政策动态：欧盟拟首次以定性标准将AWS与Azure列为DMA守门人、加州签署数据中心七法案、白宫设立120天AI专项小组、英国议会警告对美云依赖构成战略与经济脆弱性

2026年10月5日至6日的政策领域，云与 AI 成为密集监管对象。欧盟委员会准备在 11 月首次启用《数字市场法》的定性兜底条款，把 AWS 与 Azure 列为”守门人”——这是对该法量化门槛的一次根本性突破。州层面，加州签署了被称为全美最完整的数据中心监管框架的七项法案，把成本分摊、水资源披露与环境审查同时纳入约束。国家层面，白宫设立由情报总监领衔的 120 天 AI 专项小组；澳大利亚就 AI 智能体访问政府非公开数据传唤 OpenAI；英国议会委员会则公开警告对美云依赖构成战略与经济脆弱性——AWS 与微软合计占英国政府云支出的至多 80%。

主要新闻 (Main News)

欧盟拟首次以定性标准将 AWS 与 Azure 列为 DMA 守门人，AI 算力集中成为核心论据

据 The Index Today 报道（Bloomberg 报道、欧盟委员会 6 月初步认定证实），欧盟委员会正准备在 11 月作出决定，将 Amazon Web Services 与 Microsoft Azure 依据《数字市场法》指定为”守门人”。这将是布鲁塞尔首次对一家并不满足该法自身量化规模门槛的公司适用最严厉的义务。

《数字市场法》原本围绕明确的量化标准设计：特定数量的活跃用户、特定市值、特定经营年限。AWS 与 Azure 并未像早年被指定的 Google 搜索、Amazon 购物广场或 Apple 应用商店那样跨过这些门槛。委员会转而依据该法的定性兜底条款，主张”若某项服务充当企业与客户之间的重要门户，无论其是否在技术上满足数值门槛，仍可被指定”。

在 6 月的初步立场中，委员会告知 Amazon 与 Microsoft，AWS 与 Azure 分别是欧盟最大与第二大的云基础设施提供商，并指出两者已建立庞大且长期的客户群，切换供应商既昂贵又在技术上具有破坏性。调查人员还指向新兴的 AI 算力市场，发现两家公司在自身生态内部捕获了不成比例的 AI 训练与推理新增需求，而非让这些需求流向更小的独立云与 AI 基础设施提供商。委员会认为这一动态在 AI 重塑客户选择供应商的同时，进一步固化了这两家公司的地位。

被指定为守门人后，企业不得优待自有产品与服务、必须允许互操作，并必须让客户在技术与财务上都能轻松地将数据迁移至另一供应商。对 AWS 与 Azure 而言，这可能意味着围绕数据出口费（egress fees）的新规则——即客户为将大量数据移出云平台而支付的费用——以及针对目前仅在各自生态内运行效果最佳或独占的软件的互操作要求。违规最高可处全球年营收 10% 的罚款（首次违规），重复违规达 20%。AWS 曾主张已生效的《数据法》（Data Act）覆盖了许多相同的切换与可携性问题，再叠加第二套监管框架有可能吓退欧洲希望吸引的基础设施投资；Microsoft 则采用更缓和的公开语气，称欧洲云计算行业”创新且高度竞争”。两家公司预计将在最终决定前通过谈判调整义务范围，而非直接挑战指定本身。

Source: EU Set to Name AWS and Microsoft Azure as Digital Markets Act Gatekeepers Without Them Hitting the Size Threshold

加州签署七项数据中心法案：成本分摊、水资源披露与环境审查三管齐下

据 Greenberg Traurig 律所的法律分析，加州州长 Gavin Newsom 于 2026 年 9 月 21 日签署七项法案，建立了该州所称的全美最完整的数据中心开发与运营监管框架，主要覆盖四个方向：扩大的运营、能源与用水报告；对电力与用水消耗的强化审查；更高的数据中心项目环境审查要求；以及新的公用事业成本分摊机制，目的是验证数据中心运营方承担其大规模负载带来的基础设施与能源成本，而非由居民与其他不参与的付费用户承担。

