政策动态：欧盟CADA云主权法案进入审议与尼日利亚国家云政策落地

全球云治理政策本周密集推进——欧盟《云与AI发展法案》（CADA）在爱尔兰担任轮值主席国期间启动理事会层面审议，其四级主权保障框架引发业界对商业策略的重新评估；尼日利亚同日发布国家数字云政策并宣布10月启动主权云认证，目标成为西非数字服务出口枢纽。与此同时，美国国会推动的《远程访问安全法案》试图封堵中国AI企业通过东南亚数据中心远程调用Nvidia先进芯片的出口管制漏洞。

主要新闻

欧盟CADA云主权框架进入理事会审议，商业策略面临重估

IAPP于8月20日发表分析文章，剖析欧盟委员会6月3日通过的《云与AI发展法案》（CADA）对企业战略的深远影响。CADA是欧盟技术主权一揽子计划的核心，针对欧洲云市场结构性依赖——EU供应商市场份额从2017年约29%降至2022年的约15%并停滞至今——提出三大支柱：云与AI领导力计划、数据中心加速区（许可审批上限12个月）以及最受关注的四级”联盟保障水平”主权框架。最低层级仅要求数据存于欧盟境内，最高层级则要求完全的欧盟所有权和控制权、不受第三国法律干预。约70%的公共合同落在仍向超大规模云厂商开放的最低层级。爱尔兰自7月1日接任轮值主席国后已将CADA列为优先事项，计划年底前提交进展报告；法案随后将进入议会与理事会的谈判，预计2027年前难以完成。

Source: The EU’s proposed CADA: Why cloud sovereignty matters for business strategy

尼日利亚发布国家数字云政策，剑指西非云枢纽

尼日利亚于8月19日正式发布《国家数字云政策》，取代2019年版云计算政策，目标是让尼日利亚成为西非和撒哈拉以南非洲领先的数字服务出口枢纽。政策核心包括：联邦政府部门强制推行”云优先”原则、由Galaxy Backbone统一运营全政府云采购模式、设立国家数字市场和专属预算线。数据主权采用风险分级制——第四级机密数据必须托管于尼日利亚境内且受主权控制的设施，第一级开放数据则无驻留限制。配套激励措施涵盖数据中心设备和能源系统的关税豁免、简化监管流程以及面向数据中心的清洁电力专项。政策设定24个月三阶段实施路线图，以私营投资额、装机容量和公共部门节省额等KPI考核进度。

Source: Nigeria Unveils National Digital Cloud Policy to Drive Regional Cloud Hub Ambitions

尼日利亚10月启动主权云认证，监管平台同步上线

尼日利亚国家信息技术发展局（NITDA）8月19日披露，已于8月4日在阿布贾签署国家主权云倡议（NSCI）的三项监管文书并公开发布：《国家云计算指南》确立云采用总规则，《国家云技术指南》规定供应商技术标准，《国家数字基础设施保障框架》（NDIAF）提供合规验证机制，另有《国家云投资战略》规划投资路线图。NITDA计划2026年10月启用国家数字监管平台，对服务尼日利亚市场的所有云供应商——包括本土运营商和国际超大规模厂商——进行入驻评估、技术评估和认证。主权云治理委员会已在签署两周内组建，央行支付系统监管部门出席签署仪式凸显了金融行业数据本地化要求与云认证机制的衔接。

Source: Nigeria Begins Sovereign Cloud Certification In October

美国推动RASA法案封堵云端算力出口漏洞

CNBC 8月19日报道，尽管美国禁止直接向中国出口Nvidia最先进的GB300等AI芯片，多家中国AI企业仍通过泰国、马来西亚、日本等地的数据中心远程访问这些芯片的算力——现行出口管制体系只管控物理芯片的所有权，不覆盖对其算力的远程访问。Moonshot AI今年7月发布新模型不到一周，白宫官员即指控其通过泰国设施使用GB300芯片；ByteDance被曝与新加坡云服务商Aolani合作获取马来西亚的算力。众议院1月通过的《远程访问安全法案》（RASA）试图将出口管制扩展至关键软硬件的远程云端访问，但仍待参议院表决，且即便通过也需BIS制定实施细则——包括界定受控算力范围、建立客户身份核验（KYC）机制等，业界预计合规负担将落在云服务商身上。

Source: China AI firms tap Nvidia power overseas as U.S. weighs crackdown

分析

欧盟CADA与尼日利亚国家云政策在同一周密集推进，标志着”云主权”已从欧洲议题演变为全球性政策范式。两者虽处于不同发展阶段——欧盟在完善成熟市场的分级管控，尼日利亚在构建新兴市场的基础框架——但共享同一套政策语法：数据分级分类、强制本地化层级、政府统一采购杠杆和主权认证机制。这种趋同对未来跨国云业务的含义深远：全球云供应商将面对的不是单一合规要求，而是数十个司法辖区各自的主权认证矩阵，合规成本将成为新的市场准入壁垒。

CADA内部的张力值得特别关注。”快速建设”与”控制所有权”两个目标存在结构性冲突：五年至七年内将欧盟数据中心容量至少提升两倍需要约2000亿欧元投资，主要依赖私人资本，而私人需求目前仍流向CADA试图防范的美国超大规模厂商。德国智库cep批评以国籍划定主权的做法过于粗糙，可能带来更高成本和保护主义而非真正的韧性。最终的主权层级划分和豁免条款将在议会与理事会的谈判中决定，美国云厂商的游说空间仍然存在。

RASA法案揭示的则是出口管制的范式转移：从管控”物的流动”转向管控”能力的访问”。物理芯片禁运在云计算时代出现了根本性漏洞——算力可以跨境流动而硅片不必移动。但封堵这一漏洞的技术难度极高：如何定义”受控算力”？如何在多云环境中验证终端用户的真实身份？BIS即便快速出台规则，可执行性仍是未知数。更深层的问题在于，这类管控可能加速中国自研芯片和非美技术栈的成熟，产生与政策初衷相反的效果。

结论

本周动态表明数字基础设施的治理正在经历从”数据保护”到”基础设施主权”的升级。企业应立即开展三项工作：评估自身云架构在各司法辖区主权框架下的暴露度、跟踪CADA谈判中保障层级的最终定义、并将出口管制合规审查扩展到云端算力采购环节。对于云服务商，主权认证能力本身正在成为产品竞争力——谁先完成多辖区认证矩阵布局，谁就掌握了下一个十年的市场准入钥匙。