Η εντοπιότητα των δεδομένων στην Ευρωπαϊκή Ένωση σας λέει πού βρίσκονται τα δεδομένα σας και όχι ποιος μπορεί να έχει πρόσβαση σε αυτά.

Εντοπιότητα των δεδομένων: πού βρίσκονται φυσικά αποθηκευμένα τα δεδομένα

Η εντοπιότητα των δεδομένων είναι ζήτημα γεωγραφίας. Επιλέξτε μια περιοχή φιλοξενίας εντός της ΕΕ και τα δεδομένα σας θα αποθηκεύονται σε δίσκους, για παράδειγμα, στη Γερμανία ή στην Ιρλανδία. Μια τέτοια υπηρεσία είναι εύκολο να αγοραστεί και η εντοπιότητα εύκολο να τεκμηριωθεί εγγράφως, ώστε να καλύπτονται συγκεκριμένες δεσμεύσεις ως προς τον τόπο αποθήκευσης.

Η εντοπιότητα των δεδομένων δεν σας λέει ποια έννομη τάξη έχει δικαιοδοσία επί της εταιρείας που διαχειρίζεται αυτούς τους δίσκους. Πρόκειται για διαφορετικό ερώτημα, με τη μεγαλύτερη σημασία για τα εμπιστευτικά δεδομένα και τα δεδομένα που υπόκεινται σε κανονιστικές απαιτήσεις.

Κυριαρχία επί των δεδομένων: ποιο δίκαιο και ποιος έλεγχος

Η κυριαρχία των δεδομένων είναι ζήτημα ελέγχου με δύο επίπεδα. Η νομική κυριαρχία αφορά το δίκαιο του κράτους στη δικαιοδοσία του οποίου υπάγεται ο πάροχος. Η επιχειρησιακή κυριαρχία αφορά το ποιος κατέχει τα κλειδιά και έχει την τεχνική δυνατότητα να διαβάσει τα δεδομένα.

Η Ευρωπαϊκή Ένωση υιοθετεί πλέον την ίδια διάκριση στη δική της προσέγγιση. Το Πλαίσιο για την Κυριαρχία στο Υπολογιστικό Νέφος (Cloud Sovereignty Framework) της Ευρωπαϊκής Επιτροπής, του οποίου οι κατευθυντήριες γραμμές εφαρμογής και το εργαλείο υπολογισμού της αξιολόγησης δημοσιεύθηκαν την 1η Ιουνίου 2026, διαχωρίζει έναν νομικό και δικαιοδοτικό στόχο (SOV-2) από έναν στόχο που αφορά τα δεδομένα (SOV-3) και εντάσσει τους στόχους σε ένα Επίπεδο Διασφάλισης Αποτελεσματικότητας Κυριαρχίας (Sovereignty Effectiveness Assurance Level, SEAL) από το SEAL-0 έως το SEAL-4. Στο πλαίσιο του στόχου SOV-2, κατονομάζει τη νομοθεσία ξένων δικαιοδοσιών, συμπεριλαμβανομένου του νόμου US CLOUD Act, ως παράγοντα νομικού κινδύνου.

Γιατί η εντοπιότητα από μόνη της δεν αρκεί

Ο νόμος US CLOUD Act (2018) επιτρέπει στις αρχές των ΗΠΑ, μέσω νομικών διαδικασιών, να υποχρεώσουν έναν πάροχο με έδρα τις ΗΠΑ να παραδώσει δεδομένα που βρίσκονται υπό τον έλεγχό του ανεξάρτητα από τον τόπο αποθήκευσής τους, συμπεριλαμβανομένων των κέντρων δεδομένων στην Ευρωπαϊκή Ένωση· το κατά πόσο καταλαμβάνει και τις θυγατρικές εταιρειών των ΗΠΑ με έδρα στην Ευρωπαϊκή Ένωση παραμένει ανοικτό ζήτημα. Επομένως, η ευρωπαϊκή εγκατάσταση ενός παρόχου με έδρα τις ΗΠΑ προσφέρει εντοπιότητα, αφήνοντας ωστόσο τον πάροχο υπό τη δικαιοδοσία των ΗΠΑ. Η εντοπιότητα στη Φρανκφούρτη δεν εξαλείφει αυτή τη δικαιοδοτική πρόσβαση.

