政策动态：欧盟发布云与AI发展法案（CADA）与科技主权战略

欧盟委员会本周发布了范围广泛的技术主权方案，其中最核心的是《云与AI发展法案》（CADA）。该法案与《芯片法案2.0》和《欧盟开源战略》共同构成欧洲减少对美国和中国技术依赖的战略体系。同时，美国各州和全球范围内的隐私合规要求持续收紧。

主要新闻

欧盟发布《云与AI发展法案》（CADA）

欧盟委员会于6月3日正式发布CADA提案，旨在加强欧洲的云和AI生态系统。该法案聚焦三大目标：研发创新（推动下一代可持续云和AI技术）、容量建设（加速数据中心部署条件）、技术自主（建立统一的云主权评估框架）。CADA要求欧盟公共机构在采购云服务时满足”联盟保证等级”标准，最敏感的工作负载要求等级4（完全主权控制）。该法案还需经过欧洲议会和欧盟理事会协商。

Source: EU Digital Strategy - CADA Proposal

欧盟公布欧洲技术主权方案

作为CADA的配套，欧盟发布了《欧洲技术主权通信》文件，内容包括：《芯片法案2.0》（加强半导体供应链韧性）、CADA、《欧盟开源战略》和《数字化与AI能源战略路线图》。方案的核心是通过全价值链的协同来减少对非欧洲技术供应商的依赖。

Source: EU Digital Strategy - European Tech Sovereignty

欧盟委员会授予1.8亿欧元主权云合同

在CADA提案发布前，欧盟委员会已授予了一份1.8亿欧元的主权云合同，用于为欧盟机构提供云服务。该合同引入了”主权有效性保证等级”（SEAL）框架，从战略、法律、数据、运营、供应链、技术、安全和环境可持续性八个方面评估供应商。大多数现有公共部门工作负载（70%）属于等级1，仅1%的最敏感工作负载需要最高等级。

Source: European Commission - Sovereign Cloud Framework

全球数据合规与AI监管压力持续加大

2026年数据合规格局持续演变：美国20个州已拥有全面的隐私法律，加州CCPA更新版生效要求对企业进行隐私风险评估和独立网络安全审计。欧盟AI法案第50条透明度义务将于8月2日生效。澳大利亚将于12月10日起要求隐私政策披露自动化决策信息。中国和印度也在推进各自的数据保护法规实施。

Source: O’Melveny - 2026 Data Security and Privacy Compliance Checklist

分析

CADA的发布标志着欧盟在数字主权领域迈出了决定性的一步。与GDPR侧重个人数据保护不同，CADA直接针对基础设施层的技术依赖问题。其分级保证框架（等级1-4）提供了一个渐进式的主权评估体系，使得不同敏感度的工作负载可以采用不同等级的保护——这是一种务实的设计。

值得注意的是，CADA并未完全排除美国云供应商。对于大多数（70%）公共部门工作负载，只要供应商在欧盟境内部署基础设施、满足基本的运营控制要求即可。只有1%的最敏感工作负载要求”完全主权”（等级4）。这种”分级不排除”的策略在保护安全利益的同时，避免了对现有服务的中断。

CADA、芯片法案2.0和开源战略的协同值得关注。这个”三位一体”方案覆盖了从芯片设计、云基础设施到应用软件的完整价值链——欧洲正在构建自己的数字生态系统，而非仅仅依赖进口替代。

全球数据监管的碎片化正在加剧。20个州级隐私法律差异、EU AI法案的分阶段实施、亚太市场的独立路径，迫使跨国企业建立更加灵活和可扩展的合规体系。加州对自动化决策（ADMT）的监管可能成为美国联邦AI立法的先行样本。

结论

2026年6月的欧盟技术主权方案是一个分水岭。它表明欧洲已经意识到：数字主权的实现不能仅靠监管（如GDPR），还需要产业政策（CADA、芯片法案）和技术能力（开源战略）的协同。对云服务商和技术企业而言，这意味着在欧洲市场的运营模式必须纳入”主权合规”作为核心设计要素，而非事后附加要求。