However, the three have launched distinct sovereignty programs in recent years. AWS launched the European Sovereign Cloud, Google Cloud access controls and local partnerships, Microsoft the EU Data Boundary commitment. This comparison details what each actually covers, and what none of the three alone changes. The subject weighs little for a project without sensitive data. It becomes decisive as soon as a DPO, health data or a European public market enters the equation, a tipping point already detailed in our decision grid on the choice of a BaaS.
必需品
- CLOUD 法は、データセンターの地域ではなく、運営会社の国籍に適用されます。米国企業が EU 内でホストするデータは、理論上、米国法に基づいて要求に応じてアクセスできるままです。
- AWS は European Sovereign Cloud (ガバナンスと運用スタッフはドイツの最初の地域である EU に拠点を置いています) を開始しましたが、依然として Amazon.com Inc. が提供するものです。
- Microsoft は、Microsoft Corporation の国籍を変更することなく、主要なクラウド サービスからのデータの処理を欧州領域に制限する EU データ境界コミットメントを適用します。
- Google Cloud は、主権制御 (クライアント側の暗号化、キー アクセスの正当性) とローカル パートナーシップを提供しますが、同様の留保条件が適用されます。Google LLC は引き続き Alphabet Inc. の子会社です。
- 3 つの取り組みのいずれも、これまでのところ、親会社自体が欧州法の下にあるサプライヤーとは異なり、米国の株主から完全に独立した事業会社を創設するものではありません。
サーバー領域だけでは不十分な理由: 簡単な注意事項
CLOUD 法 (2018 年データの合法的な海外使用の明確化法) は、データが物理的に保存されている場所に関係なく、管轄区域内の企業が所有または管理するデータを要求する権限を米国連邦当局に与えています。この法律はデータセンターの国ではなく企業を対象としています。
米国グループの欧州子会社は、最終的には親会社の資本管理下にあります。理論上のエクスポージャーをトリガーするのは、コンソールで選択したデータセンターのアドレスではなく、この制御リンクです。
テキストの詳細と GDPR との表現については、ガイド GDPR 準拠および EU ソブリン バックエンドで説明されており、サプライヤーの国籍の正確な影響については、記事 サプライヤーの国籍と CLOUD 法のエクスポージャで説明されています。このセクションでは、ここで検討した 3 つのハイパースケーラーの違いに限定します。
AWS: ヨーロッパ地域とヨーロッパソブリンクラウド
AWS は、アイルランド (eu-west-1)、フランクフルト (eu-central-1)、パリ (eu-west-3) など、欧州連合内の複数のリージョンを運営しています。それぞれが、契約に署名する法人を変更することなく、データ遅延と常駐要件を満たします。
2023 年後半、AWS はEuropean Sovereign Cloudを発表しました。これは、EU ベースの運用ガバナンス向けに設計された独自のインフラストラクチャです。スタッフと運用上の意思決定はヨーロッパに配置され、最初のリージョンはドイツのブランデンブルクで計画されています。このプログラムは、一般顧客および規制部門によって表明された要件に直接対応します。
この運営ガバナンスによって株主構成が変更されることはありません。 European Sovereign Cloud は、引き続き、アメリカの法律に基づいて設立された会社である Amazon.com Inc. の子会社である Amazon Web Services, Inc. が提供するものです。 CLOUD 法のエクスポージャーは、主張されている運用上の独立性とは無関係に、この制御のリンクに関連付けられています。
Google Cloud: 主権管理とローカル パートナーシップ
Google Cloud offers European regions in Brussels (europe-west1), Frankfurt (europe-west3), and several other cities across the continent. Its approach to sovereignty is based less on a distinct legal entity than on technical controls applied at thedata level.
