وهم السحابة السيادية: لماذا السيطرة الحقيقية في عصر الذكاء الاصطناعي تكمن في حوكمة الهوية

خلفية الحدث: تكلفة ودروس تجربة السحابة السيادية الأوروبية

في يناير 2025، دخل قانون DORA (قانون المرونة التشغيلية الرقمية) حيز التنفيذ الكامل في الاتحاد الأوروبي؛ وبدأ تطبيق توجيه NIS2 في الدول الأعضاء؛ وستدخل أحكام الأنظمة عالية المخاطر لقانون الذكاء الاصطناعي الأوروبي حيز التنفيذ في أغسطس 2026. في مواجهة الضغوط التنظيمية الثلاثة، قامت الشركات الأوروبية - وخاصة القطاعات المالية والبنية التحتية الحيوية والتصنيع - خلال العامين الماضيين بنقل أحمال العمل وإعادة التفاوض على العقود، وإدراج السحابة السيادية في أطر المخاطر على مستوى مجلس الإدارة.

استجابت شركات السحابة فائقة الحجم بسرعة. أطلقت AWS سحابتها السيادية الأوروبية في يناير 2026، تبعتها مايكروسوفت وجوجل بمنتجات مماثلة. بدا السوق ناضجًا.

ومع ذلك، في مؤتمر الهوية والسحابة الأوروبي (EIC) الذي عُقد في برلين في مايو 2026، حدث تحول ملحوظ في مشاعر الممارسين. لقد ولى الحماس لمفهوم السحابة السيادية. وحل محله تحليل دقيق، بل ومزعج، للفجوة بين شرائح التسويق والواقع التشغيلي.

لاحظ مارتن كوبينغر، المؤسس المشارك والمحلل الرئيسي في KuppingerCole: "شغلت السيادة السحابية حيزًا أكبر في EIC هذا العام، لكن النقاش انقسم حول الحاجة إليها وأين تكون مطلوبة. الإجماع هو: السيادة في حد ذاتها ليست قيمة، والمستوى المطلوب يعتمد على حالة الاستخدام وتقييم المخاطر. لا يوجد نموذج سيادة ثنائي."

تحليل تقني: لماذا لا تحل السحابة السيادية مشكلة التحكم

عندما تتحدث الشركات عن السحابة السيادية، فإنها عادةً ما تفكر في إقامة البيانات - أين تُخزن البيانات. مركز بيانات أوروبي، نطاق قانوني أوروبي. لكن إقامة البيانات هي مجرد بداية النقاش، وليس نهايته.

المسائل الأكثر تعقيدًا تتعلق بالتحكم: من يملك مفاتيح التشفير؟ من يمكنه إجبار الوصول وبأي قانون؟ من يمكنه رؤية البيانات الوصفية وسجلات الوصول وقياس أحمال العمل؟ عندما تقوم بتشغيل استنتاج الذكاء الاصطناعي أو تدريب النماذج على منصة سحابة سيادية، من يتحكم في سجل النماذج وخطوط أنابيب بيانات التدريب وسجلات المخرجات؟ عندما يعمل وكيل الذكاء الاصطناعي بشكل مستقل - جدولة أحمال العمل، تكوين الموارد، اتخاذ قرارات الوصول - على أي بنية يعمل هذا الوكيل؟ من يمكنه ملاحظة سلوكه؟

هذه ليست مخاوف افتراضية. قانون CLOUD Act لعام 2018 يمنح السلطات الأمريكية صلاحية إجبار الشركات الأمريكية على تسليم البيانات المخزنة في الخارج، بغض النظر عن مكان وجود الخوادم. تعالج منتجات السحابة السيادية الأوروبية لشركات السحابة فائقة الحجم الأمريكية هذه المشكلة من خلال الفصل التشغيلي والكيانات القانونية الأوروبية ومفاتيح يديرها العميل، لكن هذه الهياكل جديدة ومختبرة جزئيًا وتختلف اختلافًا كبيرًا بين الموردين.

