主權 AI 進入 2.0 時代：歐盟 CADA 草案將以 4 大主權評級看「終止開關」風險
全球各國談論「主權 AI（Sovereign AI）」時，焦點大多放在資料是否留在境內、是否建立在地資料中心，以及是否建立自己的大型語言模型，但歐盟最新提出的一項計畫，正把問題推向更深一層。
歐盟執委會近日公布一套名為「科技主權方案」（Tech Sovereignty Package）的政策組合，其中最受關注的，是《Cloud and AI Development Act》（CADA，雲端與 AI 發展法案）。
根據《Bloomberg》報導，歐盟不僅希望未來 5 至 7 年將區域資料中心容量提高至目前的 3 倍，更計畫建立一套「雲端主權風險評級制度」。這代表歐盟的科技主權戰略，正從「資料放在哪裡」的資料在地化思維，走向「誰能調動資料」的控制權治理。
歐盟推四級主權評級，評估的不只是資料存放位置
根據《Bloomberg》與《華爾街日報》取得的草案內容，未來歐盟政府機關若要使用雲端服務處理關鍵資料，將必須進行主權風險評估（Sovereignty Risk Assessment）。
評估內容不僅涵蓋資料儲存位置，而是進一步檢視雲端供應商的雲端服務、供應鏈、資料處理流程以及實體基礎設施是否受到歐盟控制，並依此劃分為四個主權等級。
《Politico》指出，未來不同敏感程度的公共服務，將對應不同等級的主權要求。歐盟科技事務執委 Henna Virkkunen 表示，等級越高，對控制權的要求也越嚴格，目標是避免關鍵系統存在所謂的「kill switch（終止開關）」風險。所謂的終止開關是指，當發生政治衝突、法律爭議或國安事件時，誰能夠決定資料是否被調閱、服務是否被中斷。
COMPUTEX 2026 現在進行中！最新報導都在【TO Highlight】直擊 COMPUTEX 2026 台北國際電腦展
真正讓歐盟擔心的，是美國《CLOUD Act》
這項制度背後最直接的推力，來自歐盟長年對美國《CLOUD Act》的疑慮。根據《Bloomberg》、《Reuters》與《CNBC》報導，美國《CLOUD Act》允許美國執法機關要求美國企業提供資料，即使相關資料實際儲存在海外資料中心，也可能受到法律約束。
因此，即便某家歐洲政府機關將資料存放在法國、德國或荷蘭境內，只要使用的是 AWS、Microsoft Azure 或 Google Cloud 等美國企業提供的服務，理論上仍可能面臨美國司法管轄權的影響。Virkkunen 便公開表示，歐盟希望確保最敏感的資料能夠真正受到歐洲控制。
根據 Synergy Research Group 旗下 Statista 的數據，AWS、Microsoft Azure 和 Google Cloud 合計占全球雲端軟體市場 60% 以上的市占率。Virkkunen 進一步告訴媒體，歐盟超過 80% 的數位產品、服務和基礎設施依賴其他國家。
儘管歐盟高度依賴美國科技供應商，但歐盟執委會強調，這套制度並非要全面排除外國技術，其估計歐洲僅約 1% 的公共服務敏感到必須採用完全排除外國技術的最嚴格等級。
AWS、Microsoft、Google 已開始布局
面對歐盟日益升高的主權要求，美國科技巨頭早已提前部署。根據《Bloomberg》與《Reuters》報導，Google 與法國國防與電子集團 Thales 合作成立雲端公司 S3NS；Microsoft 推出由法國 Capgemini 與 Orange 控制的 Bleu，以及由 SAP 子公司營運的 Delos Cloud；AWS 也推出與全球基礎設施分離、完全在歐洲營運的主權雲方案。
這些做法的共同目標，是降低外界對美國法律影響的疑慮，並證明其服務能符合歐盟未來更嚴格的主權要求。不過，隨著歐盟逐步建立主權評級制度，美國企業是否能真正達到最高等級要求，仍有待後續立法細節與實際執行方式決定。
這次 CADA 最值得關注的地方，是它重新定義了數位主權的概念。《CNBC》引述美國律師事務所 A&O Shearman 合夥人 Catherine di Lorenzo 的分析指出，歐盟的政策方向已經超越單純的資料在地化（Data Localization），開始納入企業所有權結構、是否受到域外法律影響、營運控制權以及供應鏈透明度等因素。
這也意味著主權 AI 的討論正在從模型層擴展至基礎設施層。未來企業與政府評估 AI 平台時，除了模型能力與價格之外，資料控制權、雲端治理架構與供應鏈透明度，可能都將成為重要指標。
＊本文開放合作夥伴轉載，資料來源：《Bloomberg》、《Reuters》、《The Wall Street Journal》、《Politico》，首圖來源：Unsplash