Voltar ao blog

Cloud and AI Development Act: quando soberania digital vira especificação técnica de contratação pública

CloudSovereignty CADA AIInfrastructure EURegulation AIEngineering

A Comissão Europeia publicou em 3 de junho de 2026 a proposta do Cloud and AI Development Act (CADA), peça central do pacote de soberania tecnológica europeia. O problema que motiva a legislação é concreto: três provedores americanos — Microsoft Azure, AWS e Google Cloud — controlam mais de 70% do mercado europeu de cloud. A participação de provedores europeus caiu de 29% em 2017 para cerca de 15% em 2022. O CADA não proíbe provedores estrangeiros. O que a proposta faz é transformar soberania de conceito político em especificação técnica verificável, condicionando acesso a contratos públicos a propriedades mensuráveis do provedor.

Quatro níveis de garantia

O mecanismo central são quatro níveis de garantia (assurance levels) que provedores de cloud precisam atender para participar de licitações do setor público europeu. Cada nível adiciona requisitos cumulativos, detalhados no anexo à proposta legislativa.

O Nível 1 exige que dados sejam armazenados e processados em infraestrutura localizada no território da UE, e que o provedor não esteja sujeito a leis que obriguem reporte de vulnerabilidades de software a governos de terceiros países antes de sua exploração. Esse requisito de vulnerabilidades não é arbitrário: visa leis como a regulamentação chinesa de 2021 que obriga disclosure de vulnerabilidades ao governo antes da correção pública, e potencialmente regras americanas sob o CIRCIA sobre reporte de incidentes cibernéticos.

O Nível 2 acrescenta a demonstração de que terceiros países não podem acessar os dados hospedados nem acionar um mecanismo de interrupção de serviço — o chamado kill switch. É aqui que a exclusão efetiva de provedores americanos começa.

O Nível 3 exige que o provedor não esteja sujeito ao controle de um país terceiro ou de entidade jurídica estrangeira. Controle acionário, sede jurídica e governança corporativa entram no critério.

O Nível 4 exige que componentes e produtos do provedor também não estejam sob controle estrangeiro, além de certificação europeia de cibersegurança no nível mais alto e auditoria independente validada por autoridades nacionais. Apenas contratos de defesa e segurança nacional devem exigir esse nível.

A Comissão estima que aproximadamente 70% dos contratos públicos de cloud cairiam sob o Nível 1, 20% sob o Nível 2, menos de 10% sob o Nível 3 e cerca de 1% sob o Nível 4. A distribuição reflete uma graduação de sensibilidade dos dados, da administração geral até infraestrutura militar. Provedores americanos com subsidiárias na UE já localizam dados na Europa e provavelmente atendem a maioria dos requisitos do Nível 1.

O ponto de fratura: CLOUD Act e kill switch

O ponto de fratura é o CLOUD Act americano, lei de 2018 que autoriza o governo dos EUA a compelir empresas americanas a produzir dados armazenados fora dos Estados Unidos para fins de investigação criminal. Uma empresa americana pode construir um data center em Frankfurt, operá-lo com cidadãos alemães e criptografar tudo com chaves mantidas por uma empresa francesa — e a matriz em Seattle ou Redmond ainda estará sujeita à jurisdição americana. O Nível 2 do CADA exige que o provedor demonstre que terceiros países não conseguem acessar os dados hospedados. Para uma empresa sujeita ao CLOUD Act, essa demonstração é estruturalmente impossível.

Negociações entre Washington e Bruxelas sobre um acordo bilateral de acesso a dados para investigações criminais estão em andamento desde 2019, mas estagnaram sob a segunda administração Trump. Enquanto isso, a autoridade unilateral do CLOUD Act permanece operante.

A preocupação com o kill switch tem origem mais recente. Em fevereiro de 2025, a administração Trump impôs sanções contra funcionários europeus do Tribunal Penal Internacional (TPI), que havia emitido mandado de prisão contra o primeiro-ministro israelense Benjamin Netanyahu por supostos crimes de guerra em Gaza. As sanções cortaram funcionários do TPI de sistemas de pagamento como Visa e Mastercard e de plataformas como Amazon e Airbnb. Como observou um comentarista europeu, o episódio cristalizou “a imprevisibilidade, as ameaças, a disposição de armar como instrumento” a dependência europeia de empresas americanas.

O Nível 2 do CADA é uma resposta direta a esse risco: exige prova de que o provedor pode garantir continuidade de serviço independente de ações de governos estrangeiros.

As válvulas de escape

A proposta inclui mecanismos de exceção que introduzem ambiguidade calculada na arquitetura regulatória.

Uma cláusula de derrogação geral (Artigo 30) permite que autoridades contratantes recorram a provedores que não atendem o nível exigido quando “nenhuma alternativa adequada ou razoável” existir. O precedente é revelador: mesmo na França, a autoridade de proteção de dados (CNIL) e os tribunais concluíram em 2023 que só a Microsoft tinha capacidade técnica para operar o Health Data Hub nacional — repositório centralizado de dados de saúde dos franceses. A França decidiu migrar para um provedor francês no futuro, mas o precedente expõe a distância entre intenção regulatória e capacidade industrial instalada.