このアプローチを 2 つの具体的なメカニズムで説明します。クライアント側の暗号化により、Google がキーを保持することなく、Google インフラストラクチャに到達する前にデータが暗号化されます。 Key Access Justifications は、政府の要求を含むデータへのアクセスに対する各要求を、それが受け入れられる前に顧客に示します。
Google Cloud はまた、フランスのタレスとの合弁会社 S3NS などの現地パートナーシップを確立し、国家セキュリティ ベンチマークに従って評価された信頼できるクラウド サービスを提供しています。それにも関わらず、基盤となるインフラストラクチャは、米国法に基づいて設立された会社である Alphabet Inc. の子会社である Google LLC によって運営され続けており、同じ資本管理リンクが適用されます。
Azure: EU リージョンと EU データ境界への取り組み
Microsoft Azure では、フランス中部、ドイツ西中部、西ヨーロッパ (オランダ)、北ヨーロッパ (アイルランド) など、多くのヨーロッパ リージョンを提供しています。 Azure EU リージョンを選択すると、主に遅延と契約上のデータ常駐要件が満たされます。
2021 年以来、Microsoft は EU データ境界と呼ばれる取り組みを段階的に展開しています。これは、主要なクラウド サービスである Azure、Microsoft 365、Dynamics 365、Power Platform によって処理されるデータは、欧州境界内で保存および処理されます。明記されている目的は、不必要になった EU 域外への移転を削減することであり、Microsoft Corporation とは別の法人を設立することではありません。
Microsoft はまた、受け取った政府要請の量と同社が対応した割合を詳述する透明性レポートも発行しています。この透明性は、実際の暴露を排除することなく文書化します。Microsoft Corporation は、データがどこに保存されているかに関係なく、米国法に基づく企業であり続けます。
比較: EU 地域、主権イニシアチブ、親会社
3 列の事実、1 つの不変事項: 関連する主権プログラムの深刻さに関係なく、運営会社の国籍はハイパースケーラーごとに変わりません。
| サプライヤー | EU地域（例） | 主権イニシアチブ | 親会社の国籍 |
|---|---|---|---|
| AWS | アイルランド (eu-west-1)、フランクフルト (eu-central-1)、パリ (eu-west-3) | European Sovereign Cloud: EU ベースの運用ガバナンスとスタッフ、最初の地域がブランデンブルク (ドイツ) で発表 | 米国 (Amazon.com Inc. の子会社) |
| グーグルクラウド | ブリュッセル (europe-west1)、フランクフルト (europe-west3)、パリ (europe-west9) | 主権制御 (クライアント側の暗号化、キー アクセスの正当性) およびフランスのタレス社との S3NS ジョイント ベンチャーを含むローカル パートナーシップ | 米国 (Alphabet Inc. の子会社) |
| マイクロソフトアジュール | フランス中央部、ドイツ中西部、西ヨーロッパ (オランダ)、北ヨーロッパ (アイルランド) | EU データ境界: 2021 年から段階的に導入された主要なクラウド サービスの EU 境界内でのデータの保存と処理 | 米国 |
「国籍」欄の3行は同一です。これはまさにこの比較が証明している点です。主権プログラムはこの列を変更しません。
これらの取り組みによって何が改善され、何が変わらないのか
これら 3 つのプログラムは、データの常駐性、アクセスの透明性、不要になった EU 域外への転送の削減、そして AWS の場合、ヨーロッパに拠点を置くスタッフによって確保される運用ガバナンスという実際の機能を改善します。これらは目に見える進歩であり、空虚な発表効果ではありません。
しかし、これら 3 つのいずれも、欧州の子会社または部門と米国の親会社との間の株主支配のつながりを変えるものではありません。親会社に宛てられた要求、または親会社が子会社に応じるよう強制できる要求は、法理論上、経営上の独立性が示されているかどうかに関係なく強制力を持ちます。
これは、これらの取り組みの技術的な品質を問うものではありません。これは、それらを保有する主体の法的構造に関する観察です。本格的な主権プログラムと変更のない法的暴露は完全に共存できます。
ハイパースケーラー主権プログラムに依存する前に確認すべきこと
ハイパースケーラー主権プログラムが機密プロジェクトに十分であると考える前に尋ねるべき 4 つの質問。
- あなたが署名した契約は主権プログラム事業体に付随したものですか、それともサプライヤーの標準的な米国事業体に付随したままですか?
- このプログラムは、使用するサービス (コンピューティング、ストレージ、マネージド データベース) を正確にカバーしていますか? それともカタログの一部のみをカバーしていますか?
- プロバイダーは、GDPR だけでなく、CLOUD 法に対する立場を公に文書化していますか?
- 通知、紛争、透明性など、政府の要求の処理に関する契約条項はありますか?
もう 1 つの選択肢: 親会社自体が EU の管轄下にある
構造的に異なるアプローチは、親会社自体がEUの管轄下に法人化されているサプライヤーを選択することで構成されており、これによりアメリカ企業を規制するのではなく、アメリカ企業との支配のつながりが排除されます。
これは、フランスの法律に基づいて設立された会社であり、検証済みの生産インフラストラクチャがドイツとフィンランドで稼働している Aurabase SAS のケースです。 EU の主権は、宿泊施設と運営会社という 2 つの条件のうちの 1 つだけではなく、これら 2 つの条件の積み重ねによって決まります。同等のサプライヤーとのこの比較の技術的および法的詳細については、 Aurabase と Supabase、および および Aurabase コンプライアンス センターでの完全なコンプライアンス体制について説明します。
よくある質問
AWS、Google Cloud、Microsoft Azure はそれぞれ、主権の問題への真剣な対応に投資してきました。AWS では EU の運用ガバナンス、Google Cloud ではアクセス制御とローカル パートナーシップ、Microsoft ではデータ常駐に関するコミットメントです。この 3 つのいずれも、契約で最も重要な項目、つまり契約に署名する企業の国籍を変更するものではありません。
機密データを含まないプロジェクトの場合、この区別は二次的なもののままです。 DPO、健康データ、または EU の公的契約については、署名後ではなく署名前に検証される必要があります。
BaaS の選択に適用される完全な意思決定グリッドについては、 CLOUD 法が BaaS の選択を変える理由を参照してください。親会社の国籍に応じてサプライヤーを法的に区別する内容の詳細については、「サプライヤーの国籍」および「CLOUD 法の暴露」を参照してください。