Pilvi- ja tekoälykehitysasetus: mitä Eurooppa oikeasti yrittää korjata

Pilvi- ja tekoälykehitysasetus on selkein tähänastinen kannanotto siihen, mitä eurooppalaisesta teknologiapolitiikasta on tullut. Se ei ole kuluttajansuojalaki eikä turvallisuuslaki. Se on teollisuuspolitiikkaa, joka tähtää yhteen ongelmaan: Eurooppa pyörittää suurinta osaa digitaalitaloudestaan infrastruktuurilla, jota se ei hallitse.

Tämä on eri lajin sääntelyä kuin yleinen tietosuoja-asetus tai tekoälyasetus, ja se tavoittaa sinut eri mekanismin kautta. Sillä, minkä mekanismin, on enemmän merkitystä kuin johdanto-osan lukemisella.

Ongelma, johon se vastaa

Taustalla olevia lukuja ei kiistä kukaan. Ylivoimaisesti suurin osa eurooppalaisista pilvi-infrastruktuurin menoista menee EU:n ulkopuolisille palveluntarjoajille. Suurimmat eurooppalaisten yritysten käyttämät tekoälymallit koulutetaan ja isännöidään Euroopan ulkopuolella. Eurooppalainen laskentakapasiteetti on pieni osa maailman kokonaisuudesta.

Vuosikymmenen ajan tätä pidettiin markkinoiden lopputuloksena. Vuodesta 2022 sitä on pidetty strategisena haavoittuvuutena syistä, joilla ei ole mitään tekemistä teknologian kanssa: kauppapoliittiset jännitteet, vientivalvonta ja havainto siitä, että infrastruktuuririippuvuus on vipuvarsi.

Pilvi- ja tekoälykehitysasetus on tämän uudelleenarvioinnin lainsäädännöllinen käsi. Se kulkee rinnan tekoälymantereen toimintasuunnitelman, InvestAI-aloitteen, tekoälyn gigatehdasohjelman ja Draghin raportista kummunneen laajemman kilpailukykyohjelman kanssa.

Mitä ehdotus sisältää

Komissio julkaisi ehdotuksen 3. kesäkuuta 2026 numerolla COM(2026) 502 yhdessä Chips Act 2.0:n kanssa. Kyseessä on asetus, joka rakentuu kolmen tavoitteen ja julkista sektoria koskevien toimien varaan:

Tutkimus ja innovointi. Cloud and AI Leadership Initiatives eli laajat toimialat ylittävät hankkeet, AI Experience and Acceleration Centres eli eurooppalaisten digitaali-innovointikeskittymien varaan rakentuva keskusten verkosto, laskentakapasiteettia kärkitason tekoälyn (frontier AI) ensisijaisille hankkeille sekä kansallinen pilvi- ja tekoälystrategia jokaiseen jäsenvaltioon vuoden kuluessa voimaantulosta.

Konesalikapasiteetti. Jäsenvaltiot nimeävät konesalien kiihdytysalueita, joilla on yhden luukun tietopiste ja nopeampi lupamenettely, ja komissio voi nimetä strategisia konesalihankkeita. Ilmoitettu tavoite on vähintään kolminkertaistaa EU:n konesalikapasiteetti vuoteen 2030 mennessä niin, että jokaisen uuden konesalin luvat saa alle 18 kuukaudessa.

Pilven suvereniteettikehys. Neljä unionin varmuustasoa. Taso 1 on itsearviointi; tasot 2, 3 ja 4 auditoi kolmas osapuoli. Taso 3 edellyttää, ettei palveluntarjoajaa määräysvalloita kolmannesta maasta, ellei komissio ole todennut maan tarjoavan riittävät takeet. Hyväksytyt palvelut viedään keskitettyyn EU-rekisteriin.

