TL;DR: Heinäkuussa 2026 Euroopan digitaalinen suvereniteetti ylitti huomaamatta kynnyksen: siitä tuli mitattavaa. Komissio julkaisi 16. heinäkuuta täytäntöönpano-ohjeistuksen pilvisuvereniteetin viitekehykselleen (Cloud Sovereignty Framework) — samalle kahdeksan tavoitteen pisteytysmallille, jota se käytti myöntäessään 180 miljoonan euron suvereenin pilvihankintansa — ja antoi näin jokaiselle organisaatiolle konkreettisen mittapuun omien toimittajiensa arviointiin. Elokuun 2. päivä alkaa AI Actin yleiskäyttöistä tekoälyä koskevien säännösten täytäntöönpano, ja komission uusi kyberturvallisuuden ja tekoälyn toimintasuunnitelma tekee selväksi, että mikä malli käsittelee mitä dataa ja missä on muuttumassa auditoitavaksi kysymykseksi. Suvereniteetti iskulauseena on väistymässä; suvereniteetti tuloskorttina on saapunut. Mutta kun tuloskorttia sovelletaan tyypilliseen eurooppalaiseen teknologiapinoon, löytyy yksi kerros, jolle ei koskaan löydy omaa riviä: se, joka yhdistää kaiken muun. Se on laiminlyönti, jota et voi enää sallia itsellesi.

Olemme väittäneet läpi tämän artikkelisarjan, että Euroopan digitaalinen suvereniteetti on pohjimmiltaan integraatio-ongelma — että suvereniteettiketju on vain niin vahva kuin sen heikoin lenkki, ja että heikoin lenkki on yleensä se kerros, jota kukaan ei tule luokitelleeksi. Kun komissio julkaisi teknologisen suvereniteetin pakettinsa kesäkuussa, tästä väitteestä tuli lainsäädännöllinen suunta. Tässä kuussa siitä tuli laskutoimitus.

Viitekehyksestä mittapuuksi

Pilvisuvereniteetin viitekehys itsessään ei ole uusi — komissio esitteli sen lokakuussa 2025 ja käytti sitä EU:n ensimmäisessä pilvihankinnassa, jossa sovellettiin nimenomaisia suvereniteettikriteereitä: huhtikuussa myönnetty 180 miljoonan euron hankinta neljälle eurooppalaiselle toimittajaryhmälle — Post Telecom (yhdessä CleverCloudin ja OVHcloudin kanssa), STACKIT, Scaleway ja Proximus.

  1. heinäkuuta muuttui se, että komissio vastasi kysymyksiin siitä, miten se todellisuudessa sovelsi viitekehystä, julkaisemalla julkisen selvityksen ja täytäntöönpano-ohjeistuksen. Viitekehys pisteyttää toimittajat kahdeksan tavoitteen perusteella — strateginen, oikeudellinen ja lainkäyttöalueellinen, data ja tekoäly, operatiivinen, toimitusketju, teknologia, turvallisuus ja vaatimustenmukaisuus sekä ympäristön kestävyys — ja ohjeistus näyttää, miten näistä tavoitteista muodostuu arviointi. Komission ilmoittama tarkoitus on siirtää suvereniteetin arviointi abstrakteista periaatteista kohti konkreettisia, standardoituja mittareita.

Lue tämä tarkkaan, koska se muuttaa sitä, kenelle tämä asiakirja on tarkoitettu. Pisteytysmenetelmä, jota käytetään kerran, sisäisesti, yhtä hankintaa varten, on hankinta-anekdootti. Julkaistu menetelmä täytäntöönpano-ohjeistuksen kanssa on mittapuu — sellainen, jota jokainen eurooppalainen organisaatio, julkinen tai yksityinen, voi nyt pitää oman teknologiapinonsa vasten. Ja sellainen, jota hankintatiimit, tarkastajat ja hallitukset alkavat pitää vasten, kutsuitpa heidät siihen tai et.

