Czym jest CADA (Cloud and AI development Act) i w jakim celu powstaje?

Czym jest CADA i w jakim celu powstaje?

Cloud and AI Development Act (CADA) to projekt unijnego rozporządzenia, którego celem jest stworzenie w całej Unii Europejskiej bezpiecznego, niezależnego i nowoczesnego rynku usług chmurowych oraz infrastruktury dla sztucznej inteligencji.

Wprowadzenie tych przepisów wynika z kilku ważnych powodów. Przede wszystkim chodzi o zmniejszenie zależności od zagranicznych firm. Dzisiaj ponad 70% rynku chmury w UE kontrolują koncerny z USA (m.in. AWS, Microsoft Azure czy Google Cloud). Dla Unii oznacza to ryzyko, że zagraniczne rządy mogłyby uzyskiwać dostęp do europejskich danych (np. na mocy amerykańskiej ustawy US CLOUD Act) albo że w sytuacjach kryzysowych ciągłość działania kluczowych instytucji mogłaby zostać zagrożona.

Kolejną kwestią jest brak odpowiedniej infrastruktury dla AI. Rozwijanie zaawansowanych modeli sztucznej inteligencji wymaga ogromnej mocy obliczeniowej, a w Europie brakuje nowoczesnych centrów danych. Inwestorzy z kolei często napotykają skomplikowane i długotrwałe procedury formalne.

Wyzwanie stanowi także Różnorodność przepisów w poszczególnych krajach UE. Dotychczasowe działania państw członkowskich na rzecz „cyfrowej niezależności” były rozproszone, dlatego CADA ma wprowadzić jednolite zasady dla całej Wspólnoty.

Głównym celem nowej regulacji jest więc wyraźny wzrost unijnych mocy obliczeniowych oraz pewność, że kluczowe dane sektora publicznego i infrastruktury krytycznej pozostają pod pełną kontrolą technologiczną i prawną Europy.

Trzy filary suwerenności według CADA

Badania, rozwój i innowacje

Pierwszy filar CADA stawia na rozwój własnego zaplecza technologicznego w Unii. Plan obejmuje wsparcie badań nad nowoczesną chmurą i AI oraz budowę wydajnych serwerów dostosowanych do wymogów sztucznej inteligencji. Ważnym elementem jest też tworzenie bezpiecznych przestrzeni do dzielenia się zbiorami danych, co ułatwi trenowanie europejskich modeli AI.

Regulacja kładzie duży nacisk na budowanie stabilnych łańcuchów dostaw i zacieśnianie współpracy między biznesem, nauką a administracją. W ramach CADA ma powstać m.in. 8 flagowych projektów (tzw. „Grand Challenges”), które przyspieszą cyfrową transformację w kluczowych dziedzinach.

"Strefy Przyspieszenia" dla Centrów Danych

Unia stawia sobie jasny cel: potrojenie pojemności centrów danych w ciągu 5-7 lat. Aby to osiągnąć, każde państwo członkowskie wyznaczy specjalne Strefy Przyspieszenia dla Centrów Danych (Data Centre Acceleration Zones). Z powodu biurokracji budowa farm wiatrowych czy słonecznych trwała latami, dla inwestorów oznacza to znaczne ułatwienia: decyzje administracyjne wydawane w maksymalnie 12 miesięcy oraz łatwiejszy dostęp do unijnego finansowania strategicznych projektów.

Cztery poziomy "suwerenności chmurowej"

Kluczową nowością w CADA jest wprowadzenie czterech jasnych poziomów suwerenności usług chmurowych (tzw. assurance levels). Ocena nie opiera się już tylko na tym, gdzie fizycznie stoi serwer. Wymagany poziom zależy od oceny ryzyka (art. 29), czyli od tego, jak wrażliwe są dane i jak ważną funkcję pełni dany system.

Poziom Suwerenności

Wpływ CADA na biznes i sektor prywatny

Mimo że CADA skierowana jest głównie do sektora publicznego, projekt (Artykuł 31) pozwala firmom prywatnym objętym przepisami NIS2 czy DORA na dobrowolne przyjmowanie wyższych poziomów suwerenności. Komisja Europejska będzie mogła także w przyszłości wprowadzić takie wymogi dla wybranych kluczowych firm prywatnych, ale dopiro po dokładnej analizie rynku i w drodze osobnych aktów prawnych.

CADA może istotnie wpłynąć na cały rynek technologiczny - w części przypadków bezpośrednio (dostawcy chmury, podmioty z sektorów krytycznych objętych NIS2), a w wielu pozostałych pośrednio - przez wymogi kontraktowe, oczekiwania klientów i standardy due diligence:

