حروب السحابة السيادية: تفويضات توطين البيانات تصطدم بقانون CLOUD الأمريكي

مسار التصادم

يتقارب إطاران قانونيان متعارضان في عام 2026، وأكبر شركات التقنية في العالم محاصرة بينهما. من جهة، تشترط مبادرات سيادة السحابة في الاتحاد الأوروبي وعدد متزايد من تفويضات توطين البيانات الوطنية أن يتم تخزين ومعالجة فئات معينة من البيانات داخل ولايات قضائية محددة، بعيداً عن متناول حكومات أجنبية. ومن الجهة الأخرى، يؤكد قانون CLOUD الأمريكي أن شركات التقنية الأمريكية يجب أن توفر لجهات إنفاذ القانون الأمريكية إمكانية الوصول إلى البيانات التي تتحكم بها، بغض النظر عن مكان تخزين تلك البيانات فعلياً.

لا يمكن الامتثال لكلا النظامين القانونيين بالكامل في آن واحد. فالشركة الأوروبية التي تستخدم مقدم خدمة سحابية أمريكي تواجه سيناريو يكون فيه المقدم ملزماً في الوقت ذاته بموجب القانون الأوروبي بالحفاظ على البيانات داخل الاختصاص القضائي الأوروبي وبعيداً عن متناول الحكومة الأمريكية، وملزماً بموجب القانون الأمريكي بتقديم البيانات للسلطات الأمريكية عند تلقي إجراء قانوني صالح. هذا ليس تناقضاً افتراضياً — إنه تناقض قانوني حي تتعامل معه الشركات يومياً.

تصاعدت المخاطر بشكل كبير في فبراير 2026، عندما وجّهت برقية من وزارة الخارجية الأمريكية مؤرخة في 18 فبراير وموقّعة من وزير الخارجية Marco Rubio الدبلوماسيين الأمريكيين في جميع أنحاء العالم للتصدي لمتطلبات توطين البيانات الأجنبية. ودعت البرقية إلى “سياسة دولية أكثر حزماً للبيانات” وحثّت الدبلوماسيين على “مواجهة اللوائح المُرهقة دون ضرورة، مثل تفويضات توطين البيانات”، واصفةً إياها بأنها تدابير من شأنها إعاقة حرية تدفق البيانات، ورفع التكاليف ومخاطر الأمن السيبراني، وتقييد خدمات الذكاء الاصطناعي والسحابة، وتوسيع سيطرة الحكومات.

أشعل الكشف عن البرقية الجدل. فقد استجاب المسؤولون الأوروبيون بتسريع مبادراتهم للسحابة السيادية. واستشهدت عدة حكومات آسيوية وشرق أوسطية بالبرقية كدليل على أن مخاوفهم بشأن توطين البيانات كانت مبررة. وأصبح التصادم الذي كان يتشكّل منذ سنوات مرئياً بالكامل.

دفعة سيادة السحابة في الاتحاد الأوروبي

تطوّرت مقاربة الاتحاد الأوروبي لسيادة السحابة من مفهوم طموح إلى إطار تنظيمي متزايد التفصيل، رغم أن عناصر رئيسية لا تزال قيد النقاش.

يُرسي المخطط الأوروبي لاعتماد خدمات السحابة (EUCS)، الذي طوّرته ENISA بموجب قانون الأمن السيبراني الأوروبي، نظام تصنيف متدرج لخدمات السحابة. وتضمنت مسودات EUCS السابقة قيوداً صريحة للأهلية قائمة على السيادة — مثل موقع المقر الرئيسي واستبعادات قضائية لمقدمي الخدمات من خارج الاتحاد الأوروبي — رغم أن هذه المتطلبات أُزيلت في التنقيحات الأخيرة وسط جدل حاد بين الدول الأعضاء المؤيدة للاستقلالية الرقمية وتلك التي تُعطي الأولوية للأسواق المفتوحة. ومن المتوقع أن يُرفع إطار سيادة السحابة للمفوضية الأوروبية، المُطبّق حالياً كإجراء مشتريات داخلي للمفوضية، إلى معيار قانوني عبر جميع المشترين العموميين من خلال تنقيح قانون الأمن السيبراني لعام 2026.

