Czy jeden mail z Waszyngtonu może odciąć całe państwo od chmury, poczty i płatności? Jeszcze rok temu takie pytanie brzmiało jak temat dla pasjonatów geopolityki. W czerwcu 2026 roku wraca jednak na biurka prezesów polskich banków i szefów samorządów. Coraz głośniej mówi o nim również Bruksela, bo ostatnie decyzje Waszyngtonu pokazały, że nie jest to wyłącznie teoretyczne zagrożenie. W weekendowych wydaniach europejskich gazet ponownie pojawił się też temat, który przez lata pozostawał w szufladach unijnych komisji. Cyfrowa zależność Europy od kilku amerykańskich dostawców przestała być więc wyłącznie sprawą gospodarczą i stała się częścią polityki. Dla polskich firm nie jest to abstrakcyjny spór. Wiele zespołów IT korzysta z Microsoft 365 do obsługi poczty, przechowuje kluczowe dane w AWS, realizuje płatności przez Visę lub Mastercarda, a wewnętrzną komunikację prowadzi na Slacku. Każda z tych usług podlega amerykańskiej jurysdykcji. Dlatego pytanie zadawane dziś w Brukseli coraz częściej trafia również na posiedzenia polskich zarządów.
Co naprawdę mówi Komisja, gdy używa słowa “suwerenność cyfrowa”
Suwerenność cyfrowa wygląda jak hasło z manifestu, ale stoi za nim konkretny lęk. Chodzi mianowicie o sytuację, w której decyzja podjęta poza Europą zmienia warunki dostępu do usługi. Usługi, na której opiera się gospodarka europejska. Czerwiec dał świeży przykład. Anthropic w ciągu doby wycofał Claude’a Fable 5 i Mythos 5 dla całego świata, choć technicznie modele działały. Decyzja przyszła bowiem z rządu USA, na piśmie. Wcześniej Departament Obrony zakwalifikował firmę jako “supply chain risk”. W ten sposób pokazał, że administracja amerykańska potrafi sięgnąć po komercyjną usługę AI. Tak samo, jak przez dekady sięgała po sprzęt i czipy.
Komisja Europejska nie ogłosiła w weekend nowego aktu prawnego. Jednak temperatura debaty wyraźnie wzrosła. Publicystyczne komentarze mówią o pakiecie suwerenności technologicznej w ramach Cloud and AI Development Act. Mówią też o preferowaniu europejskich dostawców dla wrażliwych danych publicznych oraz o rozwoju lokalnych centrów danych. To nie nowa ustawa, lecz publiczna deklaracja kierunku. Sam kierunek nie jest świeży. Dotąd jednak rozmawiało się o nim w tonie technicznym. Teraz w strategicznym. Dlatego nawet polityk, który nie zna AWS ani Azure, używa dziś słów “suwerenność” i “odporność”. Używa ich bowiem jak narzędzi obronnych, nie marketingowych.
Polska firma, która kupuje całą infrastrukturę cyfrową u jednego dostawcy
Z perspektywy zespołu IT średniej polskiej spółki problem ma praktyczne oblicze. Standardowo pakiet wygląda tak. Poczta firmowa w Microsoft 365, dokumenty w OneDrivie, komunikator wewnętrzny w Teamsie lub Slacku. Co więcej, hosting krytycznych aplikacji w AWS albo Azurze. Z kolei płatności u jednego z dwóch globalnych operatorów kart. Narzędzia AI natomiast w OpenAI lub Anthropic. Każda warstwa daje dobre narzędzie i solidne SLA. Z perspektywy ryzyka jest jednak jeden niepokojący wątek. Wszystkie te decyzje rynkowe podlegają bowiem w ostatniej instancji jurysdykcji amerykańskiej.
Dotąd traktowaliśmy ten fakt jako abstrakcję prawniczą. Schrems II, klauzule SCC, polityki transferu danych – tematy dla działu compliance, nie dla zarządu. Jednak w czerwcu 2026 abstrakcja przestała być abstrakcją. Rząd USA potrafi w jeden wieczór odciąć dostęp do komercyjnego modelu AI. Modelu, którego używają zespoły inżynierskie w Krakowie. Dlatego pytanie “co z naszą chmurą, jeżeli powtórzy się podobna decyzja na większą skalę” przestało wyglądać na paranoję. Z perspektywy szefa IT nie ma jeszcze powodu do nocnego SOS. Jest natomiast powód, żeby zaktualizować rejestr ryzyk dostawców. I pokazać go zarządowi z komentarzem, którego rok temu nie było.
Jakie kawałki europejskiego stosu już działają, a czego wciąż brakuje
Europa nie zaczyna od zera. W chmurze działa francuski OVH, niemiecki IONOS i Hetzner, fiński UpCloud, polski OChK i Atman. W narzędziach pracy biurowej rośnie niemiecki LibreOffice oraz francuski Whaller jako bezpieczna komunikacja zespołowa, a w komunikacji firmowej francuski Olvid. Państwowy Tchap obsługuje natomiast francuską administrację, ale jego niedawny incydent bezpieczeństwa pokazał, że “suwerenny” nie eliminuje socjotechniki. W modelach językowych rosną projekty Mistrala i Aleph Alpha. Polski SpeakLeash buduje dane treningowe dla rodzimych LLM-ów. W płatnościach europejska EPI z portfelem Wero rozwija się od dwóch lat. Polski BLIK pokazuje natomiast, że krajowy standard płatności potrafi powstać poza siatką Visy i Mastercarda.
