Akt o rozwoju chmury i sztucznej inteligencji: co Europa naprawdę próbuje naprawić

Akt o rozwoju chmury i sztucznej inteligencji to najczytelniejsza jak dotąd deklaracja tego, czym stała się europejska polityka technologiczna. To nie jest prawo ochrony konsumentów ani prawo bezpieczeństwa. To polityka przemysłowa wymierzona w jeden problem: Europa opiera większość swojej gospodarki cyfrowej na infrastrukturze, której nie kontroluje.

To inny rodzaj regulacji niż RODO czy akt o sztucznej inteligencji i dotrze do ciebie innym mechanizmem. Zrozumienie, jakim, ma większe znaczenie niż lektura motywów.

Problem, na który odpowiada

Liczb, które za tym stoją, nikt nie kwestionuje. Przygniatająca większość europejskich wydatków na infrastrukturę chmurową trafia do dostawców spoza Europy. Największe modele sztucznej inteligencji używane przez europejskie firmy trenuje się i hostuje poza Europą. Europejska moc obliczeniowa to niewielki ułamek światowej.

Przez dekadę uchodziło to za naturalny wynik gry rynkowej. Od 2022 roku traktuje się to jako strategiczną słabość, z powodów, które nie mają nic wspólnego z technologią: napięcia handlowe, kontrola eksportu i odkrycie, że zależność infrastrukturalna jest narzędziem nacisku.

Akt o rozwoju chmury i sztucznej inteligencji to legislacyjne ramię tej zmiany optyki. Stoi obok planu działania na rzecz kontynentu sztucznej inteligencji, inicjatywy InvestAI, programu gigafabryk sztucznej inteligencji i szerszej agendy konkurencyjności, która wyrosła z raportu Draghiego.

Co przewiduje projekt

Komisja opublikowała projekt 3 czerwca 2026 roku jako COM(2026) 502, razem z Chips Act 2.0. To rozporządzenie zbudowane wokół trzech celów i zestawu środków dla sektora publicznego:

Badania i innowacje. Cloud and AI Leadership Initiatives dla dużych projektów międzysektorowych, sieć AI Experience and Acceleration Centres oparta na europejskich centrach innowacji cyfrowych, moc obliczeniowa przydzielana priorytetowym projektom z zakresu najbardziej zaawansowanej sztucznej inteligencji oraz krajowa strategia chmury i sztucznej inteligencji w każdym państwie członkowskim w ciągu roku od wejścia w życie.

Moc centrów danych. Państwa członkowskie wyznaczają strefy przyspieszenia dla centrów danych z pojedynczym punktem informacyjnym i szybszym wydawaniem pozwoleń, a Komisja może wskazywać strategiczne projekty centrów danych. Deklarowany cel to co najmniej potrojenie mocy centrów danych w UE do 2030 roku, przy czym każde pozwolenie na nowe centrum danych ma być do uzyskania w niecałe 18 miesięcy.

Ramy suwerenności dla chmury. Cztery unijne poziomy zaufania. Poziom 1 to samoocena; poziomy od 2 do 4 audytują podmioty trzecie. Poziom 3 wymaga, by dostawca nie był kontrolowany z państwa trzeciego, chyba że Komisja uznała, że to państwo daje wystarczające gwarancje. Uznane usługi trafiają do centralnego unijnego rejestru.

Wdrażanie w sektorze publicznym. To ten punkt, który naprawdę zadziała. Zamawiający publiczni muszą kupować usługi chmurowe uznane co najmniej na poziomie 1. Jeśli ocena ryzyka wykaże, że dana działalność przyczynia się do utrzymania porządku publicznego (między innymi w sektorach NIS2, w obszarze bezpieczeństwa narodowego, obronności, wymiaru sprawiedliwości i egzekwowania prawa), dopuszczalne są tylko poziomy 2, 3 lub 4. Państwa członkowskie muszą też stosować kryteria unijnej wartości dodanej przy zakupach chmury i sztucznej inteligencji, EuroCloud Federation pozwala podmiotom publicznym współdzielić usługi chmurowe, a podmioty publiczne mają zachęcać do korzystania z otwartego oprogramowania zamiast własnościowego i to ułatwiać.

Niewiele, co wiązałoby prywatnych nabywców. Firmy z sektorów NIS2 mogą dobrowolnie przeprowadzić taką samą ocenę ryzyka, a Komisja mogłaby w drodze aktu delegowanego uczynić ją obowiązkową dla sektorów o szczególnie krytycznym znaczeniu. W proponowanym kształcie rozporządzenie miałoby zastosowanie rok po wejściu w życie, ale musi jeszcze przejść przez Parlament i Radę.