Hankinnassa on yksi yksityiskohta, jonka äärelle kannattaa pysähtyä. Komissio asetti vähimmäiskelpoisuusrajan toiselle sen varmuustasoista — tarkoituksellinen signaali siitä, että ei-eurooppalainen teknologia, tiukkojen paikallisten operatiivisten kontrollien kääreessä, voi täyttää perustason. Eurooppalaiset pilvitoimittajat arvostelivat valintaa; ne halusivat sulkea ulkomaille altistuneet teknologiapinot kokonaan pois. Mutta komission kanta on opettavaisempi: suvereniteetti ei ole logoille tehty kansallisuustesti. Se on ketjun ominaisuus, jota arvioidaan taso tasolta, kerros kerrokselta, koko toimitusketjun läpi. Ja juuri siksi se kerros, jonka jätät arvioimatta, on se, joka määrittää todellisen pisteesi.

2. elokuuta: tekoälysarake lakkaa olemasta teoreettinen

Viitekehyksen "data ja tekoäly" -tavoite on saattanut vaikuttaa kahdeksasta pehmeimmältä — tähän kuuhun asti. Komissio esitteli 7. heinäkuuta kyberturvallisuuden ja tekoälyn toimintasuunnitelmansa. Se ei itsessään luo uusia velvoitteita; se on koordinoiva viitekehys AI Actin, NIS2:n, DORAn, Cyber Resilience Actin ja Cyber Solidarity Actin välillä. Mutta se laskeutuu kolme viikkoa ennen päivämäärää, joka todella tuo velvoitteita: 2. elokuuta 2026 alkaa AI Actin yleiskäyttöistä tekoälyä koskevien säännösten täytäntöönpano, ja yleiskäyttöisen tekoälyn käytännesäännöt (Code of Practice) määrittelevät, miltä vaatimustenmukaisuus näyttää kehittyneiden mallien tarjoajille.

Toimintasuunnitelma hahmottelee, mihin tämä on menossa: EU:n oma kyvykkyys kehittyneiden tekoälymallien arviointiin, suunnitelma jäsennellylle pääsylle, turvallinen testausalusta — ja huomionarvoisesti, kriittisen avoimen lähdekoodin resilienssikampanja. Avoin lähdekoodi ei ole enää alaviite Brysselin ajattelussa; se on nimetty infrastruktuuri, omalla oikeudellaan resilienssiagendalla.

Organisaatioille käytännön seuraus on se, jonka nostimme esiin kesäkuun paketin saapuessa — nyt päivämäärällä varustettuna: se, mikä tekoälymalli käsittelee mitä dataa, millä lainkäyttöalueella ja kenen hallinnassa, lakkaa olemasta arkkitehtuurikaavion yksityiskohta ja muuttuu asiaksi, jonka saatat joutua osoittamaan. Jos rehellinen vastauksesi tänään on "mikä tahansa malli, jota integraatio sattuu kutsumaan, meidän täytyisi tarkistaa" — siinä on aukko.

Ja jos joku epäilee täytäntöönpanohalua, kannattaa huomata, että päivä toimintasuunnitelman julkaisun jälkeen komissio vei neljä jäsenvaltiota Euroopan unionin tuomioistuimeen puutteellisen NIS2-täytäntöönpanon vuoksi. Koneisto on käynnissä.

Aja tuloskortti läpi. Löydä puuttuva rivi.

Tässä on harjoitus, jonka suosittelisimme kaikille eurooppalaisille CIO:ille tällä vuosineljänneksellä. Ota kahdeksan tavoitetta. Listaa teknologiapinosi kerrokset: pilvi-infrastruktuuri, identiteetti, yhteistyötyökalut, data-alustat, käyttöön otetut tekoälymallit. Pisteytä kukin. Useimmat organisaatiot, jotka ovat ottaneet suvereniteetin vakavasti, löytävät kunnioitettavat arvosanat kaikilta osin.

Etsi nyt rivi integraatioalustallesi — kerrokselle, joka siirtää dataa kaikkien muiden välillä, jolla on hallussaan tunnistetiedot joka järjestelmään, jota se koskettaa, ja jolla on kasvava rooli päättämässä, mikä tekoälymalli näkee mitä.

