Od Nigerii po Kenię i RPA regulatorzy wprowadzają przepisy wymagające, by określone kategorie wrażliwych informacji pozostawały w granicach państwa, albo nakładające surowsze warunki na ich transfer za granicę. Ten trend odzwierciedla szerszą obawę: skoro dane stają się coraz cenniejsze dla sztucznej inteligencji, rządy chcą większej kontroli nad informacjami generowanymi przez obywateli, firmy i instytucje publiczne.

Dla globalnych dostawców chmury oznacza to trudny rynek do nawigowania. Systemy AI potrzebują dostępu do dużych wolumenów danych, by były użyteczne, a jednocześnie te same dane coraz częściej podlegają zasadom dotyczącym tego, gdzie mogą być przechowywane, przetwarzane i udostępniane.

Amazon Web Services (AWS) stawia na to, że uda mu się rozwiązać ten konflikt — zapewniając afrykańskim organizacjom dostęp do AI i globalnej infrastruktury chmurowej przy jednoczesnym zachowaniu kontroli nad wrażliwymi danymi. Ta strategia staje się centralnym elementem oferty AWS dla afrykańskich przedsiębiorstw. Zamiast traktować suwerenność danych jako barierę dla adopcji chmury, firma przedstawia ją jako coś, co można wbudować w architekturę usług chmurowych.

Koszt trzymania danych blisko

Lokalizacja ma jednak swoją cenę. Przechowywanie danych w kraju może obniżyć opóźnienia do poniżej 15 milisekund, co ma znaczenie dla usług działających w czasie rzeczywistym, takich jak bankowość i płatności. Z drugiej strony lokalny hosting może być droższy, szczególnie na rynkach, gdzie niestabilne dostawy energii zmuszają centra danych do korzystania z kosztownej rezerwowej generacji. Firmy objęte restrykcyjnymi zasadami lokalizacji mogą też potrzebować rozwiązań hybrydowych — przechowywania wrażliwych danych lokalnie przy jednoczesnym korzystaniu z narzędzi AI i innych usług z infrastruktury za granicą — co zwiększa koszty infrastruktury i licencji.

Złożoność rośnie dla firm działających na 54 rynkach Afryki. Różne przepisy wynikające z NDPA w Nigerii, POPIA w RPA i Data Protection Act w Kenii mogą wymagać od przedsiębiorstw zarządzania odrębnymi wymaganiami w zakresie zgodności i ryzyka na każdym rynku. Wszystkie trzy akty w dużej mierze wzorują się na europejskim GDPR, który od 2018 roku służy jako globalny punkt odniesienia dla ochrony danych — ale każdy z nich dodaje wymogi lokalizacyjne wykraczające poza ten model, zamieniając wspólne dziedzictwo prawne w odmienny zestaw obowiązków praktycznych. Korzystanie z produktów chmury suwerennej, takich jak AWS Outposts czy Azure Local, może również zwiększać zależność od platform i API dużych dostawców chmury.

„Przestrzeganie prawa”

Podczas AWS Summit w Johannesburgu 19 sierpnia Jonathan Allen, AWS executive in residence, powiedział, że spółka koncentruje się na przestrzeganiu przepisów ponad 100 krajów, w których działa, oraz na dostosowywaniu swojej infrastruktury do lokalnych wymagań.

„Zawsze koncentrujemy się na przestrzeganiu prawa krajów, w których prowadzimy działalność” — powiedział Allen.

Może to brzmieć jak proste zobowiązanie do zgodności regulacyjnej, ale odzwierciedla szerszą zmianę na rynku chmury. Rządy nie pytają już wyłącznie o to, czy dostawcy chmury potrafią zabezpieczyć dane; coraz częściej chcą kontroli nad tym, gdzie dane są przechowywane, kto ma do nich dostęp, jakie prawo ma zastosowanie i jak są zarządzane.

Nigeria jest jednym z najbardziej wyraźnych przykładów. Central Bank of Nigeria wprowadził w sektorze płatności wymogi lokalizacji danych i nadzoru rynkowego, wywierając większą presję na instytucje finansowe, by wykazywały kontrolę nad tym, jak wrażliwe dane są przechowywane i zarządzane.

Podobny trend kształtuje się na innych głównych rynkach Afryki, choć przepisy różnią się między sobą:

• RPA poprzez National Policy on Data and Cloud wzywa do większej lokalnej kontroli nad strategicznymi danymi rządowymi i publicznymi, a POPIA nakłada warunki na transgraniczny transfer danych osobowych.
• Kenia przyjęła bardziej ukierunkowane podejście, wymagając, by niektóre wrażliwe dane, w tym rejestry stanu cywilnego, były przetwarzane lub przechowywane lokalnie, oraz wprowadzając zabezpieczenia dla transferów transgranicznych.
• Rwanda poszła dalej w sektorach krytycznych, obejmując wymogami lokalizacji wrażliwe dane finansowe, płatnicze i telekomunikacyjne.

