把資料存放在國內，就等於握有數位主權嗎？《Forbes》指出，數位主權是指對關鍵技術保有控制，並在情況改變時仍能維持控制；把資料留在國境內，只解決一部分問題。IBM 於美國時間 11/11 發布的數位主權指數，正是在衡量企業是否擁有獨立掌控其資料、軟體、技術與決策流程的能力。
結果顯示，平均有 82% 的受訪主管非常或極度有信心，能提出主權控制的證據；但 IBM 依企業自述的控制證據評估後，只有 26% 的企業達到指數最高層級。前者是主管對自身能力的信心，後者是指數的評估結果，IBM 把兩者之間的差距稱為「過度自信落差」（overconfidence gap）。當 AWS、微軟、Google 競相推出主權雲方案，企業該怎麼分辨哪些「控制」真的拿得到手？
證據卡在哪裡？逾半受訪者受困於人工蒐證與第三方紀錄
這份指數調查美、英、德、法、沙烏地阿拉伯、印度、日本 7 國大型企業的 2,003 位高階決策者，另訪談 25 位政策制定者與監管官員等，從 AI、技術、營運、資料四大支柱評估企業的控制證據，面向包括能否證明誰負責、說明事件經過，以及必要時能否更換供應商。最高的「領先數位主權」（Leading Digital Sovereignty）層級代表證據更全面、整合度更高，其下還有「建立中」（establishing）等層級。
需要拿出證據的場合並不少見：94% 的受訪企業過去 3 年至少遇過一次主權挑戰，其中 81% 必須向監管機關、客戶或稽核人員等提出正式證據。對於企業愈來愈深的技術依賴，IBM 副董事長 Gary Cohn 接受《Forbes》專訪時直言：「董事會不再有選擇。他們要負責監督組織內的所有風險。」
證據為什麼拿不出來？IBM 列出的障礙中，比例最高的是人工或耗時的蒐證（56%）；證據分散在不同團隊與系統、紀錄依賴第三方、老舊系統或標準不一致，則各占 53%；另有 50% 表示控制、復原或退出安排未經測試。實際演練也不多，只有 33% 的受訪者會持續或定期測試自己證明主權的能力，領先企業則有 63%。IBM 資深副總裁暨全球事務長 Jonathan Adashek 對《Forbes》表示：「如果證明控制權所需的證據完全掌握在別人手上，你就不能真正宣稱擁有控制權。」他認為供應商應提供客戶驗證控制所需的可見性與證據。
IBM 也指出，領先層級企業化解最棘手的主權挑戰、且未造成重大中斷的比例是 52%，建立中的企業只有 22%；根據《Forbes》，整體受訪企業中則只有 30% 做到。不過《Forbes》提醒，IBM 的分數依據受訪者對自身安排的描述，而非獨立稽核；什麼算「重大中斷」也由受訪者自行認定，這組對比並沒有證明因果關係。
AI 為何成為最常見的主權挑戰？代理拿到的權限常比企業以為的多
在受訪者回報的主權挑戰中，AI 相關問題最常見，占 44%，包括錯誤輸出、可解釋性問題、模型或供應商失效，以及治理疑慮；根據《Forbes》，AI 也是四大支柱中證據分數最低的一項。Adashek 表示：「多數治理框架是為人與相對靜態的軟體設計的。」他指出，AI 代理（AI Agent）能跨越企業不一定擁有的系統與模型做決策、採取行動，因此治理必須持續進行，在代理運作時同步施加控制與監督。Adashek 也提醒：「依賴第三方模型，並不能免除企業對自己部署的代理應負的責任。」
資安公司 Palo Alto Networks 信任與主權全球政策負責人 Nathalie Barrera 則提醒，企業常低估自己授予 AI 代理的存取權限：「多數組織以為自己了解 AI 代理能存取什麼，但能追蹤代理開始在非自有系統上運作後實際做了什麼的，少得多。」她說，盤點後幾乎總會發現清單比預期更長，往往是因為代理繼承了原本授予人類使用者的權限。
Barrera 以一個假設情境說明：處理發票的 AI 代理照著遭竄改的電子郵件中暗藏的指令，修改了供應商的銀行帳戶資料；各系統可能都正確記錄了自己的動作，卻沒有記下整串決策的順序。她強調：「代理的權限絕不該大於負責監督它的人。」
主權雲方案陸續推出，但資料留在境內，不等於拿得到紀錄、換得掉供應商
供應商這端正大舉投資：根據《Forbes》，AWS 承諾投入逾 78 億歐元建置德國的歐洲主權雲（European Sovereign Cloud），SAP 也承諾投入逾 200 億美元，在歐洲建置主權雲基礎設施；研調機構 Gartner 預估，2026 年全球主權雲基礎設施服務（IaaS）支出將達 800 億美元，比 2025 年成長 35.6%。不過《Forbes》指出，光靠這些投資，無法保證供應商失效或限制存取關鍵服務時，客戶仍能持續營運。至於企業該不該為數位主權投資，Cohn 談到財務長的質疑時表示：「我認為企業看待數位主權，需要像看待保險一樣。」
《Forbes》整理的各家做法也不一。AWS 今年 10 月曾讓歐洲主權區域與全球骨幹網路斷開數小時，證明能暫時隔離運作，但未證明能無限期獨立；微軟的 Data Guardian 在微軟工程師遠端存取歐盟及歐洲自由貿易協會（EFTA）客戶的系統時加入區域夥伴監督，但不會消除存取本身；Google 計畫把德國主權平台的營運與加密金鑰交給 Thales 旗下公司，預計年底前全面上市，但底層平台仍仰賴 Google 的技術。Snowflake 與 Orange Business 的法國服務則仍只是提案。《Forbes》因此提醒，客戶不能假設主權部署選項涵蓋目前使用的每一項產品。
IBM 自己也有利害關係。《Forbes》直言，IBM 的論點也在支撐自家業務：IBM 的 Sovereign Core 今年 5 月起全面上市，提供由客戶自行營運的軟體環境，IBM 稱能自動產生證據、持續監控合規。《Forbes》認為，這份指數凸顯了檢視技術依賴的重要性，但並沒有證明 IBM 的產品比競品更能解決這些問題。
《Forbes》認為，這份研究讓企業在簽下一份科技合約前，有理由要求更有力的證據，對象也包括 IBM：客戶能否取回調查故障所需的紀錄？能否把關鍵工作移到別處，而不讓營運停擺？Adashek 則在新聞稿中表示：「重視主權的企業正確地為控制做規劃，但領先者也為證明做規劃。」他認為，下一步是更有力地證明治理有效，包括測試退出能力、了解關鍵依賴，並把力氣放在一旦失控、影響最大的地方。
【推薦閱讀】
◆ Mistral AI 執行長警告：歐洲只剩兩年建立 AI 主權，補不上算力恐成美國 AI「附庸」
◆ 拆解 NVIDIA 的韓國 AI Factory 布局：聯手 SK 海力士搶 HBM4，攜 NAVER 打造主權 AI 基礎設施
◆ 不求脫鉤，但求隨時能逃！歐盟科技主權新戰略：逼雲端巨頭交出切換主控權