Mechanizm, który naprawdę do ciebie dotrze

Jedną rzecz w tym projekcie warto zrozumieć. Większość regulacji technologicznych dosięga prywatnych firm wprost: przetwarzasz dane osobowe, więc stosuje się do ciebie RODO. Akt o rozwoju chmury i sztucznej inteligencji dotrze do większości firm raczej pośrednio, przez zamówienia publiczne.

Wydatki technologiczne sektora publicznego w UE są ogromne. Jeśli podmioty publiczne w państwach członkowskich zostaną zobowiązane albo mocno zachęcone do kupowania europejskiej chmury, zmieni to dostępny rynek dla każdego dostawcy sprzedającego do sektora publicznego, a potem spłynie w dół, przez generalnych wykonawców do ich poddostawców.

Ten mechanizm znamy już z dostępności. Europejski akt o dostępności nakłada obowiązki bezpośrednie, ale w praktyce bardzo dużą część prac nad dostępnością napędziły zasady zamówień publicznych, które wykluczały niezgodnych dostawców na długo przed rozpoczęciem stosowania dyrektywy.

Tutaj będzie tak samo. Jeśli sprzedajesz oprogramowanie europejskim nabywcom publicznym, pytania o to, gdzie działa twoja infrastruktura, kto ją kontroluje i czy da się ją zmigrować, przeniosą się z kwestionariusza bezpieczeństwa do kryteriów kwalifikacji.

Co to znaczy dla architektury

Odruch przy lekturze polityki suwerennościowej bywa jeden z dwóch: zignorować albo migrować w panice. Ani jedno, ani drugie nie jest dobre. Rozsądne jest zadbanie o to, żeby dało się na to pytanie odpowiedzieć.

Wiedz, gdzie naprawdę są twoje dane i moc obliczeniowa

Brzmi trywialnie, ale trywialne nie jest. W dojrzałym systemie uczciwa odpowiedź na pytanie „gdzie to działa" obejmuje zwykle region podstawowy, region zapasowy, CDN o niejasnych lokalizacjach brzegowych, zarządzaną bazę danych, trzy zależności SaaS z własnymi podprzetwarzającymi, dostawcę narzędzi obserwowalności i API modelu, którego lokalizacji wnioskowania nikt nie udokumentował.

Zbudowanie rzetelnej mapy to pierwszy kawałek prawdziwej pracy, a przy okazji ta sama mapa przyda się do analizy przekazywania danych pod RODO i do pytań o łańcuch dostaw z NIS2. Zrób to raz.

Oddziel części przenośne od nieprzenośnych

Niemal każdy system ma przenośny rdzeń i zestaw zależności przywiązanych do konkretnego dostawcy. Przenośny rdzeń to zwykle sama aplikacja. Nieprzenośne są zwykle usługi zarządzane: zamknięte bazy danych, środowiska bezserwerowe, kolejki, tożsamość i coraz częściej API modeli.

Nie musisz się ich pozbywać. Musisz wiedzieć, które to są, bo ta lista jest uczciwą odpowiedzią na pytanie, jak trudna byłaby migracja, i to o nią naprawdę pyta kwestionariusz przetargowy.

Traktuj dostawców modeli jako granicę abstrakcji

Ten punkt jest najnowszy i najczęściej pomijany. Aplikacje, które wywołują API modelu jednego dostawcy wprost, a formaty promptów i obsługę odpowiedzi mają rozsiane po całej bazie kodu, podjęły decyzję o zależności, nawet tego nie zauważając.

Cienka abstrakcja nad wywołaniami modelu kosztuje przy budowie niewiele, a daje możliwość przekierowania ruchu do europejskiego dostawcy, do modelu o otwartych wagach na europejskiej infrastrukturze albo do kogoś zupełnie innego. Przy tym, jak szybko zmienia się rynek modeli, warto to zrobić choćby z powodów czysto handlowych.

Przetestuj wyjście, nie tylko je udokumentuj

Akt o danych już teraz daje ci prawo do zmiany dostawcy chmury, a opłaty za zmianę znikają całkowicie od 12 stycznia 2027 roku. Bardzo niewielu nabywców z tego prawa korzysta, a jeszcze mniej sprawdza, czy eksport, który im przysługuje, faktycznie odtworzyłby usługę.

Wykonaj ten eksport. Spróbuj go zinterpretować. W luce między tym, co dostawca nazywa eksportowalnym, a tym, co da się realnie wykorzystać, siedzi całe uzależnienie od dostawcy. Tam też leży uczciwa odpowiedź na pytanie o suwerenność.

Czym to nie jest

Trochę sceptycyzmu tu nie zaszkodzi, a lepiej patrzeć na to trzeźwo teraz, niż dać się zaskoczyć później.

To nie jest zakaz amerykańskiej chmury. Nic w projekcie nie zabrania prywatnym firmom korzystania z dostawców spoza Europy. Mechanizmem jest preferencja w zamówieniach i budowa mocy, a nie zakaz.

