När CLOUD Act klubbades 2018 behandlade de flesta europeiska CTO:er det som en juridisk abstraktion - något för compliance-teamet att oroa sig för, någonstans mellan cookie-banners och skrivarupphandling. Åtta år senare, med Schrems II-domen, NIS2 implementerat i nationell lag runtom i EU, DORA i kraft för finanssektorn, och Data Act:s bestämmelser om utträdesavgifter på väg, är det en fråga för styrelsenivå. Inte för att jurister vann en debatt, utan för att risken slutade vara teoretisk.
Låt oss definiera termerna, för "suveränt moln" har marknadsförts till gröt. Verklig suveränitet betyder tre separata saker: dataresidens i EU-jurisdiktion, operativ kontroll av bolag med huvudkontor i EU, och juridiskt skydd mot extraterritoriella domstolsförelägganden. Marknadsavdelningarna hos de amerikanska hyperscalers berättar gärna att deras europeiska regioner bockar av den första punkten. Och de har rätt. De andra två är svårare - och det är de två som spelar roll när något går fel.
Så här ser det ut i praktiken: ett sjukhus i München kör PACS-bildhantering på AWS Frankfurt. Datan lämnar aldrig Tyskland. Kryptering i vila, EU-baserad support, hela compliance-paketet. Men driftbolaget är ett amerikanskt Delaware-bolag, underställt amerikansk lag. Ett amerikanskt domstolsbeslut kan tvinga fram utlämning oavsett var bytesen fysiskt befinner sig. Sjukhusets jurister vet det här. Sjukhusets styrelse vet det, i allt högre grad, också. Det är det gapet NIS2 och Data Act håller på att stänga - långsamt, ofullständigt, men i en tydlig riktning.
Den regulatoriska tidslinjen berättar historien. Schrems II (2020) ogiltigförklarade Privacy Shield och satte varje dataöverföring från EU till USA på juridiskt skakig grund. NIS2 (nationella implementeringar under 2024-2025) gjorde ansvar för leveranskedjan till en styrelseskyldighet med personligt ansvar - du är nu ansvarig inte bara för din egen säkerhet, utan för dina leverantörers. DORA (januari 2025) gjorde detsamma för finanssektorn, med tänder. Data Act (med bestämmelser om utträdesavgifter från 2027) angriper inlåsning direkt: de utträdeskostnader som gjorde "vi migrerar senare" till en fantasi regleras nu bort.
Inget av detta betyder "sluta använda AWS." Det är halmdocksversionen av suveränitetsargumentet, och den håller inte vid kontakt med verkligheten - hyperscalers är utmärkta på det de gör, och de flesta europeiska företag kommer att behålla arbetsbelastningar hos dem i åratal. Den seriösa versionen handlar om valfrihet: att veta exakt vilka av dina arbetsbelastningar som skulle kunna flyttas, vart de skulle kunna flyttas, och vad det skulle kosta - innan en tillsynsmyndighet, en kunds upphandlingsteam, eller en geopolitisk överraskning tvingar fram frågan på någon annans tidsplan.
Det är där det europeiska leverantörslandskapet blir intressant, för det är verkligen bra nu och mestadels okänt. Hetzner erbjuder pris-prestanda som får amerikanska molnfakturor att se ut som ett skämt. OVHcloud driver en av de största närvarona i Europa med egen fiber och egna datacenter. Scaleway levererar en modern, utvecklarvänlig stack från Frankrike. UpCloud levererar pålitlig compute från Finland. Ingen av dem är en rakt av-ersättare för AWS över alla tjänster - men för de compute-, lagrings- och nätverkslager där merparten av infrastrukturkostnaderna faktiskt ligger är de trovärdiga, ofta billigare, och svarar enbart inför EU-lag.
Det ärliga hindret är inte förmåga. Det är drift. Varje leverantör innebär ännu en konsol, ännu ett API, ännu en faktureringsexport, ännu en uppsättning säkerhetsegenheter att lära sig. Ett företag med 30 anställda kan inte bemanna en plattformsgrupp per moln - så de konsoliderar på en hyperscaler, och suveränitet blir i tysthet något att ta upp igen "nästa år", varje år.
Det här är det verkliga problemet Sencai finns för att lösa. En multi-cloud-strategi - inklusive en suveränitetsstrategi - är bara verklig om ett litet team kan driva den utan att drunkna. Ett control plane över hyperscalers och EU-inhemska leverantörer, en plats att se varje resurs och varje euro, ett granskningsspår som håller när NIS2-bevis efterfrågas: det är vad som förvandlar "vi borde titta på europeiska leverantörer" från en presentationsslide till en migreringsplan.
Så här är den praktiska checklistan vi skulle ge vilken EU-CTO som helst inför 2026. Ett: kartlägg vilka av dina arbetsbelastningar som är jurisdiktionskänsliga - persondata, hälsa, finans, myndighetsnära - och vilka som är standard-compute som kan köras var som helst. Två: fråga dina leverantörer vem som juridiskt driver varje tjänst, inte var servrarna står; svaren kommer att förvåna dig. Tre: prissätt ett utträde för dina tre viktigaste arbetsbelastningar, för Data Act är på väg att göra den siffran förhandlingsbar. Fyra: kör en verklig arbetsbelastning hos en EU-leverantör i år - inte som ett ställningstagande, utan som ett alternativ du faktiskt har prövat, med övervakning och backuper och allt du skulle kräva någon annanstans.
Sencais position är enkel: vi levererar ett control plane som fungerar över hyperscalers och EU-inhemska leverantörer (Hetzner, OVHcloud, Scaleway, UpCloud), och du bestämmer var varje arbetsbelastning ska ligga. Själva control plane körs i EU, drivs av ett EU-bolag, utan amerikanska beroenden i den kritiska kedjan. Det är vad suveränitet by default ser ut som: inte en badge på en presentationsslide, utan friheten att placera varje arbetsbelastning exakt där den hör hemma - och att bevisa det.