欧洲起草了四个“主权”等级，而邮政编码只能让你到第一级
欧盟委员会于 2026 年 6 月 3 日发布了《云与人工智能发展法案》提案，文号 COM(2026) 502。除数据中心产能方面的措施外，它引入了一套覆盖全欧盟的云与人工智能主权评估框架，并配有一套把公共采购导向该框架的机制。 1
在有人惊慌或庆祝之前，有两件事要说清楚：这是一份提案而不是法律，而且相关公众咨询将持续到 8 月 27 日。 2 目前的目标是在 2027 年底通过，之后成员国将有一年时间来确定自身系统需要哪一级保护，并据此采购。 3
所以短期内它谁也约束不了。但这份定义仍然值得一读，因为它是第一次认真尝试，把“主权”写成你可以据以要求供应商的措辞。
地理是地板，不是目标
第一级要求云服务在欧盟基础设施上处理和存储数据，并满足若干基础主权要求。第二级增加了对第三国独立性的证明，以及对软件供应链的可见性。第三级通常要求欧盟所有权和控制权，外加运营该服务的人员的国籍条件——尽管提案保留了一套认可某些相关第三国供应商的机制。第四级要求对软件供应链具备完全的透明度和控制权，且不存在第三国干预。 3
请从下往上读。机柜放在哪里，只能把你抬上第一级台阶，再无更进。它之上的一切，越来越取决于谁拥有这家公司、谁在里面工作，以及软件供应链里有什么。
我们在 6 月 1 日写过：有用的问题从来不是服务器在哪里，而是谁可能收到一份法律命令、在哪个国家，以及他们能否在不告诉你的情况下照办。起草者看来落到了同一个地方。
再看看工作实际落在哪里。按委员会自己的影响评估，欧盟公共部门现有工作负载中约 70% 落在第一级，20% 落在第二级，第三级只有 9%，第四级只有 1%。 4
争论发生在最下面那两级台阶上
代表欧洲云服务商的 CISPE 承认，对于第三级及以上，委员会“给出了一些相当有力的主权定义”。而它把第一级和第二级的标准称为“令人困惑且毫无意义”，并指出“几乎任何供应商都能满足这些要求”，进而主张这些级别上的服务“不应以任何方式被称作、被认定或被提及为‘主权’”。 5
把这话和上面的分布放在一起，问题就很明显了：公共部门 90% 的云，正落在 CISPE 认为根本不该冠以这个词的那两级里。
从另一个方向看，CCIA Europe 称该提案具有歧视性，并警告市场碎片化，理由是上面几级是按总部所在地和公司结构、而不是按任何技术属性来排除供应商的。 6
这两种反对意见可以同时成立。原产地对于人们真正在意的东西来说是一个粗糙的替代指标，而还没有人提出过一个既更精确、又能在律师面前站得住的替代指标。
难的是供给侧
这部法案同时也是一项产业政策，目标是在五到七年内把欧盟的数据中心产能增加两倍， 2 并在指定的加速区内设置最长 12 个月的许可审批程序。 7
我们在四月写过，这里真正的约束是电力，不是资本。一个许可时限固然胜过多年的电网排队，但许可不是变电站。
我们的位置，不加修饰
AVS ISP 在四个国家有四个站点：地拉那、斯科普里、阿姆斯特丹和都柏林。其中恰好两个在欧盟内。如果你是一个将来要按第三级或第四级采购的公共机构，我们不是你的答案，而且我们不会假装有一个认证计划即将到来。
我们拥有的，是那些等级试图近似的那个性质。我们是一家小型独立 ISP，所以对“谁可以被强制、依据哪部法律”的回答是简短且可核查的，而不是一张组织结构图。而法律强制只有在一开始就存在可披露的数据时才有意义——这正是我们不为卖你一台服务器而收集身份证件的原因：根本没有一堆东西可以交出去。此外，你在部署时按机器选择司法管辖区。
VPS 起价 €5/月，VDS 从 4 vCPU 的 €40/月 到 16 vCPU 的 €160/月，裸金属起价 €150/月。我们运营带 RPKI 验证的 AS210464，并以 €5/月 起出售 BGP 会话，所以如果你自带 /24，你的寻址会随你一起走。你可以先通过 looking glass 测量这张网络，无需账号。
一个等级数字替代了什么
远在这一切具备约束力之前，买方就会开始问供应商“你们能达到哪一级”，而这个简写会在两周之内被用歪。一个写在幻灯片上的数字，比它所代表的那个性质更容易生产出来。
底层的问题自六月以来没有变过：哪个法律实体持有你的合同、适用哪部法律、什么能强制该实体、它能否悄无声息地照办、究竟存在哪些可供交出的数据，以及你要离开需要多久。一个能用简单句子回答这些问题的服务商，在未来两年里能告诉你的，比一个等级数字更多。
而如果你答不上最后一个问题，弄清楚它最便宜的方式仍然是：在另一个国家放一台小服务器，上面跑一件真实的东西。
资料来源
- Proposal for the Cloud and AI Development Act (CADA)，欧盟委员会
- European Commission Advances New Proposal to Expand Cloud Capacity and AI Infrastructure，Hunton Andrews Kurth
- European Commission's Proposed Cloud Sovereignty Framework Creates New Compliance Tiers，Jones Day
- EU takes first steps to reduce reliance on US hyperscalers，Computerworld
- Europe Takes a Tentative Step Towards Strategic Autonomy，CISPE
- Discriminatory EU Cloud and AI Development Act Risks Severe Market Fragmentation，CCIA Europe
- EU's cloud and AI development act gets mixed reception，Euronews