Biblioteca Brubru d'Anàlisis en Profunditat
Llei de Desenvolupament del Núvol i la IA (CADA)
La peça central del Paquet de Sobirania Tecnològica, llegida article per article. CADA combina un impuls de capacitat (triplicar la capacitat dels centres de dades de la UE el 2030) amb un marc únic i auditat de sobirania al núvol de quatre nivells de garantia de la Unió, perquè Europa gestioni més còmput propi i pugui triar serveis sobirans per als seus casos d'ús més crítics. Adoptada pel Col·legi el 3 de juny de 2026.
Massa poc còmput, massa dependència de pocs proveïdors
La capacitat de còmput de la UE és limitada i geogràficament concentrada, cosa que frena la competitivitat i l'adopció de la IA, especialment les càrregues de treball de baixa latència. Al mateix temps, tres hiperscaladors no europeus controlen més del 70% del mercat europeu del núvol, i la quota dels proveïdors de la UE va caure del 29% el 2017 al 15% el 2022. La dependència de proveïdors sota jurisdicció de tercers països crea riscos per al control de les dades i la continuïtat operativa. Les polítiques nacionals fragmenten el desplegament. L'informe Draghi va reclamar recuperar el control sobre les dades i el núvol, ampliar el còmput domèstic i construir un volant financer i de talent.
CADA és la peça central del Paquet de Sobirania Tecnològica Europea adoptat el 3 de juny de 2026, juntament amb la Llei de Xips 2.0, l'Estratègia de Programari Obert de la UE i el Full de Ruta Estratègic per a la Digitalització i la IA en l'Energia. Operacionalitza el Pla d'Acció del Continent d'IA i l'Estratègia Aplica la IA, incloent-hi fàbriques d'IA i gigafàbriques d'IA.
Un instrument deliberadament dividit
CADA descansa sobre una doble base jurídica, la qual li confereix dos objectius generals diferenciats:
1 Augmentar la capacitat de còmput de la UE mitjançant tecnologies innovadores i sostenibles.
2 Garantir condicions atractives per a aquest desplegament.
3 Reduir la dependència global dels serveis de núvol i IA no sobirans.
4 Protegir l'ordre públic fent que el subministrament de núvol i IA sigui resilient, en particular en el sector públic.
48 articles en cinc títols, més tres annexos
| Títol | Contingut |
|---|---|
| I. Disposicions generals (Arts 1-2) | Objecte (5 mesures); definicions (servei en núvol = NIS2; sistema d'IA = Llei d'IA; programari/SBOM = Llei de Resiliència Cibernètica). |
| II. Iniciatives de Lideratge en Núvol i IA (Arts 3-9) | 8 objectius operatius; Centres per a la IA (Art 5); implementació mitjançant grans reptes (Art 6); estratègies nacionals en 1 any (Art 7); projectes prioritaris d'IA de frontera (Art 8); equiparació de còmput EuroHPC (Art 9). |
| III. Capacitat dels centres de dades (Arts 10-15) | Zones d'acceleració (Art 10); condicions (Art 11); punts únics d'informació (Art 12); autoritzacions en 12 mesos (Art 13); projectes estratègics (Art 14); seguiment de la bretxa de capacitat (Art 15). |
| IV. Autonomia (Arts 16-44) | Marc de sobirania + 4 nivells de garantia (16-28); contractació pública del costat de la demanda (29-33); EuroCloud Federation (34-36); contractació pública de la Comissió (37-40); programari obert (41-44). |
| V. Disposicions finals (Arts 45-48) | Actes delegats i d'execució; revisió als 4 anys i cada 5 (Art 47); entrada en vigor i aplicació (Art 48). |
| Annexos | I grans reptes; II criteris per als quatre nivells de garantia; III proves d'auditoria (11 criteris). |
El motor de suport industrial (Article 173(3) TFUE)
La Iniciativa de Lideratge en Núvol i la Iniciativa de Lideratge en IA persegueixen vuit objectius operatius: tecnologia de centres de dades eficient energèticament, piles de núvol autònomes, IA de frontera, IA física, IA industrial, plataformes d'agents d'IA, IA per al sector públic, i adopció regional i local. Instruments clau:
Com es materialitzen les iniciatives a la pràctica
Zones d'acceleració, autoritzacions més ràpides, projectes estratègics (Títol III)
CADA té com a objectiu triplicar la capacitat dels centres de dades de la UE el 2030 (un objectiu intermedi; el memoràndum explicatiu el situa en un horitzó de cinc a set anys) i satisfer les necessitats de la UE el 2035, amb un desplegament geogràfic equilibrat. Cada Estat membre ha de designar almenys una zona d'acceleració de centres de dades en un termini de sis mesos (Art 10), establir punts únics d'informació (Art 12) i emetre un permís de base agregat perquè les autoritzacions en una zona triguin un màxim de 12 mesos (Art 13). Un objectiu separat estableix que totes les autoritzacions de centres de dades han de ser inferiors a 18 mesos el 2030. Es prefereixen els emplaçaments de rehabilitació, es fomenta la reutilització de la calor residual i els acords de compra d'energia, i els indicadors de sostenibilitat segueixen el Reglament Delegat (UE) 2024/1364.
