Уряди Азійсько-Тихоокеанського регіону дедалі активніше беруть під контроль дані, які створюють їхні громадяни, компанії та державні установи. Геополітична нестабільність, бурхливий розвиток ШІ та занепокоєння залежністю від іноземних технологій переконали багатьох регуляторів у тому, що дані є ключовим національним ресурсом.
Тому, за аналогією з матеріальними активами, багато хто вважає, що найнадійніший спосіб «захистити» ці дані — утримувати їх у межах власної юрисдикції.
Однак така логіка спирається на хибне припущення: ніби суверенітет визначається тим, де фізично стоїть сервер, а не тим, хто реально керує доступом до інформації.
На практиці регулятори реалізують цифровий суверенітет по-різному, застосовуючи цілу палітру інструментів.
У Південній Кореї програма Cloud Security Assurance Program (CSAP) змушує державні органи закуповувати хмарні сервіси, що зберігають дані локально, використовують вітчизняні алгоритми шифрування і передбачають, щоб персонал із керування та операцій перебував у Кореї.
Японія зберігає складну систему сертифікації державного ПЗ, яка майже повністю проводиться японською мовою, що послаблює позиції постачальників неяпонського походження.
Індійський закон Digital Personal Data Protection Act, ухвалений у 2023 році, дозволяє уряду вводити обмеження на транскордонні передавання даних до окремих країн за умови належного офіційного повідомлення з боку влади.
У Південно-Східній Азії Індонезія та В’єтнам регулярно пропонують широкі мандати на локалізацію даних. Навіть Філіппіни, які бізнес і науковці довго вважали одним із регіональних прихильників вільних потоків даних, торік запропонували законодавство, що зобов’язує державні органи (включно з університетами) зберігати майже всі дані на внутрішніх серверах.
Складність регулювання транскордонних потоків даних стала одним із бар’єрів на шляху до підписання ASEAN Digital Economy Framework Agreement (DEFA) — потенційно першого у світі регіонального всеосяжного пакту про цифрову торгівлю. DEFA підпишуть на наступному саміті лідерів ASEAN у листопаді — на рік пізніше, ніж планувалося.
Для успіху DEFA потрібні захищені транскордонні потоки даних. Розмита компромісна модель — наприклад, коли державам дозволяють відкладати приєднання до такого елемента, доки вони «не будуть готові», — лише закріпить нинішню фрагментацію правил. Це означатиме подальші тертя у транскордонних платежах і торгівлі, а сама DEFA працюватиме лише частково.
Без визнання транскордонного руху даних прагнення ASEAN використати DEFA для прискорення цифрової економіки до $2 трлн до 2030 року (з приблизно $300 млрд сьогодні) виглядатиме все менш переконливо.
Як «захист» перетворюється на слабкість
Локалізацію даних часто пояснюють міркуваннями безпеки, але вона здатна створювати власні ризики кіберстійкості.
Минулого вересня пожежа в дата-центрі Південної Кореї вивела з ладу 647 державних сервісів. За оцінками, близько 850 терабайтів урядових даних могли бути втрачені назавжди, адже не існувало зовнішнього резервного копіювання. Політика, покликана захистити інформацію, фактично створила єдину точку відмови. Якби системи будувалися з урахуванням принципів стійкості — географічної надмірності та безперервних бекапів, — наслідки можна було б суттєво пом’якшити.
Обмеження транскордонних потоків даних також можуть позбавляти людей доступу до інноваційних продуктів і сервісів, оскільки регуляторні бар’єри роблять їх економічно невигідними. Місцева компанія, особливо та, що швидко зростає й прагне виходити на міжнародні ринки, може захотіти використати передові ШІ-сервіси іноземного постачальника — але зіткнутися з блокуванням, якщо той не запускає робочі навантаження через локальний дата-центр.
