EU Cloud and AI Development Act¶
Vad det innebär¶
EU-kommissionens förslag till Cloud and AI Development Act (CADA) lades fram den 3 juni 2026 som en del av kommissionens »tech sovereignty package«. Förslaget inför fyra suveränitetsnivåer för offentlig upphandling av moln i känsliga sektorer, med öppen källkod först.
De fyra nivåerna:
| Nivå | Innebörd |
|---|---|
| Nivå 1 – Data i EU | Data lagras och behandlas inom EU (EU-hosting) – men leverantören lyder under amerikansk lag. Hit hör dagens »EU Data Boundary«-erbjudanden från Microsoft, AWS European Sovereign Cloud i Brandenburg (GA jan 2026) och Google/Thales S3NS. Kvarstår: CLOUD Act och FISA 702. |
| Nivå 2 – Ingen åtkomst utifrån | Ingen tredjelandsåtkomst och ingen fjärravstängning (kill-switch) kan ske. Microsofts European Digital Commitments (apr 2025) lovar att bestrida order i domstol – men kan inte garantera utfallet. |
| Nivå 3 – Europeisk kontroll | Leverantören kontrolleras inte från tredjeland – europeisk leverantör eller egen drift. |
| Nivå 4 – Hela kedjan | Även komponenter: hårdvara, chip, firmware, webbläsarmotor. I dag i praktiken ouppnåeligt (Intel/AMD/Nvidia, Android/iOS, webbläsarmotorer). |
Kommissionen uppskattar att ca 70 % av kontrakten hamnar på nivå 1 och ca 1 % på nivå 4. Förslaget innehåller också en derogation när inget adekvat alternativ finns.
Status och datum¶
- Förslag från EU-kommissionen 3 juni 2026 (del av tech sovereignty package).
- Rapportör utsedd sep 2026.
- Plenumomröstning siktar på mitten av 2027.
I samma paket ingår Chips Act 2.0; presentationen nämner även EU:s öppen källkod-strategi »public money, public code« (juni 2026) som ett EU-spår att följa.
Betydelse för analysen¶
- Nivåtrappan i denna analys. Analysens definition av oberoende – kontroll, inte renhet – följer CADA:s fyra nivåer. Målnivån är nivå 3 för mjukvara och moln; nivå 4 är en horisont. Nivå 3 är nåbar för nästan hela mjukvaru- och molnstacken; nivå 4 är det inte, eftersom processorer, mobil-OS och webbläsarmotorer saknar europeiska alternativ. Se Vad är oberoende.
- Öppen källkod från USA kan vara acceptabel. Öppen källkod med tillåtande licens går att forka och driva själv – en molntjänst går inte. Därför är Keycloak acceptabelt men inte Entra ID.
- Bygg exitvägen (princip 7). Dataportabilitet och exitvillkor i varje avtal är det som Sveriges molnpolicy och EU:s CADA pekar mot. Se Sju principer.
- Horisonten. Där nivå 3 saknas används nivå 2 som dokumenterat undantag med årlig omprövning – samma logik som CADA-förslagets derogation när inget adekvat alternativ finns. Se Horisonten.
- Målnivå som beslut. Det första av de fem beslut presentationen efterlyser är att fastställa målnivån – nivå 3 för mjukvara och moln, nivå 4 som horisont – så att inte varje upphandling blir en ny förhandling. Se Beslut.
Källor¶
- digital-strategy.ec.europa.eu 3 juni 2026 – Tech Sovereignty Package / CADA
- Lawfare 24 juni 2026