欧盟监管机构指出，主权AI基础设施的建设没有相应的问责制和运营控制治理框架。

欧洲运营商以前所未有的速度建立了主权AI基础设施，得到了新云资本、新的超大规模计算商欧盟地区和国家计算计划的支持。有关主权的讨论——基础设施位于何处以及谁拥有它——基本上已经确定。可治理性的讨论才刚刚开始，而这个差距即将变得代价高昂。

主权和可治理性不是一回事。主权解决的是基础设施位于何处以及谁拥有它的问题。可治理性提出了更难的问题：一旦AI工作负载在该基础设施上运行，运营组织是否能够追踪系统正在做什么、实时进行干预并指认对结果负责的具体个人？大多数运营商今天可以回答主权问题。能够回答可治理性问题的要少得多，而大西洋两岸的监管机构现在都在要求答案。

对于运行欧盟工作负载的美国运营商或依赖美国云提供商的欧盟运营商来说，这不是假设性的。美国《云法案》(CLOUD Act)赋予美国当局法律依据，可以强制获取美国公司持有的数据，无论服务器位于何处。GDPR对相同数据施加了相反的期望。很少有运营商能够以法律上可以辩护的方式证明，如果受到测试，他们将如何解决这一冲突。

三项监管发展正在今年向运营商汇聚，都不关注服务器位置。

欧盟《AI法案》的高风险条款将合规从文件转变为证明的能力：一个明确的流程，在伤害加重之前停止或改变AI系统的行为，而不仅仅是将其写在纸面上。至关重要的是，这一义务超越了系统的构建者。该法案将提供者（构建系统的人）与部署者（将其投入运营使用的人）区分开来，部署者的义务独立适用。对工作负载如何运行具有真正运营控制权的运营商——不仅仅是它的托管位置——完全属于部署者的范畴。这涵盖了几乎所有人。

NIS2和《关键实体复原力指令》从基础设施治理层面推动同一原则，要求经过演练的干预，而不是放在架子上的文件。美国监管机构正从不同的传统中汇聚。FTC在2026年7月提出的关于AI准确性的政策声明明确指出，部署AI工具的公司可能根据第5条面临责任，涉及这些系统在生产环境中的行为方式，而不仅仅是构建它们的供应商。FTC已经明确表态：企业不能将合规外包给供应商的服务条款。在大西洋两岸，责任正在汇聚到运营控制，而不是基础设施的所有权或模型的作者身份。

大多数运营商还没有完全考虑到第三个转变：责任从机构转向个人。新兴的欧洲责任框架询问一个具体的人是否理解了他们授权的AI系统的边界条件，将"我们的治理框架是否合规"重新表述为"这里是否有人可以为这个系统的行为负责，必要时宣誓作证"。

监管机构已经在AI之外展示了这种执法风格。2026年7月，英格兰银行审慎监管局因提交不准确的监管数据对保险公司HDI全球公司处以超过400万英镑的罚款，明确表示公司必须维持有效的系统和控制措施以确保报告的完整性，而不仅仅是进行报告。这个数据完整性案例预示了一旦AI系统自己进行报告，AI可治理性执法将如何运作。

一个组织可以拥有完全主权、完全纸面合规的AI基础设施，但仍然会在这些测试中失败，因为合规性和可治理性衡量的是不同的东西。合规性问的是文件是否存在。可治理性问的是能力是否独立于文件存在，而且越来越多地，与谁拥有这些机架无关。

这不是主张放慢基础设施建设的论证。这是主张将可治理性本身视为基础设施，而不是事后才考虑的合规问题的论证。现在值得考虑三个问题：你能在失败级联之前追踪AI系统正在做什么，而不是在事后？你能在不利条件下证明一个经过测试、经过演练的干预措施，而不仅仅是一个书面文件？是否有一个具体的个人可以在压力下个人承担系统行为的责任？

如果任何问题的诚实答案是否定的，那么过去两年的主权叙述就是不完整的。没有可治理性的基础设施是没有控制的能力，而大西洋两岸的监管机构不再愿意将这两者视为等同。