Локалізація може бути й антиконкурентною. На відміну від великих гіперскейлерів, невеликі компанії software-as-a-service рідко будують власні дата-центри, тому саме вони непропорційно сильно відчувають витрати на відповідність. Це стосується не лише місцевих чи регіональних стартапів: Zoom також належить до цієї категорії.
Азійсько-Тихоокеанський регіон — один із найрізноманітніших у світі за культурами та мовами, і багато урядів прагнуть зберегти цю різноманітність, підтримуючи ШІ-моделі місцевими мовами. Та вимоги зберігати дані лише всередині країни можуть завадити найкращим у світі великим мовним моделям використовувати внутрішній контент для підвищення точності в мовах із браком ресурсів.
Нове розуміння цифрового суверенітету
Справжній суверенітет не дорівнює ізоляції. Його основа — у тому, щоб клієнт, а інколи й самі державні органи, були справді уповноважені. Такий підхід є складнішим за суцільну вимогу локалізації даних і забезпечує більш керований результат.
По-перше, довіра має ґрунтуватися на технічних гарантіях, а не на географічних обмеженнях. Сучасне end-to-end шифрування означає, що жодна третя сторона не отримає доступ до ключів, потрібних для потоків даних у реальному часі під час передавання. Крім того, клієнтські ключі керування (customer-managed keys) гарантують, що лише власник даних може відкривати інформацію незалежно від того, де вона зберігається, тож фізичне місце серверів часто стає другорядним. Архітектура безпеки важливіша за географію інфраструктури.
По-друге, глобальні стандарти дають змогу регуляторам швидко оцінювати процеси конфіденційності й безпеки компанії, навіть якщо її сервери розміщені в іншій країні, забезпечуючи порівнюваність вимог.
По-третє, державам варто обирати стратегію використання кількох хмарних провайдерів. Це зменшує залежність від однієї екосистеми та підтримує конкуренцію на ринку.
Регуляторам також слід запровадити національну рамку класифікації даних на основі ризиків, подібну до GDPR Європейського Союзу або Personal Data Protection Act Сінгапуру. Такі закони дають об’єктивні критерії, щоб розділяти дані на чіткі рівні: між по-справжньому чутливими наборами, які потребують особливого режиму, та іншими даними, які можна передавати через кордон за належних запобіжників.
Держави мають повне право зберігати суверенний контроль над дійсно чутливими даними — такими як військові комунікації та медичні записи. Водночас значна частина інформації, яку збирають державні органи — наприклад, статистика зайнятості чи житла або реєстрації бізнесу, — не завжди відповідає цьому порогу чутливості.
Практичні кроки для збалансованого підходу
Деякі торговельні угоди можуть слугувати орієнтирами для більш зваженої моделі суверенітету даних. Цифрові економічні угоди Австралія–Сінгапур та ЄС–Сінгапур обмежують необґрунтовані вимоги локалізації даних, водночас зберігаючи механізми, що враховують легітимні потреби безпеки.
Ініціативи на кшталт системи Global Cross-Border Privacy Rules (CBPR) та принципу OECD Data Free Flows with Trust (започаткованого Японією) також показують, що надійна мобільність даних і сильні гарантії приватності не суперечать одна одній.
Поки переговорники ASEAN завершують узгодження DEFA, а уряди Азійсько-Тихоокеанського регіону намагаються використати технологічні інновації та ШІ для економічного зростання, перед ними стоїть вибір: тлумачити цифровий суверенітет як ізоляцію — або досягати його через продуманий дизайн і технічні механізми контролю.
Перший шлях створює лише ілюзію керованості та водночас породжує нові вразливості. Другий забезпечує реальну безпеку й вибірковий контроль там, де це необхідно, зберігаючи доступ до глобальних інновацій і прискорюючи шлях до національного добробуту.
Думки, висловлені в коментарях на Fortune.com, є виключно поглядами їхніх авторів і не обов’язково відображають думки та переконання Fortune.
This story was originally featured on Fortune.com
