Digitaalinen suvereniteetti yrityksille: miksi se on ajankohtainen, vältettäviä virheitä ja harhaluuloja

Digisuvereniteetti on noussut enemmän pinnalle monesta syystä, joista yksi on Yhdysvaltojen hallinnon toiminnan muutos. Useat valtiot, organisaatiot ja yritykset ovat alkaneet miettiä tarkemmin omaa riippuvaisuuttaan ulkomaisista tuotteista ja palveluista, sekä sitä, mitä nämä riippuvuudet tuovat mukanaan mahdollisissa muutostilanteissa.

Olemme laatineet digisuvereniteetti-oppaan avuksi yrityksille ja organisaatioille, jotka haluavat tutustua digisuvereniteettiin tarkemmin ja huomioida sen omassa toiminnassaan. Oppaasta löydät perustietojen lisäksi käytännön apua omaan tilanteeseen. Oppaan voit ladata veloituksetta täältä.

Janne Kalliola, Koodia Suomesta -yhdistyksen puheenjohtaja & digi- ja datasuvereniteetin asiantuntija

Koodia Suomesta -yhdistyksen puheenjohtaja Janne Kalliola on asiantuntija digi- ja datasuvereniteetin teemoissa. Yhdistys on myös rakentamassa koalitiota, jonka tavoitteena on rakentaa vahva digipalveluiden ekosysteemi monoliittisten yksittäisten toimittajien tarjoamien alustojen tilalle. 

Kysyimme Jannelta tarkempia kysymyksiä digisuvereniteettiin liittyen. Haastattelumme löydät alta. 

Digisuverenitetetin merkityksellisyys, ajankohtaisuus ja tilanne Suomessa

Miksi digisuvereniteetti on ajankohtainen asia?

“Useat teemat ovat johtaneet digisuvereniteetin nousemiseen isommin esille. Yksi niistä on Yhdysvaltain hallinnon toiminnan muutos. Euroopassa on herätty siihen, että täällä ollaan aika paljon yhdysvaltalaisten firmojen kanssa naimisissa, hyvässä ja pahassa. Lisäksi datan merkittävyys on kasvanut. Datatalouden ja datakäsittelyn merkittävyys on kasvanut. Tekoälyn merkittävyys on kasvanut isosti.

Voi havaita, ettei eurooppalaisilla yrityksillä ole enää samaa osuutta markkinassa. EU onkin ruvennut suitsimaan yhteisvaltalaisten firmojen toimintaa, koska monilla aloilla liiketoiminta on hyvin harvojen käsissä (duopoli tai jopa monopoli). Käytännössä käyttämällä EU:n ulkopuolisten yritysten palveluita rahoitamme niiden tuotekehitystä. Tämä johtaa siihen, että näiden yritysten tuotekehitys etenee nopeampaa tahtia, ja sen sijaan, että käytetty raha tulisi takaisin oman valtion tai EU:n alueen kehitykseen, se jää muualle.”

Missä tilanteissa digisuvereniteetin merkitys korostuu yrityksille?

“On eri tilanteita ja näkökulmia siihen, milloin digisuvereniteetin merkitys korostuu. Yksi kulma on lainsäädännön kehikko ja siihen liittyvät riskit, esimerkiksi Yhdysvaltojen Cloud Act, joka on ristiriidassa EU:n GDPR:n kanssa. On riski, että jos yhdysvaltalainen firma joutuu Cloud Actin pohjalta antamaan tietoja, niin se samalla voi rikkoa eurooppalaisen päämiehensä, asiakkaansa, GDPR-velvoitetta. Näitä ekstraterritoriaalisia lakeja tulee koko ajan enemmän, ja on juridisesti hankalampaa olla useamman lainsäädännön alaisena yhtäaikaisesti. Juridiset riskit siis kasvavat, vaikka riskien materialisoituminen on tietenkin toinen kysymys. 

