什么是数据主权——为何现在需要这场讨论
数据主权（Data Sovereignty）是指根据数据被物理存储和处理所在地的法律管辖权，对该数据的收集、存储和使用进行管控的权利与能力。在云计算普及之前，数据存储于物理服务器中，所在国的法律自动适用。然而，随着AWS、Azure、Google Cloud在全球各地部署区域，数据跨越国境瞬间流转，"谁来掌控数据"这一问题已变得极为复杂。
这一议题在2026年的今天呈现出前所未有的紧迫感，原因有三。其一，大规模数据泄露事件频发。2024年至2025年间，针对医疗机构、金融机构和政府机关的网络攻击同比增加37%，累计泄露记录数已达数十亿条。其二，地缘政治紧张态势持续升温。中美对立加剧、俄乌冲突长期化、中东局势动荡不安，各国开始将数据重新定义为"战略资产"。其三，生成式AI的爆炸性普及使数据的价值与脆弱性同时显现。企业机密信息被无意纳入LLM训练数据的风险、通过推理API造成的间接信息泄露，以及针对AI模型训练数据本身的主权问题，已成为CTO与CISO的首要课题。
从投资角度来看，数据主权不仅仅是合规成本，更是催生全新类别的巨大市场机遇。监管越趋严格，对应对合规所需的基础设施、工具和服务的需求便随之而来。在2025年AI相关风险投资总额894亿美元中，数据治理与隐私科技领域的资金配置同比猛增2.3倍，这一趋势预计在2026年后将进一步加速。
EU——世界最大的监管实验场
欧洲联盟在数据主权立法领域一直引领全球。2018年生效的GDPR（《通用数据保护条例》）通过域外适用、高额罚款、数据可携带权三大创新机制，事实上确立了全球数据保护的基准标准。
象征GDPR执法力度的，是2025年5月爱尔兰数据保护委员会（DPC）对TikTok开出的5.3亿欧元（约880亿日元）罚单。此举针对的是欧洲用户数据被转移至中国服务器一事，作为迄今针对数据主权侵权行为最大规模的制裁之一，在全球引发强烈震动。TikTok当时正在推进欧洲用户数据完全存储于欧盟境内的计划（Project Clover），但其在过渡期间的违规行为遭到查处。
然而GDPR不过是一个开端。2025年9月施行的《欧盟数据法》（EU Data Act）赋予用户访问物联网设备所生成数据的权利，并强制要求实现云服务之间的数据可携带性。制造业、网联汽车、智能家居等一切"产生数据的事物"均被纳入监管范围，企业被迫从根本上重新设计自身产品所生成数据的处理政策。
此外，预计于2026年8月全面适用的《欧盟人工智能法》（EU AI Act）对AI模型训练数据的透明度、高风险AI系统的认证以及通用AI模型的合规要求作出明确规定。由此，AI开发企业须就模型训练所用数据的来源及法律依据进行举证，数据主权问题也随之延伸至AI整个供应链。
欧盟的宏大构想同样延伸至基础设施层面。欧洲自主云基础设施倡议Gaia-X自2019年发布以来，因参与企业之间的利益冲突及技术规范共识形成迟缓，未能如预期般取得进展。然而，2025年末浮现的"EuroStack"构想提出了一个更为雄心勃勃的方案——通过3000亿欧元（约50万亿日元）的投资，构建欧洲自主的云计算与AI基础设施。借鉴Gaia-X的经验教训，相关方正在探索一种由私营企业联合体主导制定技术标准的自下而上路径，而非政府主导的自上而下模式。
美国――域外适用与州法拼凑的矛盾
美国的数据主权格局与欧盟形成鲜明对比，其最大特征是"制度碎片化"。联邦层面的综合性隐私法至今仍付之阙如，截至2026年3月，已有20个州制定了各自的隐私法。加利福尼亚州的CCPA/CPRA、弗吉尼亚州的VCDPA、科罗拉多州的CPA等，各州法律在保护范围、消费者权利及执法机制上均存在差异，对于在全美开展业务的企业而言，合规负担与日俱增。