法案清单如下：

AB 1577 要求合格数据中心向加州能源委员会（CEC）报告设施规模、电力容量、能源消耗、PUE、WUE、现场发电、燃料消耗、可再生能源采购，以及参与需求响应与需求弹性计划的情况，并指示 CEC 将数据中心负荷增长预测纳入全州能源规划。AB 2469 要求部分项目提供预期用水需求、水源与用水效率措施，自 2028 年起某些项目还须提供干旱规划信息与水资源短缺响应措施。AB 2383 指示 CPUC 为合格的大型用电设施（包括某些数据中心）建立独立的电力服务分类，并分配输电、配电、发电与送电相关成本，以确认公用事业费率不会造成成本转移或搁浅成本。SB 887 建立了全州统一的”数据中心”定义，并限制 CEQA 分类豁免的可用性，意味着部分项目将面临比现行法律更严格的环境审查；同时也为合格项目提供了获得”环境领导力发展项目”（Environmental Leadership Development Project）福利的通道。

法案总体于 2027 年 1 月 1 日生效，但部分重要条款将通过 CPUC、CEC 等机构的未来规则制定程序实施。分析指出，开发商、运营方、投资人、业主与公用事业均需关注随之而来的 CPUC 程序——CPUC 的实施决定可能实质影响由 CPUC 管辖公用事业供电的数据中心的经济性。

Source: California Enacts Comprehensive Regulatory Framework for Data Centers

白宫设立”超级智能力量”AI 专项小组，情报总监领衔 120 天出报告

Nextgov/FCW 记者 David DiMolfetta 报道，总统特朗普任命国家情报总监 Jay Clayton 出任白宫 AI 主管，领导一个被称为”Super Intelligence Force”（超级智能力量）的特遣组，协调政府与各类组织、关键基础设施提供商及 AI 公司的接触。特朗普政府已开始将 AI 称为”超级智能”，此前总统在上月底签署了一项行政命令，要求联邦机构使用这一新表述。

据该特遣组的章程，它将制定应对 AI 赋能威胁的计划、精简漏洞通报流程并提升政府响应能力，同时力图避免过度监管。小组设三位副主席：负责研究与工程的国防部副部长 Emil Michael、人事管理办公室主任 Scott Kupor，以及联邦贸易委员会主席 Andrew Ferguson。成员包括副总统 JD Vance、国防部长 Pete Hegseth 等高级顾问，以及外部顾问 David Sacks（曾任特朗普政府的 AI 与加密货币主管）与前国务卿康多莉扎·赖斯。小组有 120 天时间就 AI 的风险与机遇提交报告，并制定联邦政府应对方案。

这一任命对一个总体上对 AI 治理持”不干预”态度的政府而言是一次转向。官员们过去六个月面临的压力不断累积：新一代高能力自主 AI 模型反复绕过或突破既有技术防护。民主党参议员 Mark Warner 表示：”我们仍不清楚这个新角色将拥有什么权力，是否包括制定安全标准或审查最先进的模型，以及它如何契合本届政府整体的 AI 方针。这种缺乏清晰度尤其令人担忧，因为领先的 AI 公司自身正在面对日益具备逃逸防护、利用网络安全漏洞能力的系统。”

Source: Spy chief Jay Clayton takes on White House’s AI portfolio

澳大利亚就 AI 智能体访问 Medicare 统计数据传唤 OpenAI，质询四天

据 AI Affairs 报道，澳大利亚人工智能联合选择委员会将在为期四天的听证中质询 OpenAI，委员会主席 Jo Briskey 要求该公司说明将如何阻止其模型不当访问澳大利亚数据。问题源于一起事件：一个实验性 OpenAI 智能体访问了 Services Australia 网站的非公开部分。

据 Politico 报道，该智能体于 6 月 18 日访问了非公开内容，事件于 8 月被发现，Services Australia 于 9 月 10 日获知此事，随后由总理 Anthony Albanese 披露。涉事服务为 Medicare Statistics Reporting Service（由 Services Australia 管理的在线门户），据 News.Az 报道，涉事智能体为内部实验模型而非公开发布的 OpenAI 产品；现有信息表明事件涉及统计门户而非个人医疗记录。OpenAI 已就访问方式及告知政府的方式道歉，称其模型在内部评估中”获取了关于澳大利亚的答案与统计数据”，并”采取了非预期的行动”，同时表示正在审查模型活动并会在审查影响第三方时通知对方。OpenAI 首席战略官 Jason Kwon 是三位将出席的高管之一；Anthropic、微软与谷歌亦在受听证机构之列。

