政策动态：欧盟云与AI法案面临延迟压力与AI Act推后16个月实施

过去24小时内，全球技术政策领域出现多项重大进展。欧盟委员会官员透露备受期待的云与AI发展法案可能再次延迟，同时欧盟就AI Act简化方案达成临时协议，将高风险AI系统的合规截止日期推后16个月。在数据主权方面，Computer Weekly的调查揭示了美国云法案对欧洲数据安全的持续风险。

主要新闻

欧盟云与AI发展法案面临行业游说压力

据POLITICO报道，欧盟委员会高级官员Thibaut Kleiner在POLITICO AI与科技周上表示，原定于5月27日发布的云与AI发展法案（Cloud and AI Development Act）正面临”非常有效的游说”压力，法案发布日期不确定。该法案是欧盟技术主权一揽子计划的核心组成部分，旨在降低欧盟对外国（特别是美国）云技术的依赖。Kleiner警告称，如果欧洲不采取行动，将沦为技术”殖民地”。法案的核心挑战在于如何定义”主权云服务”——欧盟委员会在制定采购标准时面临来自美国政府和科技巨头的强大压力。美国游说者批评评分机制中的”地域关注过度”，而欧盟工业界则担忧法案可能为美国巨头留下”后门”。法国和德国正在联合制定主权技术标准，预计6月公布。

Source: Cloud law will stop Europe becoming tech ‘colony’, Commission official says Source: European industry fears ‘back door’ for US in cloud law

EU AI Act重大延迟：高风险系统合规期限推迟16个月

欧盟立法者和成员国周四就”数字综合法案-AI”（Digital Omnibus on AI）达成临时协议，对AI Act进行重大调整。核心变化是将高风险AI系统（包括生物识别、关键基础设施、教育、就业、移民和边境控制等领域）的执行截止日期从2026年8月2日推迟至2027年12月2日（16个月）。嵌入产品（如电梯和玩具）中的AI系统合规截止日期进一步延长至2028年8月2日。这一调整是在ASML、Airbus、Ericsson、Nokia、SAP、Siemens和Mistral AI等公司高管公开警告欧洲可能过度监管自己的压力下做出的。欧盟委员会主席冯德莱恩表示，这将在”简化和创新友好的环境”与”保护公民”之间取得平衡。不过，协议还新增了对AI生成的非自愿性深度伪造和儿童性虐待材料的禁令。

Source: EU hits snooze on AI Act rules after industry backlash

Computer Weekly数据主权调查：美国云法案构成持续风险

Computer Weekly发布了一项深入的数据主权调查报告，发现美国三大超大规模云供应商（AWS、Azure、GCP）的欧洲客户面临美国《云法案》（CLOUD Act）和《外国情报监视法》（FISA）第702条带来的数据主权风险。报告指出，美国法院可以强制美国公司提供”持有、保管或控制”的数据，即使数据存储在海外，且法院可以发布保密令禁止通知数据主体。尽管超大规模供应商正在推出主权云产品（如AWS欧洲主权云、Microsoft主权云），但由于标准服务条款包含全球轮询支持和数据传输条款，实现真正的数据主权需要退出标准云服务条款并使用气隙（air-gapped）服务。英国公共部门使用美国超大规模云供应商的程度尤为严重——Google最近与英国国防部签订了4亿英镑的”主权云”合同。

Source: Cloud and data sovereignty caught in a paradox

美国CLOUD Act重现：远程访问安全法案寻求限制中国对云算力的访问

卡内基国际和平基金会发布分析报告，深入探讨了美国政策制定者限制中国获取云计算能力的政策路径。修订后的《远程访问安全法案》（RASA）已在众议院再次通过，该法案将”出口”的定义扩展到包括对计算能力的远程访问，从而将云服务纳入出口管制法规的管辖范围。法案要求云服务提供商验证买家和最终用户是否为受限制或持牌实体，并赋予BIS对不合规公司实施民事和刑事处罚的权力。该法案面临行业团体和外国政府的反对，关键技术难点在于如何定义”远程访问”和执行验证机制。