Toinen kulma on se, että raha kiertää toiselle talousalueelle ja pysyy siellä. Sen sijaan, että raha pysyisi Suomen tai EU:n alueen sisällä, mistä se voisi palata takaisin ja tukea kehitystä Suomessa, se jää ulkomaille.”

Mitä suomalaiset yritykset tai organisaatiot tekevät digisuvereniteetin suhteen hyvin, ja mitä taas pitäisi parantaa?

“Monet tahot haluavat viedä digisuvereniteettiä eteenpäin ja kehittää sitä. Ja meillä on Suomessa hyvät mahdollisuudet siihen, koska olemme korkean teknologian maa ja meiltä jo löytyy monia hyviä ratkaisuja. Mutta samaan tapaan kuin ilmastonmuutoksen torjunnassa, tulisi myös digisuvereniteetin kehittämisessä suuren massan lähteä tekemään asioita, jotta työn vaikuttavuus kasvaa. 

Digisuvereniteetti voi tuntua kaukaiselta tai abstraktilta asialta, jonka vaikutukset eivät näy omassa arjessa heti. Helppous ja mukavuus voivat mennä kehittämisen edelle. Käytännössä siis kaikkien pitäisi tehdä jotain.”

“Suomi on 92 % riippuvainen Yhdysvaltojen tarjoamista digipalveluista.”

Miten Suomen tilanne vertautuu muuhun Eurooppaan?

“Protonin taulukon (Europe’s tech sovereignty watch) mukaan Suomi on 92 % riippuvainen Yhdysvaltojen tarjoamista digipalveluista. Jos siis Yhdysvalloista katkeaisi yhteydet, nämä palvelut lakkaisivat toimimasta. Tässä Suomi on Euroopan neljänneksi korkeimmalla tasolla, eli melko kärjessä. Tämä prosentti kertoo myös siitä, kuinka paljon me Suomessa laitamme rahaa muualle, vaikkakin asiaan vaikuttaa myös maan digitaalinen edistyneisyys; mitä edistyneempi maa on digitaalisuudessa, sen tiukemmin se on usein Yhdysvaltojen varassa.”

Miten Koodia Suomesta ottaa digisuvereniteetin huomioon?

“Koodia Suomesta on rakentamassa koalitiota, jonka ydinajatuksena on se, että tehdään enemmän yhteistyötä Suomen sisällä; että suomalainen tukisi suomalaista. Ja sitten sen jälkeen eurooppalaista ja sitten vasta Euroopan ulkopuolisia palveluita. Tavoitteena on rakentaa yhdessä moniulotteinen pilvipalveluratkaisu tai ratkaisukomponentteja, jotka toimivat yhdessä. Näistä sitten koostettaisiin vaihtoehtoja hyperscalereille. Koodia Suomesta toimii tässä fasilitaattorina, ei siis ongelmanratkaisijana, vaan ratkaisijoita yhteen tuovana ja innostavana tahona. Tavoitteena on herättää suuren yleisön mielenkiintoa. Lisäksi tuemme digitaalinen itsenäisyys -kansalaisaloitetta.”

Miten digisuvereniteetti ja tietoturva liittyvät toisiinsa? 

“Yhdysvaltalaisia järjestelmiä usein pidetään tietoturvallisempina. Todellisuudessa suomalaiset ja eurooppalaiset toimijat suhtautuvat tietoturvaan yhtä vakavasti, ja esimerkiksi suomalaiset koodarit ovat maailman tasolla vertailtaessa todella hyviä. Suuri käyttäjämäärä voi toki johtaa siihen, että ongelmat paljastuvat ja ne korjataan nopeammin. 

Palveluja hajautettaessa tietoturvan tarve usein kasvaa, kun vendorien ja integraatioiden määrä kasvaa. Hajauttaminen kuitenkin mahdollistaa sen, että jos yksi järjestelmä vaaraantuu tai siihen murtaudutaan, se ei välttämättä vaikuta muihin järjestelmiin. Tietoturvan haasteet ovat erilaisia yhden toimittajan mallissa verrattuna hajautettuun malliin.”