ستشترط متطلبات السيادة في المستوى الأعلى أن تُخزّن البيانات حصرياً داخل أراضي الاتحاد الأوروبي، وأن تكون البنية التحتية السحابية مملوكة ومُشغّلة من قبل كيانات غير خاضعة لاختصاص أي حكومة من خارج الاتحاد الأوروبي، وأن تُدار مفاتيح التشفير داخل الاتحاد الأوروبي بواسطة كيانات أوروبية، وألا تتمكن أي حكومة من خارج الاتحاد الأوروبي من إجبار الوصول إلى البيانات من خلال أي آلية قانونية.

هذا المتطلب الأخير هو جوهر النزاع. فبموجب قانون CLOUD الأمريكي، يمكن لمقدمي الخدمات السحابية الأمريكيين — بما في ذلك AWS وMicrosoft Azure وGoogle Cloud، الذين يمثلون مجتمعين نحو 70% من السوق السحابية الأوروبية وفقاً لـ Synergy Research Group — أن يُلزموا بأمر من محاكم أمريكية بتقديم البيانات بغض النظر عن موقعها الفعلي. ومبادرات السحابة السيادية في الاتحاد الأوروبي مُصمّمة صراحة لمنع هذا الوصول العابر للحدود، مما يعني أن مقدمي الخدمات السحابية الأمريكيين سيُستبعدون هيكلياً من تقديم خدمات المستوى السيادي ما لم يُنشئوا كيانات أوروبية مستقلة قانونياً.

يُضيف نظام الأدلة الإلكترونية الأوروبي (النظام 2023/1543)، الذي يدخل حيز التنفيذ في 18 أغسطس 2026، طبقة أخرى. فهو يُرسي إطاراً للوصول العابر للحدود إلى الأدلة الإلكترونية داخل الاتحاد الأوروبي من خلال أوامر الإنتاج الأوروبية وأوامر الحفظ الأوروبية، مُوجداً بديلاً أوروبياً لمعاهدات المساعدة القانونية المتبادلة التي تحكم حالياً طلبات البيانات العابرة للحدود. والنظام مُصمّم لإثبات أن الاتحاد الأوروبي يمكنه تسهيل الوصول المشروع لإنفاذ القانون إلى البيانات دون الاعتماد على آليات عابرة للحدود مثل قانون CLOUD.

قانون CLOUD الأمريكي والردّ الدبلوماسي

كان قانون توضيح الاستخدام القانوني للبيانات خارج الحدود (CLOUD Act)، الذي صدر في 23 مارس 2018، ردّ الولايات المتحدة على الفراغ القانوني الذي خلقته قضية Microsoft Ireland. في تلك القضية، طعنت Microsoft في مذكرة استدعاء من FBI لتقديم رسائل بريد إلكتروني مُخزّنة على خوادم في أيرلندا، محتجة بأن قانون الاتصالات المخزّنة لا يمتد إلى البيانات الموجودة خارج الحدود. وقام الكونغرس بإبطال القضية المعلقة أمام المحكمة العليا بإصدار قانون CLOUD، الذي أجاز صراحة لجهات إنفاذ القانون الأمريكية إجبار مقدمي الخدمات الأمريكيين على تقديم البيانات بغض النظر عن مكان تخزينها.

يتضمن قانون CLOUD آلية لحل النزاعات مع القانون الأجنبي. فهو يسمح لمقدمي الخدمات الأمريكيين بالطعن في أمر تقديم البيانات إذا كان الامتثال سيُخالف قوانين “حكومة أجنبية مؤهلة” — أي حكومة أبرمت اتفاقية تنفيذية مع الولايات المتحدة تنص على الوصول المتبادل للبيانات. وقد وقّعت الولايات المتحدة والمملكة المتحدة أول اتفاقية من هذا النوع في 2019 (دخلت حيز التنفيذ في 3 أكتوبر 2022)، وأُفيد بأن الولايات المتحدة تتفاوض مع أستراليا وكندا. غير أنه لم يُنهَ أي اتفاق بين الولايات المتحدة والاتحاد الأوروبي بموجب قانون CLOUD — فقد اتفق الاتحاد الأوروبي والولايات المتحدة على التفاوض على اتفاقية واحدة بدلاً من اتفاقيات ثنائية مع كل دولة عضو، لكن التقدم كان بطيئاً.