Moc obliczeniowa nie pojawi się dlatego, że ustawa tak każe. Europejskiej mocy chmurowej jest mało, bo budowa centrów danych i trenowanie najbardziej zaawansowanych modeli są kapitałochłonne, a Europa do niedawna nie wykładała kapitału w wymaganej skali. Właściwym instrumentem są tu programy finansowania omówione w naszym przewodniku po finansowaniu technologii w UE. Akt jest ramą wokół nich.

Etykieta suwerenności to jeszcze nie suwerenność. Kilka rozwiązań reklamuje się jako chmura suwerenna, choć działa na licencjonowanej technologii spoza Europy, z bardzo różnym stopniem niezależności operacyjnej. Odpowiedzią projektu są poziomy zaufania: kontrola z państwa trzeciego wyklucza usługę z poziomu 3 i wyższych, chyba że Komisja uzna to państwo. Gdzie ostatecznie przebiegnie granica między poziomami 2 i 3, rozstrzygną negocjacje.

To dopiero projekt. Tekst już jest, ale na dzień 10 października 2026 roku ani Rada, ani Parlament nie mają wobec niego stanowiska, a w Parlamencie dossier wciąż leży w komisjach ITRE i IMCO. Najprędzej zmienią się poziomy zaufania. Kierunek jest spójny w komunikatach Komisji od trzech lat.

Jak to się łączy z resztą

Akt o rozwoju chmury i sztucznej inteligencji jest jednym elementem skoordynowanego działania i czytany osobno wygląda słabiej, niż jest.

Akt o sztucznej inteligencji reguluje, jak zachowują się systemy sztucznej inteligencji. Akt o danych rozbija uzależnienie od dostawcy chmury na gruncie umownym. NIS2 spycha wymagania wobec łańcucha dostaw w dół, na dostawców. Akt o cyberodporności nakłada obowiązki bezpieczeństwa na produkty. InvestAI i program gigafabryk wkładają pieniądze w moc obliczeniową. Akt o rozwoju chmury i sztucznej inteligencji dokłada warstwę zamówień i suwerenności.

Z osobna każdy z nich wygląda na kolejne drobne obciążenie. Razem układają się w dość spójny zakład: że Europa da radę dojść regulacją do własnej bazy technologicznej, łącząc zasady dostępu do rynku z pieniędzmi publicznymi.

Czy ten zakład wypali, to uprawnione pytanie. To, że został postawiony, nie.

Co robić w najbliższych dwunastu miesiącach

Zbuduj mapę infrastruktury. Gdzie co działa, kto to obsługuje, jaka jest umowna ścieżka wyjścia. Znajdziesz dla niej cztery inne zastosowania.

Wskaż zależności naprawdę nieprzenośne i uczciwie wyceń migrację, nawet jeśli nigdy jej nie przeprowadzisz. To odpowiedź na pytanie z przetargu, a przy okazji zwykła higiena architektoniczna.

Postaw abstrakcję nad dostawcami modeli, jeśli jeszcze jej nie masz. Tanio teraz, drogo później, i przydatne z powodów niemających nic wspólnego z polityką.

Jeśli sprzedajesz europejskiemu sektorowi publicznemu, ustal, jaki poziom zaufania mogłaby osiągnąć twoja usługa. Wymóg pojawiłby się najpierw w zawartych w akcie regułach zamówień, jako kryterium kwalifikacji, a zaproponowany 9 września 2026 roku Public Procurement Act dokłada do tego ogólne ramy preferencji europejskiej.

Nie migruj na wyrost. Przenoszenie infrastruktury z powodu projektu, którego nikt jeszcze nie negocjował, to klasyczny sposób, w jaki firmy tracą rok i duży budżet na coś, czego ostatecznie nikt nie wymagał.

Jak uzyskać pomoc

Projektujemy i budujemy infrastrukturę chmurową, platformy danych i integracje sztucznej inteligencji dla firm działających w Europie, łącznie z mało efektowną robotą polegającą na tym, żeby system był przenośny naprawdę, a nie tylko na papierze.

Jeśli potrzebujesz mapy infrastruktury i zależności, testu wyjścia u obecnego dostawcy albo warstwy abstrakcji nad dostawcami modeli, napisz na office@c9group.dev. Więcej o naszej pracy przy infrastrukturze znajdziesz na stronie optymalizacji kosztów AWS, a o pracy w Europie na stronie wejścia na rynek UE.

Szerszy obraz legislacyjny opisuje nasza kolejka legislacyjna UE, a pieniądze stojące za tą agendą zebraliśmy w przewodniku po finansowaniu technologii w UE.

Jesteśmy inżynierami, a nie doradcami od polityki publicznej. To spojrzenie planistyczne na projekt przepisów, a nie porada prawna.