政策动态：欧盟《云与AI发展法案》设定四级主权框架，法国敏感数据云保护法令生效，澳大利亚全政府云优先政策实施

过去24小时全球云与AI政策领域持续受到欧盟《云与AI发展法案》（CADA）提案的影响，该法案为欧洲云计算和AI生态系统设定了四级主权框架；法国《第2026-272号法令》已正式生效，对国家行政部门敏感数据的私有云处理施加严格要求；澳大利亚2026年全政府云优先政策持续推进，为政府、企业和技术合作伙伴带来新的合规与市场机遇。

主要新闻

欧盟《云与AI发展法案》（CADA）：四级主权框架深度解读

欧盟委员会于2026年6月3日提出的《云与AI发展法案》（CADA）持续引发全球关注。CADA是欧洲技术主权计划的核心组成部分，与《芯片法案2.0》和开源战略捆绑推出。法案围绕三个目标展开：研究开发与创新（支持下一代云和AI技术部署）、容量扩展（在5-7年内将欧盟数据中心容量至少扩大三倍）、以及自主权（引入统一的欧盟级云和AI主权评估框架）。

CADA最核心的创新是四级主权保证框架，供公共部门机构根据自身风险评估使用：

• 第一级：数据在欧盟境内处理和存储
• 第二级：供应商须证明独立于第三国，并对软件供应链保持透明
• 第三级：供应商须由欧盟内实体拥有和控制，并满足人员国籍等额外标准（委员会可承认第三国供应商）
• 第四级：供应商对软件供应链拥有完全透明和控制，不受第三国干扰

欧盟委员会执行副主席Henna Virkkunen明确表示，最高两级对美国公司来说将难以达到——原因是美国《云法案》（CLOUD Act）允许美国执法机构要求美国公司在全球任何地方持有的数据，这与第四级”不受第三国干扰”的要求直接冲突。CADA不构成对美国云巨头的禁令，但实质上为”谁可以处理欧盟最敏感的政府数据”设定了技术上难以逾越的门槛。

Source: Proposal for the Cloud and AI Development Act (CADA)

法国《第2026-272号法令》：敏感数据云保护正式生效

法国第2026-272号法令于2026年4月17日正式生效，实施了《数字空间安全与监管法》第31条关于国家行政部门、运营商和公共利益团体敏感数据在私有云服务提供商处处理的保护要求。该法令引入了数据本地化要求，规定国家行政部门的特别敏感数据必须在符合特定安全标准的私有云环境中处理。该法令是法国云主权战略的重要组成部分，与欧盟层面的CADA形成互补——法国已在国家层面率先实施了敏感数据的云处理保护框架，而CADA则旨在将类似但更统一的标准推广到整个欧盟27个成员国。法令对云基础设施提供商（云计算、存储和数据库服务）提出了具体的合规要求。

Source: Decree No. 2026-272 on sensitive data protection in cloud services

澳大利亚2026年全政府云优先政策：影响与机遇

澳大利亚2026年全政府云优先政策（Whole-of-Government Cloud Computing Policy）正在全面实施，为政府、企业和技术合作伙伴带来深远影响。该政策要求联邦政府各部门优先采用云服务，并为技术合作伙伴创造了新的市场机会。政策的核心框架包括：安全分类和评估机制（确保云服务满足政府安全要求）、供应商认证要求（云服务提供商需通过特定认证）、以及互操作性和数据可移植性标准。该政策对市场的影响包括：推动政府IT支出向云服务加速转移、刺激本地数据中心基础设施投资、以及为具有政府合规能力的云服务提供商创造竞争优势。政策同时关注数据主权问题——要求处理政府数据的云服务满足特定的数据驻留和访问控制要求。

Source: Australia’s Cloud-First Policy 2026

分析

CADA四级主权框架的提出标志着全球云计算监管进入了”主权分层”的新阶段。传统的云合规框架通常是二元的——要么符合特定标准（如FedRAMP、ISO 27001），要么不符合。CADA引入了四级渐进式主权概念，允许公共部门机构根据数据敏感性和风险级别选择不同层次的保障。这种设计在理论上更加灵活，但第四级”不受第三国干扰”的要求实质上将大多数美国云服务提供商排除在处理欧盟最敏感政府数据之外——这不是通过行政禁令实现的，而是通过技术标准的设定自然产生的排他效果。

法国第2026-272号法令先于CADA生效，展示了欧盟成员国在国家层面先行先试的模式。法国的法令为CADA的实施提供了实践经验和参考框架——成员国可以在CADA的最低标准之上施加更严格的国家要求（正如GDPR允许成员国设置更严格的数据保护规则一样）。对于云服务提供商而言，这意味着需要同时应对欧盟层面（CADA）和成员国层面（如法国法令）的双重合规要求。

澳大利亚的云优先政策则代表了另一个维度的政策趋势——将云服务采用从”可选项”转变为”默认项”。与欧盟侧重”限制和保护”的路径不同，澳大利亚更侧重”促进和加速”，但同样关注数据主权和安全。这种”促进型主权”与”限制型主权”的政策分化对云服务提供商的全球策略有重要影响：在欧盟市场需要重点准备合规文档和架构调整，在澳大利亚市场则需要展示安全能力和政府认证。

结论

全球云与AI政策正呈现出三种截然不同的路径：欧盟的”主权分层”（CADA四级框架）、法国的”先行先试”（国家法令率先实施）、以及澳大利亚的”促进加速”（云优先政策）。建议云服务提供商立即评估CADA四级框架对自身服务分级的影响，特别是是否需要为欧盟客户开发独立的”主权版本”；在法国运营的企业关注第2026-272号法令的具体合规要求和时间表；关注澳大利亚政府云采购市场的技术合作伙伴应评估自身服务是否满足相应的安全分类和认证要求。对于技术从业者而言，理解这些政策框架的核心逻辑——”数据主权不是二元选择，而是多级渐进”——对架构设计和供应商选择具有直接指导意义。