تُمثّل برقية وزارة الخارجية الأمريكية في فبراير 2026 تصعيداً كبيراً. سابقاً، كان موقف الحكومة الأمريكية بشأن توطين البيانات يُعبّر عنه من خلال قنوات السياسة التجارية — في المفاوضات التجارية الثنائية وفي منظمة التجارة العالمية ومن خلال تقارير الحواجز التجارية السنوية لممثل التجارة الأمريكي. ونقلت البرقية المواجهة إلى القنوات الدبلوماسية، موجّهةً السفراء والدبلوماسيين الكبار لإثارة القضية مباشرة مع وزراء الحكومات الأجنبية. وصدرت التعليمات للبعثات الدبلوماسية بالتصدي للوائح المقترحة، ومراقبة مبادرات سيادة البيانات الناشئة، وتعزيز الأطر الدولية مثل منتدى قواعد الخصوصية العالمية العابرة للحدود.

أعطى تسريب البرقية لدعاة سيادة البيانات ما يصفونه بدليل موثّق على أن الحكومة الأمريكية تعتبر توطين البيانات تهديداً للمصالح التجارية الأمريكية وتعمل بنشاط على تقويض مبادرات حوكمة البيانات السيادية في جميع أنحاء العالم.

كيف تستجيب الشركات متعددة الجنسيات

محاصرة بين أنظمة قانونية غير متوافقة، تتبع شركات التقنية متعددة الجنسيات عدة استراتيجيات، لكل منها قيود كبيرة.

الاستراتيجية المهيمنة بين مقدمي الخدمات السحابية الكبار هي الفصل الهيكلي. أطلقت AWS سحابتها السيادية الأوروبية في ديسمبر 2025، مع إعلان التوفر العام في يناير 2026. وبدعم استثماري قدره 7.8 مليار يورو، تقع البنية التحتية بالكامل داخل الاتحاد الأوروبي، منفصلة فعلياً ومنطقياً عن مناطق AWS الأخرى، تُدار من خلال كيانات قانونية أوروبية مخصصة مُؤسّسة بموجب القانون الألماني، وتُشغّل حصرياً بواسطة موظفين مقيمين في الاتحاد الأوروبي. والتزمت AWS بعدم وجود أي تحكم تشغيلي من خارج حدود الاتحاد الأوروبي، مع أول منطقة في Brandenburg بألمانيا وتوسع مُخطط له في بلجيكا وهولندا والبرتغال.

اتبعت Microsoft مقاربة الشراكة، بالعمل مع Bleu (مشروع مشترك بين Orange وCapgemini) في فرنسا وDelos Cloud (شركة تابعة لـ SAP) في ألمانيا لإنشاء عروض سحابية سيادية مُصمّمة لتلبية متطلبات شهادات الأمن الوطني (SecNumCloud في فرنسا، ومتطلبات منصة السحابة في ألمانيا). وأطلقت Google Cloud حلولاً سيادية تشمل Google Cloud Dedicated (المُشغّل بالشراكة مع Thales في فرنسا وT-Systems في ألمانيا) وأسّست مركزاً للسحابة السيادية في Munich في نوفمبر 2025.

السؤال الجوهري هو ما إذا كانت هذه الفصلات الهيكلية تُحقق فعلاً استقلالاً قانونياً عن قانون CLOUD. والباحثون القانونيون منقسمون. يحتج البعض بأن الشركة الأم الأمريكية يمكن إجبارها على توجيه شركاتها التابعة الأجنبية لتقديم البيانات، مما يجعل هيكل الشركات التابعة غير فعال. ويحتج آخرون بأن شركة تابعة مستقلة مُهيكلة بشكل صحيح — بمجلس إدارتها الخاص وإدارتها الخاصة وقيود تعاقدية على تحكم الشركة الأم — يمكنها مقاومة أمر بموجب قانون CLOUD بنجاح. ولم تُحسم المسألة بشكل نهائي من قبل أي محكمة.

اتخذت IBM مقاربة مختلفة مع منصتها Sovereign Core، المُعلن عنها في يناير 2026، التي تمنح العملاء تحكماً كاملاً في مفاتيح التشفير وأذونات الوصول وموقع البيانات. وتستخدم تقنية Keep Your Own Key (KYOK) من IBM أجهزة معتمدة بمستوى FIPS 140-2 Level 4 لضمان عدم قدرة IBM نفسها على الوصول إلى بيانات العملاء. والنظرية هي أنه إذا لم تتمكن IBM من الوصول إلى البيانات، فإن أمراً بموجب قانون CLOUD موجّهاً لـ IBM لا يمكنه إجبار تقديم بيانات لا تستطيع الوصول إليها.