رفع المكتب الاتحادي لأمن المعلومات الألماني (BSI) المعايير أكثر.قامت BSI الألمانية برفع المعايير أكثر. في أبريل 2026، أصدرت الوكالة "معايير الحكم الذاتي للحوسبة السحابية (C3A)": أول إطار يجعل السيادة السحابية قابلة للتشغيل على المستوى التقني، بما في ذلك سيناريوهات الانفصال، ومتطلبات إقامة الموظفين، وأحكام خاصة لتولي الاتحادية تشغيل السحابة في سيناريوهات الدفاع. على الرغم من أن المعيار غير إلزامي رسميًا، إلا أنه من المتوقع على نطاق واسع أن يصبح الأساس الفعلي للمشتريات الفيدرالية الألمانية، وقد يكون قالبًا لأطر على مستوى الاتحاد الأوروبي في خط الأنابيب التشريعي. بالنسبة لمسؤولي أمن المعلومات (CISO) الأمريكيين، الاتجاه واضح: التعريف التنظيمي للسيادة السحابية يتشدد، والفجوة بين "البيانات في أوروبا" و"سيادة التشغيل" ستزداد فقط.

الهوية هي المكان الذي تقيم فيه السيادة فعليًا

أوضح موضوع EIC 2026 الأكثر وضوحًا هو: الهوية - وليس حدود الشبكة أو إقامة البيانات - هي المكان الذي تنجح أو تنهار فيه السيادة السحابية.

أشار جيسون كيناهان، رئيس استراتيجية إدارة الهوية في شركة ثاليس، مباشرة: "الهوية تتحول من وظيفة تكنولوجيا المعلومات إلى بنية تحتية خاضعة للتنظيم. أهم سؤال في العقد القادم هو: من يتحكم؟"

بالنسبة لمسؤولي أمن المعلومات (CISO) الأمريكيين، هذا التحول حقيقي جدًا: حوكمة الهوية تتحول من مجرد قناة لتكنولوجيا المعلومات إلى سطح تحكم خاضع للتنظيم، وسيقوم المراجعون والجهات التنظيمية وحتى العملاء التجاريون بفحصها بشكل متزايد في العروض (RfP). "من يتحكم" لم يعد سؤالًا فلسفيًا، بل سؤالًا تعاقديًا.

المشكلة: يمكنك وضع البيانات في مركز بيانات فرانكفورت واستخدام مفاتيح يديرها العميل، ولكن إذا كانت حوكمة الهوية ضعيفة - لا تعرف أي المستخدمين البشريين وحسابات الخدمة ووكلاء الذكاء الاصطناعي لديهم أي صلاحيات وتحت أي شروط - فإن وضعك السيادي يعتمد على أضعف هوية. حساب متميز مخترق لا يهتم بإقامة البيانات.

هذا خطير بشكل خاص لأعمال الذكاء الاصطناعي. أنظمة الذكاء الاصطناعي المستقلة - نماذج تتصرف بشكل مستقل، تستدعي واجهات برمجة التطبيقات (API)، تكوّن الموارد، وتصل إلى البيانات - تخلق فئة جديدة من الهويات غير البشرية، التي لم تصمم أنظمة إدارة الهوية والوصول (IAM) لدى معظم المؤسسات لإدارتها. فكر في مثال محدد رأيته في بيئة عميل: وكيل نشر قائم على LLM لديه وصول دائم إلى مجموعة كوبرنيتيز (Kubernetes) التي أنتجها. يقوم بجدولة الأعمال، وتكوين الموارد، واتخاذ قرارات الوصول بشكل مستقل. إذا كان هذا الوكيل يعمل على بنية تحتية سحابية ذات سيادة، ولكن هويته - بيانات الاعتماد، والأذونات، ومسارات التدقيق - لم تتم إدارتها بشكل صحيح، فإن وضعك السيادي يكون بنفس قوة أضعف حلقة في سلسلة وصول هذا الوكيل. إذا كنت تدير وكيلًا مماثلاً اليوم في منطقة سحابية أمريكية، نفس الفجوة في الهوية موجودة - حتى لو لم تمس منطقة سحابية ذات سيادة أبدًا.سباستيان رور، مستشار IAM وعضو IDPro، يتمتع بخبرة عشرين عامًا في مجال هندسة إدارة الهوية، وقد لخص المتطلبات العملية لإدارة وكلاء الذكاء الاصطناعي: "يحتاج كل وكيل إلى هوية غير بشرية مخصصة. يجب إنشاء نموذج تفويض قوي 'بالنيابة'. يجب توفير مسار تدقيق عبر تكامل SIEM. لا يُسمح ببيانات اعتماد طويلة الأجل أو مفاتيح API - فقط بيانات اعتماد مؤقتة. المصادقة المستندة إلى السياق والتحكم الدقيق في الوصول. يجب إدارة الوكلاء كهويات حقيقية. وبمجرد وجود هذا الأساس: إعادة مصادقة مستمرة قائمة على المخاطر، مع إمكانية الإلغاء في الوقت الفعلي. هل نمتلك هذه الإمكانيات في كل مكان الآن؟ ليس بالضرورة - لكن تصميم بنية تدعم ذلك؟ هذا ممكن تمامًا."

