Gdy w 2018 roku uchwalono CLOUD Act, większość europejskich CTO traktowała go jako prawną abstrakcję - coś, czym powinien się martwić dział compliance, gdzieś pomiędzy banerami cookie a zakupem drukarek. Osiem lat później, po wyroku Schrems II, transpozycji NIS2 do prawa krajowego w całej UE, obowiązującym już DORA dla sektora finansowego i zbliżających się przepisach Data Act o opłatach za transfer danych (egress fees), to już temat na poziomie zarządu. Nie dlatego, że prawnicy wygrali spór, lecz dlatego, że ryzyko przestało być teoretyczne.

Zdefiniujmy pojęcia, bo „suwerenna chmura” została przez marketing zmielona na papkę. Prawdziwa suwerenność oznacza trzy odrębne rzeczy: rezydencję danych w jurysdykcjach UE, operacyjną kontrolę sprawowaną przez firmy z siedzibą w UE oraz ochronę prawną przed eksterytorialnymi nakazami sądowymi. Działy marketingu amerykańskich hyperscalerów powiedzą Ci, że ich europejskie regiony spełniają pierwszy warunek. Mają rację. Pozostałe dwa są trudniejsze - i to one mają znaczenie, gdy coś pójdzie nie tak.

Jak to wygląda w praktyce: szpital w Monachium prowadzi obrazowanie PACS na AWS Frankfurt. Dane nigdy nie opuszczają Niemiec. Szyfrowanie w spoczynku, europejski support, cały pakiet zgodności. Ale spółka operacyjna to amerykańska korporacja zarejestrowana w Delaware, podlegająca prawu USA. Nakaz amerykańskiego sądu może wymusić ujawnienie danych niezależnie od tego, gdzie fizycznie leżą bajty. Prawnicy szpitala o tym wiedzą. Zarząd szpitala - coraz częściej - też. To właśnie tę lukę zamykają NIS2 i Data Act - powoli, niedoskonale, ale w jednym jasnym kierunku.

Historię najlepiej opowiada oś czasu regulacji. Schrems II (2020) unieważnił Privacy Shield i postawił każdy transfer danych z UE do USA na prawnie chwiejnym gruncie. NIS2 (transpozycje krajowe lądujące w latach 2024-2025) zamienił odpowiedzialność za łańcuch dostaw w obowiązek zarządu z osobistą odpowiedzialnością - odpowiadasz teraz nie tylko za własne bezpieczeństwo, ale i za bezpieczeństwo swoich dostawców. DORA (styczeń 2025) zrobił to samo dla sektora finansowego, i to z realnymi konsekwencjami. Data Act (z przepisami o opłatach za transfer danych od 2027 roku) atakuje uzależnienie od dostawcy wprost: koszty wyjścia, które sprawiały, że „zmigrujemy się później” było fantazją, są właśnie regulacyjnie znoszone.

Nic z tego nie oznacza „przestań używać AWS”. To wersja słomianego argumentu w dyskusji o suwerenności, która nie wytrzymuje zderzenia z rzeczywistością - hyperscalerzy są znakomici w tym, co robią, a większość europejskich firm będzie trzymać na nich workloady jeszcze przez lata. Poważna wersja tego argumentu dotyczy opcjonalności: dokładnej wiedzy, które z Twoich workloadów mogłyby się przenieść, dokąd i za ile - zanim regulator, dział zakupów klienta albo geopolityczna niespodzianka wymusi tę decyzję według cudzego harmonogramu.

I tu robi się ciekawie, bo krajobraz europejskich dostawców jest dziś naprawdę dobry, choć wciąż mało znany. Hetzner oferuje stosunek ceny do wydajności, przy którym rachunki z amerykańskiej chmury wyglądają jak żart. OVHcloud prowadzi jedną z największych infrastruktur w Europie, z własnym światłowodem i centrami danych. Scaleway dostarcza nowoczesny, przyjazny deweloperom stos z Francji. UpCloud oferuje niezawodny compute z Finlandii. Żaden z nich nie jest zamiennikiem AWS jeden do jednego w każdej usłudze - ale w warstwach compute, storage i sieci, gdzie faktycznie mieszka większość wydatków infrastrukturalnych, są wiarygodni, często tańsi i odpowiadają wyłącznie przed prawem UE.

Prawdziwą przeszkodą nie są możliwości. Są nią operacje. Każdy dostawca to kolejna konsola, kolejne API, kolejny eksport rozliczeń, kolejny zestaw osobliwości bezpieczeństwa do nauczenia się. 30-osobowa firma nie może zatrudnić zespołu platformowego na każdą chmurę osobno - więc konsoliduje się na jednym hyperscalerze, a suwerenność po cichu staje się czymś, do czego wraca się „w przyszłym roku”, co roku.

To jest realny problem, do którego rozwiązania istnieje Sencai. Strategia multi-cloud - w tym strategia suwerenności - jest realna tylko wtedy, gdy mały zespół może ją obsłużyć, nie topiąc się w pracy. Jeden control plane obejmujący hyperscalerów i natywnych dostawców UE, jedno miejsce, w którym widać każdy zasób i każde euro, jeden ślad audytowy, który wytrzyma, gdy zażądane zostaną dowody zgodności z NIS2: to właśnie zamienia „powinniśmy przyjrzeć się europejskim dostawcom” ze slajdu w plan migracji.

Oto praktyczna checklista, którą dalibyśmy każdemu europejskiemu CTO na 2026 rok. Po pierwsze: zmapuj, które z Twoich workloadów są wrażliwe jurysdykcyjnie - dane osobowe, zdrowie, finanse, sektor okołopubliczny - a które to zwykły compute, który mógłby działać wszędzie. Po drugie: zapytaj swoich dostawców, kto prawnie operuje każdą usługą, nie gdzie stoją serwery; odpowiedzi Cię zaskoczą. Po trzecie: wyceń koszt wyjścia dla trzech najważniejszych workloadów, bo Data Act zaraz uczyni tę liczbę przedmiotem negocjacji. Po czwarte: uruchom w tym roku jeden prawdziwy workload u jednego dostawcy UE - nie jako deklarację, lecz jako realnie wykorzystaną opcję, z monitoringiem, backupami i wszystkim, czego wymagałbyś gdziekolwiek indziej.

Stanowisko Sencai jest proste: dostarczamy control plane, który działa zarówno z hyperscalerami, jak i natywnymi dostawcami UE (Hetzner, OVHcloud, Scaleway, UpCloud), a to Ty decydujesz, gdzie mieszka każdy workload. Sam control plane działa w UE, prowadzony przez europejską firmę, bez amerykańskich zależności na ścieżce krytycznej. Tak wygląda suwerenność w standardzie: nie odznaka na slajdzie, lecz wolność umieszczenia każdego workloadu dokładnie tam, gdzie powinien być - i możliwość udowodnienia tego.