政策动态：欧盟拟限制美国云服务处理敏感政府数据

2026年5月13日，全球云计算监管格局迎来重大变化。欧盟委员会正在酝酿新规，限制美国云服务商处理欧盟成员国敏感政府数据。欧盟Cloud and AI Development Act（CADA）计划于5月27日发布，同时在内部面临主权定义的激烈博弈。

主要新闻

欧盟拟限制美国云服务用于敏感政府数据

据CNBC援引知情官员消息，欧盟委员会正在考虑提出新规，限制成员国政府部门使用美国云平台处理敏感数据。该提案预计将纳入5月27日发布的”技术主权一揽子计划”。据讨论，金融、司法和健康数据等政府部门处理的敏感信息，可能需要使用更高水平的主权云基础设施。提案不会完全禁止海外公司的云平台获得政府合同，但会根据数据敏感程度限制其在公共部门处理敏感数据时的使用。

Source: EU mulls restricting use of U.S. cloud for sensitive government data

CADA法案：欧盟云主权定义之争白热化

欧盟委员会官员Thibaut Kleiner在POLITICO AI与科技周上表示，即将出台的Cloud and AI Development Act将阻止欧洲成为技术”殖民地”。Kleiner透露，越来越多的公司意识到如果一切依赖不受其控制的技术，”生存面临风险”。但该法案已多次推迟，Kleiner承认面临”非常有效的游说”，叙事基调是”脱离美国技术太困难、太昂贵”。欧盟委员会上月已将1.8亿欧元的主权云合同授予包括法国Thales和Google Cloud合资项目在内的四个财团。

Source: Cloud law will stop Europe becoming tech ‘colony’

欧洲企业担忧云法案为美国巨头留”后门”

据POLITICO报道，欧洲本土企业担忧CADA法案实际上将为美国科技巨头保留大门。欧盟正在尝试定义”主权云”的标准，但尚未明确划定界限。瑞典云提供商Evroc发言人表示：”当涉及敏感政府数据和工作负载时，部分主权就不是主权。”法国数字部长Anne Le Hénanff表示巴黎和柏林正在制定共同的主权技术标准，预计6月发布。欧盟的Cloud Sovereignty Framework已定义了四种SEAL等级（从SEAL-0到SEAL-4），其中SEAL-4要求从芯片到软件的完整欧盟供应链。

Source: European industry fears ‘back door’ for US in cloud law

分析

欧盟限制美国云服务的讨论是跨大西洋关系在技术领域的核心博弈。这一政策背后有三个驱动因素：首先是地缘政治——美国Cloud Act允许执法机构在任何地点获取美国公司的用户数据，这引发了欧洲对数据主权的根本性质疑；其次是产业政策——欧洲希望培育本土云服务商，尽管AWS、Azure和GCP合计占据欧洲云市场约70%的份额；第三是战略自主——俄乌冲突以来，欧洲对关键基础设施依赖外部供应商的脆弱性有了更深刻的认识。

然而，CADA法案面临两个核心矛盾。第一是定义困境：什么是”主权云”？欧盟的Cloud Sovereignty Framework虽然定义了SEAL等级，但1.8亿欧元合同授予了包含Google Cloud的合资项目，表明欧盟尚未准备好完全排除美国技术。SEAL-4（全欧盟供应链）在现实中几乎无法实现，因为欧盟缺乏从芯片到软件的完整替代方案。第二是时间压力：法案已多次推迟，游说力量强大，而欧盟换届周期可能进一步影响立法进度。

对美国云服务商的潜在影响是结构性的。初步提案显示限制主要针对公共部门（而非私营企业），但公共部门的示范效应和采购规模不容忽视。更值得关注的是，限制可能从”公共数据”向”受监管行业数据”（金融、医疗）扩展。对于AWS、Azure和GCP而言，欧洲政府合同的价值不仅在于收入本身，更在于参考客户效应和合规验证。

结论

欧盟CADA法案是2026年全球云监管领域最重要的立法动态。5月27日的一揽子计划发布将是关键节点，届时将揭示欧盟对”技术主权”的具体定义和执行力度。对于云服务提供商和跨国企业，建议密切关注CADA中对”主权云”的正式定义、SEAL等级的采纳范围、以及公共采购规则的具体条款。法案的影响将不仅限于欧盟市场，可能成为全球云监管的参考范本。

Source: CNBC: EU muls restricting US cloud Source: Politico: Cloud law tech colony Source: Politico: EU cloud plan US back door