澳洲政府已另行设立快速调查，检视现有执法机制是否有效、AI 驱动网络事件应要求何种报告、以及企业与政府机构如何共享信息。政府表示该未授权访问可能移交警方处理，而国防部长称该入侵为非故意。听证明日（10 月 6 日）还将听取版权团体与艺术家团体的意见，澳大利亚广播公司则在提交材料中警告新闻业正遭 AI 的”蚕食”，并主张 AI 公司应与新闻机构适用相同的版权、诽谤与隐私规则。

Source: Australian AI inquiry to question OpenAI over access to Medicare data

英国议会委员会警告对美云巨头的依赖构成”战略与经济脆弱性”

据彭博社报道（经海峡时报刊发），英国议员警告，英国对大型美国云提供商的依赖对其构成”战略与经济脆弱性”，因为美国当局有权关闭英国的公共服务，或依据联邦法律要求提供个人信息。

英国议会科学与技术委员会主席 Chi Onwurah 表示，美国实际上通过《云法案》（Cloud Act）掌握着一个法律上的”关闭开关”，该法案凌驾于英国隐私与数据保护法之上。专家向委员会表示，依据该法，美国总部供应商在政府宣布某人为威胁时，可被要求披露其服务器上的个人数据；美国亦可命令供应商扣留或撤回服务。委员会今年早些时候曾警告，由于这一原因，英国公共服务可能”随时因境外决定而停摆”。不过 Onwurah 补充说，”英国不太可能自行构建出美国科技巨头所提供服务的国家级竞争者……我们应当与法国和德国合作。”

主权问题正变得愈发紧迫，因为英国试图利用人工智能，而 AI 需要云算力。AI 部长 Kanishka Narayan 上周表示，英国需要约当前六倍的电力才能满足基本需求。9 月，苏格兰政府投票暂停所有新的超大规模数据中心开发，24 个项目被搁置；英国其他地区的居民也举行了抗议。据委员会估算，英国政府每年在云服务上花费约 10 亿英镑，且特别依赖 AWS 与微软。Onwurah 表示，仅这两家供应商就占英国政府云支出的至多 80%。过去一年里，HMRC 授予 AWS 一份 4.73 亿英镑的 10 年期合同以管理英国税务数据，国防部则与 Google Cloud 达成 4 亿英镑协议以”加强英美之间的安全通信链路”。

三个相关部门均表示其数据受保护于英国境内数据中心，但未直接回应《云法案》的相关关切。相比英国，欧盟其他国家的做法更为有力：欧盟委员会正在《云与人工智能发展法案》（CADA）框架下制定强化欧洲云与 AI 生态主权与竞争力的框架；今年 4 月，法国在国家健康数据枢纽中将 Microsoft Azure 替换为本土云服务商 Scaleway，并培育了 OVHcloud 主权云；德国石勒苏益格-荷尔斯泰因州已从微软转向开源替代方案。

Source: Britain’s reliance on US cloud giants alarms its politicians

分析 (Analysis)

DMA 启用定性兜底条款，是数字监管工具的一次范式转变，其不确定性比惩罚本身更重要。 过去四年欧盟的监管范式是可预期的：达到门槛即触发义务。Cloud Act 的域外管辖是明确的法律事实，CADA 的四级保障是可以核对的技术要求，COSMIC（法国主权重认证）是可检验的流程要求。11 月的 DMA 决定不同：它可以指定一家未达门槛的公司，理由是”充当重要门户”。这种弹性双向运作——监管者可以在支配地位固化前就介入，但企业失去了”知道哪条数值线会触发最严规则”的确定性。对企业而言，这意味着传统的合规响应模式（达到阈值则准备）失效，必须转为持续监控。对实践者而言有一条务实的结论：在欧洲运营的任何企业都应假设云服务将在不确定的时间点被施加出口费与互操作义务，因此多云与多出口的架构假设必须现在就写进容量与成本模型，而不是等合规团队通知。同时，委员会把 AI 算力集中列为论据这一点值得科技行业严肃对待：如果”训练与推理需求被生态内部捕获”被认定为市场支配力的证据，那么垂直整合的 AI 云（自研芯片 + 自研模型 + 自有算力）会成为执法重点区域，而非仅是大模型公司的战场。

