政策动态：欧美云主权与AI监管进入关键实施阶段

2026年5月，全球云与AI监管进入密集实施期。欧盟通过《云主权框架》完成首个主权云采购，美国《远程访问安全法案》（RASA）再度闯关，欧盟《数字市场法》（DMA）将云与AI列为优先执法目标，政策与技术的交汇点正重塑全球云竞争格局。

主要新闻

欧盟委员会通过云主权框架完成1.8亿欧元主权云采购

欧盟委员会在2026年4月授予”主权云”招标合同，允许欧盟机构、团体、办公室和机构（联盟实体）在6年内采购主权云服务，总额高达1.8亿欧元。为评估供应商主权，欧盟委员会开发了《云主权框架》，将数字主权转化为客观、可衡量的采购标准。该框架衡量八个具体目标的主权：从战略、法律、运营和环境考虑，到供应链透明度、技术开放性、安全性和欧盟法律合规性。框架引入了主权有效性保证级别（SEAL），从SEAL-0（供应商完全缺乏主权）到SEAL-4（需要从芯片到软件的完整欧盟供应链）。获奖供应商必须至少达到SEAL-2（数据主权级别），大多数达到了SEAL-3（数字韧性级别）。

Source: Commission advances cloud sovereignty through strategic procurement

美国《远程访问安全法案》（RASA）再度闯关众议院

美国《远程访问安全法案》（RASA）再度清除众议院，该法案试图通过重新定义”出口”包括远程访问计算，从而扩大出口管制法规的权限，使云服务受制于政府限制。如果美国商务部工业和安全局（BIS）根据这一新权限发布出口管制法规，云服务提供商将被要求验证其买家和最终用户是否为不受限制或已获得许可的实体。该法案还将授予BIS对国内外不合规公司施加民事和刑事处罚的权力。RASA得到了两党支持和中国鹰派议员的广泛支持，但面临行业团体和外国政府的抵制，他们担心对跨国服务的全面新法定权力。分析师指出，如果政策制定者继续限制中国获取前沿AI的路径，他们最终将不得不实施某种形式的云访问限制。

Source: The Geopolitical Debates Over Controlling Cloud Compute

欧盟DMA扩展执法：云与AI成为优先目标

2026年4月28日，欧盟委员会表示《数字市场法》（DMA）仍然适用，但通过将现有DMA工具用于审查云平台和AI访问路径、可移植性、默认设置、搜索数据和隐私控制，在实践上扩大了执法范围。2025年11月18日，委员会开启三项DMA市场调查，包括对AWS和Azure的看门人调查。DMA专注于看门人权力和公平性，而《数据法》则为数据处理服务中的切换和互操作性设定了跨市场规则。一个重要实施日期是2027年1月12日，届时切换费用（包括数据出口费用）计划被取消。同时，《AI法案》的GPAI义务已从2025年8月2日起适用，更广泛的框架将于2026年8月2日完全适用，与DMA证据需求产生重叠。

Source: EU DMA Expansion: Cloud & AI Gatekeeper Audits

欧盟《云与AI发展法案》即将发布，应对美国科技”殖民”担忧

欧盟委员会官员表示，将于2026年5月27日作为欧盟科技主权一揽子计划的一部分提出《云与AI发展法案》，旨在确保欧洲不会成为技术”殖民地”。该法案将推动政府通过公共采购选择欧洲工业。欧盟委员会云与AI部门负责人Kleiner表示：”我们将尝试确保公共部门也行动起来，停止可能不合理的、不符合主权采购的做法。”他暗示欧盟可能推动欧洲云公司的发展，通过公共采购选择欧洲产业。该一揽子计划已被多次推迟，Kleiner表示他无法确定是否会在该日期发布，但委员会正在设计该一揽子计划，最终决定权在委员会高层领导手中。

Source: Cloud law will stop Europe becoming tech ‘colony,’ Commission official says

FedRAMP发布2026年综合规则公开预览

美国联邦风险与授权管理计划（FedRAMP）于2026年5月4日发布《2026年综合规则》公开预览，计划在6月底前最终确定综合规则，为社区提供清晰的标准化指导和期望，直到2028年底。综合规则将为现有Rev5 FedRAMP认证的变更提供明确规则和时间表，使云服务提供商能够自信地计划和执行，而不必担心FedRAMP在几个月后通过新RFC破坏其计划。规则还将解释FedRAMP 20x的一般可用性规则和时间表，允许人们针对一组预期构建，这些预期在Phase 1和Phase 2试点后将保持稳定。从2027年1月1日开始，许多情况下将有可选的过渡期延长至该日期。

