Gdy AI staje się coraz bardziej integralną częścią procesów biznesowych, obawy dotyczące kontroli operacyjnej, odporności, koncentracji dostawców i ryzyka geopolitycznego coraz mocniej wpływają na sposób wdrażania tej technologii — wynika z najnowszego raportu Forrester, The Top Trends in Sovereign AI.

Rozwijając wnioski z ostatniego Global Sovereignty Forecast firmy badawczej, raport argumentuje, że suwerenność wykracza poza kwestie lokalizacji danych i regulacji, przesuwając się w stronę odporności biznesowej, kontroli operacyjnej i ładu korporacyjnego. Przesunięcie to następuje w sytuacji, gdy niewielka liczba amerykańskich hyperscalerów i dostawców modeli dominuje w globalnej infrastrukturze AI, a rządy wykazują coraz większą skłonność do wykorzystywania dostępu do technologii jako narzędzia polityki państwa — w tym poprzez niedawne amerykańskie kontrole eksportu zaawansowanych chipów AI i wag modeli. Dla organizacji nie oznacza to konieczności odcinania się od globalnych dostawców technologii. Chodzi raczej o zrozumienie, gdzie leżą ich zależności, które obciążenia są najbardziej krytyczne i jak mogłyby one działać, gdyby dostęp do kluczowej usługi AI został zakłócony. Tendencja ta zbiega się z szerszym unijnym nurtem politycznym: UE uczyniła suwerenność technologiczną jednym z priorytetów, a inicjatywy takie jak Gaia-X oraz wymagania AI Act wobec systemów wysokiego ryzyka zaostrzyły uwagę na to, gdzie AI jest hostowana, kto nią zarządza i pod jaką jurysdykcją działa.

W tym wywiadzie Dario Maisto, analityk Forrester i autor raportu, omawia, jak organizacje mogą nawigować te zależności i czym w praktyce jest suwerenna AI.

Jakie są kluczowe wnioski z badań Forrester i czy było coś zaskakującego?

Dario Maisto: Przeprowadziliśmy wywiady z szerokim gronem organizacji, w tym z dostawcami usług i przede wszystkim użytkownikami końcowymi, aby zrozumieć, jak suwerenna AI ewoluowała w ciągu ostatniego roku. Jednym z pierwszych ustaleń było to, że suwerenność jest istotna dla organizacji w praktycznie każdej branży — nie tylko dla typowych podejrzanych, takich jak obronność, rząd i sektor publiczny.

Po drugie, suwerenność to znacznie więcej niż lokalizacja danych czy rezydencja danych. W swej istocie chodzi o sprawowanie kontroli. Nie chodzi o izolację.

Trzeci wniosek: suwerenność jest coraz częściej sposobem na poprawę odporności. Im bardziej organizacje polegają na AI w procesach biznesowych, organizacyjnych i krytycznych dla misji, tym bardziej muszą minimalizować lub przynajmniej kontrolować swoje zależności od zagranicznych dostawców, jurysdykcji i rządów.

I wreszcie: nie chodzi tu fundamentalnie o regulacje. Na świecie nie ma żadnego ustawodawstwa, które nakazywałoby suwerenność. To naprawdę kwestia tego, że liderzy technologiczni i biznesowi chcą zwiększyć odporność swoich firm.

Jakie niebezpieczeństwo stwarza zależność od AI?

Maisto: Gdy AI staje się krytyczna dla procesów biznesowych, zależność od zagranicznego dostawcy — a tym samym potencjalnie od zagranicznej jurysdykcji — tworzy możliwość „wyłącznika awaryjnego” (kill switch). Zagraniczna administracja, pod której jurysdykcję podpada dostawca, mogłaby zdecydować, że nie można już korzystać z jego modeli, narzędzi AI ani rozwiązań. Jeśli procesy biznesowe zależą od tych narzędzi, mogą one przestać działać.

