだけでなく、どのように処理されるかについても、より強い規制インセンティブを持つ。

これは金融機関にとって特に重要だ。AWSは、自社のクラウドインフラが厳しい規制下にある組織のセキュリティとコンプライアンス要件を満たすよう設計されていると述べている。同社は2022年にラゴスオフィスを開設して以来ナイジェリアで事業を展開し、AWS Local Zoneを含む地域インフラに投資してきた。また、2017年以来18万人超のナイジェリア人にクラウド技能の訓練を行ったとしている。しかし、地域拠点の存在だけでは、グローバルなクラウド事業者が直面するより大きな問い、すなわち、国家経済を支えるインフラとデータを誰が支配するのか、には答えられない。政府がデータ主権の価値を高めるにつれ、クラウド企業は、データがどこに保存され、どのようにアクセスされ、どの法律が適用されるのかについて、顧客により大きな管理権を提供せざるを得なくなっている。

主権戦略がひしめく市場

この変化への対応はAWSだけではない。

• Microsoftは、sovereignty strategy を、Sovereign Public Cloud、Azure Localを通じたSovereign Private Cloud、National Partner Cloudを含む複数のモデルで構築している。これらの選択肢は、政府や企業が必要な法域内に機微なワークロードを留めつつ、Microsoftの広範なクラウドサービスを利用できるようにすることを目的としている。
• Google Cloudは、similar approach として、Data BoundaryとGoogle Distributed Cloudを提供している。顧客は暗号鍵を管理し、データの保管・移転先を制限できるほか、より機微なワークロードはオンプレミスや隔離環境のインフラ上で稼働させることができる。
• Huawei Cloudは、local infrastructure and control をより重視している。同社のモデルは、国内に専用クラウドインフラを展開し、データ保存、ログ記録、削除を現地の運用と統制で管理するものだ。目的は、機微データを国境内に保ち、現地の主権要件を満たすことにある。
• Oracleは、another route を取り、通信会社、金融機関、政府が自社施設内または現地パートナー経由で専用クラウド環境を運用できるようにしている。これらの導入は、データとクラウド運用を必要な法域内に保ちながら、Oracleの広範なクラウドエコシステムとの互換性も維持するよう設計されている。

この競争はすでに現実の場で見えている。Microsoftは2019年から南アフリカでクラウドリージョンを運用しており、Googleは2024年にヨハネスブルグでアフリカ初のクラウドリージョンを開設した。これは、大陸がいかに急速にハイパースケーラーの優先地域になっているかを示している。

AWSにとっての課題は、グローバルクラウドのモデルを、こうした異なる国別要件に対応できるほど柔軟にすることだ。Allen氏は、AWSが地域ごとの主権要件に合わせてクラウドインフラを構築してきた欧州を例に挙げた。同様のアプローチは、アフリカ各国政府が自国のデジタル経済を支えるデータとインフラへの統制強化を求めるなかで、ますます重要になる可能性がある。

「私たちは世界中で100を大きく超える異なる国々で事業を行っています」と同氏は述べた。「たとえば欧州を見ると、特定のニーズに応えるためにEuropean Sovereign Cloudを特別に作りました。そして、世界各地で事業を行うなかで、各国・各地域の特定のニーズと懸念に対応するため、引き続きすべての国と地域を評価しています」

主権と規模の両立

ここには緊張関係がある。強いローカライゼーション規則は政府に機微情報への統制を与える一方で、クラウドサービスのコストを押し上げ、企業がグローバルなインフラやAI機能にアクセスすることを難しくする可能性もある。54の国にまたがる分断された規則は、アフリカ企業が国境を越えてデジタル製品を拡大することも難しくし得る。とはいえ、一定の調和もゆっくり進んでいる。アフリカ連合のMalabo Convention on cyber security and personal data protectionは2023年に発効し、AfCFTAのProtocol on Digital Tradeは2024年に採択され、デジタルサービスの越境を容易にすることを意図している。こうした大陸レベルの枠組みが国別ローカライゼーション規則をどこまで緩和できるかが、アフリカが1つのデジタル市場として機能するのか、それとも54の別々の市場として機能するのかを大きく左右するだろう。

政府にとっての課題は、イノベーションを制限するほど厳しいデジタル環境を作らずに、戦略データを守ることだ。

AWSにとっての機会は、データ主権とAI導入が競合する目標である必要はないと政府に示すことだ。1 billionドルの投資で支えられる新しいForward Deployed Engineering組織は、AWSのエンジニアを企業チームのそばに置き、AIプロジェクトをより早く本番環境に移すことを目的としている。アフリカの厳しく規制された市場では、この提案は重要だ。AIの導入には強力なモデルだけでなく、強固なデータガバナンス、セキュリティ、コンプライアンスも必要だからだ。

アフリカのAI構想は、大規模な計算能力、データ、インフラへのアクセスにかかっている。したがって政府は、クラウドサービスを高コストにしたり、54の個別デジタル市場を生み出したりすることなく、機微情報を保護する必要がある。現実的な方法は、本当に機微なデータをローカル化し、国境を越える移動を統制し、データがどこでどのように使われているかを示す明確な手段を組織に与えることだろう。

AWSと競合他社にとって、主権は単なるコンプライアンス上の論点ではなく、競争優位になりつつある。ローカルなデータ要件を満たしつつ、アフリカ企業にグローバルなAI機能へのアクセスを提供できる事業者が、次のクラウド成長局面で有利な立場に立つだろう。アフリカにとっての目標は、データ主権をAI導入と地域のデジタル能力の基盤にすることであり、その両方の進展を遅らせる規則にすることではない。