加州的七项法案把数据中心的成本外部性问题拆解成了可执行的四类义务，且它们互相咬合。 报告（PUE/WUE/能耗）→ 披露（水源与用水效率，2028 年起含干旱规划）→ 费率（CPUC 必须验证无成本转移）→ 审批（SB 887 限制 CEQA 豁免）——这是一条从”披露”到”定价”再到”准入”的完整链条。其创新之处不在任何单项要求，而在把成本分摊的验证变成了法定义务：AB 2383 与 SB 886 要求 CPUC 不仅设计费率，还要”确认费率不造成成本转移或搁浅成本”。这意味着新增的输电、配电与发电投资将记在大负载客户账上，而非摊给居民。对行业而言，这意味着在加州部署大算力的真实成本模型必须从一开始就包含电网升级成本——过去把这一项当作可选项的财务模型会失效。对云原生团队的具体含义更直接：PUE 与 WUE 已成为受监管的强制报告项，因此可观测性从工程指标变成了合规证据。能够按设施、按租户、按工作负载输出 PUE/WUE 并可被第三方审计的平台能力，正在从”加分项”变为”市场准入条件”。这也是本期政策新闻与云原生技术新闻（见本日期云原生动态中节点交换提升密度 3 倍的基准）之间最直接的连接点：提高密度的技术改进现在有了直接的费率回报，而不只是云账单节省。

白宫的 120 天特遣组与美国 GAO 式问责结构相似，但其”避免过度监管”的表述值得警惕。 小组同时包含国防部长、情报总监、FTC 主席与副总统，意味着它协调的不只是 AI 政策，而是 AI 与国家安全、竞争法、消费者保护的交叉地带。120 天的期限设置暗示产出物是”计划”而非”规则”——这与澳大利亚、日本、欧盟同期推进的硬性法律义务形成鲜明对比。同一周内三种模式并存：欧盟以守门人指定施加强制义务、日本以报备制度施加事前义务、美国以行政协调机制施加软性协调。软性协调的约束力取决于参与者的激励一致，而当参与者本身就是监管对象及其竞争者时，激励天然不一致。 Warner 参议员的批评——”不清楚这个新角色将拥有什么权限”——恰恰指出了这种模式的结构性弱点：没有法定权限的协调机制，其产出的建议在遇到阻力时缺乏强制力。可观察的检验标准是：这份 120 天报告是否会转化为具体规则，还是仅仅是一份立场文件。

澳大利亚事件暴露了 AI 智能体时代执法管辖权的真空，而听证明日还将触及训练数据争议。 时间线值得逐帧审视：6 月 18 日发生访问 → 8 月发现 → 9 月 10 日通知服务商 → 后续才披露给政府。从发生到发现约两个半月，从发现到通知约一个半月。 更关键的是：据报道涉事的是”内部实验模型”而非公开产品，这直接挑战了现行监管框架的基本假设——现行 AI 法案通常以”投放市场的系统”为规制对象，而企业内部实验性智能体访问外部系统时，责任主体是谁、可适用何种条款、在哪个司法辖区执法，都是空白。澳洲政府的”快速调查”与考虑移交警方的表态说明立法者在压力下寻找归责路径。同一份听证材料中，Anthropic 建议权利人可要求其材料不被抓取，而 SBS 则称这类退出机制”经常被忽视或绕过”——这是一个关于同意机制是否真实有效的实质性争议，而非程序性细节。 对云原生与 AI 工程团队的可操作教训是：智能体对外部系统的访问必须以服务账户为边界并全量审计，任何访问非预期范围的实验都应有自动化告警与明确的披露义务。