Julkisen sektorin käyttöönotto. Tämä on se kohta, joka puree. Julkisten hankintayksiköiden on hankittava pilvipalveluja, jotka on hyväksytty vähintään tasolle 1. Jos riskiarvio osoittaa, että toiminta edistää yleistä järjestystä (muun muassa NIS2-toimialoilla, kansallisessa turvallisuudessa, puolustuksessa, oikeudenhoidossa ja lainvalvonnassa), vain tasot 2, 3 tai 4 ovat sallittuja. Jäsenvaltioiden on lisäksi sovellettava unionin lisäarvoa koskevia kriteerejä hankkiessaan pilveä ja tekoälyä, EuroCloud Federation antaa julkisille elimille mahdollisuuden jakaa pilvipalveluja, ja julkisten elinten on kannustettava avoimen lähdekoodin käyttöön suljetun ohjelmiston sijaan ja helpotettava sitä.

Yksityisiä ostajia sitoo vain vähän. NIS2-toimialojen yritykset voivat tehdä saman riskiarvion vapaaehtoisesti, ja komissio voisi delegoidulla säädöksellä tehdä siitä pakollisen erittäin kriittisille toimialoille. Ehdotetussa muodossa asetusta sovellettaisiin vuoden kuluttua voimaantulosta, mutta sen on vielä mentävä läpi parlamentissa ja neuvostossa.

Mekanismi, joka todella tavoittaa sinut

Tässä on se, mitä asiasta kannattaa ymmärtää. Suurin osa teknologiasääntelystä tavoittaa yksityiset yritykset suoraan: käsittelet henkilötietoja, joten yleinen tietosuoja-asetus koskee sinua. Pilvi- ja tekoälykehitysasetus tavoittaa useimmat yritykset paljon todennäköisemmin epäsuorasti, hankintojen kautta.

Julkisen sektorin teknologiamenot EU:ssa ovat valtavat. Jos jäsenvaltioiden julkiset elimet velvoitetaan ostamaan eurooppalaista pilveä tai niitä painostetaan siihen voimakkaasti, se muuttaa saavutettavissa olevan markkinan jokaiselle julkiselle sektorille myyvälle toimittajalle ja valuu pääurakoitsijoiden kautta niiden alihankkijoihin.

Kuvio on tuttu esteettömyydestä. Eurooppalaisessa esteettömyysdirektiivissä on suoria velvoitteita, mutta käytännössä suurta osaa esteettömyystyöstä ajoivat julkisten hankintojen säännöt, jotka sulkivat vaatimustenvastaiset toimittajat ulos kauan ennen kuin direktiiviä alettiin soveltaa.

Sama on odotettavissa tässä. Jos myyt ohjelmistoja eurooppalaisille julkisille ostajille, kysymykset siitä, missä infrastruktuurisi pyörii, kuka sitä hallitsee ja voiko sen siirtää, siirtyvät turvallisuuskyselystä kelpoisuusehtoihin.

Mitä tämä tarkoittaa arkkitehtuurille

Suvereniteettipolitiikkaa lukiessa ensimmäinen vaisto on joko sivuuttaa koko asia tai käynnistää paniikkimigraatio. Kumpikaan ei ole oikein. Järkevää on varmistaa, että kysymykseen pystyy vastaamaan.

Tiedä, missä datasi ja laskentatehosi oikeasti ovat

Kuulostaa triviaalilta, mutta ei ole. Kypsässä järjestelmässä rehellinen vastaus kysymykseen ”missä tämä pyörii” sisältää usein ensisijaisen alueen, varajärjestelyalueen, CDN:n epäselvine reunasijainteineen, hallitun tietokannan, kolme SaaS-riippuvuutta omine alikäsittelijöineen, havainnointityökalun toimittajan ja tekoälyrajapinnan, jonka päättelyn sijaintia ei ole dokumentoitu.

Tarkan kartan rakentaminen on ensimmäinen pala todellista työtä, ja se on sama kartta, jota tarvitset tietosuoja-asetuksen siirtoanalyysiin ja NIS2:n toimitusketjukysymyksiin. Tee se kerran kunnolla.

