政策动态：EU Cloud与AI发展法案和联邦云采购改革

本周政策领域聚焦全球云治理框架的演进——欧盟Cloud and AI Development Act（CADA）提出四层云主权框架，GAO报告揭示联邦机构云采购面临的系统性挑战，FedRAMP发布2026年综合规则。数据隐私合规版图持续扩大，美国已有20个州实施综合隐私法，AI相关合规义务正在加速扩展。

主要新闻

欧盟Cloud and AI Development Act：四层云主权框架

欧盟Cloud and AI Development Act（CADA）提出了一个四层系统，将云服务特征映射到基于敏感性和风险的允许用例。该法案旨在通过建立云主权框架增强欧洲数字主权，同时推动AI基础设施发展、加速数据中心审批流程，并与EU AI Act和Data Act形成互补。CADA的核心理念是根据数据敏感性和风险等级对云服务进行分层管理，要求特定级别的敏感数据必须使用欧洲主权云服务。这标志着欧盟从AI Act的透明度要求进一步扩展到云基础设施层面的主权要求。

Source: EU Cloud and AI Development Act (CADA)

GAO报告：联邦云采购面临定义过时和成本追踪挑战

美国政府问责署（GAO）发布报告（GAO-26-107530），发现联邦机构在获取云服务方面持续面临挑战。主要问题包括：联邦采购法规中的云相关定义过时，无法反映多云和混合云架构的现实；云成本追踪能力不足，导致预算和支出缺乏透明度；多供应商云环境的指导方针不充分，增加了采购复杂性。报告提出多项建议以解决这些采购挑战，强调需要更新联邦采购框架以适应云原生技术的快速发展。

Source: Cloud Computing: Federal Government Needs to Address Procurement Challenges (GAO)

FedRAMP 2026综合规则与数据隐私合规版图扩展

FedRAMP于6月25日发布2026年综合规则，简化了联邦机构采用商用云产品和服务的安全评估和授权标准化流程。更新旨在现代化机构采用和治理商业云服务的方式。与此同时，美国数据隐私合规版图持续扩大——截至2026年3月，已有20个州实施综合隐私法，其中印第安纳州、肯塔基州和罗德岛州于2026年生效。关键发展包括AI相关义务的扩展、更新的COPPA规则（4月22日合规截止日期），以及EU AI Act透明度要求和澳大利亚自动决策披露要求等国际框架的演进。

Source: FedRAMP Launches Consolidated Rules for 2026

分析

CADA的四层云主权框架代表了欧盟在云治理方面的最激进举措。与EU AI Act聚焦模型透明度不同，CADA直接干预云基础设施层面——要求特定敏感度的数据必须使用欧洲主权云服务。这对全球云服务提供商构成重大影响：AWS、Azure和Google Cloud需要在欧洲建立更深入的数据驻留和运营独立性。四层系统的实施将重塑欧洲企业选择云服务的方式，可能加速本地云提供商的增长。

GAO的联邦云采购报告揭示了一个被低估的系统性问题。联邦采购法规中的云定义仍然基于传统IT采购模式，无法适应多云、混合云和云原生架构。成本追踪能力不足意味着联邦机构难以量化云支出的投资回报率。这些问题直接影响国防和联邦机构的云现代化进程，也为云原生技术提供商创造了进入联邦市场的机会——提供更好的成本可视化和采购合规工具。

FedRAMP综合规则的更新和20个州隐私法的扩展共同描绘了全球云合规环境的复杂性。FedRAMP简化了联邦云采购流程，但州级隐私法的碎片化增加了企业合规成本。AI相关义务的扩展尤其值得关注——从EU AI Act的透明度要求到各州AI治理框架，AI合规正在成为云服务提供商和企业的核心挑战。

结论

全球云治理框架正在经历重大变革——欧盟通过CADA建立主权云框架，美国通过GAO报告和FedRAMP更新推动联邦云采购改革。企业应关注：（1）CADA四层框架对云服务选择的影响评估；（2）联邦云采购法规更新对政府采购策略的指导意义；（3）20个州隐私法和AI合规义务的综合管理需求。