云与人工智能发展法案：欧洲真正想修的是什么

欧洲的技术政策已经变成了什么样子，《云与人工智能发展法案》是迄今最清晰的一次表态。它不是消费者保护法，也不是安全法。它是产业政策，针对一个单一问题：欧洲数字经济的大部分，跑在自己控制不了的基础设施上。

这和《通用数据保护条例》或《人工智能法案》不是同一类监管，触及你的机制也不一样。搞清楚是哪个机制，比读序言条款更重要。

它在回应的问题

背后的数字没有人有异议。欧洲云基础设施支出的绝大部分流向非欧洲提供商。欧洲公司用的那些最大的人工智能模型，训练和托管都在欧洲之外。欧洲的算力容量只占全球总量的很小一部分。

有十年时间，这被视作市场的自然结果。2022 年之后，它变成了一种战略脆弱性，原因与技术毫无关系：贸易紧张、出口管制，以及一个逐渐清晰的认识，即基础设施依赖本身就是筹码。

《云与人工智能发展法案》是这次重新评估在立法上的落点。与它并行推进的还有《人工智能大陆行动计划》、InvestAI 倡议、人工智能超级工厂计划，以及从德拉吉报告延伸出来的整套竞争力议程。

提案内容

欧盟委员会于 2026 年 6 月 3 日发布了这份提案，编号 COM(2026) 502，同时发布的还有 Chips Act 2.0。它是一部条例（Regulation），围绕三个目标和一系列公共部门措施展开：

研究与创新。 面向跨行业大型项目的云与人工智能引领计划（Cloud and AI Leadership Initiatives）；依托欧洲数字创新中心建立的人工智能体验与加速中心网络；向前沿人工智能优先项目分配算力；以及每个成员国在条例生效后一年内制定国家云与人工智能战略。

数据中心容量。 成员国划定数据中心加速区，设单一信息窗口并加快审批，欧盟委员会可以认定战略性数据中心项目。公布的目标是到 2030 年把欧盟数据中心容量至少提高到原来的三倍，新建数据中心的每一项许可都能在 18 个月内拿到。

云的主权框架。 设四个欧盟保障等级。等级 1 是自我评估；等级 2 至 4 由第三方审计。等级 3 要求提供商不受第三国控制，除非欧盟委员会已认定该国提供了足够保障。获认可的服务录入欧盟中央登记库。

公共部门采用。 这一条才真正有约束力。公共采购方必须采购至少获得等级 1 认可的云服务。如果风险评估认定某项活动关系到公共秩序（包括 NIS2 所涵盖的行业、国家安全、国防、司法和执法等），则只允许使用等级 2、3 或 4。成员国在采购云和人工智能时还须适用欧盟附加值标准；EuroCloud Federation 让公共机构可以共享云服务；公共机构还应鼓励并便利使用开源软件，而非专有软件。

对私营买家约束很少。 NIS2 所涵盖行业的企业可以自愿开展同样的风险评估，欧盟委员会也可以通过授权法案，把它定为高度关键行业的强制要求。按提案，条例将在生效一年后适用，但它仍须经过议会和理事会。

真正会触及你的那个机制

关于这份文件，有件事值得弄明白。大多数技术监管直接触及私营公司：你处理个人数据，因此《通用数据保护条例》适用于你。而《云与人工智能发展法案》更可能通过采购间接触及大多数公司。

欧盟公共部门的技术支出规模巨大。如果成员国公共机构被要求、或者被强烈鼓励采购欧洲云，那么每一家向公共部门销售的厂商，可触达的市场都会变，而且这种变化会经由总承包商一层层向下传导到供应商。

这个套路在无障碍领域已经见过一次。《欧洲无障碍法案》 有直接义务，但实践中大量无障碍工作是由公共采购规则推动的，那些规则早在指令适用之前就把不合规的供应商排除在外了。

这里也会一样。你的基础设施跑在哪里、谁在控制、能不能迁走，这些问题会从安全问卷挪进资格标准。

这对架构意味着什么

读到主权政策时的本能反应，要么是无视，要么是恐慌式迁移。两者都不对。合理的做法是确保这个问题你答得上来。

弄清楚你的数据和算力究竟在哪

这听起来是件小事，其实不是。在一个成熟的系统里，“这跑在哪里”的诚实答案往往涉及一个主区域、一个备份区域、一个边缘节点位置不明的 CDN、一个托管数据库、三个各自带有子处理者的 SaaS 依赖、一个可观测性厂商，以及一个推理位置没有文档记录的人工智能 API。

画一张准确的地图是第一项真正的工作，而且它和你做 《通用数据保护条例》跨境传输分析、回答 NIS2 供应链问题时要用的是同一张。画一次就够。

把可移植的部分和不可移植的部分分开

几乎每个系统都有一个可移植的内核，外加一组绑定了特定提供商的依赖。可移植的内核通常是应用本身。不可移植的部分通常是托管服务：专有数据库、无服务器运行时、队列、身份，以及越来越多的模型 API。

