Unia Europejska intensyfikuje prace nad regulacjami technologicznymi, koncentrując się na infrastrukturze chmurowej i sztucznej inteligencji. Chociaż pierwotnie spekulowano o publikacji Cloud and AI Development Act (CADA) w Dzienniku Urzędowym UE w lipcu 2026 r., Komisja Europejska przedstawiła projekt rozporządzenia 3 czerwca 2026 r. Ten akt ma na celu wzmocnienie suwerenności cyfrowej Europy, wprowadzając nowe obowiązki dla firm technologicznych.
Co zakłada propozycja Cloud and AI Development Act?
Propozycja Cloud and AI Development Act (CADA), wniesiona przez Komisję Europejską 3 czerwca 2026 r. (COM(2026) 502 final), ma na celu uregulowanie rynku usług chmurowych i AI w Unii Europejskiej. Akt obejmie dostawców usług chmurowych, takich jak Infrastructure as a Service (IaaS), Platform as a Service (PaaS) i Software as a Service (SaaS), a także firmy rozwijające systemy sztucznej inteligencji. Szczególny nacisk położono na wysoce krytyczne przypadki użycia w sektorze publicznym.
CADA rozpoczyna proces legislacyjny, którego zakończenie i wejście w życie planowane jest na wczesny 2029 r., po zakończeniu negocjacji w czwartym kwartale 2027 r. (Legislative Train Schedule Parlamentu Europejskiego). Celem legislacyjnym jest sprostanie wyzwaniom poprzez ułatwienie i przyspieszenie wdrażania zrównoważonej infrastruktury chmury i centrum danych. Komisja Europejska podkreśla, że CADA ma zapewnić, aby Europa przyspieszyła wdrażanie chmury i sztucznej inteligencji w sektorach krytycznych.
Jakie wymogi suwerenności danych wprowadza CADA?
CADA wprowadza 4-poziomowy system gwarancji suwerenności chmury, wymagający przetwarzania i przechowywania danych w infrastrukturze znajdującej się w Unii Europejskiej. Celem jest zapewnienie, że do 2035 roku 100% wysoce krytycznych przypadków użycia w sektorze publicznym będzie obsługiwanych przy użyciu suwerennej chmury UE (SWD(2026) 502 final). Akt definiuje suwerenność obejmującą cztery poziomy pewności, stosowane przez organy sektora publicznego na podstawie ocen ryzyka.
Poziom 1 suwerenności wymaga, aby dane były przetwarzane i przechowywane wyłącznie w infrastrukturze zlokalizowanej na terenie Unii. Poziom 2 dodatkowo nakłada na dostawców obowiązek wykazania niezależności od państw trzecich oraz przejrzystości łańcucha dostaw oprogramowania. Projekt CADA ma za zadanie wypełnić lukę w infrastrukturze cyfrowej Unii Europejskiej, koncentrując się na podnoszeniu poziomu bezpieczeństwa przetwarzania danych przez europejskich dostawców usług chmurowych, jak wskazuje Parlament Europejski.
Jakie nowe obowiązki raportowania czekają dostawców IaaS?
Projekt Cloud and AI Development Act nakłada na dostawców usług Infrastructure as a Service (IaaS) nowe, szczegółowe wymogi raportowania. Obowiązki te obejmują dostarczanie danych dotyczących mocy obliczeniowych, takich jak gigawaty (GW) oraz liczba i typ jednostek przetwarzania grafiki (GPU), jednostek przetwarzania tensorów (TPU) i jednostek centralnych (CPU). Raportowanie ma również dotyczyć emisji i zużycia zasobów, opierając się na obiektywnych metrykach.
Wprowadzenie tych wymogów ma na celu zwiększenie przejrzystości i odpowiedzialności w sektorze chmurowym. Umożliwi to monitorowanie wpływu infrastruktury chmurowej na środowisko oraz efektywności wykorzystania zasobów. Firmy będą musiały dostosować swoje systemy do zbierania i raportowania tych danych, co może wymagać inwestycji w nowe narzędzia i procesy.
Co CADA oznacza dla polskich firm technologicznych?
Dla polskich firm technologicznych, zwłaszcza dostawców chmury i rozwiązań AI, CADA oznacza konieczność dostosowania się do nowych standardów suwerenności i bezpieczeństwa. Firmy te mogą wymagać audytu i uznania przez państwa członkowskie jako dostawcy spełniający poziom gwarancji UE. Projekt ma wypełnić lukę w infrastrukturze cyfrowej Unii Europejskiej, co stwarza zarówno wyzwania, jak i szanse dla lokalnych przedsiębiorstw.
Polskie firmy, które zainwestują w rozwój infrastruktury zgodnej z wymogami CADA, mogą zyskać przewagę konkurencyjną, zwłaszcza w kontekście obsługi sektora publicznego i klientów wymagających wysokiego poziomu bezpieczeństwa danych. Ministerstwo Cyfryzacji prowadziło konsultacje publiczne dotyczące projektu CADA, zbierając opinie od polskich interesariuszy (gov.pl/web/cyfryzacja).
Polskie firmy działające w sektorze chmury i AI powinny już teraz analizować wymogi CADA, aby przygotować się na jego wejście w życie na początku 2029 roku. Inwestycje w infrastrukturę zgodną z unijnymi standardami suwerenności mogą stać się kluczowym czynnikiem konkurencyjności, zwłaszcza w przetargach publicznych i dla klientów wymagających najwyższego poziomu bezpieczeństwa danych.
Regulacja nie działa w próżni
Cloud and AI Development Act to kolejny element szerszej układanki unijnych przepisów dotyczących technologii, obok już obowiązującego AI Act i procedowanej właśnie nowelizacji upraszczającej jego wdrożenie (tzw. AI Act Omnibus), która przesunęła terminy dla systemów wysokiego ryzyka na grudzień 2027 i sierpień 2028. Równolegle własną ustawę implementującą unijny AI Act kończy Polska — 25 czerwca 2026 r. Senat jednogłośnie przyjął ustawę o systemach sztucznej inteligencji, która trafiła już na biurko Prezydenta. Szczegóły procesu legislacyjnego i nowego organu nadzoru KRiBSI wyjaśniają, co to oznacza w praktyce dla firm.
Z perspektywy zespołów technicznych i software house'ów budujących produkty na chmurze, to dobry moment, żeby zacząć traktować zgodność z tego typu regulacjami jako element architektury, a nie dokumentację doklejaną na końcu projektu. Praktyczne podejście do budowania architektury zgodnej z AI Act opisuje tę kwestię od strony inżynierskiej.