Łącznie te polityki wskazują na szerszą zmianę: rządy Afryki coraz częściej postrzegają dane jako strategiczną infrastrukturę, a nie tylko aktywo biznesowe, i dążą do większej kontroli nad tym, jak są przechowywane, przetwarzane i przekazywane. To sprawia, że suwerenność danych staje się coraz ważniejszą częścią otoczenia operacyjnego firm technologicznych na kontynencie.

Podejście AWS „sovereign-by-design”

Odpowiedzią AWS jest to, co firma nazywa podejściem „sovereign-by-design”. Spółka twierdzi, że jej infrastruktura chmurowa daje klientom większą kontrolę nad tym, gdzie ich dane są przechowywane i przetwarzane, jak są szyfrowane oraz kto może uzyskać dostęp do wrażliwych informacji.

Infrastruktura AWS obejmuje Local Zones i Outposts, a jej Nitro System zapewnia izolację sprzętową dla obciążeń działających na Amazon EC2. Klienci mogą także korzystać z kluczy szyfrowania zarządzanych przez klienta, w tym opcji, które pozwalają utrzymywać materiał kryptograficzny poza kontrolą AWS.

Znaczenie tego nie polega jedynie na dodaniu kolejnych funkcji bezpieczeństwa. Chodzi o próbę oddzielenia korzystania z globalnej infrastruktury chmurowej od oddawania kontroli nad danymi.

To rozróżnienie ma znaczenie, gdy AI staje się częścią codziennych operacji biznesowych.

Fred Kitunga, chief information officer w Kenya Airways, widzi tę zmianę z bliska. Linia lotnicza coraz częściej traktuje AI i dane nie jako odrębne projekty IT, lecz jako narzędzia do podejmowania lepszych decyzji biznesowych — od ustalania rentowności lotów po rozumienie klientów i reagowanie na zagrożenia cyberbezpieczeństwa.

„Patrzymy na to, jak możemy przekształcić biznes pod względem strategicznego zamiaru” — powiedział Kitunga TechCabal na marginesie AWS Summit. „Nie patrzymy na to, jakie technologie możemy wdrożyć. Chodzi o to, jakie problemy biznesowe zostaną w ten sposób rozwiązane”.

Takie podejście wymaga dostępu do wiarygodnych danych organizacyjnych. Ale Kenya Airways działa ponad granicami, a jej klienci i operacje obejmują wiele jurysdykcji. Kitunga powiedział, że linia lotnicza opiera się więc na międzynarodowych standardach ochrony danych, utrzymując jednocześnie politykę dotyczącą danych i AI na poziomie zarządu.

„Bardziej wykorzystujemy istniejące globalne standardy GDPR” — powiedział.

Jego komentarze pokazują, dlaczego afrykańska debata o suwerenności jest bardziej złożona niż samo żądanie, by wszystkie dane pozostawały w granicach państw. Dla firmy międzynarodowej wyzwaniem często nie jest fizyczne utrzymanie każdej informacji w jednym kraju. Chodzi o to, by wiedzieć, które dane podlegają którym przepisom, oraz mieć wystarczające techniczne i organizacyjne mechanizmy, by wykazać zgodność.

To właśnie tę lukę AWS chce wypełnić. Firma chce przekonać przedsiębiorstwa, że mogą korzystać z mocy obliczeniowej i możliwości AI globalnego dostawcy chmury, zachowując jednocześnie kontrolę nad wrażliwymi obciążeniami. W modelu AWS suwerenność staje się kwestią architektury i ładu, a nie wyłącznie geografii.

Rosnąca kontrola

Ta propozycja będzie podlegać coraz większej kontroli. Wraz ze wzrostem możliwości systemów AI dane, które przetwarzają, stają się bardziej strategicznie istotne. Dane finansowe, informacje tożsamościowe, dane zdrowotne, bazy danych rządowych i historie klientów mogą służyć jako dane wejściowe dla systemów AI. Rządy mają więc silniejszą motywację, by regulować nie tylko to, gdzie informacje są przechowywane, ale także to, jak są przetwarzane.

Jest to szczególnie ważne dla instytucji finansowych. AWS twierdzi, że jego infrastruktura chmurowa została zbudowana z myślą o potrzebach bezpieczeństwa i zgodności organizacji o wysokim poziomie regulacji. Spółka działa w Nigerii od momentu otwarcia biura w Lagos w 2022 roku i zainwestowała w lokalną infrastrukturę, w tym AWS Local Zone. Twierdzi też, że od 2017 roku przeszkoliła ponad 180,000 Nigeryjczyków w zakresie umiejętności chmurowych.

Ale lokalna obecność nie rozwiązuje większego pytania stojącego przed globalnymi dostawcami chmury: kto kontroluje infrastrukturę i dane, które coraz bardziej stanowią podstawę gospodarek narodowych? W miarę jak rządy przywiązują większą wagę do suwerenności danych, firmy chmurowe muszą oferować klientom większą kontrolę nad tym, gdzie dane są przechowywane, jak są udostępniane i jakie prawo je reguluje.