يُموضع مقدمو الخدمات السحابية الأوروبيون — بما في ذلك OVHcloud وDeutsche Telekom وScaleway — أنفسهم كبدائل سيادية محصّنة بطبيعتها من اختصاص قانون CLOUD. فهؤلاء المقدمون غير خاضعين للقانون الأمريكي ولا يمكن إجبارهم من قبل المحاكم الأمريكية على تقديم البيانات. غير أن مقدمي الخدمات السحابية الأوروبيين مجتمعين يمتلكون نحو 15% فقط من سوقهم المحلية، مع تصدّر SAP وDeutsche Telekom بنحو 2% لكل منهما. ورغم الدعم الحكومي الكبير — بما في ذلك أكثر من 3 مليارات يورو من خلال برنامج IPCEI-CIS — فإنهم يواجهون تحديات كبيرة في مضاهاة حجم وقدرات وموثوقية مزوّدي السحابة الفائقة الأمريكيين.

تطورات آسيا والمحيط الهادئ والشرق الأوسط

يمتد اتجاه السحابة السيادية إلى ما هو أبعد من أوروبا. فعدة ولايات قضائية في آسيا والمحيط الهادئ والشرق الأوسط تُطبّق متطلبات توطين بيانات تُوجد توترات مماثلة.

يشترط النظام الحكومي رقم 71 (GR71) في إندونيسيا على مشغّلي الأنظمة الإلكترونية العامة وضع أنظمتهم وبياناتهم داخل الأراضي الإندونيسية. ويتمتع المشغّلون الخاصون بمرونة أكبر لكنهم يواجهون متطلبات التسجيل والإشراف. وبدأ الإنفاذ في أكتوبر 2024، بعقوبات تصل إلى 2% من الإيرادات السنوية لعدم الامتثال. ويُرسي النظام إطاراً لـ “البيانات الإلكترونية الاستراتيجية” التي يجب حمايتها، ويشمل قطاعات تضم الحكومة والخدمات المالية والرعاية الصحية.

تمتلك فيتنام واحداً من أشد أنظمة التوطين صرامة في رابطة ASEAN. يشترط قانون الأمن السيبراني والمرسوم 53/2022 على مقدمي الخدمات الأجانب للاتصالات والشبكات الاجتماعية والتجارة الإلكترونية وخدمات الدفع تخزين بيانات مستخدمين محددة محلياً بناءً على طلب الحكومة. ووسّع قانون البيانات لعام 2024 (السارية اعتباراً من يوليو 2025) التنظيم ليشمل جميع البيانات الرقمية، مُقدّماً فئتي “البيانات المهمة” و”البيانات الجوهرية” التي تواجه قيوداً على النقل. ويُقدّم قانون حماية البيانات الشخصية الجديد (الساري اعتباراً من يناير 2026) عقوبات قائمة على الإيرادات تصل إلى 5% من الإيرادات السنوية لانتهاكات النقل العابر للحدود.

يشترط نظام حماية البيانات الشخصية (PDPL) في المملكة العربية السعودية، الساري بالكامل منذ 14 سبتمبر 2024، على الشركات تخزين البيانات الحساسة والمعرّفة شخصياً داخل المملكة العربية السعودية ما لم تُمنح إعفاءات محددة. كما تُلزم لوائح تقديم خدمات الحوسبة السحابية بعدم نقل أي بيانات للقطاع العام خارج الأراضي السعودية. واستثمرت المملكة بكثافة في البنية التحتية السحابية المحلية من خلال رؤية 2030، بما في ذلك شراكات مع مقدمي خدمات أمريكيين لإنشاء مناطق سحابية سعودية.

اتخذت الإمارات العربية المتحدة مقاربة متعددة الطبقات، حيث يُجيز قانون حماية البيانات الشخصية الاتحادي (المرسوم بقانون رقم 45 لسنة 2021) عمليات النقل العابرة للحدود إلى ولايات قضائية ذات حماية كافية للبيانات، بينما تُحافظ المناطق الحرة مثل DIFC وADGM على أطرها الخاصة بقوائم كفاية منفصلة. وتسمح الإمارات بتدفقات البيانات بحرية أكبر من كثير من نظرائها الإقليميين لكنها تحتفظ بالسلطة القانونية لتقييدها.