• Dostawcy usług chmurowych (np. rynek chmury publicznej): Dostawcy będą musieli wykazać brak podatności na jurysdykcję państw trzecich, co w praktyce oznacza wymóg lokalizacji centrów danych w UE (strefy akceleracji) oraz transparentność kapitałową. Konieczne będzie dokumentowanie struktury własności i kontroli, zarządzanie komponentami oprogramowania, zapewnienie ciągłości usług i ochrony dostępu. Globalni gracze, walcząc o kontrakty z sektorem publicznym w UE (wymagające wyższych poziomów suwerenności), będą musieli zmienić strukturę działania - np. zakładać niezależne, europejskie spółki lub tworzyć wspólne przedsięwzięcia z lokalnymi partnerami.
• Twórcy oprogramowania i integratorzy AI: Będą musieli sprawdzać swoich dostawców rozwiązań w chmurze. Standardem w umowach staną się zapisy gwarantujące odpowiedni poziom suwerenności, przekazywanie pełnej listy użytych komponentów oprogramowania oraz potwierdzanie źródła i bezpieczeństwa środowiska obliczeniowego.
• Dla użytkowników (sektor publiczny i podmioty prywatne): Konieczna jest weryfikacja: jakie usługi chmurowe są wykorzystywane, gdzie fizycznie przetwarzane są dane, kto kontroluje dostawcę i czy podlega przepisom państw trzecich, jaki poziom suwerenności jest wymagany dla danej usługi, czy istnieje możliwość przeniesienia usługi do innego podmiotu, jak zapewniono ciągłość i dostęp do danych.
• Dla sektorów wrażliwych: Szczególnie dotknięte będą sektory zdrowia i finansów - rynki o silnym stopniu regulacji, krytycznej zależności od ciągłości działania i przetwarzaniu danych o wysokiej wrażliwości, jednocześnie objęte NIS2 oraz regulacjami sektorowymi. W ochronie zdrowia kluczowe placówki (szpitale, operatorzy systemów e-zdrowia) staną przed ogromnym wyzwaniem migracyjnym - jeśli obecne zagraniczne systemy HIS nie uzyskają pełnej suwerenności, szpitale czekają ryzykowne procesy przenoszenia danych.

Duże zmiany w zamówieniach publicznych

Dotychczas zamawiający z sektora publicznego mieli dużą swobodę przy wyborze dostawców chmurowych. Decydowały głównie cena, dopasowanie funkcjonalne i bieżące potrzeby organizacji, uzupełnione o lokalne analizy ryzyka suwerenności danych.

Nowe regulacje zmieniają te zasady. Poza prostym rachunkiem kosztów i specyfikacją techniczną, instytucje publiczne będą musiały uwzględniać kryteria pozacenowe, w tym realny wkład dostawcy w rozwój europejskiego ekosystemu cyfrowego.

Projekt Artykułu 29 nakłada na podmioty publiczne obowiązek przeprowadzania formalnej oceny ryzyka przy zakupie usług cyfrowych. Ocena ta musi uwzględniać stopień wrażliwości danych oraz powiązanie systemu z sektorami kluczowymi wyznaczonymi przez dyrektywę NIS2 (m.in. energetyka, ochrona zdrowia, bankowość, administracja publiczna).

Kolejną inicjatywą jest zasada "open source first". Sektor publiczny ma być zachęcany - ale nie bezwzględnie zobowiązany - do tworzenia rozwiązań interoperacyjnych i udostępniania swojego oprogramowania w unijnym centralnym katalogu open source, z możliwością stosowania rozwiązań własnościowych, gdy otwarte nie spełniają wymagań. Planowana sieć biur Open Source Programme Offices (OSPO) ma wesprzeć adopcję tych rozwiązań na szeroką skalę.

Jak przygotować się na nadchodzące zmiany?

Choć CADA jest obecnie na etapie prac legislacyjnych w Parlamencie Europejskim i Radzie UE, warto podjąć pierwsze kroki już teraz:

1. Zmapuj architekturę chmurową i dostawców AI: Zidentyfikuj, gdzie fizycznie przetwarzane są dane w Twojej firmie oraz jakiej jurysdykcji podlegają Twoi dostawcy.
2. Przejrzyj umowy IT: Sprawdź, czy umowy z dostawcami usług chmurowych zawierają klauzule pozwalające na audyt łańcucha dostaw oraz uzyskanie deklaracji SBOM.
3. Połącz compliance CADA z NIS2/DORA: Przeanalizuj, które z przetwarzanych przez Ciebie zasobów informacyjnych mogą w przyszłości wymagać wyższego poziomu suwerenności (Poziom 2 lub 3).

Podsumowanie

CADA to odpowiedź Unii Europejskiej na pytanie, kto naprawdę kontroluje nasze dane w chmurze. Regulacja przesuwa punkt ciężkości z samej lokalizacji serwerów na realną weryfikację technologiczną, prawną i kapitałową dostawców.

Dla europejskich firm technologicznych to okazja na wyrównanie szans w przetargach publicznych, a dla dostawców globalnych, wyzwanie wymagające potwierdzenia zaangażowania w UE. Dla wszystkich organizacji to jasny sygnał: wybór chmury i AI nie jest już tylko decyzją techniczną, ale strategiczną uchwałą biznesową i regulacyjną.

W dotlaw łączymy wiedzę prawniczą ze zrozumieniem technologii. Jeśli chcesz przygotować swoją firmę na wymogi CADA, przeprowadzić audyt umów chmurowych lub skonsultować wdrażanie rozwiązań AI, skontaktuj się z naszym zespołem.

Zastrzeżenie: CADA pozostaje w tej chwili w fazie projektu legislacyjnego i nie stanowi jeszcze obowiązującego rozporządzenia. Szczegóły dotyczące poziomów certyfikacji i wdrożenia będą precyzowane w kolejnych miesiącach w toku prac Parlamentu Europejskiego i Rady.

Źródła i literatura

• Wniosek Komisji Europejskiej (COM(2026) 502 final): European Commission - Cloud and AI Development Act Proposal
• Komunikat KE w języku polskim: Komisja Europejska - Akt w sprawie rozwoju chmury i AI
• Dokumentacja Rady UE (ST 10104 2026 INIT): Council of the EU - Proposal Text COM(2026) 502
• Analiza IAPP: IAPP - Europe's Cloud and AI Development Act: Grand ambition, fragile foundations
• Analiza Cloud Security Alliance: CSA Research Note - EU CADA Compliance Architecture