AWS nie jest jedyną firmą dostosowującą się do tej zmiany. Microsoft zbudował swoją strategię suwerenności wokół kilku modeli, w tym Sovereign Public Cloud, Sovereign Private Cloud poprzez Azure Local oraz National Partner Cloud. Opcje te mają pomóc rządom i firmom utrzymywać wrażliwe obciążenia w wymaganych jurysdykcjach, a jednocześnie korzystać z szerszych usług chmurowych Microsoftu.

Google Cloud stosuje podobne podejście poprzez oferty Data Boundary i Google Distributed Cloud. Klienci mogą kontrolować klucze szyfrowania i ograniczać, gdzie dane są przechowywane lub przesyłane, a bardziej wrażliwe obciążenia mogą działać na infrastrukturze wdrożonej lokalnie lub w środowiskach izolowanych.

Huawei Cloud kładzie większy nacisk na lokalną infrastrukturę i kontrolę. Jego model zakłada wdrażanie dedykowanej infrastruktury chmurowej w obrębie kraju, z lokalnymi operacjami i kontrolami regulującymi przechowywanie, logowanie i usuwanie danych. Celem jest utrzymanie wrażliwych danych w granicach państwa i spełnienie lokalnych wymogów suwerenności.

Oracle obrał inną drogę, pozwalając firmom telekomunikacyjnym, instytucjom finansowym i rządom uruchamiać dedykowane środowiska chmurowe we własnych obiektach lub za pośrednictwem lokalnych partnerów. Rozwiązania te mają utrzymywać dane i operacje chmurowe w wymaganej jurysdykcji, pozostając jednocześnie zgodne z szerszym ekosystemem chmurowym Oracle.

Dla AWS wyzwaniem jest uczynienie globalnego modelu chmurowego na tyle elastycznym, by uwzględniał te różne krajowe wymagania. Allen wskazał Europę jako przykład, gdzie AWS zbudował infrastrukturę chmurową dopasowaną do konkretnych regionalnych potrzeb w zakresie suwerenności. To samo podejście może stać się coraz ważniejsze, gdy afrykańskie rządy będą domagać się większej kontroli nad danymi i infrastrukturą wspierającą ich gospodarki cyfrowe.

„Działamy w znacznie ponad 100 różnych krajach na świecie” — powiedział. „Jeśli spojrzeć na Europę, na przykład, stworzyliśmy European Sovereign Cloud właśnie po to, by odpowiadać na te konkretne potrzeby. I nadal oceniamy wszystkie kraje i obszary, w których działamy na świecie, aby odpowiadać na ich specyficzne potrzeby i obawy”.

Podejście to prawdopodobnie będzie coraz ważniejsze w Afryce, gdy rządy będą tworzyć własne ramy cyfrowej suwerenności.

Jest tu jednak napięcie. Silne zasady lokalizacji mogą dawać rządom większą kontrolę nad wrażliwymi informacjami, ale mogą też podnosić koszty usług chmurowych i utrudniać firmom dostęp do globalnej infrastruktury i możliwości AI. Rozdrobnione przepisy w 54 krajach mogą też utrudniać afrykańskim firmom skalowanie produktów cyfrowych ponad granicami.

Dla rządów wyzwaniem jest więc ochrona strategicznych danych bez tworzenia środowiska cyfrowego tak restrykcyjnego, że ogranicza innowacje.

Dla AWS szansą jest pokazanie rządom, że suwerenność danych i wdrażanie AI nie muszą być celami konkurencyjnymi. Nowa organizacja Forward Deployed Engineering, wspierana inwestycją w wysokości $1 billion, ma umieszczać inżynierów AWS obok zespołów korporacyjnych, aby szybciej wprowadzać projekty AI do produkcji. Na mocno regulowanych rynkach Afryki ma to znaczenie, ponieważ wdrożenie AI wymaga nie tylko wydajnego modelu, ale też silnego ładu danych, bezpieczeństwa i zgodności.

Ambicje Afryki w zakresie AI będą zależeć od dostępu do mocy obliczeniowej, danych i infrastruktury na dużą skalę. Rządy muszą więc chronić wrażliwe informacje, nie czyniąc usług chmurowych zbyt drogimi ani nie tworząc 54 odrębnych rynków cyfrowych. Praktycznym podejściem byłoby lokalizowanie naprawdę wrażliwych danych, kontrolowanie ich przepływu przez granice oraz zapewnienie organizacjom jasnych narzędzi do wykazywania, gdzie i jak ich dane są wykorzystywane.

Dla AWS i jego rywali suwerenność staje się przewagą konkurencyjną, a nie tylko kwestią zgodności. Dostawcy, którzy potrafią zapewnić afrykańskim firmom dostęp do globalnych możliwości AI przy jednoczesnym spełnieniu lokalnych wymogów dotyczących danych, będą lepiej przygotowani na kolejną falę wzrostu chmury. Dla Afryki celem powinno być uczynienie z suwerenności danych fundamentu adopcji AI i lokalnej zdolności cyfrowej, a nie reguły, która spowalnia oba te procesy.