Source: Public Preview of the Consolidated Rules for 2026

分析

欧盟云主权框架的推出标志着全球云市场进入”主权竞争”新阶段。与传统的反垄断或数据保护监管不同，云主权框架引入了从芯片到软件的完整供应链审查，这意味着即使是非欧洲技术，如果在严格适当的框架内运营，也能满足最低主权要求。这一方法的聪明之处在于：它不要求完全排除非欧洲技术，而是通过SEAL评级系统创造了一种”主权梯度”，激励供应商将更多供应链环节转移到欧盟境内。1.8亿欧元的采购规模虽然相对于全球云市场较小，但其象征意义和示范效应巨大——它为其他欧盟成员国和全球其他地区树立了标杆。

美国RASA法案的再度闯关反映了地缘政治与技术监管的深层张力。该法案的核心逻辑是：如果云服务可以提供前沿AI计算能力，那么云访问就应该被视为出口管制的一部分。这直接挑战了云服务的基本商业模式——全球可用、按需访问。行业团体的抵制不仅仅是因为合规成本，更是因为这可能开创一个危险先例：任何跨国数字服务都可能受到类似的出口管制。如果RASA成为法律，它不仅影响美国云服务提供商与中国客户的关系，还可能影响欧洲、印度等其他司法管辖区的云服务访问。

欧盟DMA对云与AI的执法扩展显示了监管策略的精明：不重写法律，而是用现有工具（如第17条市场调查、合规报告、规范制定程序）将云基础设施和AI分发咽喉点纳入更可检查的体制。对AWS和Azure的看门人调查可能需要12个月，初步调查结果预计在6个月内出炉。这些调查的核心将是：这些云巨头是否利用其在基础设施市场的主导地位，在数据可移植性、互操作性和公平访问设计方面设置障碍？2027年1月12日数据出口费用的取消将是另一个关键节点，它可能显著改变云迁移的经济性。

欧盟《云与AI发展法案》的推迟与即将发布，反映了欧洲在”战略自主”与”现实依赖”之间的艰难平衡。Kleiner提到的”非常有效的游说”表明，美国科技巨头正在积极游说，反对那些可能使他们”太难、太贵”的措施。这揭示了数字主权辩论的核心矛盾：欧洲企业确实希望减少对外国技术的依赖，但许多企业也依赖这些技术运营。最终法案将如何平衡这些竞争利益，将是2026年下半年的关键观察点。

FedRAMP 2026年综合规则的发布，代表了美国联邦云安全认证体系的重大转变。从模板驱动到机器可读结构化要求的转变，鼓励供应商使用能够集成外部真相源的系统来维护安全决策记录和工件。这不仅是行政效率的提升，更是将”持续合规”理念嵌入云服务提供商运营的方式。到2028年12月31日之前，这些规则将塑造美国联邦政府如何采购和评估云服务，对全球云市场产生溢出效应。

这些政策发展共同指向一个趋势：云与AI不再只是技术问题，而是国家安全、经济主权和地缘政治竞争的核心战场。无论是欧盟的主权框架、美国的出口管制、还是DMA的看门人调查，都反映了同一现实：云与AI基础设施已成为21世纪的关键战略资产。

结论

2026年5月的政策动态清晰地表明，全球云与AI治理正在从”软性指导”转向”硬性规则”阶段。欧盟通过云主权框架和即将到来的《云与AI发展法案》，正在构建一个以主权为核心的数字生态系统；美国通过RASA和现有出口管制工具，试图控制前沿AI计算能力的全球扩散；DMA的云与AI执法扩展则表明，即使不重写法律，现有监管工具也足以产生重大影响。

对于云服务提供商和企业用户而言，这意味着：首先，必须将主权合规纳入产品战略，特别是在欧盟运营的情况下；其次，需要建立灵活的合规框架，能够适应不同司法管辖区的监管要求；第三，应该积极参与政策讨论，因为许多规则仍在制定中；最后，需要重新评估供应链策略，考虑将更多关键环节转移到目标市场境内。

展望未来，我们需要关注：《云主权框架》在实践中的运作效果、RASA是否最终成为法律、DMA对AWS和Azure调查的初步结果、以及《云与AI发展法案》的最终版本。这些政策决策将塑造未来十年全球云与AI市场的竞争格局。