根據Forrester最新報告《主權AI的主要趨勢》，隨著AI日益成為業務流程中不可或缺的一部分，圍繞營運控制、韌性、供應商集中度與地緣政治風險的疑慮，正對該技術的部署方式產生更大的影響。

該報告擴充了這家科技研究機構近期《全球主權預測》的發現，主張主權議題正從資料駐留與法規的範疇，轉向企業韌性、營運控制與治理。這一轉變的背景，是少數美國超大規模雲端業者與模型供應商主導了全球AI基礎設施，以及各國政府愈來愈願意將技術准入作為治國手段——包括美國近期對先進AI晶片與模型權重的出口管制。對組織而言，這不一定意味著與全球科技供應商切斷關係，而是要了解其依賴關係所在、哪些工作負載最為關鍵，以及若關鍵AI服務的中斷存取遭到干擾時，如何維持營運。這也與歐洲更廣泛的政策推進相符：歐盟已將科技主權列為明確優先事項，而Gaia-X以及歐盟AI法案對高風險系統的要求等倡議，也使人們更加關注AI託管於何處、由誰控制，以及在何種司法管轄下運作。

在本篇問答中，Forrester分析師、報告作者Dario Maisto探討組織如何因應這些依賴關係，以及主權AI在實務上的意義。

Forrester研究的主要發現為何？有沒有令人意外之處？

Dario Maisto： 我們訪談了多種組織，包括服務供應商，但主要是終端使用者，以了解主權AI在過去一年的演變。第一批發現之一，是主權議題與幾乎所有產業的組織都有關，而不僅限於國防、政府與公共部門等常見領域。

第二個發現是，主權遠不止於資料本地化或資料駐留。其核心在於掌控權，而非孤立。

第三個發現是，主權正日益成為提升韌性的途徑。組織愈是在業務、組織與關鍵任務流程中依賴AI，就愈需要最小化、或至少控制對外國供應商、司法管轄區與政府的依賴。

最後，這從根本上而言並非法規議題。世界上沒有任何法律強制要求主權。這其實是科技與商業領袖希望提升企業韌力的問題。

AI依賴會帶來什麼樣的危險？

Maisto： 隨著AI成為業務流程的關鍵，依賴外國供應商——因而可能依賴外國司法管轄區——便產生了「斷路開關」（kill switch）的可能性。供應商所屬司法管轄區的外國政府，可能決定你不再能存取其模型、AI工具或解決方案。如果你的業務流程依賴這些工具，這些流程可能因此中斷。

這會帶來非常實際的商業衝擊。例如在製造業，組織每停產一秒都在虧損。對於處理生鮮或易腐產品的產業，衝擊可能更為重大。因此，如果外國政府的決定中斷了組織賴以運作AI的服務，這就不是抽象的地緣政治議題，而是對企業的直接經濟衝擊。

組織如何有效防範這些風險？

Maisto： 幾年前，我們常建議某些國家的組織採用雙重技術堆疊：一個使用某國的供應商，另一個使用其他地方的不同供應商。現在，我們看到組織採取更細緻的做法，將關鍵任務工作負載與非關鍵任務工作負載分開。

視產業而定，非關鍵工作負載可能不需要額外的主權資源。然而，關鍵任務工作負載對主權解決方案的需求則大得多。

這不一定代表要運作兩套完全分離的技術堆疊。組織可以透過不同方式降低地緣政治風險，例如將實體隔離環境連接至其公有雲環境，或在全球化供應商之外同時使用本地供應商。

例如，對於在50個國家營運的跨國組織而言，使用50家不同的供應商根本不可行。撇開成本不談，這將是架構上的噩夢。相反地，組織可以依據工作負載的關鍵程度或資料的敏感性，向同一家全球供應商採用不同的解決方案。超大規模雲端業者可依需求提供公有雲環境、私有雲解決方案或實體隔離環境。

AI使用的增加如何促使組織重新思考治理？

Maisto： 組織內的AI部署創造了新的治理、風險與合規領域。同時，AI工具也能幫助組織在數秒內而非數月內發現漏洞，因此需要對整個技術堆疊進行治理。

AI正成為真正嵌入企業、甚至在某種程度上對企業至關重要的技術。這需要遠超越IT部門的監督。

我們已經看到組織為此調整結構。例如，有一個客戶的IT部門規模相對較小，卻收到來自每個業務單位的請求。該組織沒有讓所有事情都經過IT，而是為每個業務單位配置一名IT人員。這縮短了IT與業務之間的距離，並確保具備正確技術技能的人直接支援業務。

這一點日益重要，因為AI能大幅加速流程。過去需要三個月的工作，現在可能在一兩週內完成。以醫療臨床試驗為例，現在損失的每一秒，其價值可能是過去的許多倍，這徹底改變了組織模式應如何圍繞AI工具建立。

地緣政治的不穩定是否使主權成為更迫切的議題？

Maisto： 是的，不過這裡存在一個有趣的矛盾。隨著技術愈趨專業化，組織需要的專業人才在本地可能找不到。我們的《科技主權預測》顯示，雖然主權指標整體預計在2030年前上升，科技勞動力主權實際上預計將下降。這是唯一反向變動的指標。

與此同時，部分法規已對特定產業、技術領域或工作負載的IT人員設有居住地或公民身分要求。隨著地緣政治不穩定加劇，這類要求可能愈來愈多。這使問題更加棘手——最初屬於業務持續性與風險管理議題的問題，在某些產業正演變為法規要求，而專業科技人才短缺的問題依然存在。

培訓是解決方法之一。另一種途徑是透過收購、合資與合作夥伴關係。我們已看到服務供應商收購本地顧問公司與企業，從而取得法律框架與本地勞動力，以協助滿足客戶的主權需求。

組織在建立AI主權時常犯哪些錯誤？

Maisto： 第一個錯誤是未能界定問題的範圍。人們談論「主權」卻未必定義其含義，談論法規卻未確認哪些法規實際適用於自己，然後在尚未清楚界定問題之前就開始尋找解決方案。當我審視客戶的雲端、AI或主權AI策略時，我的首要問題之一是：你究竟想解決什麼問題？

另一個常見錯誤是假設主權全都與資料有關。人們談論主權時，常從美國CLOUD法案或FISA第702條等法規開始。但這些基本上是資料保護議題，而非主權問題。

例如，如果你的資料託管於美國超大規模雲端業者的基礎設施上，但資料已加密，且你將加密金鑰保留在該業者的環境之外，你的風險概況就不同了。你也許可以在不將資料遷移至新供應商的情況下解決問題，從而避免額外的遷移與資料傳輸成本。

關鍵在於正確界定問題，並了解你實際需要因應的法規環境。有些供應商可能利用主權論述作為銷售服務的手段，組織需要對此保持警惕。

想提升AI主權的組織，第一步應該怎麼做？

Maisto： 第一步是評估你的依賴關係。這不是為了孤立，也不是為了實現完全獨立，而是為了理解並管理你的依賴關係。組織需要確認自己依賴什麼、這些依賴位於何處，以及一旦中斷會產生什麼後果。唯有如此，才能判斷哪些需要主權化、哪些不需要。

我要提醒，不要將AI主權簡化為涉及某一特定國家或供應商的雙邊問題。根據你的營運地點與業務性質，你面對的可能是截然不同的問題。

這就是為什麼主權遠比「把資料留在本國」這句話複雜得多。正確的做法取決於每個組織的特定風險、依賴關係與業務需求。

編註：本篇訪談已為清晰與精簡而編輯。