Erota siirrettävät osat niistä, jotka eivät ole

Lähes jokaisessa järjestelmässä on siirrettävä ydin ja joukko palveluntarjoajakohtaisia riippuvuuksia. Siirrettävä ydin on yleensä itse sovellus. Siirtokelvottomat osat ovat yleensä hallittuja palveluja: omisteiset tietokannat, palvelimettomat ajoympäristöt, jonot, identiteetti ja yhä useammin mallirajapinnat.

Niitä ei tarvitse poistaa. On kuitenkin tiedettävä, mitkä ne ovat, koska juuri se lista on rehellinen vastaus siihen, kuinka raskas siirto olisi. Sitä hankintakysely oikeasti kysyy.

Käsittele mallitoimittajia abstraktiorajana

Tämä on uusin ja useimmin ohitettu kohta. Sovellukset, jotka kutsuvat yhden toimittajan mallirajapintaa suoraan ja joissa toimittajakohtaiset kehotemuodot ja vastauskäsittelyt on ripoteltu pitkin koodikantaa, ovat tehneet riippuvuuspäätöksen huomaamattaan.

Ohut abstraktio mallikutsujen päälle maksaa rakennettaessa hyvin vähän ja ostaa mahdollisuuden reitittää liikenne eurooppalaiselle palveluntarjoajalle, avoimilla painoilla julkaistulle mallille eurooppalaisessa infrastruktuurissa tai kokonaan toiselle toimittajalle. Kun ottaa huomioon, kuinka nopeasti mallimaisema liikkuu, se kannattaa tehdä jo pelkästään kaupallisin perustein.

Testaa uloskäynti, älä pelkästään dokumentoi sitä

Data-asetus antaa jo oikeuden vaihtaa pilvipalveluntarjoajaa, ja vaihtomaksut poistuvat kokonaan 12. tammikuuta 2027. Hyvin harva ostaja käyttää tuota oikeutta, ja vielä harvempi testaa, saisiko palvelunsa oikeasti kasaan sillä viennillä, johon on oikeutettu.

Aja vienti läpi. Yritä tulkita sitä. Ero sen välillä, mitä palveluntarjoaja kutsuu vietäväksi ja mikä on oikeasti käyttökelpoista, on juuri se kohta, johon lukkiutuminen kätkeytyy, ja se on myös rehellinen vastaus suvereniteettikysymykseen.

Mitä se ei ole

Terve epäily on paikallaan, ja on parempi katsoa asiaa realistisesti nyt kuin yllättyä myöhemmin.

Tämä ei ole amerikkalaisen pilven kielto. Mikään ehdotuksessa ei kiellä yksityisiä yrityksiä käyttämästä EU:n ulkopuolisia palveluntarjoajia. Mekanismi on hankintaetuoikeus ja kapasiteetin rakentaminen, ei kielto.

Kapasiteettia ei synny siksi, että laki niin sanoo. Eurooppalainen pilvikapasiteetti on rajallinen, koska konesalien rakentaminen ja huippumallien kouluttaminen on pääomavaltaista eikä Eurooppa ole viime aikoihin asti sitonut pääomaa vaadittavassa mittakaavassa. EU:n teknologiarahoitusoppaassamme käsitellyt rahoitusohjelmat ovat tässä varsinainen väline. Asetus on kehikko niiden ympärillä.

Suvereeni-leima ei tee palvelusta suvereenia. Moni järjestely markkinoi itseään suvereenina pilvenä, vaikka pyörii lisensoidulla EU:n ulkopuolisella teknologialla vaihtelevin operatiivisen riippumattomuuden astein. Ehdotuksen vastaus ovat varmuustasot: määräysvalta kolmannesta maasta pitää palvelun tason 3 ja sitä ylempien tasojen ulkopuolella, ellei komissio hyväksy kyseistä maata. Mihin tasojen 2 ja 3 raja lopulta vedetään, ratkeaa neuvotteluissa.

