Уряди країн Азійсько-Тихоокеанського регіону дедалі активніше прагнуть контролювати дані, які створюють їхні громадяни, компанії та державні установи. Геополітична нестабільність, швидкий розвиток ШІ та побоювання щодо залежності від іноземних технологічних гігантів переконали багатьох регуляторів у тому, що дані є стратегічним національним ресурсом.
І, як і з матеріальними активами, багато хто вважає, що найнадійніший спосіб «убезпечити» ці дані — утримувати їх у межах власної юрисдикції.
Однак така логіка спирається на хибну передумову: ніби суверенітет визначається тим, де фізично стоїть сервер, а не тим, хто фактично контролює доступ до інформації.
Насправді регулятори реалізують цифровий суверенітет у різний спосіб — і це виходить далеко за межі однієї моделі.
У Південній Кореї програма Cloud Security Assurance Program (CSAP) зобов’язує державні органи купувати хмарні сервіси, що зберігають дані локально, застосовують вітчизняні алгоритми шифрування, а також мають керівний та операційний персонал, який проживає в Кореї.
Японія підтримує складний механізм сертифікації програмного забезпечення для державного сектору, який майже повністю проводиться японською мовою, що системно ускладнює участь неяпонських постачальників.
Індійський закон Digital Personal Data Protection Act, ухвалений у 2023 році, дозволяє уряду запроваджувати обмеження на транскордонну передачу даних до окремих країн за умови належного офіційного повідомлення.
У Південно-Східній Азії Індонезія та В’єтнам регулярно висувають широкі вимоги щодо локалізації даних. Навіть Філіппіни, які бізнес і науковці давно вважали одним із регіональних прихильників вільних потоків даних, торік запропонували законодавство, що зобов’язує державні установи (включно з університетами) зберігати майже всі дані на внутрішніх серверах.
Складність регулювання транскордонних потоків даних стала однією з причин, що відтермінували підписання ASEAN’s Digital Economy Framework Agreement (DEFA) — потенційно першого у світі комплексного регіонального пакту з цифрової торгівлі. Тепер DEFA підпишуть на наступному саміті лідерів АСЕАН у листопаді, на рік пізніше запланованого.
Безпечний обіг даних між країнами є критично важливим для ефективності DEFA. Розмите компромісне рішення — наприклад, коли держави-члени можуть відкладати приєднання до цього компонента «до готовності» — лише законсервує нинішню фрагментацію правил, збереже тертя в транскордонних платежах і електронній комерції та зробить DEFA дієвим лише частково.
Без реального прийняття транскордонних потоків даних амбіція АСЕАН прискорити цифрову економіку до $2 трильйонів до 2030 року (з приблизно $300 мільярдів сьогодні) виглядатиме менш переконливою.
Коли надмірний захист перетворюється на ризик
Локалізацію даних часто виправдовують міркуваннями кібербезпеки, але сама практика може породжувати додаткові загрози.
Минулого вересня пожежа в південнокорейському дата-центрі вивела з ладу 647 державних сервісів. За оцінками, близько 850 терабайтів урядових даних могли бути втрачені назавжди, оскільки не існувало зовнішнього резервного копіювання. Політика, покликана захищати інформацію, фактично створила єдину точку відмови. Якби системи проєктувалися з урахуванням принципів стійкості — географічної надлишковості та безперервних бекапів — масштаби втрат могли б бути значно меншими.
Обмеження транскордонної передачі даних також здатне позбавляти людей доступу до інноваційних продуктів і сервісів, адже регуляторні бар’єри роблять їх пропозицію економічно невигідною. Місцева компанія — особливо та, що швидко зростає і хоче виходити на міжнародні ринки — може прагнути використати передові AI-сервіси іноземного постачальника, але зіткнутися з блокуванням, якщо той не розміщує обчислення через локальний дата-центр.