Digisuvereniteetin huomiointi: Riskit, yleiset väärinkäsitykset ja virheet, jotka kannattaa välttää

Missä tilanteissa organisaation kannattaa oikeasti olla huolissaan omasta digisuvereniteetin tilasta?

“Ulkoisissa ongelmatilanteissa, esimerkiksi GDPR:n liittyvissä ongelmatilanteissa ulkomaisten palveluntarjoajien kanssa. Tämän lisäksi voi olla sisäisiä ongelmia, esimerkiksi se, ettei organisaatio tiedä, missä sen dataa käsitellään, missä se kulkee ja kuka sitä käsittelee. Hyvä kontrolli datasta puuttuu.”

Millaisia riskejä on olemassa organisaatioille, jotka eivät huomioi digisuvereniteettiä?

“Riskeihin kuuluvat juridiset riskit, jotka voivat olla suuria, mutta joiden todennäköisyys on yleensä pieni. Suuri riski on myös arvaamattomuus ja se, ettei omaan toimintaan ole tarkkaa näkyvyyttä. Mitä paremmin oman toimintansa tuntee, sitä paremmin sitä voi kontrolloida. Esimerkiksi tietomurtojen riski vähentyy, kun ymmärrys on suurempi ja toimittajilta on voitu esimerkiksi vaatia selvityksiä, sen sijaan, että niiden toimintaan luotetaan sokeasti.  

Pitkällä tähtäimellä, jos oman talousalueen sisäistä osaamista ei tueta, kompetenssitasot laskevat ja köyhtymisen riski kasvaa.”

Mikä on yleisin digisuvereniteettiin liittyvä virhe, jonka tekeminen kannattaa välttää?

“Kaikki tai ei mitään -ajattelu, se, että yritetään muuttaa kaikki kerralla. Äkkiliikkeitä kannattaa välttää ja lähestyä asiaa askel askeleelta. Riskejä ja toimenpiteitä kannattaa luokitella sekä priorisoida ennen toimintaa. Vaiheittainen, mutta päättäväinen eteneminen kannattaa. Muutamassa vuodessa voi päästä digisuvereniteetissä pitkälle.”

“Matkan varrellakin tapahtuu hyviä asioita.”

Mikä on yleisin väärinkäsitys digisuvereniteetistä?

“Yleinen harhaluulo on, että yhdysvaltalaiset ratkaisut ovat merkittävästi parempia tai edullisempia kuin eurooppalaiset vaihtoehdot — todellisuudessa meiltä löytyy vähintään yhtä laadukkaita tai laadukkaampiakin ratkaisuja. Koheesion taso ratkaisuissa saattaa tosin olla alempi, eikä kaikkia tarvittavia ominaisuuksia välttämättä saa yhdeltä palveluntarjoajalta. Mutta yhden tarjoajan varassa oltaessa on vähäisemmät mahdollisuudet neuvottelemiselle tai kilpailuttamiselle, ja palvelun vaihtaminen voi olla vaikeaa. Lisäksi hinnoittelumallit näillä palveluntarjoajilla ovat usein sellaisia, että asiakas joutuu maksamaan enemmän kuin useampia palveluntarjoajia hyödyntäessä. 

Toinen iso väärinkäsitys on se, että me ei voida enää tehdä mitään. Ilman että asialle yritetään tehdä jotakin, ei voida tietää, pystytäänkö siihen vaikuttamaan. Käytännössä yrittämällä saisi kuitenkin vähintään sen, että meillä Suomessa kompetenssi kasvaa — ja parhaassa tapauksessa myös digitaalinen suvereniteetti saavutetaan tai sen taso paranee. Matkan varrellakin tapahtuu hyviä asioita.”