بالنسبة لوكلاء الذكاء الاصطناعي، السؤال العملي بسيط: هل يمكنك سرد كل وكيل يعمل في بيئتك، وإدارة أذوناته، وإلغاء الوصول في الوقت الفعلي؟ إذا لم تستطع، فأنت لا تتحكم حقًا في عبء العمل - بغض النظر عن المنطقة السحابية التي يعمل فيها.

تحليل تأثير المؤسسة: تقييم التكلفة والفائدة للسحابة السيادية

بالنسبة لمسؤولي أمن المعلومات الأمريكيين الذين يديرون أعمالًا في الاتحاد الأوروبي، أو شركات تابعة للاتحاد الأوروبي، أو عملاء في الاتحاد الأوروبي، فإن السؤال العملي ليس ما إذا كانت السحابة السيادية صحيحة فلسفيًا، بل ما إذا كانت التكاليف الإضافية والتعقيد الإضافي يقللان المخاطر بشكل كافٍ لأعباء عمل معينة. معظم المؤسسات التي عملت معها تفرط في تطبيق السحابة السيادية على أعباء عمل لا تحتاجها، بينما لا تطبقها بشكل كافٍ على أعباء العمل التي تحتاجها.

فيما يلي إطار عمل سريع للتصنيف، مستخلص من عامين من النشر في أوروبا:

| نوع عبء العمل | هل يحتاج سحابة سيادية؟ | السبب | |-------------------|---------------------------|-----------| | البيانات المالية الخاضعة للتنظيم، بيانات التعريف الشخصية للعملاء (مقيمون في الاتحاد الأوروبي) | نعم | القانون يطلب إقامة البيانات، والسحابة السيادية توفر حماية قضائية واضحة | | بيانات تدريب الذكاء الاصطناعي (تحتوي على معلومات شخصية حساسة) | حسب الحالة | إذا كانت البيانات مجهولة المصدر وإدارة الهوية قوية، يمكن النظر في سحابة غير سيادية؛ السحابة السيادية توفر حماية قانونية إضافية | | بيئات التطوير والاختبار الداخلية (غير إنتاجية) | لا | المخاطر منخفضة، والعلاوة السعرية للسحابة السيادية غير مبررة | | وكلاء الذكاء الاصطناعي الذين يتخذون قرارات مستقلة (تتعلق بالتحكم في الوصول) | لا، لكن بحاجة إلى إدارة هوية قوية | السحابة السيادية لا تتحكم في سلوك الوكلاء، إدارة الهوية هي المفتاح | | التعافي من الكوارث/النسخ الاحتياطي (غير حساسة جغرافيًا) | لا | نسبة التكلفة إلى الفائدة منخفضة، إلا إذا كان هناك متطلبات امتثال واضحة |

كما قال كوبينغر: "داخل المؤسسة، تختلف احتياجات المستوى السيادي حسب حالات الاستخدام، وهذا هو القاعدة، وليس الاستثناء."

تحليل السوق التنافسي: استجابة مزودي السحابة وموردي إدارة الهويةفي المشهد السوقي الحالي، يطرح مزودو الخدمات السحابية مثل AWS وAzure وGoogle Cloud منتجات السحابة السيادية الخاصة بهم في محاولة لتلبية المتطلبات التنظيمية. ومع ذلك، فإن هذه المنتجات تعالج بشكل أساسي مسألة إقامة البيانات وعزل العمليات، ولكنها لا تعالج بشكل كافٍ القضايا العميقة لإدارة الهوية.