Крім того, локалізація часто має антиконкурентний ефект. На відміну від великих гіперскейлерів, менші компанії у сегменті software-as-a-service рідко будують власні дата-центри, тому саме вони несуть непропорційні витрати на відповідність вимогам. Йдеться не лише про локальні чи регіональні стартапи: Zoom також належить до цієї категорії.
Азійсько-Тихоокеанський регіон вирізняється надзвичайною культурною та мовною різноманітністю, і багато урядів хочуть підтримати її, розвиваючи моделі ШІ для місцевих мов. Проте вимога зберігати дані виключно всередині країни завадить найкращим у світі великим мовним моделям використовувати локальний контент для підвищення точності в мовах із браком даних.
Нове прочитання цифрового суверенітету
Справжній суверенітет у цифровій сфері не означає ізоляцію. Йдеться про те, щоб клієнт — а інколи й самі державні органи — були реально наділені контролем. Такий підхід є тоншим і ефективнішим, ніж універсальна вимога локалізації.
По-перше, довіра має ґрунтуватися на технічних гарантіях, а не на географічних обмеженнях. Сучасне наскрізне шифрування забезпечує, що жодна третя сторона не отримає доступ до ключів, потрібних для потоків даних у реальному часі під час передачі. Додатково, ключі, якими керує клієнт, гарантують, що лише власник даних може їх відкривати незалежно від того, де вони зберігаються, роблячи фізичне розташування серверів здебільшого другорядним. Вирішальне значення має архітектура безпеки, а не місце розміщення інфраструктури.
По-друге, глобальні стандарти дають змогу регуляторам швидко оцінювати процеси компанії щодо приватності та кіберзахисту, навіть якщо сервери розміщені в іншій країні.
По-третє, державам варто робити ставку на використання кількох хмарних провайдерів. Така модель зменшує залежність від однієї екосистеми та підтримує конкуренцію на ринку.
Регуляторам також доцільно запровадити національну ризик-орієнтовану систему класифікації даних, подібну до GDPR Європейського Союзу або Singapore’s Personal Data Protection Act. Такі закони задають об’єктивні критерії поділу інформації на рівні: між дійсно чутливими даними, що потребують особливого режиму, та іншими категоріями, які можуть передаватися через кордони за умови належних захистів.
Держави справді мають зберігати суверенний контроль над по-справжньому чутливою інформацією — наприклад, військовими комунікаціями чи медичними записами. Але значна частина даних, зібраних державними установами, як-от статистика зайнятості чи житла або реєстрації бізнесу, не дотягує до цього рівня критичності.
Як збалансувати контроль і відкритість: практичні кроки
Декілька торговельних угод можуть слугувати орієнтиром для більш зваженого підходу до суверенітету даних. Цифрові економічні угоди Australia-Singapore та EU-Singapore обмежують необґрунтовані вимоги щодо локалізації, водночас залишаючи інструменти для реагування на реальні загрози безпеці.
Ініціативи на кшталт Global Cross-Border Privacy Rules (CBPR) system та OECD’s Data Free Flows with Trust (заснованої Японією) також показують, що надійна мобільність даних і сильний захист приватності можуть співіснувати.
Поки переговорники АСЕАН завершують роботу над DEFA, а уряди Азійсько-Тихоокеанського регіону прагнуть використати технологічні інновації та ШІ для прискорення економічного зростання, перед ними стоїть вибір: будувати цифровий суверенітет через ізоляцію або досягати його через продумане проєктування й технічні механізми контролю.
Перший шлях дарує лише видимість керованості, але створює нові вразливості. Другий забезпечує справжню безпеку та вибірковий контроль там, де це необхідно, зберігаючи доступ до глобальних інновацій і пришвидшуючи рух до національного добробуту.
Думки, висловлені в матеріалах Fortune.com у жанрі коментаря, є виключно позицією їхніх авторів і не обов’язково відображають погляди та переконання Fortune.
Ця історія спочатку була опублікована на Fortune.com