Αυτό δεν αποτελεί υποθετικό σενάριο. Σε ακρόαση της Γαλλικής Γερουσίας τον Ιούνιο του 2025, στέλεχος νομικών υποθέσεων της Microsoft France κατέθεσε ενόρκως ότι δεν μπορούσε να εγγυηθεί ότι τα δεδομένα Γάλλων πολιτών που έχουν ανατεθεί στη Microsoft δεν θα παραδοθούν ποτέ στις αρχές των ΗΠΑ χωρίς τη ρητή έγκριση των γαλλικών αρχών, προσθέτοντας ότι κάτι τέτοιο δεν έχει συμβεί μέχρι τότε. Και η συμμόρφωση με μια τέτοια εντολή μπορεί να φέρει τον υπεύθυνο επεξεργασίας αντιμέτωπο με σύγκρουση εφαρμοστέων δικαίων, χωρίς σαφή νομική βάση κατά τον ΓΚΠΔ για τη συγκεκριμένη κοινολόγηση. Η γενική αρχή είναι απλή: κάθε εκτελών την επεξεργασία που υπόκειται σε ξένη δικαιοδοσία και μπορεί τεχνικά να διαβάσει δεδομένα σε αναγνώσιμη μορφή (cleartext) συνιστά κενό κυριαρχίας, ανεξάρτητα από το πού βρίσκονται οι διακομιστές.

Τι απαιτεί στην πραγματικότητα η κυριαρχία

Η κάλυψη αυτού του κενού απαιτεί κατάλληλη αρχιτεκτονική και όχι απλώς έναν ισχυρότερο συμβατικό όρο. Στην πράξη σημαίνει τέσσερα πράγματα:

• Φιλοξενία στην υποδομή της ίδιας της επιχείρησης ή σε υποδομή που ελέγχεται από τον πελάτη, ώστε η επιχείρηση να ελέγχει πού πραγματοποιείται η επεξεργασία και να κατέχει τα κλειδιά.
• Ελαχιστοποίηση της έκθεσης δεδομένων σε αναγνώσιμη μορφή (cleartext) πριν από οποιαδήποτε αποστολή σε εξωτερικό σύστημα, με ταυτόχρονη αξιολόγηση των υπολειπόμενων συμφραζομένων (context) και του παρόχου που εξακολουθεί να τα λαμβάνει.
• Εξασφάλιση επαληθεύσιμων τεκμηρίων μέσω ελεγχόμενης επισκόπησης του πηγαίου κώδικα, αναπαραγώγιμων εκδόσεων, αρχείων καταγραφής παραμετροποίησης και, όπου έχει συμφωνηθεί, μεσεγγύησης (escrow) ή πρόσβασης στον πηγαίο κώδικα.
• Επιχειρησιακή δυνατότητα εξόδου, ώστε να μην είστε εγκλωβισμένοι σε έναν πάροχο. Αυτό ευθυγραμμίζεται με τις απαιτήσεις του κανονισμού DORA για τους τρίτους παρόχους Τεχνολογιών Πληροφορικής και Επικοινωνιών (ΤΠΕ) και τα σχέδια εξόδου.

Πώς ανταποκρίνεται το GAIA Brain σε αυτές τις απαιτήσεις

Το GAIA Brain αποτελεί μια προτεινόμενη πύλη (gateway) μοντέλων που φιλοξενείται στην υποδομή του πελάτη για εποπτευόμενες επιχειρήσεις. Ο υλοποιημένος μηχανισμός προστατευμένης εξερχόμενης ροής δεδομένων μπορεί να αντικαθιστά τις τιμές που υποστηρίζει ο μηχανισμός πριν από την αποστολή σε εξωτερικό σύστημα, αλλά προς το παρόν παραμένει απενεργοποιημένος από προεπιλογή· ενδέχεται κάποια υπολειπόμενα συμφραζόμενα (context) να φτάνουν στον πάροχο. Τα συμβάντα που συνδέονται με αλυσίδες κρυπτογραφικών κατακερματισμών (hash-chained events) και τα σημεία διασύνδεσης (endpoints) για την Εκτίμηση Αντικτύπου σχετικά με την Προστασία Δεδομένων (DPIA) και το Αρχείο Δραστηριοτήτων Επεξεργασίας (RoPA) μπορούν να υποστηρίξουν το έργο του πελάτη ως προς τη συμμόρφωση με τον ΓΚΠΔ, τον DORA, την AIFMD και τη διακυβέρνηση της ΤΝ. Το GAIA-CORE θα διατεθεί υπό την άδεια AGPLv3· μέχρι τη συγκεκριμένη διάθεση, η πρόσβαση στον πηγαίο κώδικα και οι όροι επιχειρησιακής συνέχειας συμφωνούνται σε εμπορική βάση.

Τα όρια της σημερινής ωριμότητας: το GAIA Brain βρίσκεται λίγο πριν το MVP, χωρίς να έχει πραγματοποιηθεί επίσημη εγκατάσταση σε πελάτη. Στις 10 Οκτωβρίου 2026 περιλάμβανε 130.595 καταγεγραμμένες γραμμές TypeScript και συγκεντρωτικό αποτέλεσμα 1.430/1.430 στις δοκιμές παλινδρόμησης. Το Cloud Sovereignty Framework είναι ουδέτερο πλαίσιο της ΕΕ, όχι πιστοποίηση της GAIA ούτε βαθμολογία SEAL. Το επόμενο βήμα είναι μια πιλοτική εφαρμογή στην υποδομή του πελάτη, με παρουσία παρατηρητή και συμμετοχή του πελάτη ως συνεργάτη σχεδιασμού.