Há uma segunda derrogação (Artigo 18) para “países terceiros associados” que preencham três condições: ter decisão de adequação do GDPR, não obrigar provedores a conceder acesso governamental a dados não pessoais protegidos pelo EU Data Act, e não compelir interrupção de serviço via sanções. Os Estados Unidos têm decisão de adequação sob o EU-U.S. Data Privacy Framework. Mas a condição anti-kill switch potencialmente bloqueia empresas americanas mesmo com adequação em mãos — dado que sanções unilaterais são instrumento corrente da política externa americana.

O resultado é uma arquitetura regulatória que parece aberta mas cria condições que provedores sujeitos ao CLOUD Act e a sanções unilaterais não conseguem satisfazer nos níveis superiores. Como Kenneth Propp observa no Lawfare, a Comissão parece ter conscientemente buscado neutralizar legislação estrangeira de maneiras que inevitavelmente criarão dificuldades para empresas americanas de cloud.

Infraestrutura: triplicar a capacidade em sete anos

O lado da oferta é tão ambicioso quanto o lado da demanda. O CADA está acoplado à iniciativa InvestAI, que pretende mobilizar 200 bilhões de euros em investimento — majoritariamente privado — para triplicar a capacidade de data centers europeus em cinco a sete anos, com meta de atender a demanda até 2035.

Cada Estado-membro deve designar pelo menos uma zona de aceleração de data centers dentro de seis meses da entrada em vigor do regulamento. Essas zonas oferecem processos de licenciamento limitados a 12 meses, agregação de licenças de base e preferência por terrenos já urbanizados (brownfield sites). O plano prevê pelo menos 19 AI factories e até 5 AI gigafactories com capacidade computacional de escala.

O contexto de urgência é concreto: a demanda por computação de IA consome aproximadamente 60% da produção de semicondutores de ponta em 2026, com projeção de 86% em 2027.

Os trade-offs concretos

A meta de triplicar capacidade em sete anos enfrenta tensões internas. A Lei de Eficiência Energética da Alemanha, a mais rigorosa da Europa, impõe 100% de eletricidade renovável para data centers a partir de janeiro de 2027, reutilização obrigatória de calor residual e limites de PUE (Power Usage Effectiveness). Esses requisitos adicionam custo e tempo a cada projeto exatamente no momento em que o CADA quer acelerar implantação. Condicionar licenciamento rápido a requisitos ambientais rigorosos desacelera a ampliação de capacidade; não condicionar mina o Green Deal.

A competição por investimento é assimétrica. Os Estados Unidos oferecem dedução imediata de 100% do investimento de capital em equipamentos de data center sob o One Big Beautiful Bill Act. A Índia oferece isenção fiscal por duas décadas. A Europa oferece licenciamento harmonizado e, potencialmente, capital do European Competitiveness Fund. A OVHcloud estimou que precisa de 15% das compras públicas do continente protegidas de competição estrangeira para atingir a escala necessária para competir. O CADA reserva efetivamente os Níveis 3 e 4 para empresas europeias — mas a soma desses contratos chega a 11% do total.

Há também o risco de sovereignty-washing: provedores não europeus criando estruturas jurídicas formalmente europeias para atender requisitos de letra sem atender o espírito da lei. A CISPE, associação europeia de provedores de infraestrutura de cloud, alertou a Comissão contra medidas que consolidem ainda mais o domínio de hyperscalers globais sob verniz de soberania.

Efeito cascata e comparação com FedRamp

Uma propriedade menos discutida da proposta é o efeito cascata na cadeia de fornecedores. Quando uma autoridade pública contrata cloud em determinado nível de garantia, toda organização que fornece serviços a essa autoridade — empreiteiros, parceiros de pesquisa, fornecedores de tecnologia — sofre pressão indireta para entender e documentar sua própria posição de soberania de cloud. O framework da Cloud Security Alliance para compliance com o CADA já prevê que requisitos não ficam dentro da administração pública; propagam-se pela cadeia de suprimentos.

O CADA é comparável ao FedRamp americano na lógica de certificação graduada para acesso a contratos governamentais. A diferença relevante: empresas estrangeiras podem se qualificar para o nível mais alto do FedRamp. No CADA, os Níveis 3 e 4 são estruturalmente inacessíveis para provedores sujeitos a jurisdição de terceiros países.

A ironia adicional, como Propp nota, é que vários Estados-membros europeus — incluindo Bélgica, Dinamarca, França, Irlanda e Espanha — possuem poderes semelhantes ao CLOUD Act para compelir produção de dados localizados no exterior. A própria OVHcloud reconhece publicamente que cumpre o CLOUD Act e legislação estrangeira análoga. Mesmo empresas europeias com operações nos EUA poderiam, em tese, violar os requisitos do CADA.

O que a Europa está construindo não é um programa de certificação de segurança. É uma especificação de jurisdição embutida em contratação pública, com quatro graduações de rigor, válvulas de escape calibradas e um efeito cascata que propaga os requisitos para além do setor público. A viabilidade depende menos da letra do regulamento e mais de a indústria europeia de cloud conseguir preencher o espaço que a regulação pretende criar.

Referências