في الوقت نفسه، يشهد سوق إدارة الهوية ارتفاعًا في درجة الحرارة. بدأ مصنعو IAM مثل Thales وSailPoint وCyberArk في تضمين إدارة هوية وكلاء الذكاء الاصطناعي في خارطة طريق منتجاتهم. كما أن الحلول الأصلية لـ Kubernetes مثل Spiffe/Spire تحظى باهتمام متزايد.

بالنسبة للمؤسسات، فإن الإستراتيجية الصحيحة ليست اختيارًا بين خيارين: السحابة السيادية وإدارة الهوية متكاملتان. السحابة السيادية توفر الضمان القانوني لإقامة البيانات، بينما توفر إدارة الهوية السيطرة العملية على مستوى التشغيل. الاستثمار في واحد فقط قد يؤدي إلى تعرض للمخاطر.

ملاحظات حول اتجاهات الصناعة: إدارة الهوية تصبح طبقة تحكم جديدة لأحمال عمل الذكاء الاصطناعي

من جدول أعمال EIC 2026 يمكن رؤية الاتجاه بوضوح: أمن الذكاء الاصطناعي، نسيج الهوية، إدارة هوية أحمال العمل، والمرونة التشفيرية أصبحت مواضيع ساخنة. لقد أصبحت السحابة السيادية البنية التحتية الافتراضية، وتحولت محادثات الممارسين إلى ما يجب بناؤه فوقها ومن يتحكم في تلك الطبقة.

بالنسبة للشركات الأمريكية، فإن قواعد الإفصاح عن الأمن السيبراني التابعة لهيئة الأوراق المالية والبورصات (ديسمبر 2023)، وإرشادات أمن الذكاء الاصطناعي من CISA، ومقترحات قوانين الذكاء الاصطناعي على مستوى الولايات، تخلق ضغوطًا مماثلة لتلك الموجودة في أوروبا. إذا كنت تدير أحمال عمل ذكاء اصطناعي لعملاء في الاتحاد الأوروبي، أو تدير شركة تابعة في الاتحاد الأوروبي، أو تواجه فقط مسألة أين يجب تخزين بيانات التدريب الحساسة للذكاء الاصطناعي ومخرجات النماذج - فقد دخلت بالفعل في هذه المحادثة. التجربة الأوروبية هي معاينتك.

CloudTechDaily Insight

كشفت تجربة السحابة السيادية الأوروبية عن درس رئيسي: إقامة البيانات لا تساوي السيطرة التشغيلية. عندما تصبح وكلاء الذكاء الاصطناعي، حسابات الخدمة، وأحمال العمل المؤتمتة جوهر البنية التحتية لتكنولوجيا المعلومات للمؤسسات، فإن إدارة الهوية هي طبقة التحكم الحقيقية.

بالنسبة لـ CISO و CIO، هذا يعني: لا تعتبر السحابة السيادية بمثابة رصاصة سحرية للحوكمة. إنها أداة قانونية، وليست أداة تشغيلية. يجب أن يكون الاستثمار الحقيقي في بنية إدارة الهوية - القادرة على إدارة الهويات البشرية وغير البشرية، ودعم الإلغاء الفوري والمصادقة المستمرة القائمة على المخاطر. وإلا، فإن أحمال عمل الذكاء الاصطناعي الخاصة بك ستظل معرضة لنفس المخاطر بغض النظر عن المنطقة السحابية التي تعمل فيها.

بالنظر إلى المستقبل، ستصبح إدارة الهوية ركيزة أساسية في استراتيجية تكنولوجيا المعلومات للمؤسسات، بنفس أهمية أمن الذكاء الاصطناعي والامتثال وهندسة السحابة. تلك المؤسسات التي ترفع إدارة الهوية إلى مستوى موضوع على طاولة مجلس الإدارة، ستحصل على السيطرة الحقيقية في عصر الذكاء الاصطناعي.