La Comissió pot designar un projecte com a estratègic si compleix almenys dos dels cinc criteris: dóna suport a funcions essencials del sector públic; és altament sostenible o innovador; reforça l'estabilitat de la xarxa elèctrica o col·localitza energia neta; integra xips, processadors o ordinadors quàntics dissenyats o fabricats a la UE; o aborda una escassetat de còmput. Els projectes estratègics reben el segell de competitivitat en el marc del Fons Europeu de Competitivitat.
La innovació central: sobirania al núvol graduada i auditable
| Nivell | Verificat per | Criteris clau (acumulatius) |
|---|---|---|
| Nivell 1 | Autoavaluació del proveïdor + declaració pública de conformitat a la UE | Establiment a la UE; residència de dades i infraestructures a la UE (llevat que el client ho sol·liciti altrament); ciberseguretat d'última generació; transparència total dels subcontractistes. Les declaracions de les pimes es reconeixen automàticament a tota la UE. |
| Nivell 2 | Auditoria independent de tercers | + Personal amb seu a la UE; certificat de ciberseguretat de la UE "substancial" (EUCS); les dades dels clients mai no s'utilitzen per entrenar IA de tercers països; llista de materials de programari (SBOM) i auditories de codi font; assistència tècnica exclusivament a la UE; separació jurídica de la matriu europea de qualsevol filial en un tercer país. |
| Nivell 3 | Auditoria independent de tercers | + Personal amb ciutadania de la UE (amb habilitació de seguretat nacional per a informació classificada); proveïdor no sota control d'un tercer país (llevat de la derogació del tercer país associat); suport exclusivament des de la UE; pot allotjar informació classificada de la UE. |
| Nivell 4 | Auditoria independent de tercers (màxim nivell) | + Certificat de ciberseguretat "alt"; dades sensibles avaluades per risc conservades a la UE; cap control efectiu d'un tercer país sobre el disseny, el manteniment o l'evolució dels components de programari. |
Un proveïdor sota control d'un tercer país pot assolir el Nivell 3, però només si la Comissió designa aquell tercer país com a "associat": ha de tenir una decisió d'adequació del RGPD, cap legislació que obligui a l'accés a dades, la interrupció del servei o les sancions, un mercat obert i accés recíproc a la seva contractació pública.
Una auditoria, vàlida a tota la UE, per acabar amb el "sovereign-washing"
Un proveïdor presenta la sol·licitud a l'autoritat nacional competent d'establiment (Art 17), que disposa de 60 dies per avaluar-la i notifica els altres Estats membres per a un període de revisió de 60 dies; les disputes es remeten a la Comissió per a una decisió vinculant. El Nivell 1 es basa en una autoavaluació (Art 19); els Nivells 2 a 4 requereixen una auditoria independent de tercers a càrrec del proveïdor (Art 20), amb normes estrictes d'independència de l'auditor (cap servei diferent de l'auditoria en els 12 mesos anteriors o posteriors, cap tasca d'auditoria en els 10 anys previs, cap honorari condicionat) i revisió anual. Els serveis reconeguts figuren en un repositori central públic (Art 22). L'Annex III recull 11 criteris de proves d'auditoria: establiment a la Unió, localització de la infraestructura i el personal, localització de les dades, ciutadania de la UE, certificació de ciberseguretat de la UE, absència d'entrenament d'IA per a tercers països, absència de control d'un tercer país (una prova del 5% de participació i del propietari últim), assistència exclusivament a la UE incloent-hi el SOC i el NOC, transparència de la cadena de subministrament de programari, programari obert i separació de filials en tercers països.