在这一碎片化格局之上，2018年颁布的《澄清境外数据合法使用法》（CLOUD法案）进一步制造了结构性矛盾。CLOUD法案授权美国执法机构，即便美国企业管控的数据存储于境外服务器，也可要求访问该数据。换言之，即使欧洲企业使用AWS或Azure将数据存储于欧盟境内的区域节点，美国政府在理论上仍可要求访问这些数据。这与GDPR的跨境数据传输限制规定形成了正面冲突。
这一矛盾最为戏剧性的呈现，莫过于围绕TikTok的系列风波。美国政府以中国政府可能访问美国用户数据为由，要求TikTok母公司字节跳动出售业务或面临禁令。经过数年的法律拉锯与政治博弈，这一事件已超越单一企业的监管问题，向世界清晰传递出"数据与国家安全直接挂钩"的认知。颇具讽刺意味的是，美国试图对TikTok行使的逻辑，与其通过CLOUD法案对他国数据所主张的权限，在本质结构上如出一辙。
作为投资者，值得关注的是，这种监管不确定性本身正在催生创业机会。隐私合规自动化、数据映射与分类、跨境数据传输法律审查辅助工具等细分领域，已成为企业级SaaS市场中增速最快的类别之一。
亚洲——多极化数据监管的最前沿
在亚太地区，各国正在基于各自的背景与优先事项，迅速完善数据保护法律体系。
中国的《个人信息保护法》（PIPL）自2021年施行以来，执法效力逐步提升。2025年，多家科技企业遭受大规模行政处罚，尤其是针对跨境数据传输的审查机制（安全评估制度）实际上已成为一种"数据本地化"要求。中国独特的做法在于，将数据保护不仅定位为个人权利，更纳入国家网络安全与经济安全保障的范畴。
印度的《数字个人数据保护法》（DPDP Act）于2023年通过，目前正在分阶段实施。拥有逾14亿人口的印度，其数据保护立法仅凭体量便具有全球性影响。尤其值得关注的是，如何在政府要求的"重要数据"本地化与维护IT产业国际竞争力之间寻求平衡。
日本的《个人信息保护法》（APPI）经2022年修订，强化了跨境数据传输监管、扩大了当事人参与权利、并提高了违规处罚力度。在维持与GDPR充分性认定的同时，确保亚太数据枢纽地位的务实做法，被视为监管与经济增长兼顾的典范模式。在下一轮三年期审查中，有关生成式AI的条款增设正在讨论之中。
韩国的《个人信息保护法》（PIPA）自个人信息保护委员会（PIPC）独立以来，执法体系得到大幅强化。韩国率先在亚洲建立了AI训练数据相关指引，其在数据经济与个人权利之间寻求均衡的做法，正逐渐成为其他亚洲国家的参照模型。
上述法律体系的多极化意味着，对于在全球开展业务的企业而言，单一的合规策略已无法应对挑战。为满足数据所在地各异的监管要求而加大对"地理围栏"、"数据网格"、"多云"架构的投资，是必然的结果。
本地优先的理念——对云依赖的技术性反驳
在数据主权于法律制度与地缘政治语境中被广泛讨论的同时，技术社区正在提出一个更为根本性的问题："为什么我们的数据必须存放在他人的服务器上？"
对这一问题给出系统性回答的，是剑桥大学Martin Kleppmann等人于2019年发表的论文《Local-First Software: You Own Your Data, in spite of the Cloud》。Kleppmann提出了"本地优先"软件的七大理想：（1）高速运行——不依赖网络延迟；（2）多设备支持——在多台设备间无缝同步数据；（3）离线运行——无需网络连接也能完整使用；（4）协作——支持实时协同编辑；（5）持久性——服务终止后数据也不会丢失；（6）隐私与安全——端到端加密；（7）用户数据所有权——由用户而非云服务商掌控数据。
在技术层面支撑这一理念的，是CRDT（Conflict-free Replicated Data Type，无冲突复制数据类型）。CRDT是一种数学数据结构，允许多台设备在离线状态下独立编辑数据，并在之后建立网络连接时自动且唯一地解决冲突。这一方法无需中央服务器进行调解，即可保证分布式环境中的一致性，已成为本地优先架构的核心技术。
