空客将“免受域外法律约束”列为其云服务招标的评分标准

经竞争性招标，空客已选定法国服务商 Scaleway 作为其主权云合作伙伴。这家航空航天与国防集团将法律管辖权与技术能力一同列为了正式评估维度。这一 公告 "的意义不在于选定了哪家供应商这一事实本身，而在于其揭示的评选标准：防范非欧洲的域外立法，如今已成为大型工业买家评估服务商的一项标准，而非仅在政策讨论中提及的一个话题。 根据公告，空客从三个维度对供应商进行了评估。技术能力方面涵盖了先进的云服务、互操作性、可扩展性以及 AI 能力。运营卓越性方面涵盖了安全性、弹性、服务连续性，以及与空客现有多云架构的集成。第三个维度是法律和治理保障措施，具体包括欧洲管辖权、数据保护，以及防范非欧洲域外立法的措施。 空客数字业务执行副总裁 Catherine Jestin 明确阐述了这一决定的动机： 此次合作标志着我们在致力于维护欧洲数字主权方面迈出了重要的一步。通过整合一个值得信赖、高性能的云环境，使我们的关键数据资产免受外国域外法律的约束，我们既确保了数字基础设施能够跟上航空航天创新的步伐，同时也维护了工业运营的控制权和韧性。 “外国域外法律”这一表述具有特定的含义。美国《云法案》（CLOUD Act）允许美国当局强制要求总部位于美国的服务提供商提交存储在全球任何地方的数据，包括由欧盟子公司运营的位于欧盟境内的基础设施中的数据。只要服务提供商仍受美国管辖，无论在何处设立区域数据中心都无法解决这一问题。 在 Hacker News " 上，讨论该协议的业内人士们列举了一些先例而非假设的情况：2025 年， 国际刑事法院首席检察官因受到行政命令制裁而无法访问其微软邮箱 "，微软总裁随后否认曾切断该账户的访问权限；6 月份，因出口管制而 短暂中断对 Claude Fable 5 和 Mythos 5 访问 "的事件。一位评论者将其归结成了一条采购规则： 你的业务不能依赖于可能随时被迫封锁你的供应商。 该平台将支持涵盖飞机设计、工程、制造和企业运营等领域的关键业务应用。Scaleway 将提供基于欧洲技术的基础设施。据公告所述，该基础设施采用开放技术，并能与空客现有的系统实现互操作。 该公告并未提及“撤离”一事。空客对这项安排的定位是对其现有多云策略的补充，他们有明确的目标，就是“将每项工作负载部署在最符合其技术、运营和监管要求的环境中”。这属于基于工作负载关键性的布置，而非数据回流，也是大多数正在评估主权问题的欧洲企业最终可能采取的模式：针对受管辖权影响的数据设立主权层，其余数据则使用超大规模云服务商的算力。 Scaleway 首席执行官 Damien Lucas 将此交易与 AI 基础设施而非存储联系在了一起。他认为，要在先进产业中释放 AI 的潜力，需要一种兼具性能、可信度和长期控制权的基础设施。这种表述至关重要，因为主权问题正越来越多地与 AI 工作负载挂钩。最近，InfoQ 报道 "称，多位欧洲行业从业者在微软 Foundry 平台上采用 Claude 模型时受阻，原因与空客在此提及的合规诉求一致：其中一家荷兰银行直接驳回了相关使用申请，还有一位肿瘤领域的 IT 架构师明确要求必须保障推理过程托管在欧盟境内。空客也持完全相同的立场，并且已经将该要求写入了签署的正式合同中。 这一影响已经超出了超大规模云服务提供商的范畴。一位运营美国 SaaS 公司的创始人描述了因同样的理由而失去长期欧洲客户的情况： 在过去的一年中，我注意到越来越多的客户转投欧洲竞争对手的怀抱。多年来，他们一直对我们的服务很满意，而且一直在使用我们欧洲区域的服务。当我询问原因时，他们表示（我在此稍作转述）：“对产品很满意，但管理层要求使用欧盟供应商。” 大型供应商可以通过设立欧盟实体来回应这一合规诉求，而小型供应商通常无法做到这一点。 Scaleway 是法国电信集团 iliad 旗下的云计算部门。欧盟委员会为欧盟机构设立了 1.8 亿欧元的“ Cloud III ”框架， 他们 4 月份入选其中成为四家供应商之一 "，并于 7 月份 收购了高性能计算（HPC）服务商 Qarnot "，其收购理由之一是两家公司均受欧洲司法管辖，因此能为客户提供免受域外法律约束的保障。空客则于 5 月与 Mistral AI 单独达成合作，将欧洲模型提供商与欧洲基础设施相结合。 并非所有对这一趋势的解读都聚焦于管辖权问题。有评论者指出，主权框架掩盖了一个更为现实的驱动因素：云基础设施正在商品化，底层架构独立性正在成为默认标准，而小型供应商如今也能在成本和技术支持方面展开有力的竞争。这两种解读同时成立。Kubernetes、Terraform 以及兼容 S3 的 API 已经将切换成本降低到足够低的程度，使得管辖权偏好从一种理想转变为可行的选择，这也正是为什么如今的招标可以在不牺牲技术要求的前提下，有效地规避法律风险。 在实践中，主权要求究竟意味着什么？这一问题引起了合规从业者的关注，他们纷纷对 Scaleway 在 LinkedIn 上的公告 "作出回应。数据合规专家兼数据保护官 Marie-José P 指出，只有将该标准分解为审计员能够核查的具体事项，它才具有实际意义： 对于关键工作负载，信任必须转化为可验证的控制措施：数据和日志的位置、支持访问、加密密钥治理、分包商监督、可逆性以及运营连续性。关键问题不仅在于云服务提供商的注册地，更在于能否在实际架构和服务链中证明其长期控制措施的有效性。 从事医疗保健领域法律、合规和数据隐私工作的 Julien Raspopovitch 从监管角度提出了相同的观点。他指出，在欧洲进行数据托管虽然可以降低受《云法案》（CLOUD Act）和《外国情报监视法》（FISA）约束的风险，但这并不能免除进行数据保护影响评估或核查第 28 条分包处理条款的义务，特别是在多云环境中： 主权是一种合规资产，而非合规的替代品。 两家公司均未披露合同金额、迁移时间表、涉及的应用程序数量，以及哪些工作负载仍将保留在现有的供应商那里。对于任何大型制造商而言，生产型 ERP 和制造系统的迁移项目往往容易出现延误，而此次公告中并未将此类风险纳入考量。对于欧洲其他地区的平台团队而言，真正的信号在于招标结构而非结果：当如此规模的采购方将“管辖权保护”列为计分要求时，竞标方往往会照搬该评分标准。 原文链接： https://www.infoq.com/news/2026/07/airbus-scaleway-sovereign-cloud/ "