欧洲运营商在过去两年里以超出大多数人预期的速度建设主权AI基础设施，背后有新兴云计算资本、超大规模服务商欧盟区域以及各国算力计划的支撑。在基础设施层面，主权化的讨论已基本形成共识。
然而在可治理性层面，这一议题几乎尚未起步，而这一差距即将带来高昂代价。
主权与可治理性听起来相似，实则不同。主权关注的是基础设施建在哪里、由谁拥有；可治理性则提出了一个更窄但更难回答的问题：当AI工作负载在该基础设施上运行时，负责运营的组织是否能真正追踪系统的行为、在运行过程中进行干预，并确定对结果负责的具体责任人？如今，大多数运营商能回答主权问题，但能回答可治理性问题的寥寥无几，而大西洋两岸的监管机构现在都在直接追问这一点。
对于在欧盟运行工作负载的美国运营商，或依赖美国云服务商的欧盟运营商而言，这绝非假设性问题。美国《云法案》赋予美国当局强制获取美国企业所持数据的法律依据，无论服务器位于何处。而《通用数据保护条例》（GDPR）对同一数据提出了截然相反的要求。面对这一冲突，几乎没有运营商能以具有法律效力的方式证明自己如何应对。这是一个具有真实可治理性影响的数据主权问题。
今年有三项监管动态正在同时向运营商收紧，没有一项与服务器的位置有关。
《欧盟AI法案》的高风险条款将合规对话从文件化转向能力验证：需要有一套经过实际测试（而非仅写在纸上）的命名流程，能够在危害扩大之前停止或重定向AI系统的行为。更关键的是，这一义务不止于AI系统的构建者。该法案将"提供方"（构建AI系统者）与"部署方"（将其投入实际使用者）分开，部署方的义务独立于系统的开发者。一个对工作负载运行方式拥有真实操作控制权的运营商——而不仅仅是控制其托管位置——完全可能落入"部署方"范畴，而这几乎涵盖所有人。
《网络与信息安全指令2》（NIS2）和《关键实体韧性指令》从基础设施侧推动了同样的方向，要求运营商具备经过演练的干预能力，而非只是将方案放在文件夹里。美国监管机构则从不同传统出发，走向相同的原则。联邦贸易委员会（FTC）的执法立场（最近一次为2026年7月关于AI准确性的拟议政策声明）明确指出，部署AI工具的公司可依据第五条对其系统在实际运行中的行为承担责任，而不仅仅是构建系统的供应商。FTC明确表示，企业不能将合规义务外包给供应商的服务条款。在大西洋两岸，责任正在向操作控制权集中，而非仅仅指向基础设施的所有权或模型的开发者。
第三个转变是大多数运营商尚未意识到其代价的：问责主体正从机构转向个人。欧洲新兴责任框架开始追问：授权使用AI系统的具体责任人是否理解该系统的边界条件，将"我们的治理框架是否合规"转化为"如果必要时在法庭上，有没有一个人能为这个系统的行为作答"。
监管机构已在AI领域之外展示了这种执法风格的样貌。2026年7月，英格兰银行审慎监管局对保险公司HDI Global SE处以逾400万英镑罚款，原因是其提交了不准确的监管数据，并明确表示：企业必须维持有效的系统和控制措施以确保报告数据的完整性，而不仅仅是完成上报。这是一个数据完整性案例，而非AI案例。尽管如此，"拥有流程"与"拥有真实可运转、可问责的流程"之间的区别，正是未来AI可治理性执法的样板——一旦AI系统开始承担报告功能。
一个组织可以拥有完全主权化、纸面上完全合规的AI基础设施，却仍在上述每项测试中失败，原因在于合规与可治理性衡量的是不同的东西。合规问的是文件是否存在；可治理性问的是能力是否独立于文件而存在，以及越来越多地，独立于谁拥有运行它的机架而存在。
这并非反对加快基础设施建设的论点，而是主张将可治理性本身视为一种基础设施，而非机架上线后才亡羊补牢的合规补丁。在监管机构向你追问之前，以下三个问题值得现在就认真思考：在故障级联之前，而非之后，你能否追踪AI系统的行为？你能否证明在不利条件下经过实际演练的干预能力，而非仅仅是书面记录的流程？是否有一位具名的个人，能够在压力情境下为该系统的行为承担个人责任？
如果对以上任何一问，诚实的答案是"否"，那么这个行业过去两年讲述的主权故事是不完整的。没有可治理性的基础设施，不过是没有控制力的能力，而大西洋两岸的监管机构已不再愿意将这两者等同视之。
Q&A
Q1：欧盟AI法案对AI系统的"部署方"有哪些具体义务要求？
A：
《欧盟AI法案》将AI系统的"提供方"（开发者）与"部署方"（实际运营者）分开处理，部署方的义务独立于开发者。对于高风险AI系统，部署方需具备经过实际测试的干预流程，能够在危害扩大之前停止或重定向系统行为，而不仅仅是书面记录该流程。几乎所有对工作负载运行方式拥有实际操作控制权的组织，都可能被认定为部署方，并承担相应合规责任。
Q2：主权AI基础设施和AI可治理性有什么区别？
A：
主权AI基础设施关注的是基础设施建在哪里、由谁拥有；而AI可治理性则关注：当AI系统在该基础设施上运行时，运营组织能否追踪系统行为、在运行中进行干预，并确定具体的问责责任人。一个组织可以拥有完全主权化的AI基础设施，却依然无法回答可治理性的问题。两者衡量的维度不同，当前监管机构正越来越多地追问后者。
Q3：美国《云法案》和欧盟GDPR之间的冲突对运营商有什么影响？
A：
美国《云法案》允许美国当局强制获取美国企业所持数据，无论服务器位于何处；而欧盟GDPR则要求对同一数据进行严格保护。这两项法规的要求直接冲突，对在欧盟运行工作负载的美国运营商，或依赖美国云服务商的欧盟运营商而言，几乎没有人能以具有法律效力的方式证明如何解决这一冲突，存在真实的法律和合规风险。
