簡単な答え：データ主権とは、データが物理的にどこに保存されているかということではありません。それは、どの政府が法的にデータへのアクセスを強制できるか、データを処理するインフラをどの法律が規律するか、そして、そのインフラプロバイダーが外国の法的命令に従うことを余儀なくされた場合でも、組織が運用上の管理権を保持できるかどうかという問題です。 2026年現在、データを国内のデータセンターに保存するだけでは、もはやその要件を満たすことはできません。なぜなら、米国に本社を置くプロバイダーは、たとえサーバーが外国の領土に設置されていても、依然として米国の「CLOUD法」の適用対象となるからです。
この区別は、コンプライアンス上の付記事項から、取締役会レベルでのリスクに関する議論へと移行しました。かつては「データは国内に保存されているか？」という単純なチェック項目に過ぎなかったものが、今では「最終的に、誰にデータの引き渡しを強制することができるのか？」という、はるかに難しい問いへと変化しています。
「レジデンシー」という幻想
長年にわたり、「データの居住地」と「データの主権」は同義語として扱われてきました。フランクフルト、トロント、あるいはシドニーにサーバーを設置していれば、規制に準拠しているとみなされていたのです。
その前提はもはや成り立たない。アナリストたちは現在、このギャップを「レジデンシー・イリュージョン」と明確に表現している。これは、現地のデータセンターの設置だけで主権要件が満たされるとの誤った認識を指す。 Kiteworks社が2026年の主権に関する調査で指摘しているように、フランクフルトにクラウドリージョンがあったとしても、米国当局が「サーバーが物理的にどこにあるかに関係なく」開示を強制するCLOUD Actに基づく要請を発行できる限り、問題は解決されない。 Kiteworks：Sovereign AI — レジデンシーは支配ではない
この懸念は数字によっても裏付けられています。Kiteworksの「2026年データ主権レポート」によると、組織の80％が主権要件について十分な情報を得ていると回答している一方で、約3分の1の組織が過去12か月間に主権に関連するインシデントを経験していたことが明らかになりました。Kiteworks『2026年データ主権レポート』情報を把握していることと、実際に保護されていることは、結局のところ別物であることが判明した。
地政学的リスクおよびサプライチェーンリスク
その圧力は、単なる法的なものにとどまらない。地政学的なものなのだ。
政府は、重要なインフラや市民のデータが、ごく少数の外国のテック大手企業の管轄下に置かれていることに対し、ますます懸念を強めている。
これに対し、EUは「技術主権（Tech Sovereignty）」という枠組みを拡大する形で対応しており、その中には、米国のクラウドプラットフォームによる機密性の高い政府ワークロードの処理を制限することを目的とした提案や、DORA（デジタル・オペレーショナル・レジリエンス法）やNIS2といった、金融サービスや重要インフラの運営事業者に対し、より厳格で、多くの場合EUが管理するホスティング契約を義務付ける枠組みが含まれています。 DORA、NIS2、およびEU AI法が相まって、規制対象となるワークロードのリストが拡大するにつれ、主権インフラは単なる「望ましい選択肢」から、事実上のコンプライアンス要件へと変化した。 DORA、NIS2、そしてEU AI法により、ソブリンクラウドが義務化されつつある
F5が1,100人以上のIT意思決定者を対象に実施した「2026年アプリケーション戦略の現状」調査によると、これは構造的な変化であると位置づけられています。つまり、組織は今や、AIやアプリケーションインフラストラクチャがどこで実行されるかを確実に制御する必要に迫られています。なぜなら、リジデンシー、主権、運用上の独立性は、もはや「あれば望ましい」というレベルではなく、譲れない要件となっているからです。 F5：データ主権 — 新たな圧力により、組織はリスクのあり方を再考せざるを得なくなっている
AIによって、これは簡単になったのではなく、かえって難しくなった
