一家企业把模型、数据和 GPU 都部署在本地数据中心，是否就拥有了“主权 AI”？
答案未必如此。
如果模型升级仍由外部供应商单方面决定，管理员看不到 Agent 调用了哪些系统，密钥和审计日志不在自己的控制域内，平台故障后也无法独立恢复，那么数据虽然没有离境，关键业务能力仍然可能受制于人。
2026 年 9 月 29 日，IBM 与印度云服务商 Yotta 宣布，面向印度机构的 Sovereign Agentic AI Platform 正式商用。该平台将 IBM watsonx Orchestrate 部署在 Yotta 的 Shakti Cloud 上，覆盖算力、网络、安全、模型开发与推理，并把数据、运行和治理控制限定在印度境内。
这条消息值得企业关注，不只是因为“主权 AI”又多了一个产品。它释放了一个更重要的信号：企业 AI 的控制范围，正在从数据存放位置扩展到基础设施、模型、推理、身份、运维和审计证据的完整运行链。
对于正在评估企业级 AI 的管理者，问题不应只剩“部署在哪里”，而要进一步追问：当 AI 开始代表组织采取行动时，谁真正掌握它的运行权、变更权、证明权、恢复权和退出权？
数据驻留，不等于业务可控
在传统信息系统中，数据驻留通常是一个相对清晰的问题：数据库位于哪里，备份保存在哪里，哪些人员可以访问。
Agent 把边界变复杂了。它不仅读取数据，还可能组合多个模型、调用企业应用、取得短期凭据、触发审批或执行操作。一次任务可能经过提示词、知识库、推理服务、工具接口、身份系统和日志平台。只要其中一层脱离企业可验证的控制，所谓“本地部署”就可能只覆盖了链条的一部分。
IBM 与 Yotta 此次公布的平台把基础设施、模型开发与推理、Agent 编排和治理放在同一套本地运行环境中。IBM 此前对 Sovereign Core 的说明也提出，访问、密钥、日志和审计证据应保留在客户控制边界内，并由客户操作控制平面。
这使“主权”从一个地理标签变成了一个运营问题：企业能否在没有越出既定边界的情况下，配置、运行、观察、改变并恢复 AI 系统。
企业至少要掌握五种控制权
采购主权 AI 平台时，可以把抽象要求拆成五种能够验收的控制权。
一、运行权：企业能否知道系统此刻在做什么
运行权不是“服务器归我”，而是企业能够看到每个 Agent 使用了哪个身份、读取了哪些数据、调用了哪些工具、产生了什么结果，以及任务是否仍在允许范围内。
这要求模型调用、工具调用、授权决策和业务结果之间可以关联，而不是分别散落在几套互不相通的日志里。对于安全运营、文档处理和 HR 自动化等此次公布的适用场景，一条操作如果无法追溯到具体任务、授权者和执行身份，就很难承担真实业务责任。
二、变更权：关键能力改变时，企业能否决定何时生效
模型、提示策略、知识源、工具接口和权限配置都会改变 Agent 的行为。企业需要知道哪些变更由供应商发起，哪些可以延迟采用，哪些必须先通过回归验证，出现问题时能否退回上一个稳定版本。
真正的控制不是永远拒绝升级，而是让升级进入企业自己的发布流程：有版本、有影响分析、有验证记录、有生效窗口，也有回退路径。
三、证明权：企业能否独立形成审计证据
“平台符合要求”不能只靠供应商声明。企业应能持续取得并保存访问记录、策略版本、模型与工具版本、授权链、异常处置记录和人工批准证据。
IBM 对 Sovereign Core 的公开说明强调持续合规监测与证据生成。对采购方而言，关键验收点应是这些证据能否被企业自己的审计、风控和安全团队读取、导出、核验，并与业务事件对应，而不是只能在供应商控制的界面中查看一张合规仪表盘。
四、恢复权：平台或供应商失效后，关键流程能否继续
主权不只在系统正常时成立。区域故障、网络中断、模型服务不可用、错误升级或供应关系变化，都会检验企业是否真正掌握运行能力。
恢复方案不应只备份数据，还要包含模型与版本清单、Agent 定义、提示和规则、工具契约、身份与权限映射、密钥恢复机制、评测集以及重建顺序。否则，企业可能拥有全部业务数据，却无法重新组装原来的 AI 能力。
五、退出权：企业是否可以带走自己的业务资产
