Infrastructure as a Service levert op aanvraag virtuele machines, blok- en objectopslag, netwerken en bijbehorende bouwstenen. Organisaties gebruiken het om applicaties en databases te hosten, private netwerken te bouwen en capaciteit op te schalen, als vervanging van eigen datacenters of ernaast.
IaaS is de laag waarop al het andere rust, dus elke workload erft de soevereiniteitseigenschappen ervan. Versleutelingssleutels zijn het scharnierpunt: beheert de aanbieder ze, dan kan hij in principe worden gedwongen te ontsleutelen; sleutels in eigen beheer, bijvoorbeeld in een eigen HSM, beperken die blootstelling maar brengen operationele plichten mee. Datalocatie is niet hetzelfde als operationele controle, want personeel, supporttoegang en beheerlagen kunnen elders zitten. Afhankelijkheid ontstaat door eigen beheerde diensten, netwerkontwerpen en grote datavolumes die duur zijn om te verplaatsen. De Europese Data Act geeft klanten rechten om tussen aanbieders van dataverwerkingsdiensten over te stappen, en de Commissie noemt een Europees certificeringsschema voor clouddiensten in ontwikkeling.
Vergelijk bij een Europese optie wie de exploitant bezit, waar de beheer- en supportlaag zit, welke sleutelbeheeropties er zijn, of open interfaces zoals standaardvirtualisatie en S3-compatibele opslag worden ondersteund, hoe transparant de exitvoorwaarden zijn en welke onafhankelijke certificeringen er zijn.