ES priėmė Debesijos ir DI plėtros aktą: keturi „suverenumo lygiai“ ir planas patrigubinti duomenų centrų galią

Liepos 15 d. Europos Sąjungos oficialiajame leidinyje buvo paskelbtas Debesijos ir dirbtinio intelekto plėtros aktas (angl. Cloud and AI Development Act, trumpiau — CADA). Tai reiškia, kad iš politinės ambicijos jis virto galiojančiu teisės aktu: formaliai jis įsigalioja 2026 m. rugpjūčio 4 d., o pati Europos Komisija šį aktą pristatė birželio 3 d. kaip savo Technologinio suverenumo paketo centrinį elementą.

Trumpai: Briuselis nusprendė, kad Europos priklausomybė nuo kelių ne ES debesijos milžinų yra strateginė problema, ir bando ją spręsti dviem svirtimis vienu metu — statyti daugiau savo infrastruktūros ir teisiškai apibrėžti, kas laikoma „suvereniu" debesimi. Abi svirtys tiesiogiai palies ir Lietuvos įmones bei viešąjį sektorių, nes praktiškai visi šiandien savo duomenis ir DI modelius sukame „Amazon Web Services", „Microsoft Azure" arba „Google Cloud" platformose.

Ką konkrečiai numato aktas

CADA turi du aiškiai skirtingus tikslus. Pirmasis — fizinis pajėgumas. Aktas užsibrėžia per artimiausius 5–7 metus bent patrigubinti ES duomenų centrų talpą, kad Europos verslas ir viešasis sektorius nebūtų priklausomi nuo užsienyje esančių serverių. Tai bandoma pasiekti supaprastinant leidimų procedūras naujiems duomenų centrams ir gerinant prieigą prie to, kas jiems iš tikrųjų reikalinga — energijos, žemės, vandens ir finansavimo.

Antrasis tikslas — kontrolė ir skaidrumas. Čia aktas įveda keturių pakopų „garantijų" (suverenumo) sistemą, pagal kurią debesijos paslaugos bus klasifikuojamos:

• 1 lygis — duomenys apdorojami ir saugomi ES teritorijoje esančioje infrastruktūroje.
• 2 lygis — paslaugų teikėjas turi būti nepriklausomas nuo trečiųjų šalių, o programinės įrangos tiekimo grandinė — skaidri.
• 3 lygis — reikalaujama ES nuosavybės ir kontrolės, pridedami papildomi kriterijai, tokie kaip personalo pilietybė.
• 4 lygis — visiška tiekimo grandinės kontrolė ir skaidrumas be jokio trečiųjų šalių kišimosi.

Aktas taikomas ne tik klasikiniams debesijos teikėjams (IaaS, PaaS ir SaaS modeliams, aptarnaujantiems ES klientus), bet ir DI kūrėjams, diegiantiems savo sistemas Europoje. Už reikalavimų nesilaikymą numatytos administracinės baudos, siekiančios dalį įmonės pasaulinės metinės apyvartos — tas pats „procentas nuo apyvartos" principas, kurį jau pažįstame iš BDAR ir DI akto.

Kodėl tai atsirado dabar

Europos problema nėra paslaptis: didžioji dalis debesijos ir DI infrastruktūros, kuria naudojasi žemyno įmonės, priklauso amerikietiškiems „hyperscaleriams". Kai geopolitinė įtampa auga, o DI paklausa serverių galiai sprogsta, ES tokią priklausomybę ėmė vertinti kaip riziką — ne vien komercinę, bet ir saugumo bei tiekimo grandinės.

CADA yra bandymas šią lygtį pakeisti reguliavimu. Tikslas patrigubinti duomenų centrų talpą per kelerius metus atspindi realų vaizdą — Europa šioje srityje smarkiai atsilieka nuo JAV, o be vietinės galios kalbos apie „suverenų DI" lieka deklaracijos. Todėl aktas kartu ir skatina statybas (per lengvesnius leidimus bei prieigą prie energijos), ir nustato taisykles, ką reikės laikyti pakankamai „europietišku" jautresniems naudojimo atvejams.

Kritika: ar suverenumas nevirs protekcionizmu

Aktas dar nespėjo įsigalioti, o jau susilaukė aštrios pramonės kritikos. Technologijų prekybos asociacija CCIA įspėja, kad reikalavimas atmesti „patikimus tarptautinius technologijų teikėjus" vien pagal jų būstinės vietą riboja pasirinkimą ir kenkia pačios ES skaitmenizacijos tikslams.

Dar aštresnis priekaištas — dėl rinkos fragmentacijos. CCIA Europos viceprezidentas Danielis Friedlaenderis pareiškė, kad aktas yra „tiesioginis receptas suskaidytai diskriminacijai visoje Europoje 27 skirtingais būdais" — turėdamas omenyje, kad valstybės narės gali statyti savo protekcionistines sienas vietoje bendros rinkos. Pasak asociacijos, aukščiausios pakopos (3 ir 4 lygiai) yra „uždaros rinkos reikalavimai, apvilkti politikos slenksčių rūbu", kurių neatitinka nė viena didelė technologijų valstybė — įskaitant ir pačią ES. Asociacija siūlo kilmės principu grįstus draudimus keisti patikrinamais techninio saugumo kriterijais.

Kitaip tariant, esminis ginčas — ar „suverenumas" čia matuojamas realiu saugumu, ar tiesiog geografija ir nuosavybe. Nuo atsakymo priklausys, ar aktas sustiprins Europos pozicijas, ar tik pakels kainas ir sumažins pasirinkimą.

Ką tai reiškia Lietuvai

Lietuvos kontekste CADA aktualus keliais praktiškais lygmenimis. Viešasis sektorius ir reguliuojamos sritys (bankai, sveikatos, kritinė infrastruktūra) greičiausiai pirmieji pajus, kaip suverenumo pakopos ims figūruoti viešuosiuose pirkimuose ir sutartyse — pirkimų specifikacijose gali atsirasti reikalavimas dėl konkretaus „lygio". Kadangi aukščiausios pakopos reikalauja ES nuosavybės ir netgi personalo pilietybės, dalį jautresnių krūvių gali tekti perkelti iš įprastų amerikietiškų debesų į ES teikėjus arba jų atskirus „suverenius" regionus.

Antra — galimybė. Baltijos regiono duomenų centrų rinka nedidelė, bet aktas kartu su lengvesniais leidimais ir prieiga prie energijos gali paskatinti naujų objektų statybas arčiau namų. Lietuvos duomenų centrų operatoriams ir debesijos paslaugų teikėjams tai potenciali paklausos banga.

Skubėti nereikia: reikalavimai įsigalios laipsniškai — pirmoji pakopa taikoma nuo 2028 m. vasario, o aukščiausia tampa privaloma tik nuo 2029 m. rugpjūčio. Tai duoda įmonėms kelis metus pasiruošti. Bet kryptis aiški: klausimas „kur fiziškai guli mūsų duomenys ir kas juos valdo" iš IT komandų techninės smulkmenos virsta strateginiu ir teisiniu sprendimu. Verta jau dabar bent inventorizuoti, kokie krūviai kur veikia ir kurie iš jų yra pakankamai jautrūs, kad ateityje pareikalautų aukštesnės suverenumo pakopos.