平台支持开源模型或开放技术，并不自动等于可迁移。真正决定退出难度的，是业务知识、编排逻辑、评测资产、日志证据和权限配置能否以可理解、可重建的形式导出。
企业应在采购阶段就约定退出交付物和演练方式，而不是等到合同结束再讨论。主权最有说服力的验证，不是架构图，而是由客户团队在受控环境中完成一次最小业务能力的重建。
Agent 主权的核心，是身份和授权链
当 AI 只生成文本时，治理重点往往是数据、内容和模型输出。Agent 可以采取行动后，身份成为控制权的支点。
NIST 在 2026 年发布的软件与 AI Agent 身份和授权工作中指出，Agent 会访问多种数据、工具和应用，需要解决识别、授权、审计和不可否认性问题。NIST 8 月的文章还特别提醒，共用人类或 Agent 凭据会制造责任缺口。
因此，主权 AI 平台至少应回答以下问题：
这些问题看似属于安全部门，实际上直接关系到业务能否放心授权。没有独立身份和清晰委托链，企业只能让 Agent 停留在“建议”阶段；只有责任和权限能够被证明，自动化才可能安全地接近执行环节。
- 每个 Agent 是否拥有独立、可撤销、可过期的身份；
- 它的权限来自谁，能否追溯到具体业务委托；
- 权限是否按任务、数据范围和动作类型限制，而非继承一个宽泛账号；
- Agent 请求超出权限的资源时，谁会收到通知，谁有权批准；
- 一项操作完成后，能否证明是哪个 Agent 在何种策略和模型版本下执行；
- 停用 Agent 时，关联凭据、会话、令牌和后续任务能否一并终止。
把“主权”写进验收，而不是写进口号
企业可以为目标场景建立一张“控制权验收表”：
这里最容易被忽略的是“证据可用性”。配置存在，不等于控制有效；只有撤销一次权限、回退一次模型、恢复一次任务、导出一次完整审计链，企业才知道承诺是否真的可以执行。
- 数据与知识：数据、索引、缓存和备份分别位于哪里：数据流图、存储清单、删除与恢复记录
- 模型与推理：谁能更换模型、修改参数或启用新版本：版本记录、审批记录、回归结果、回退演练
- Agent 与工具：谁授权 Agent 调用哪些系统和动作：独立身份、最小权限策略、调用链日志
- 密钥与身份：密钥由谁持有，令牌如何签发、轮换和撤销：密钥托管配置、令牌生命周期和撤销测试
- 运维与审计：谁能管理平台，谁能独立读取审计证据：管理员边界、不可篡改日志、证据导出结果
- 连续性与退出：失去原平台后，多久能恢复最小关键能力：恢复手册、导出包、替代环境重建演练
不要把厂商发布误读成收益证明
IBM 与 Yotta 此次公告确认了平台已正式可用，并说明其部署区域与技术组成，但没有披露已上线客户数量、生产负载规模、迁移成本、故障恢复时间、合规审计结果或业务 ROI。公告中列出的安全运营、文档处理和 HR 自动化属于可应用方向，并非已经公开验证的客户成效。
同样，“端到端主权栈”是供应商对方案范围的描述，不能替代采购方对组织权限、运营人员归属、第三方支持路径、软件供应链和合同退出条款的逐项核验。
因此，企业不宜用“是否主权”做一个简单的是非判断，更适合为每个关键场景定义控制目标和剩余依赖：哪些环节必须由企业独立掌握，哪些可以委托本地运营伙伴，哪些供应商依赖可以接受，以及依赖超过什么阈值时必须启动替代方案。
主权 AI 的价值，是让企业敢于把关键业务交给 AI
对多数企业而言，主权并不意味着所有软硬件都必须自研、自建、自运维。那往往代价高昂，也未必更安全。更现实的目标，是企业能够看见关键依赖、约束外部权限、保留完整证据，并在异常或合作变化时恢复主动权。
可以从一个高价值但边界清晰的场景开始：列出数据、模型、Agent、工具、身份和运维参与方，逐项验证五种控制权，再进行一次权限撤销、模型回退或最小能力重建演练。
如果这些动作只能由供应商完成，企业购买的是托管能力；如果企业能够独立验证、决定和恢复，才真正获得了控制权。两种模式都可能合理，但必须被准确命名、明确计价，并匹配不同的风险承担方式。
数据放在哪里仍然重要，但它已经不足以回答企业 AI 的全部问题。随着 Agent 从读取信息走向执行任务，真正可靠的主权 AI，不只是“数据没有离开”，而是关键业务能力始终没有离开企业的控制。