Ma to bardzo realny wpływ biznesowy. W produkcji na przykład organizacje tracą pieniądze każdą sekundę, w której nie mogą produkować. Dla branż zajmujących się świeżymi lub łatwo psującymi się produktami wpływ może być potencjalnie jeszcze większy. Jeśli więc decyzja zagranicznego rządu przerywa usługę, od której organizacja zależy w zakresie AI, nie jest to abstrakcyjny problem geopolityczny. Ma bezpośredni wpływ ekonomiczny na biznes.

Jak organizacje mogą skutecznie zabezpieczyć się przed tymi ryzykami?

Maisto: Jeszcze kilka lat temu często doradzaliśmy organizacjom w niektórych krajach prowadzenie podwójnych stacków: jeden u dostawcy w jednym kraju, drugi u innego dostawcy gdzie indziej. Teraz widzimy, że organizacje przyjmują bardziej zniuansowane podejście, oddzielając obciążenia krytyczne dla misji od obciążeń niekrytycznych.

W zależności od branży obciążenia niekrytyczne mogą nie wymagać dodatkowych zasobów suwerennych. Obciążenia krytyczne dla misji mają natomiast znacznie większą potrzebę rozwiązań suwerennych.

Nie oznacza to konieczności prowadzenia dwóch zupełnie oddzielnych stacków. Organizacje mogą łagodzić ryzyka geopolityczne na różne sposoby, np. łącząc środowisko odizolowane (air-gapped) z publicznym środowiskiem chmurowym lub korzystając z lokalnego dostawcy obok globalnego.

Dla organizacji wielonarodowych działających w 50 krajach posiadanie 50 różnych dostawców jest po prostu niewykonalne. Poza kosztami byłby to architektoniczny koszmar. Zamiast tego organizacje mogą korzystać z różnych rozwiązań tego samego globalnego dostawcy w zależności od krytyczności obciążenia lub wrażliwości danych. Hyperscaler może zapewnić publiczne środowisko chmurowe, rozwiązanie prywatnej chmury lub środowisko odizolowane — w zależności od wymagań.

W jaki sposób rosnące wykorzystanie AI zmusza organizacje do przemyślenia ładu korporacyjnego?

Maisto: Wdrożenia AI w organizacjach tworzą nowe obszary ładu, ryzyka i zgodności. Jednocześnie narzędzia AI mogą pomagać organizacjom wykrywać podatności w sekundy zamiast w miesiące, dlatego nadzór jest potrzebny w całym stacku.

AI staje się technologią naprawdę osadzoną w biznesie i w pewnym stopniu dla niego kluczową. Wymaga to nadzoru wykraczającego daleko poza dział IT.

Widzimy już, że organizacje zmieniają swoje struktury, aby temu sprostać. Na przykład jeden klient miał stosunkowo mały dział IT i otrzymywał zgłoszenia z każdej jednostki biznesowej. Zamiast kierować wszystko przez IT, organizacja przydzieliła zasób IT do każdej jednostki biznesowej. Skraca to dystans między IT a biznesem i zapewnia, że osoby z odpowiednimi kompetencjami technicznymi bezpośrednio wspierają działalność.

Jest to coraz ważniejsze, ponieważ AI może dramatycznie przyspieszać procesy. Coś, co wcześniej trwało trzy miesiące, teraz może zostać zakończone w kilka tygodni. Pomyślmy choćby o badaniach klinicznych. Każda stracona sekunda może dziś być warta wielokrotnie więcej niż kiedyś, co całkowicie zmienia sposób, w jaki modele organizacyjne powinny być budowane wokół narzędzi AI.

Czy niestabilność geopolityczna uczyniła suwerenność pilniejszą kwestią?

Maisto: Tak, choć istnieje tu ciekawe napięcie. W miarę jak technologia staje się bardziej wyspecjalizowana, organizacje potrzebują wyspecjalizowanych ludzi, którzy mogą nie być dostępni lokalnie. Nasz Tech Sovereignty Forecast pokazuje, że choć wskaźniki suwerenności ogólnie mają rosnąć do 2030 roku, suwerenność pracowników technologii faktycznie ma spadać. To jedyny wskaźnik zmierzający w przeciwnym kierunku.

