政策动态：欧盟技术主权法案进入倒计时，云主权框架SEAL评估体系即将落地

欧盟技术主权一揽子方案（Tech Sovereignty Package）预计于5月27日发布，距离截止日期仅剩一周。该方案包含云与AI发展法案（CADA）和芯片法案2.0，其中限制美国云服务商处理欧洲敏感政府数据的条款引发广泛关注。

主要新闻

欧盟技术主权一揽子方案进入发布倒计时

欧盟委员会预计于5月27日发布技术主权一揽子方案，核心内容包括云与AI发展法案（CADA）和芯片法案2.0。据CNBC报道，方案中将包括限制欧盟成员国政府使用美国云提供商处理敏感数据的条款。提案不会完全禁止海外公司参与政府合同，但会根据数据敏感程度限制其在公共部门组织中的使用。金融、司法和健康数据可能需要最高级别的主权云基础设施。欧盟官员强调，限制仅针对政府和公共部门，不涉及私营企业。

Source: EU mulls restricting use of U.S. cloud for sensitive government data

欧盟官员：CADA将防止欧洲成为技术”殖民地”

POLITICO报道，欧盟委员会高级官员Thibaut Kleiner在AI与科技周上明确表示，即将出台的CADA法案旨在确保欧洲不会成为技术”殖民地”。Kleiner承认一揽子方案面临”非常有效的游说”，部分势力主张放弃美国技术”太困难、太昂贵”。欧盟委员会正在考虑通过公共采购优先选择欧洲云厂商的方式，提升欧洲云企业的市场份额。

Source: Cloud law will stop Europe becoming tech ‘colony’

欧盟云主权框架SEAL评估体系详解

欧盟委员会的云主权框架（Cloud Sovereignty Framework）1.2.1版定义了从SEAL-0（无主权）到SEAL-4（完全数字主权）五个级别的安全保证等级评估体系。框架涵盖战略（15%）、法律与管辖权（10%）、数据与AI（10%）、运营（15%）、供应链（20%）、技术（15%）、安全与合规（10%）和环境可持续性（5%）八个维度。值得关注的是，从SEAL-3起开始要求开放架构，SEAL-4则要求开源作为标准，以确保组织的”退出能力”（exit velocity）。

Source: Cloud Sovereignty Framework

Red Hat推出主权云和私有云新能力

Red Hat在Red Hat Summit 2026上宣布扩展主权云和私有云能力，包括为OpenShift提供生产就绪的着陆区、基于OpenShift的GPU-as-a-service和模型推理服务、完全在客户环境内运行的Red Hat Lightspeed成本管理遥测、以及针对欧盟的区域化软件供应链。Red Hat OpenShift和Red Hat Enterprise Linux成为IBM Sovereign Core的基础设施底座。

Source: Red Hat Introduces New Sovereign and Private Cloud Capabilities

美国SECURE数据法案推进联邦隐私统一立法

美国国会引入了SECURE数据法案，旨在建立统一的联邦数据隐私标准。该法案基于过去八年的州级立法经验，将创建单一的国家标准，优先于各州隐私法律。核心条款包括消费者知情权、访问权、更正权、删除权和数据可移植权，以及数据最小化要求、敏感数据处理同意要求、国家数据经纪人注册制度等。法案由FTC和各州总检察长执行，不提供私人诉讼权。

Source: SECURE Data Act: Congress Introduces New Federal Privacy Framework

分析

欧盟技术主权一揽子方案代表了全球云计算市场地缘政治格局的结构性转变。从技术角度看，SEAL评估体系的引入使”云主权”从模糊的政治口号变成了可量化、可审计的技术标准。SEAL-3和SEAL-4对开放架构和开源的要求尤为关键——这意味着主权不仅仅是”数据存储在欧盟境内”，而是”欧盟组织必须能够独立审计、修改和替换其运行的软件”。SUSE的分析文章精辟地指出：当组织满足所有地理标准但仍无法离开某个供应商时，其运营地位并未真正改变。94%的IT领导者认为开源对其韧性战略”非常重要或极其重要”，这一数据印证了上述观点。

值得注意的是，欧盟的做法在实践中充满了妥协。4月份委员会将1.8亿欧元主权云合同授予了包括法国Thales与Google Cloud合资企业在内的四个项目——在”主权”的定义中包含美国技术提供商。这种矛盾反映了欧洲产业政策的现实困境：既想减少对美国云的依赖，又不愿失去超大规模云服务商的技术优势和规模效应。

CADA法案的推迟（已多次延期）和Kleiner承认的”非常有效的游说”表明，该方案在欧盟内部面临的阻力不容忽视。来自美国的外交压力——US Cloud Act和数据主权游说——也在影响立法进程。距离5月27日仅剩一周，该方案能否按时发布仍存在不确定性。

SECURE数据法案代表了美国在联邦层面统一数据隐私标准的最新努力。与欧盟GDPR的”统一自上而下”模式不同，美国走的是”各州先行、联邦汇总”的路径。SECURE法案将取代目前碎片化的州级隐私法律，为企业提供统一的合规标准。

结论

未来12个月将是全球云主权格局重塑的关键时期。欧盟CADA法案的发布将定义未来十年欧洲云计算市场的游戏规则，而SEAL评估体系将成为全球云主权合规的事实标准。企业应关注五个关键点：CADA对敏感数据的最终定义范围、SEAL评估体系的具体实施方式、公共采购中的本地偏好条款、欧盟内部对”主权”定义的政治博弈、以及美国数据主权立法（SECURE法案）与欧盟模式的协调。

Source: EU mulls restricting use of U.S. cloud for sensitive government data