你不必把这些都消掉。但你必须清楚它们都有哪些，因为那份清单就是“迁移有多难”的诚实答案，也正是采购问卷真正在问的东西。

把模型提供商当作一条抽象边界

这是最新、也最常被跳过的一条。如果一个应用直接调某一家厂商的模型 API，厂商特有的提示词格式和响应处理又散落在代码库各处，那它其实已经在不知不觉中做了一个依赖决定。

在模型调用之上做一层薄抽象，写的时候成本极低，换来的是随时改道的能力：改到欧洲提供商，改到跑在欧洲基础设施上的开放权重模型，或者干脆换一家厂商。考虑到模型格局变化之快，仅从商业角度看就值得做。

测试退出路径，而不只是把它写进文档

《数据法案》 已经赋予你切换云服务商的权利，切换费用自 2027 年 1 月 12 日起完全取消。很少有买家用这项权利，更少有人去验证自己有权拿到的导出数据能不能真把服务重建起来。

去跑一次导出。试着解读它。提供商声称可以导出的东西，和实际能用起来的东西，中间那段差距就是锁定的所在，也正是主权问题的诚实答案。

它不是什么

保持合理的怀疑是应该的，现在看清楚好过以后被吓一跳。

这不是禁用美国云。 提案中没有任何条款禁止私营公司使用非欧洲提供商。机制是采购偏好和能力建设，不是禁令。

容量不会因为一部法律说了就出现。 欧洲云容量有限，是因为建数据中心和训练前沿模型是资本密集型的，而欧洲直到最近才按所需规模投入资本。我们在 欧盟技术资助指南 中讨论的资助计划才是这里真正的工具。这部法案是围绕它们的框架。

主权标签不等于主权。 有几种方案把自己包装成主权云，实际上是在授权许可下跑非欧洲技术，运营独立性参差不齐。提案给出的答案是保障等级：受第三国控制的服务进不了等级 3 及以上，除非欧盟委员会认可该国。等级 2 和等级 3 之间的界线最终划在哪里，要由谈判决定。

它还是一份提案。 文本已经有了，但截至 2026 年 10 月 10 日，理事会和议会都还没有就此形成立场，在议会里该文件仍在 ITRE 和 IMCO 两个委员会手中。保障等级是最可能变动的部分。方向则在欧盟委员会三年来的表述里始终一致。

这与其他一切怎么连起来

《云与人工智能发展法案》是一次协调推进中的一环，孤立地读它会让它显得比实际更弱。

《人工智能法案》 规范人工智能系统的行为。《数据法案》 从合同层面下手，对付云锁定。NIS2 把供应链审查沿着厂商链条往下压。《网络韧性法案》 把安全义务加在产品上。InvestAI 和超级工厂计划把钱投进算力容量。《云与人工智能发展法案》补上采购和主权这一层。

单看每一项都像是渐进的负担。合起来看，它们描述了一个相当连贯的赌注：欧洲可以通过把市场准入规则和公共资金结合起来，用监管的方式走出一个本土技术基础。

这个赌注能不能成立，是个合理的疑问。至于赌注已经下了，则没有疑问。

未来十二个月做什么

建基础设施地图。 每样东西跑在哪、谁在运营、合同上的退出路径是什么。这张图另有四种用途。

把真正不可移植的依赖找出来，并诚实地给迁移估个价，哪怕你永远不会真去迁。这是采购问题的答案，本身也只是好的架构习惯。

如果还没有，就在模型提供商之上加一层抽象。 现在便宜，以后昂贵，而且出于与政策无关的理由也有用。

如果你向欧洲公共部门买家销售，先弄清你的服务能达到哪个保障等级。 这项要求最先会以资格标准的形式出现在该法案的采购规则里，而 2026 年 9 月 9 日提出的《公共采购法案》（Public Procurement Act）又在其上叠加了一个总体的欧洲优先框架。

不要凭猜测搬家。 为一份还没有人谈判过的提案而搬迁基础设施，正是很多组织花掉一年时间和一大笔预算、最后发现根本没这个必要的典型路径。

需要帮助时

我们为在欧洲经营的公司设计和构建云基础设施、数据平台和人工智能集成，包括那些不光鲜的工作：让一个系统真正可移植，而不是名义上可移植。

如果你需要一张基础设施与依赖地图、一次针对现有提供商的退出测试，或者一层模型提供商之上的抽象，请写信到 office@c9group.dev。关于我们的基础设施工作，更多内容见 AWS 成本优化页面，关于我们在欧洲的工作见 欧盟市场进入页面。

更广的立法图景在我们的 欧盟数字立法管线 中，这项议程背后的资金梳理在我们的 欧盟技术资助指南 中。

我们是工程师，不是政策顾问。这是对一份提案的规划视角，不是法律意见。