在CRDT的实用实现中，Automerge与Yjs并驾齐驱。Automerge是由Kleppmann本人主导开发的基于Rust的库，针对JSON类文档的分布式编辑进行了优化。Yjs是由德国开发者Kevin Jahns主导的基于JavaScript的实现，凭借其出色的性能，已被Tiptap、BlockNote、Liveblocks Yjs、Hocuspocus等众多项目采用。两个项目均为开源，社区活跃度与实现成熟度正逐渐达到企业级采用的门槛。
体现本地优先理念的应用也在迅速普及。Obsidian作为基于Markdown的知识管理工具，已吸引数百万用户，所有数据均以本地纯文本文件形式存储。Anytype是一款以本地优先和点对点同步为设计原则的开源项目管理与知识库应用，正作为Notion的替代方案备受关注。Logseq是一款大纲式知识图谱工具，其以本地文件作为唯一真实来源的架构深受开发者社区的认可。
2026年2月在布鲁塞尔举办的FOSDEM 2026上，首次专门设立了"Local-First Software"开发者专场（devroom）。为期两天的会议吸引了超过场地容纳上限的参与者，围绕CRDT优化、点对点同步协议、与端到端加密的集成以及本地优先应用的商业模式展开了热烈讨论。这一专场的设立本身，便是本地优先从小众学术概念走向实用软件设计范式的里程碑式标志。
主权云的崛起——欧洲提供商的挑战
在确保数据主权方面，最直接的基础设施投资目标是主权云。主权云是指数据存储位置、访问权限及运营主体均完全限定在特定法律管辖范围内的云服务。
目前，欧洲云基础设施市场约70%由美国三大超大规模云服务商（AWS、Azure、Google Cloud）占据。这种依赖结构与《云法案》（CLOUD Act）潜在的数据访问风险相叠加，令欧洲政策制定者和企业CISO深感忧虑。
正面迎战这一局面的，是欧洲本土的云服务商群体。法国的OVHcloud作为欧洲最大的独立云服务商，凭借GDPR原生基础设施的优势，正加速向监管严格的行业扩大市场份额。同样来自法国的Scaleway，隶属Iliad集团旗下，专注于GPU云和AI基础设施，明确聚焦于AI主权使用场景的差异化定位。德国的Hetzner则凭借高性价比和覆盖欧洲的数据中心网络，赢得了从中小企业到大型企业的广泛支持。
尤为值得关注的是，欧洲云服务商正跨越单打独斗的竞争模式，转而组建联盟。Virt8ra是一个由欧洲多家云服务商共同参与的行业组织，致力于制定统一API标准、保障多云互操作性，目标是构建能够抗衡美国超大规模云服务商的"欧洲云生态系统"。
从投资角度来看，主权云是具有长期结构性增长潜力的赛道。监管要求放宽的可能性几乎为零，各国法律制度反而正朝着更为严格的方向演进。市场规模预计将从2026年的约800亿美元（约12万亿日元）增长至2034年的约1.13万亿美元（约170万亿日元），年均复合增长率（CAGR）约达39%。
Mistral AI——欧洲AI主权的旗舰
作为欧洲数据与AI主权的象征性企业，法国Mistral AI的存在举足轻重。自2023年创立至今短短三年，该公司已确立其作为欧洲AI产业"领军者"的地位。
2025年C轮融资中，公司募资29亿美元（约4350亿日元），企业估值达到137亿美元（约2兆500亿日元）。这一估值仅次于OpenAI和Anthropic，在总部设于美国以外的AI企业中位居世界前列。
Mistral AI战略中尤为值得关注的是"Mistral Compute"项目。该项目正在建设一座搭载1.8万块Nvidia GPU、以核能清洁能源驱动的AI专用数据中心。通过在欧洲境内完整完成训练与推理全流程，构建起数据无需离开欧洲法律管辖范围即可执行AI开发全部环节的体系。
此外，与SAP的战略合作伙伴关系正在加速推进企业市场渗透。集成于SAP ERP系统的Mistral AI模型，作为欧洲大型企业无需将自身数据发送至美国AI服务商即可享受生成式AI红利的解决方案，在对GDPR合规高度敏感的金融、制造及公共部门中引发了强烈关注。