Useimmilla organisaatioilla tätä riviä ei ole. Integraatiokerros hankittiin vuosia sitten tuottavuustyökaluna, arvioituna liittimien määrän ja ominaisuuslistojen perusteella — ei koskaan lainkäyttöalueen, toimitusketjun läpinäkyvyyden tai operatiivisen hallinnan perusteella. Jos se on yhdysvaltalaisen hallitsema suljettu iPaaS, jokainen huolellisesti pisteytetty suvereeni kerroksesi kommunikoi komponentin läpi, joka epäonnistuisi juuri siinä arvioinnissa, jonka läpäisit juuri kaikkialla muualla. Viitekehys mittaa ketjun; ketju kulkee sen lenkin läpi, jota et koskaan mitannut.

Tämä ei ole hypoteettinen heikkous. Kahdeksasta tavoitteesta integraatiokerros on väitteemme mukaan pinon altistunein kerros: se koskettaa enemmän dataa kuin mikään muu (data ja tekoäly), sillä on hallussaan enemmän tunnistetietoja kuin millään muulla (turvallisuus), se on toimittajan lainkäyttöalueen alaisuudessa (oikeudellinen), se on riippuvainen tuon toimittajan jatkuvuudesta (operatiivinen — opetus, jonka kesäkuun Fable-mallin keskeytystapaus antoi kovalla tavalla), ja se on tyypillisesti läpinäkyvyydeltään heikoin komponentti, jota ajat (toimitusketju, teknologia).

Miltä läpäisevä arvosana näyttää

Emme väitä olevamme neutraaleja tässä: Fasthub rakennettiin kerrokseksi, joka selviää tästä tuloskortista, ja suunnitteluvalinnat vastaavat sitä suoraan.

Oikeudellinen ja lainkäyttöalueellinen: rakennettu Suomessa, toimintaa johdetaan EU:sta, isännöity 100-prosenttisesti EU-infrastruktuurilla — ei emoyhtiötä, joka olisi ulkomaisen direktiivin alainen.

Toimitusketju ja teknologia: rakennettu kokonaan avoimen lähdekoodin komponenteista — Kubernetes, Keycloak, Open Policy Agent, Apache Camel, Quarkus. Korkeimmat suvereniteettitasot vaativat toimitusketjun täyttä läpinäkyvyyttä; avoin lähdekoodi on ainoa arkkitehtuuri, joka voi todistaa sen sen sijaan että lupaisi sitä. Et voi täysin auditoida sitä, mitä et voi lukea.

Data ja tekoäly: malliriippumaton orkestrointi, jossa käytäntöjen valvonta on upotettu itse integraatiovirtaan — mikä malli, mikä data, mikä lainkäyttöalue, konfiguraationa, ei konsultointihankkeena. Kun elokuun 2. päivän kysymykset saapuvat, vastaukset ovat tarkistuslokissa, ei viime hetken säntäilyssä.

Operatiivinen: ota käyttöön hallinnoidulla EU-pilvellämme tai omalla infrastruktuurillasi, ja vaihda malli tai taustalla oleva pilvi rakentamatta integraatioita uudelleen. Jos vaihtaminen on konfiguraatiomuutos, sinulla on varajärjestelmä; jos se on usean viikon projekti, sinulla on riippuvuus lisävaiheineen.

Pointti ei ole, että Fasthub täyttää ruudut. Pointti on, että heinäkuussa 2026 ruutuja on olemassa — julkisia, standardoituja ja pian sellaisten ihmisten käyttämiä, jotka ostavat asioita. Suvereniteetti oli ennen keskustelu, jota käytiin huippukokouksessa. Nyt se on pisteytys, jonka kannat mukanasi hankintaan. Ja se lasketaan koko ketjusi läpi, mukaan lukien kerros, joka pitää ketjun koossa.

Varmista, että tämä kerros on omalla tuloskortillasi ennen kuin se ilmestyy jonkun toisen tuloskortille.

Fasthub on AI-natiivi integraatioalusta, joka on rakennettu Turussa, Suomessa — kokonaan avoimen lähdekoodin teknologioista ja 100-prosenttisesti EU:ssa isännöitynä.