生成AIの登場により、従来の主権フレームワークの多くが想定していなかった新たな複雑さが加わりました。トレーニングや微調整のワークロードでは、ペタバイト規模に及ぶデータセットの集約がますます必要となっており、その処理は複数のクラウド、ベンダー、法域にまたがる環境で行われることが増えています。 データセンター記事：オンプレミス型オブジェクトストレージでAIクラウドデータを管理する
これにより、5年前にはほとんどどの組織も直面することのなかった疑問が生じます。それは、モデルは正確にはどこで実行されており、その実行環境に対して法的権限を持つのは誰なのか、というものです。『Data Centre POST』誌が、主権型AIインフラを戦略的課題として位置づけているのは、まさにAIのワークフローによって、機密データが管轄区域の境界を越えて漏洩する可能性のある場所が飛躍的に増えるためです。 Data Centre POST：なぜデータ主権がAIインフラにとって戦略的な必須要件になりつつあるのか
真の制御とは：管轄区域内での暗号化
居住地だけでは不十分だとしたら、一体何が必要なのでしょうか？主権研究者の間で徐々に合意が形成されつつあるのは、単なる地理的な配置ではなく、「アーキテクチャレベルでの制御」であるということです。つまり、
- ローカル暗号化キーの管理：キーは管轄区域内に保管されるため、プロバイダーは構造上、自らがキーを保有していないデータの復号や引き渡しを行うことができない。
- 検証可能な運用管理：ハードウェアがどこに設置されているかだけでなく、誰が（どの市民、どの法人）その環境にアクセスできるかを正確に把握すること。
- 手頃な退出コスト：法外な退出手数料やロックインに悩まされることなく、ベンダーやプラットフォームから離脱できること。
Kiteworksはこれを次のように端的に要約している。「法的請求に耐えうる主権とは、アーキテクチャの中で行使される主権のみである。」 Kiteworks：Sovereign AI — レジデンシーは支配ではない
オンプレミス型インフラの適応場面
これこそが、オンプレミス型ストレージが解消するために設計された課題です。データが、米国に本社を置くハイパースケーラーからリースしたものではなく、組織が完全に所有するインフラ上に保存され、第三者の利用規約に縛られない場合、たとえ「主権型」のクラウドリージョンであっても、それに伴うCLOUD法上のリスクは適用されません。 チェーン内に外国の親会社が全く存在しないため、法的にデータの提出を強制されるような外国の親会社も存在しないのです。
これこそが、この議論におけるNexsanの立場の核心です。Nexsanは25年以上にわたり、データの正確な保管場所、アクセス権限、適用される法規制を確実に把握する必要がある組織向けに、E-Series、BEAST、Unity™、Assureonといったオンプレミス型ストレージプラットフォームを開発してきました。Nexsan：オンプレミス型ストレージソリューションの長所と短所規制対象業界、政府の請負業者、そしてDORA、NIS2、あるいはEU AI法を踏まえてクラウド契約を見直しているあらゆる組織にとって、これは単なるノスタルジーによる選択ではありません。それは、構造的な問題に対する構造的な解決策なのです。
結論
2026年のデータ主権は、場所の問題ではなく、管理の問題である。データをローカルに保存することは必要だが、もはやそれだけでは不十分だ。単なるコンプライアンス上の形だけではない、真の解決策を求める組織は、自らが所有・運用し、管轄区域内にあり、サプライチェーンに外国の親会社が存在しないインフラに、ますます注目している。
このシリーズの次回：8億9000万ユーロのGoogleへの罰金が、いかにして「技術主権」を地政学上の火種に変えたのか、そしてなぜ企業の10社中9社近くがワークロードをオンプレミスに戻しているのか。
出典：Kiteworks「2026年データ主権レポート」・Kiteworks：「主権型AI — 保存場所＝管理ではない」・F5：「データ主権 — 新たな圧力により、組織はリスクの再考を迫られている」・SoftwareSeni：DORA、NIS2、およびEU AI法·Data Centre POST：AIインフラの主権
* 詳細なコンテンツは英語のみでご利用いただけます。