Jednocześnie niektóre regulacje już nakładają wymagania rezydencji lub obywatelstwa dla pracowników IT w określonych branżach, sektorach technologicznych lub obciążeniach. Wraz ze wzrostem niestabilności geopolitycznej prawdopodobnie zobaczymy więcej takich wymagań. To dodatkowo komplikuje problem — to, co początkowo było kwestią ciągłości działania i zarządzania ryzykiem, staje się w niektórych branżach wymogiem regulacyjnym, podczas gdy niedobór wyspecjalizowanych pracowników technologii utrzymuje się.

Szkolenia to jeden ze sposobów radzenia sobie z tym. Innym są przejęcia, joint ventures i partnerstwa. Widzimy już, jak dostawcy usług przejmują lokalne firmy konsultingowe i spółki, uzyskując ramy prawne i lokalową kadrę, które mogą pomóc w spełnieniu wymagań suwerenności klientów.

Jakie błędy popełniają organizacje próbując ustanowić suwerenność AI?

Maisto: Pierwszym błędem jest niezdefiniowanie obszaru problemu. Ludzie mówią „suwerenność”, niekoniecznie definiując, co mają na myśli, i mówią o regulacjach, nie wskazując, które regulacje faktycznie ich dotyczą. Następnie zaczynają szukać rozwiązań, zanim jasno zdefiniują problem. Kiedy przeglądam strategie chmurowe, AI lub suwerennej AI klientów, jednym z moich pierwszych pytań jest: jaki problem właściwie próbujecie rozwiązać?

Innym częstym błędem jest założenie, że suwerenność to wyłącznie kwestia danych. Ludzie często rozpoczynają rozmowę o suwerenności od regulacji takich jak US CLOUD Act czy FISA Section 702. Ale to fundamentalnie kwestie ochrony danych, a nie problemy suwerenności.

Na przykład, jeśli dane są hostowane na infrastrukturze amerykańskiego hyperscalera, ale są zaszyfrowane, a klucze szyfrowania przechowujesz poza środowiskiem hyperscalera, masz inny profil ryzyka. Być może uda się rozwiązać problem bez migracji danych do nowego dostawcy, która wiązałaby się z dodatkowymi kosztami migracji i transferu danych.

Kluczem jest prawidłowe sformułowanie problemu i zrozumienie środowiska regulacyjnego, do którego faktycznie trzeba się odnieść. Niektórzy dostawcy mogą wykorzystywać narrację suwerenności jako sposobu na sprzedaż swoich usług, więc organizacje muszą być tego ostrożne.

Jaki powinien być pierwszy praktyczny krok organizacji chcącej poprawić swoją suwerenność AI?

Maisto: Pierwszym krokiem jest ocena własnych zależności. Nie chodzi o izolację ani o osiągnięcie pełnej niezależności. Chodzi o zrozumienie swoich zależności i zarządzanie nimi. Organizacje muszą ustalić, od czego zależą, gdzie te zależności się znajdują i jakie byłyby konsekwencje ich zakłócenia. Dopiero wtedy mogą określić, co musi być suwerenne, a co nie.

Odradzam postrzeganie suwerenności AI po prostu jako problemu dwustronnego dotyczącego jednego konkretnego kraju lub dostawcy. W zależności od tego, gdzie działasz i czym zajmuje się Twój biznes, możesz mieć zupełnie inny problem.

Dlatego suwerenność jest znacznie bardziej złożoną kwestią niż proste stwierdzenie: „Trzymaj dane w swoim kraju”. Właściwe podejście zależy od specyficznych ryzyk, zależności i wymagań biznesowych każdej organizacji.

Nota redakcyjna: wywiad został zredagowany ze względu na przejrzystość i zwięzłość.