企业应对——云架构的重新设计
数据主权的需求正在从根本上改变大型企业的云战略。根据调研机构的最新报告，94%的全球企业正在调整其云架构以应对数据主权要求，79%的企业将数据主权列为IT战略的核心。
象征这一趋势的典型案例，是空客（Airbus）正在大规模采购主权云服务。这一招标规模据称超过5000万欧元（约82亿日元），旨在将包括飞机设计数据、供应链信息和客户数据在内的敏感信息，存储于美国《云法案》（CLOUD Act）管辖范围之外的基础设施中。对于拥有国防合同的空客而言，数据主权不仅仅是合规问题，更是业务持续运营的前提条件。
企业层面的数据主权应对正分三个阶段推进。第一阶段是"掌握数据存储位置"。令人惊讶的是，许多大型企业对自身数据存储于哪个区域的哪项服务中，并未完全掌握。因此首先需要投资于数据映射与分类的自动化工具。第二阶段是"向多云与混合云架构迁移"。从对单一超大规模云服务商的依赖中脱离，转向根据数据类型和监管要求灵活使用多家云服务商的架构设计。第三阶段是"构建主权AI基础设施"。建立在自有管控或合规基础设施上运行AI模型训练与推理的体制。
AI主权——从芯片到推理
数据主权的争论在人工智能背景下包含了更多层次的问题。
最根本的挑战在于芯片的依赖结构。对于AI训练和推理不可或缺的高性能GPU市场份额，英伟达（Nvidia）占据约80%。此外，英伟达的许多芯片由台积电（TSMC，台湾积体电路制造）生产，台湾海峡的地缘政治风险给整个AI基础设施供应链蒙上了阴影。欧美各国推进半导体国内生产的背后，正是摆脱芯片依赖这一国家安全保障方面的动机。
训练数据的管辖权也是尚未解决的课题。LLM的训练使用了互联网上海量的文本数据，其中大量数据受版权保护，且来自多个法律管辖区的数据混杂其中。在《欧盟AI法》框架下，要求训练数据来源及法律依据的透明性，但要就多达数万亿token的训练语料库中每个数据点证明其法律依据，无论从技术上还是实务上都极为困难。
针对这一挑战，备受关注的实务解决方案是"边缘推理"（Edge Inference）。将经过训练的模型部署到本地环境（边缘设备、本地服务器、主权云），确保推理时的数据不脱离组织的管控范围。以Apple Intelligence为代表的设备端AI的进化，以及通过量化、蒸馏技术实现的模型轻量化，正在大幅提升边缘推理的实用性。
各国政府也在加速设立机构、注入资金，以保障AI主权。英国于2025年新设"Sovereign AI Unit"，构建统筹政府AI采购与基础设施战略的体制。Gartner预测，到2027年，超过50%的大型企业将对AI模型训练与推理环境的地理限制进行战略性管理。
投资资金的流向清晰地映射出这一趋势。2025年AI领域VC投资总额为894亿美元，若加上各国政府及主权基金的AI投资，规模则更为庞大。美国在AI相关基金上投入520亿美元，中国投入620亿美元，与此同时，欧盟设立了74亿欧元（约合1.2万亿日元）的域内AI投资基金。欧盟的投资额以绝对值衡量远逊于中美，但其战略在于将域内数据监管优势与之结合，把"监管壁垒"转化为竞争力。
本地优先与主权云的融合
在此之前，我们将"本地优先"与"主权云"作为两股独立的潮流分别加以描述，但从投资视角来看，最重要的结构性认识在于：这两种趋势正在走向融合。
乍看之下，本地优先（将数据存储于用户设备）与主权云（将数据存储于特定国家的云端）似乎是截然不同的方案。然而，两者背后的核心理念却如出一辙——"将数据的控制权，归还给生成数据的主体（个人、组织、国家）"。
在技术层面，本地优先与主权云同样具有互补关系。基于CRDT的本地优先应用程序，需要用于同步与备份的服务器端基础设施。若将主权云作为该基础设施，便可实现"用户设备上存有主数据，同步目标云端亦完全处于法律管辖范围之内"这一最为稳固的数据主权架构。