Convertir la demanda pública en oferta europea
| Mecanisme | Funció |
|---|---|
| Avaluacions de riscos (Art 29) | Els Estats membres i les entitats de la Unió mapegen les activitats d'ordre públic als nivells de garantia requerits, en el termini d'un any i cada dos anys. |
| Contractació pública (Art 30) | Els organismes no d'ordre públic utilitzen almenys el Nivell 1; les activitats d'ordre públic (sectors de l'Annex I de NIS2, seguretat nacional, defensa, justícia, forces de l'ordre, gestió de fronteres) utilitzen els Nivells 2 a 4. |
| Entitats essencials privades (Art 31) | Les entitats dels sectors de l'Annex I de NIS2 poden realitzar les mateixes avaluacions. |
| Valor afegit de la Unió (Art 32) | Criteris d'adjudicació no relacionats amb el preu per a la cadena de subministrament de la UE i el maquinari fabricat a la UE (màxim suggerit: 15 de 120 punts). |
| Contractació pública d'innovació (Art 33) | Els Estats membres aspiren a adjudicar almenys el 25% de la contractació d'innovació en núvol i IA a pimes innovadores. |
| EuroCloud Federation (Arts 34-36) | Una federació exclusiva per al sector públic per agrupar i compartir còmput inactiu, de manera gratuïta o al cost, fora de les normes de contractació pública. |
| Contractació pública de la Comissió (Arts 37-40) | La Comissió pot actuar com a central de compres per a les entitats de la Unió i les autoritats dels Estats membres (contractes marc, sistemes de compra dinàmics). |
| Programari obert en primer lloc (Arts 41-44) | Prioritat al programari obert per als organismes públics; un Catàleg de Solucions de Programari Obert de la UE al portal d'Europa Interoperable; una xarxa OSPO. |
CADA no existeix de forma aïllada
Les mesures obligatòries afecten el sector públic i les entitats essencials privades dels sectors de l'Annex I de NIS2 (Directive (EU) 2022/2555): energia, transport, banca, infraestructura de mercats financers, sanitat, aigües potables i residuals, infraestructura digital, gestió de serveis TIC, administració pública i espai.
| Instrument | Relació amb CADA |
|---|---|
| Data Act | El canvi de proveïdor al núvol i la interoperabilitat redueixen el bloqueig, facilitant el pas als serveis de la UE; CADA construeix el camí sobirà que el Data Act obre. |
| DMA | Es van obrir tres investigacions de mercat sobre serveis en núvol i la designació de guardabarrera el 18 de novembre de 2025. |
| EUCS / Revisió de la Llei de Ciberseguretat (CSA2) | Proporcionen la certificació de ciberseguretat en la qual s'eleven els nivells de garantia de CADA; CADA omple el buit en matèria de sobirania. |
| Llei de Resiliència Cibernètica | Defineix la llista de materials de programari (SBOM) que requereixen les auditories de CADA. |
| Pla d'Acció del Continent d'IA / fàbriques d'IA | CADA proporciona la capacitat amplia de núvol i centres de dades que necessiten les fàbriques i gigafàbriques d'IA. |
| Estratègia de Programari Obert de la UE | Un instrument germà dins del mateix paquet; CADA recull diverses de les seves mesures de programari obert. |
On es troba CADA en el procediment legislatiu ordinari
Brubru fa el seguiment de CADA a través del Xat, el Seguidor Legislatiu i el vostre espai de treball Els Meus Arxius. Pregunteu "Quins són els quatre nivells de garantia de la Unió a CADA?" o "Qui entra dins l'àmbit de la Llei de Desenvolupament del Núvol i la IA?" i Brubru respon a partir del registre verificat, i us enllaça directament amb l'arxiu.