欧洲国际政治经济中心（ECIPE）近日发布报告，对欧盟拟议中的《云与 AI 发展法案》（CADA）提出批评。该研究指出，欧盟追求“云主权”的政策导向可能适得其反，导致成员国在公共采购中更倾向于选择本国供应商，而非构建统一的泛欧云服务市场。
基于对 2018 年至 2025 年间 8,725 份云相关采购合同的分析，ECIPE 考察了九个欧盟成员国的公共云项目。数据显示，所有援引“主权”这一术语的项目均授予了国内供应商，而非其他欧盟国家的竞争者。报告称，即便在“主权”成为关键政策目标之前，欧洲的云计算采购已高度集中于各国国内市场，欧盟内部的跨境竞争本就微乎其微。
此外，报告揭示了一个核心矛盾：许多所谓的“主权”中标项目，实际上是由依赖大型超大规模运营商基础设施的主承包商完成的。这意味着，“主权”标签仅附着于运营商的国籍身份，而非服务所依赖的基础设施层本身。
概念混淆引发的政策困境
据 ECIPE 分析，问题的根源在于对“云主权”概念的混淆。目前，该术语被用来代表两个截然不同的逻辑：
- 安全与韧性目标：旨在保护数据和管理风险。在此语境下，主权意味着用户对其云服务需求拥有选择权，包括供应商的选择和服务的设计。
- 产业政策目标：认为通过排除非欧洲供应商的竞争，总部位于欧洲的企业将获得更高的成功几率。
报告指出，CADA 试图同时实现这两种不同的结果，导致立法逻辑混乱。该法案将四个欧盟保证级别定义为安全、韧性和可信云提供的标准，但实际上，这些标准通过要求基础设施位于欧盟境内、限制第三国控制权以及控制软件供应链，强制推行了主权概念。
市场碎片化风险
ECIPE 警告称，云主权的目标有沦为偏袒特定供应商、限制竞争和碎片化数字市场的政策工具的风险。该框架可能无法产生允许泛欧竞争对手与大美国云提供商共同成长的效果，反而可能鼓励成员国优先选择本国境内的供应商，从而加剧欧洲各地市场的碎片化。
针对这一现状，报告作者建议采取更连贯的方法：保留韧性目标，但通过技术中立性要求来缓和其使用，以保留互操作性、可移植性和多云选项。报告还提出多项政策建议，主张将主权定义为由实际成果证明的状态，而非所有权地位。
ECIPE 主任兼该研究合著者 Fredrik Erixon 表示：“真正的主权意味着公共买家能够证明其数据是安全的，并且在必要时可以更换供应商。供应商的护照并不能告诉你这一点。”他进一步指出：“欧洲的云计算市场在实践中已经是国家化的。CADA 有将其固化的风险。”
行业内的不同声音
尽管 ECIPE 持批评态度，但科技行业协会 CISPE（欧洲云基础设施服务提供商协会）今年早些时候曾敦促欧盟委员会为真正的技术主权立法，而不是制造主权的幻觉。
CISPE 主张，主权必须通过控制权来定义，而不仅仅是看供应商是否在欧盟设有存在。这要求企业对底层技术拥有有效的所有权，并免受域外法律的保护。例如，根据美国的 CLOUD Act，华盛顿方面可以迫使大型云运营商等美国科技公司交出其持有的任何数据，包括存储在海外的数据。此前，同一组织也曾警告称，欧盟委员会关于云主权的标准起草得过于……