在企业场景中，这一融合正以"零信任数据架构"的形态逐步落地。员工设备上运行本地优先应用，经端到端加密的数据在主权云上完成同步与备份。云服务商无法访问加密数据，即便面临基于CLOUD法案的信息披露要求，不持有解密密钥的服务商也无法提供任何有实质意义的数据。
在创业生态中，基于这一融合论题的新兴企业类别正在涌现——以本地优先CRDT技术为核心的协作平台、主权云上的边缘AI推理服务、将端到端加密与数据可移植性作为标配的下一代SaaS……这批在架构层面落实数据主权的技术企业，正作为下一个重大投资主题浮出水面。
对行业的影响
数据主权与本地优先的浪潮，将给科技产业格局带来以下不可逆的变革。
其一，云基础设施市场走向多极化。 美国超大规模云服务商垄断全球市场的格局，将在监管压力下逐步瓦解。欧洲、亚洲、中东的主权云服务商以各地区受监管行业为突破口扩大市场份额，云市场将向"全球超大规模服务商＋区域专属主权服务商"的多层结构演进。
其二，软件架构的设计原则将发生转变。 从"云优先"到"数据主权优先"的范式转移正在发生。在新的软件项目中，数据的存储位置与可迁移性将在设计初期便被纳入考量，本地优先的CRDT技术与端到端加密将作为标准组件被集成进来。
其三，AI开发的地理分布走向分散。 大规模AI模型的训练迄今集中于美国与中国，但随着《欧盟人工智能法案》的落地实施以及对主权AI基础设施的投资持续扩大，欧洲、中东、东南亚将形成自主的AI开发能力。Mistral AI的成功，将成为这一地理分散化趋势的先行典范。
其四，并购市场涌现新的类别。 主权云、隐私科技、本地优先工具等领域，将迎来大型科技企业战略性并购的活跃期。尤其是以CRDT核心库（Automerge、Yjs）为基础的初创企业，以及拥有主权云运营经验的区域专属服务商，将成为极具价值的并购目标。
其五，数字人才的需求结构将发生变化。 精通数据主权的法务与合规人才、CRDT与分布式系统工程师、多云架构师、隐私工程专家的需求将急剧攀升。尤其是能够横贯理解GDPR、《欧盟人工智能法案》及各国数据保护法规，并将其落实到技术实现层面的"监管工程师"，将在未来数年内成为最稀缺、最具价值的人才。
在主权云市场于2034年突破1万亿美元规模的进程中，数据主权将从成本中心转变为"信任"这一品牌价值的源泉。真正尊重用户数据的企业赢得市场青睐的时代，正在确定无疑地到来。
参考资料：European Commission《EU Data Act》、European Parliament《EU AI Act》、Irish Data Protection Commission《TikTok GDPR Decision 2025》、Martin Kleppmann et al.《Local-First Software: You Own Your Data, in spite of the Cloud》（Ink & Switch, 2019）、FOSDEM 2026 Local-First Devroom、Gartner《Sovereign Cloud Market Forecast 2026-2034》、Mistral AI Series C Announcement (2025)、Airbus Sovereign Cloud Tender (2026)、EuroStack Proposal Paper (2025)、UK Government《Sovereign AI Unit》、Crunchbase《Global VC AI Investment Report 2025》、CLOUD Act (U.S. Congress, 2018)、Gaia-X European Association for Data and Cloud