Se on ehdotus. Teksti on nyt olemassa, mutta tilanteessa 10. lokakuuta 2026 neuvostolla ja parlamentilla ei ole siitä kantaa, ja parlamentissa asia on yhä ITRE- ja IMCO-valiokunnissa. Varmuustasot ovat se osa, joka todennäköisimmin muuttuu. Suunta on pysynyt samana kolme vuotta komission viestinnässä.

Miten tämä liittyy kaikkeen muuhun

Pilvi- ja tekoälykehitysasetus on yksi pala koordinoitua kokonaisuutta, ja erillään luettuna se näyttää heikommalta kuin on.

Tekoälyasetus sääntelee sitä, miten tekoälyjärjestelmät käyttäytyvät. Data-asetus purkaa pilvilukkiutumista sopimusteitse. NIS2 valuttaa toimitusketjun tarkastuksen toimittajaketjuun. Kyberkestävyysasetus asettaa turvallisuusvelvoitteita tuotteille. InvestAI ja gigatehdasohjelma laittavat rahaa laskentakapasiteettiin. Pilvi- ja tekoälykehitysasetus lisää päälle hankinta- ja suvereniteettikerroksen.

Erikseen jokainen näyttää lisärasitteelta. Yhdessä ne piirtävät melko johdonmukaisen vedon: Eurooppa voi säännellä itselleen oman teknologiapohjan yhdistämällä markkinoillepääsyn säännöt ja julkisen rahan.

Onnistuuko veto, on aiheellinen kysymys. Se, että veto on lyöty, ei ole.

Mitä tehdä seuraavien kahdentoista kuukauden aikana

Rakenna infrastruktuurikartta. Missä kaikki pyörii, kuka sitä ylläpitää, mikä on sopimuksellinen uloskäynti. Samalle kartalle on neljä muuta käyttöä.

Tunnista aidosti siirtokelvottomat riippuvuutesi ja hinnoittele siirto rehellisesti, vaikka et sitä koskaan tekisi. Se on vastaus hankintakysymykseen ja yksinkertaisesti hyvää arkkitehtuurihygieniaa.

Laita abstraktio mallitoimittajien päälle, jos sitä ei vielä ole. Halpaa nyt, kallista myöhemmin, ja hyödyllistä syistä, joilla ei ole tekemistä politiikan kanssa.

Jos myyt eurooppalaisille julkisille ostajille, selvitä, minkä varmuustason palvelusi voisi saavuttaa. Vaatimus ilmestyisi kelpoisuusehdoksi ensimmäisenä asetuksen hankintasäännöissä, ja 9. syyskuuta 2026 ehdotettu Public Procurement Act tuo päälle yleisen kehyksen eurooppalaiselle etuoikeudelle.

Älä migroi arvausten varassa. Infrastruktuurin siirtäminen sellaisen ehdotuksen takia, josta ei ole vielä edes neuvoteltu, on juuri se tapa, jolla organisaatio polttaa vuoden ja ison budjetin johonkin, mikä osoittautuu tarpeettomaksi.

Näin saat apua

Suunnittelemme ja rakennamme pilvi-infrastruktuuria, data-alustoja ja tekoälyintegraatioita Euroopassa toimiville yrityksille, ja siihen kuuluu myös se arkinen työ, jolla järjestelmästä tulee rehellisesti eikä vain nimellisesti siirrettävä.

Jos tarvitset infrastruktuuri- ja riippuvuuskartan, uloskäyntitestin nykyistä palveluntarjoajaasi vastaan tai abstraktiokerroksen mallitoimittajien päälle, kirjoita osoitteeseen office@c9group.dev. Lisää infrastruktuurityöstämme AWS-kustannusoptimoinnin sivulla ja eurooppalaisesta työstämme EU-markkinoille tulon sivulla.

Laajempi lainsäädäntökuva on EU:n lainsäädäntöjonossamme, ja tämän ohjelman takana oleva raha on kartoitettu EU:n teknologiarahoitusoppaassamme.

Olemme insinöörejä, emme poliittisia neuvonantajia. Tämä on suunnittelijan näkymä ehdotukseen, ei oikeudellinen neuvo.