欧洲组织无需避开全球技术供应商才能获得更强的自主性，但它们确实需要可信的替代方案，以及使用这些方案所需的技能。这一区别来自在布拉格举行的 Open Source Summit Europe 的一场圆桌讨论。与会嘉宾试图阐明云基础设施、开源、安全和硬件领域存在的依赖关系。
参加圆桌讨论的嘉宾包括 CNCF 和 Linux Foundation 的 Jonathan Bryce、OpenSSF 和 Akrites 的 Christopher“CRob”Robinson、Linux Foundation Europe 的 Paula Grzegorzewska 和 Thierry Carrez，以及担任主持人的 HyperFRAME Research 的 Stephen Sopko。
圆桌讨论期间，现场展示了欧盟云主权框架，其中列出了八项目标，包括法律和司法管辖权主权、数据和 AI 主权、运营主权以及供应链主权。讨论聚焦于一个实际问题：组织必须能够改变或控制哪些依赖关系？
Bryce 表示：“开源最有价值的地方是选择权。”他认为，只要组织仍然保留其他选择，使用 Azure 或 AWS 也可以满足其需求。他以 Kubernetes 为例，指出该平台既可以运行在组织自己的基础设施上，也可以运行在商业云上。Grzegorzewska 补充说，只有能够切实完成切换时，替代方案才有意义；在专有系统之间迁移可能需要大量时间和专业知识，对政府机构而言尤其如此。
Bryce 表示，仅仅能够访问源代码并不能带来运营主权。组织还需要知道如何运行、保护和监控自己的系统，他将这种区别与 OVH 的做法联系起来。随后，他指出硬件仍然是一个缺口。Bryce 回忆了围绕上海一场会议展开的交流，并表示，中国关于主权的讨论较少关注其长期参与的开源软件，而更多关注芯片和光学系统的获取。他认为，软件选择权很重要，但无法消除硬件依赖。
Carrez 介绍了按工作负载划分的拟议云和 AI 保障等级。他表示，最高等级要求对包括硬件在内的完整技术供应链实施有效控制。他还提到，在不需要这种控制等级的情况下，可以使用机密计算限制宿主机对工作负载的访问。
Robinson 将主权与安全尽职调查联系起来。开放代码和项目文档可以帮助采购方审查漏洞响应实践，并核实供应商的声明。在讨论欧盟《网络韧性法案》时，他表示，制造商需要对其销售的产品承担重大责任，其中包括产品所采用的开源组件。Carrez 指出，该法案考虑到了由众多依赖项组装而成的软件，而不是只把软件视为盒装产品。
圆桌讨论还挑战了“开源只是一种更便宜的选择”这一假设。免费提供的代码可能最初只是一项工程实验，之后却发展为需要持续支持的关键系统。Carrez 指出，本地缺少能够打包和支持 OpenStack 等成熟项目的公司。他以法国兴业银行为例，称该银行因为缺少合适的合作伙伴而在内部建立了相关专业能力。他还提到，法国财政部的 OpenStack 部署规模超出最初范围后，开始寻找合作伙伴。
Carrez 提出的解决方案是投资本地服务能力，而不是重新构建现有的全球项目。Grzegorzewska 呼吁让开发者参与政策制定，并在监管之外进行投资。Robinson 敦促欧洲培养本地专业能力，但不要走向孤立主义；Bryce 则认为，广泛的贡献者基础可以提高项目的韧性。Sopko 最后借用布拉格的意象作比喻：主权应该意味着架设桥梁并保留选择，而不是退回堡垒高墙之后。这与圆桌讨论中的一项共同观点相呼应，即认为世界上的某个地区可以实现 100% 主权，是一种天真的想法。
原文链接：
https://www.infoq.com/news/2026/10/technological-sovereignity-panel/