يُرسي قانون حماية البيانات الشخصية الرقمية في الهند (2023)، مع مسودة القواعد الصادرة في يناير 2025، نموذج “القائمة السوداء” حيث يمكن نقل البيانات الشخصية إلى أي بلد باستثناء تلك المقيّدة تحديداً من قبل الحكومة المركزية. وبينما لم تمارس الحكومة بعد سلطة تقييد واسعة، يوفر الإطار آلية لتوطين البيانات يمكن تفعيلها في أي وقت، ويواجه الأمناء المهمون على البيانات قيوداً إضافية على النقل.

المسار طويل الأمد

لا يتجه النزاع حول السحابة السيادية نحو الحل — بل يتكثّف. ثلاثة عوامل هيكلية تضمن استمرار التصعيد.

أولاً، النزاع القانوني الأساسي بين قانون CLOUD وتفويضات سيادة البيانات ليس له حل دبلوماسي في الأفق. ومفاوضات قانون CLOUD بين الولايات المتحدة والاتحاد الأوروبي مستمرة منذ 2020 دون إنتاج اتفاق. والخلاف الجوهري — حول ما إذا كان ينبغي لجهات إنفاذ القانون الأمريكية الوصول العابر للحدود إلى البيانات المحتفظ بها من قبل شركات أمريكية — يعكس وجهات نظر سيادية متعارضة حقاً لا يمكن التسوية بينها بسهولة.

ثانياً، الرهانات التجارية ضخمة. فقد تجاوز الإنفاق السنوي على سوق خدمات البنية التحتية السحابية العالمية 400 مليار دولار في عام 2025، مع احتفاظ الشركات الأمريكية بالحصة المهيمنة (AWS بنسبة 30%، وMicrosoft Azure بنسبة 20%، وGoogle Cloud بنسبة 13% حتى الربع الثاني من 2025). وتهدّد متطلبات توطين البيانات بتجزئة هذا السوق على أسس وطنية. وفي المقابل، فإن غياب متطلبات توطين البيانات يترك الحكومات والشركات غير الأمريكية معتمدة على بنية تحتية تتحكم بها كيانات خاضعة للاختصاص القضائي الأمريكي — وهي تبعية تعتبرها حكومات كثيرة مخاطرة سيادية غير مقبولة.

ثالثاً، عدد الولايات القضائية التي تُطبّق متطلبات توطين البيانات في تزايد. ففي مطلع 2023، حدّدت منظمة التعاون الاقتصادي والتنمية (OECD) 100 تدبير لتوطين البيانات عبر 40 دولة، مع ظهور أكثر من نصفها في العقد الأخير. وجمع أكثر من ثلثيها بين متطلبات التخزين المحلي وحظر التدفق — وهو الشكل الأشد تقييداً. واستمر العدد في الارتفاع منذ ذلك الحين، مع كل تدبير جديد يُضيف تعقيداً لمشهد امتثال السحابة العالمي.

النتيجة الأكثر ترجيحاً على المدى المتوسط هي استمرار التجزئة. سيحتفظ مقدمو الخدمات السحابية بكيانات قانونية منفصلة متعددة ومكدّسات بنية تحتية لخدمة مناطق تنظيمية مختلفة. وسيواجه العملاء تكاليف أعلى حيث تُضحّى بكفاءات البنية التحتية السحابية العالمية لصالح متطلبات السيادة. وستواصل الحكومات تأكيد سلطتها على البيانات المُنتجة والمُعالجة داخل حدودها، حتى مع تزايد مركزية تلك البيانات في النشاط الاقتصادي العالمي بطبيعته.

بالنسبة لقادة التقنية وصانعي السياسات، فإن حروب السحابة السيادية ليست مشكلة يمكن حلها بل حالة يجب إدارتها. والتوتر بين سيادة البيانات والتجارة الرقمية العالمية سمة دائمة في المشهد التقني الحديث، ويجب تصميم الاستراتيجيات للتعامل المستمر مع هذا التوتر بدلاً من البحث عن حل له.

المصادر والقراءات الإضافية

• US Tells Diplomats to Lobby Against Foreign Data Sovereignty Laws — TechCrunch
• Opening the AWS European Sovereign Cloud — Amazon Web Services
• E-Evidence Regulation: New Obligations for Service Providers from 2026 — Heuking
• European Cloud Providers’ Local Market Share Holds Steady at 15% — Synergy Research Group
• Landmark US-UK Data Access Agreement Enters into Force — US Department of Justice
• IBM Introduces New Software to Address Growing Digital Sovereignty Imperative — IBM Newsroom
• The Nature, Evolution and Potential Implications of Data Localisation Measures — OECD
• Cloud Sovereignty Framework — European Commission