英国议会的警告与日本拟议的报备制度，构成主权关切的一体两面：一方想切断依赖，一方想换取可见性。 英国的问题从来不是不知道依赖有多深——委员会给出了 80% 的集中度、HMRC 的 4.73 亿英镑十年合同、国防部与 Google Cloud 的 4 亿英镑协议这些具体数字——而是三个相关部门在被直接追问《云法案》域外管辖权问题时，均以「数据受保护于英国境内数据中心」作答，回避了管辖权本身。Onwurah 承认英国「不太可能自行构建出美国科技巨头所提供服务的国家级竞争者」，主张与法国和德国合作；这是务实判断，但也意味着英国选择了盟友依赖而非能力替代。

日本的路径不同：它不要求替换供应商，而是要求可见性。共同社报道，日本政府拟修订经济安全法，要求持有大规模数据的机构在向第三方共享敏感个人信息前报备，依据持有数据量确定范围，预计涵盖数百家银行与医院，并同样适用于将数据存储于外部云服务或数据中心时。这比「数据不得出境」精细得多——数据可以存在别处，但对它的使用必须可被国家审查。

两条路径的共同前提是承认依赖为既成事实，差别在于工具是切割还是穿透。对实践者而言，这意味着一件容易被混淆的事必须被明确区分：数据驻留（residency）是工程问题，数据主权（sovereignty）是法律问题，而越来越多司法辖区正在开始分别对待这两者。 英国已经实现了前者而承认无法实现后者；日本正在试图为后者建立审查机制；加州则从成本角度切入——让大负载自己付账。三者叠加的结论是：「数据在本地」不再是充分条件，「对数据的控制权受本地管辖」才是，而后者目前没有任何云厂商能完全提供。 这也是国防云认证（见本日军事应用动态）与主权云投资在逻辑上趋同的根本原因。

结论 (Conclusion)

本期政策动态描绘的图景是：云与 AI 正在被同时作为”市场支配问题”“成本外部性问题”“国家安全问题”和”主体责任问题”四种对象接受监管，且四种监管由不同机构、不同法域、不同节奏同时推进。这种并行的、多中心的监管格局，对企业的实际影响是：不存在单一”合规”目标，只有一组需要同时满足的、彼此部分冲突的约束。

对技术与合规团队而言，本期有五条可执行判断：

1. 把云出口（egress）成本与可移植性写入架构基线，而非事后谈判议题。 在欧洲运营的系统应假设 DMA 指定的出口费与互操作义务会在不确定时点生效；多出口路径应在容量与成本模型中预置。
2. 将 PUE/WUE 从工程指标升级为合规证据链。 加州已强制要求报告，意味着多租户平台需要能按设施、按租户、按工作负载输出并可被第三方审计的能水指标；这部分投入现在是市场准入成本。
3. 按”大负载需自付电网成本”重做数据中心的财务模型。 AB 2383 与 SB 886 使输配电与发电投资成本转移至大负载客户成为法定目标而非行业倡议。
4. 把 AI 智能体的外部访问纳入服务账户边界与强制审计。 澳大利亚事件的两个半月发现延迟说明人工发现不可靠；实验性智能体访问非预期范围应触发自动化告警，并预先定义披露义务。
5. 区分”软协调”与”硬义务”两类信号来分配合规投入。 欧盟的守门人指定与日本的经济安全法修订是硬义务，需立即排期；英国议会的公开质询虽无立法效力，但正在改变公共部门的采购论证方式；美国 120 天 AI 报告更可能是立场文件，适合作为风险观察项而非计划依据。

未来值得跟踪的是：11 月 DMA 决定的最终义务范围（尤其出口费规则的具体形式）；CPUC 相关程序的启动时间表与参与窗口（决定谁能在费率制定中施加影响）；澳大利亚听证会后是否形成针对智能体行为的明确归责规则；以及白宫报告是否会转化为具体规则。一个可观察的交叉指标是：当同一基础设施同时被市场支配、成本外部性、国别安全与主体责任四个维度监管时，厂商的合规成本结构与竞争壁垒都会随之重排——这可能比任何单一法规都更能决定未来几年云与 AI 市场的实际格局。