Source: The Geopolitical Debates Over Controlling Cloud Compute

欧盟DMA对云和AI领域的扩展执法

尽管欧盟委员会在4月28日的DMA审查中未修改法律文本，但实际执法范围正在显著扩展。2025年11月18日，委员会对AWS和Microsoft Azure发起了三项云服务市场调查（可能认定为”守门人”），2026年1月27日对Google启动了AI相关规范程序。这些调查将重点关注云服务的可移植性、互操作性和公平访问。欧盟委员会正在将DMA监管责任体系从”消费端应用”扩展到”基础设施层”——云控制平面、AI访问路径和互操作性层。2027年1月12日起，《数据法案》将要求移除云切换费和数据传输费。

Source: EU DMA Expansion: Cloud & AI Gatekeeper Audits

Google警告DMA搜索数据共享规则存在隐私风险

Google杰出科学家Sergei Vassilvitskii正式致信欧盟委员会，警告其下达的DMA强制搜索引擎数据共享命令的匿名化方案存在缺陷。Google红队测试表明，即使采用委员会提议的匿名化方法，现代AI系统也能在不到两小时内重新识别个人身份。该规范程序是2026年1月27日启动的，要求Google在FRAND（公平、合理和非歧视）条件下与第三方共享排名、查询、点击和视图数据。Google的合规期限为2026年7月27日，违规罚款可能高达全球年收入的10%。这形成了竞争法与隐私法之间的内在冲突：DMA要求的数据共享越有效，GDPR要求的隐私保护就越难以保证。

Source: Google Warns EU Search Data Rules Could Threaten User Privacy

分析

欧盟AI Act的16个月延迟是一个信号，表明欧洲正在重新思考其”科技警察”角色的战略成本。来自ASML、Airbus等欧洲工业冠军企业的警告——过度监管将导致欧洲在全球AI竞赛中落后——显然产生了效果。但延迟的代价是双重性的：一方面，企业获得了更多的准备时间，监管机构可以完善技术标准；另一方面，这削弱了欧盟AI监管在全球的引领地位，美国、英国和中国可能在那16个月内获得显著的监管确定性优势。

云与AI发展法案面临的政治阻力揭示了欧洲数字化转型/战略自主的核心矛盾：如何在减少对非欧盟技术依赖的同时不损害行业竞争力。Thibaut Kleiner提到的”非常有效的游说”暗示美国和欧盟内部的利益集团正在激烈角力。法国和德国联合定义”主权技术标准”的尝试可能成为破局关键——如果这两个欧洲最大经济体能够共同定义什么是”欧洲数字服务”，将给欧盟委员会提供更清晰的法规锚点。但对美国云巨头的”后门”担忧表明，欧洲内部的裂痕——谁被允许参与欧洲主权云市场——可能比预想的更深。

Computer Weekly的数据主权调查结果虽然不令人意外，但其呈现方式——直接向三大超大规模供应商提出问题并分析回答——将抽象的”数据主权”概念转化为具体的、可验证的风险评估。调查结果的核心发现是：标准超大规模云服务条款与数据主权之间存在根本性的不可调和性。即使在加密和客户持有密钥的情况下，数据在大多数处理过程中仍然是未加密的。对于依赖美国云供应商的欧洲公共部门（尤其是英国），这是一个需要紧急应对的风险。

DMA对云计算的扩展和RASA在众议院的通过反映了全球技术政策的一个共同主题：云计算正在从”无关紧要的基础设施”升级为”战略控制节点”。欧盟通过DMA和数据法案控制云市场准入和互操作性，美国通过RASA限制中国对云算力的访问。这种”云政治化”的趋势将在未来几年深刻影响全球云架构和供应链。

结论

2026年5月初的政策动态显示出全球技术治理的两极化趋势：一方面，欧洲正在努力减少对美国云技术的依赖，通过AI Act、DMA和即将出台的云法案构建自己的技术主权框架；另一方面，美国正在通过出口管制（RASA）和情报法规（FISA、云法案）维护其技术优势并限制对手的访问。

对于从业者，建议重点关注：（1）EU AI Act的延迟提供了额外的准备窗口，但不应浪费——最后期限终将到来；（2）云主权风险需要从”政策合规”升级为”架构决策”——气隙部署、本地化密钥管理和欧盟/英国本地运营团队将成为关键考量；（3）DMA云计算调查的结果可能影响AWS和Azure的服务条款、数据出口费用和互操作性标准；（4）AI Act与DMA之间的交叉执法和隐私/竞争矛盾需要法律和技术团队协同应对。