政策动态：EU拟限制政府数据使用美国云、云法案推动技术主权、FedRAMP发布2026统一规则

本周围绕云计算和数据主权的政策动态异常密集。欧盟委员会正在考虑限制成员国政府使用美国云平台处理敏感数据，作为5月27日即将公布的”技术主权一揽子计划”的一部分；欧盟就AI法案简化版达成临时协议；FedRAMP发布了2026年统一规则公开预览；美国白宫推动《网络安全信息共享法》长期重新授权。这些政策发展将深刻影响全球云计算和数据治理格局。

主要新闻

欧盟拟限制美国云平台处理敏感政府数据

据CNBC援引知情人士消息，欧盟委员会正在考虑提出规则，限制成员国政府使用美国云平台处理敏感数据。该提案将作为5月27日公布的”技术主权一揽子计划”的一部分，包括《云与AI发展法案》（CADA）和《芯片法案2.0》。提案不会完全禁止海外云平台参与政府合同，但会根据数据敏感程度限制其在公共部门敏感数据处理中的使用。讨论中的重点领域包括金融、司法和健康数据——这些数据需要高等级的主权云基础设施。提案需获得全部27个成员国批准才能生效。随着跨大西洋关系紧张加剧，美国政府通过《云法案》要求美国公司提供用户数据的权力成为核心焦点。

Source: EU mulls restricting use of U.S. cloud for sensitive government data

欧盟高级官员：云法案将防止欧洲成为技术”殖民地”

POLITICO报道，欧盟委员会高级官员Thibaut Kleiner在POLITICO的AI与科技周上表示，即将出台的云法案旨在防止欧洲成为技术”殖民地”。该官员强调，越来越多的公司意识到”如果一切依赖的外部技术不受自己控制，生存就将面临风险”。克莱纳暗示，欧盟可能通过公共采购推动政府选择欧洲云服务。但在主权云定义上，欧盟内部仍存分歧——上个月欧盟将1.8亿欧元主权云合同授予了包括法国Thales与Google Cloud合资企业在内的供应商，引发了”什么是真正的主权”的争议。来自瑞典云提供商Evroc的代表Joel Åberg指出，”部分主权不是主权”。

Source: Cloud law will stop Europe becoming tech ‘colony’ Source: European industry fears ‘back door’ for US in cloud law

欧盟就AI法案简化版达成临时协议——”去裸化”禁令

欧盟议会和成员国就《数字综合法案》中的AI法案简化应用达成临时协议。核心变化包括：（1）高风险AI系统规则推迟至2027年12月2日实施（原定2026年8月）；（2）明确禁止生成非自愿露骨色情内容和儿童性虐待材料的AI系统（”去裸化”禁令）；（3）简化AI法案的行政管理负担。欧盟委员会执行副主席Henna Virkkunen表示，企业需要”确定性来投资和规划”，”停止时钟”机制和简化措施为业务提供了喘息空间。

Source: EU agrees to simpler AI rules and complete ‘nudification’ ban

FedRAMP发布2026年统一规则公开预览

美国FedRAMP发布了2026年统一规则（Consolidated Rules）的公开预览，目标在6月底前完成最终版，有效至2028年12月31日。关键变化包括：（1）从FedRAMP提供模板转向机器可读的结构化要求，供应商可维护适合自身系统的安全决策记录；（2）对现有Rev5 FedRAMP认证的变更有了明确的规则和时间表；（3）FedRAMP 20x的通用可用性规则和时间表；（4）市场影响等级过渡到新的分类体系。FedRAMP总监指出，这是向”在公开中工作”理念的重大推进。

Source: Public Preview of the Consolidated Rules for 2026

白宫推动CISA长期重新授权

特朗普政府正在推动国会长期重新授权《网络安全信息共享法》（CISA 2015）。该法律允许私营企业自由向联邦合作伙伴传输威胁情报并获得关键法律豁免，在去年底政府停摆期间暂时到期，后在2026年2月资助法案中延长至9月。国家网络总监Sean Cairncross在SCSP的AI+博览会上表示政府”推动长期重新授权”，并强调白宫正在”开发在私企与政府之间共享可操作、快速、双向信息的新方式”。

Source: Trump admin will push for ‘long-term’ reauthorization of key cyber data-sharing law

分析

欧盟限制政府使用美国云平台的提议是地缘政治与技术交叉的里程碑事件。其核心法律依据是美国的《云法案》——该法案授权美国执法机构获取美国公司”拥有、保管或控制”的数据，无论数据存储于何处。《计算机周刊》的一项调查显示，超大规模云服务商在回答数据主权相关问题时基本上回避了核心问题：当被问及美国法院命令后门访问时，他们谈论的是本地员工和空气隔离；当被问及数据收集可能性时，他们指向加密和客户持有密钥——但未说明数据在大多数处理时是未加密的。这种”安全性幻觉”正是欧盟寻求监管变革的根源。

“技术主权一揽子计划”中的关键张力在于定义”欧洲主权云”。欧盟自身将1.8亿欧元合同授予了Thales/Google Cloud合资企业，引发了对”什么是真正主权”的激烈辩论。法国和德国正在联合制定共同的主权技术标准，预计6月发布，这一定义将直接影响CADA的最终形态。美国的游说也在激烈展开——有观点认为对地理来源的过度关注会排除那些能够提供更强韧性和安全性的公司。这场围绕”主权”的拉锯战将在未来数周决定欧洲云市场未来十年的格局。

EU AI法案简化版的临时协议展示了监管者”边跑边修”的务实态度。将高风险AI规则的实施推迟15个月是对行业诉求的回应——技术标准和支持工具还没有准备好。值得关注的是”去裸化”禁令——这是欧盟对X平台Grok AI”裸化”丑闻的直接回应，表明监管者对AI社会危害的零容忍立场。

FedRAMP的2026统一规则代表了云计算安全认证的现代化方向。从模板驱动转向机器可读的结构化要求，允许供应商使用自动化系统和外部信息源维护安全记录，这将是FedRAMP认证效率和可扩展性的重大提升。这套规则将持续到2028年底，为云服务提供商提供了难得的确定性和规划窗口。

结论

本周的政策动态表明，云计算和数据治理正在从技术问题演变为地缘政治核心议题。欧盟的技术主权一揽子计划、FedRAMP的规则现代化和CISA的重新授权推动共同指向一个方向：云计算不再是”无国籍”的技术基础设施，而是深深嵌入国家主权、安全和经济竞争力框架的战略资产。对于跨国企业和云服务提供商，这意味着需要在合规策略中同时考虑多个框架的叠加效应，并为主权云要求准备独立的运营架构。