Problem nie polega więc na braku komponentów. Polega natomiast na ich dojrzałości w skali, której wymaga duża korporacja. Microsoft 365 obsługuje bowiem miliardy użytkowników. AWS prowadzi tysiące rozproszonych usług w jednej konsoli. Z kolei Visa i Mastercard mają gwarantowaną akceptację w każdym terminalu świata. Europejskie alternatywy obejmują kilkadziesiąt procent funkcji konkurenta. W niektórych warstwach, jak generatywne modele AI, wciąż jest to ułamek możliwości lidera. Dlatego rozmowa o “przesiadce” jest bliższa rozmowie o dywersyfikacji dostawców. Niż o zamianie jednego stosu na drugi. Świadomy zespół IT czyta to tak. Nie wystarczy bowiem znaleźć europejski substytut. Trzeba też uczciwie ocenić koszt operacyjny migracji i funkcjonalne luki. Potem natomiast zdecydować, które warstwy warto zdublować. I które bez problemu zostają tam, gdzie są.
Cztery rzeczy, które polski zespół IT może zrobić w czerwcu
Skoro rozmowa o suwerenności cyfrowej wyszła z szuflad komisji do publicznej debaty, warto mieć gotową odpowiedź na pierwsze pytanie zarządu – “co my właściwie mamy”. Najtańsze ćwiczenie wstępne to mapa krytycznych usług firmy. Z informacją, gdzie fizycznie leżą dane. Kto je hostuje. W jakiej jurysdykcji formalnie kończy się umowa. Wystarczy jeden dobrze zorganizowany arkusz. Od razu wtedy widać, gdzie ryzyko jednego dostawcy obejmuje pocztę, kalendarze, dokumenty oraz komunikator. Czyli całą warstwę operacyjną dnia roboczego.
Drugi krok dotyczy umów. Część kontraktów z Big Techem oferuje klauzule data residency albo plany wyjścia (exit plans). Często są one efektem konfiguracji planu albo wymogu regulacyjnego, a nie elementem standardowej oferty. Dlatego lepiej je przejrzeć teraz, bez presji. Niż czytać po niespodziewanej zmianie warunków. Trzeci krok jest najbardziej praktyczny. Jeden albo dwa systemy najwyższej krytyczności (na przykład płatności w e-commerce albo główny backup) realnie testujemy w modelu dual-vendor. Nie chodzi o przeniesienie produkcji. Chodzi natomiast o sprawdzenie, czy alternatywa rzeczywiście chodzi. I jakie ma realne ograniczenia. Czwarty krok to compliance. Schrems II oraz klauzule SCC dotyczą transferu danych osobowych poza UE i poziomu ochrony po stronie odbiorcy. W efekcie warto teraz odświeżyć dokumentację transferów. Polityczne wyłączenie usługi to inne ryzyko, jednak prowadzona dokumentacja przydaje się też przy każdej zmianie u dostawcy. Lepiej mieć ją zaktualizowaną dziś. Niż tłumaczyć opóźnienie audytorom za pół roku.
Pierwsza Misja AI · Kodożercy
AI zmienia rynek pracy. Zacznij rozumieć o co chodzi.
Kurs Pierwsza Misja AI to najkrótszy kurs, po którym naprawdę rozumiesz AI. Możesz to pokazać certyfikatem. Sci-fi fabuła i gamifikacja sprawiają, że nie nudzisz się ani minuty.
Dołącz do kursantów →
Dlaczego ta debata nie skończy się w czerwcu
Wątek suwerenności cyfrowej raz na kilka lat wraca do agendy europejskiej. Dotąd zwykle gasł, gdy gospodarka odzyskiwała spokój. Tym razem dwa czynniki trzymają temperaturę. Pierwszy to decyzje USA w sprawie kontroli eksportu komercyjnych modeli AI. Pokazały konkretne narzędzie. Administracja amerykańska potrafi nim zatrzymać działającą usługę z dnia na dzień. Drugi czynnik to ostatnia wypowiedź Komisji. Bruksela odmówiła pisania osobnej ustawy o agentach AI. Oznacza to, że regulator przesuwa ciężar na wybory architektoniczne firm i państw. A nie na kolejne paragrafy. Krótko mówiąc – regulator stawia mniej barierek prawnych, ale wymaga od rynku, żeby sam zaczął inwestować w odporność.
{ dla firm }Co możemy zrobić dla Twojej firmy?
Budujemy strony, sklepy i aplikacje, łączymy systemy z KSeF i księgowością, wdrażamy automatyzacje i agentów AI, a na koniec dbamy o widoczność w Google. Zaczynamy od rozmowy o tym, co dziś zabiera Twojemu zespołowi najwięcej czasu.
Podsumowanie
Dla polskich firm wniosek jest prosty i nie wymaga nerwowych ruchów. Nikt nie musi dziś w ciągu jednego kwartału przenosić systemów z AWS ani rezygnować z Microsoft 365. Warto jednak potraktować 2026 rok jako moment, w którym cyfrowa zależność przestaje być tematem wyłącznie dla działów IT. Pytanie “co zrobimy, jeśli amerykański dostawca z dowolnego powodu zmieni warunki współpracy” nie jest już czysto teoretyczne. Sprawdzenie najważniejszych dostawców, przygotowanie alternatywy dla jednej lub dwóch kluczowych usług, ponowny przegląd umów i aktualizacja zasad transferu danych nie oznaczają rewolucji. To raczej podstawowa ostrożność i dobry punkt wyjścia do rozmowy z zarządem. Zwłaszcza gdy po wieczornych wiadomościach pojawi się pytanie, dlaczego Europa coraz głośniej mówi o cyfrowej niezależności.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
