Enquanto o Cloud and AI Development Act segue o seu caminho no Parlamento e no Conselho, a Comissão Europeia não esperou: no seu próprio concurso de cloud soberana aplicou uma grelha de níveis de soberania, excluiu quem não atingia o mínimo e adjudicou tudo a fornecedores europeus. O resultado mostra até onde chegam as ofertas «soberanas» dos hyperscalers e o que uma entidade pública europeia pode exigir desde já.
O que já aconteceu
Em abril de 2026 a Comissão dividiu um contrato-quadro de 180 milhões de euros em seis anos, ao qual todas as instituições e agências da UE podem recorrer, por quatro consórcios: Post Telecom com OVHcloud e Clever Cloud, STACKIT (grupo Schwarz), Scaleway (grupo Iliad) e Proximus com S3NS, Clarence e Mistral. Avaliou-os com o seu Cloud Sovereignty Framework, que transforma soberania em oito objetivos mensuráveis e atribui um nível SEAL de 0 a 4: controlo da empresa, localização dos dados, cadeia de abastecimento, abertura tecnológica, segurança e conformidade com o direito da UE. Só era elegível quem atingisse SEAL-2 (soberania dos dados). OVHcloud, STACKIT e Scaleway chegaram a SEAL-3 (resiliência digital). O consórcio que assenta em S3NS, a joint venture da Thales com a Google, ficou em SEAL-2, o mínimo. A Comissão vai aplicar os mesmos critérios aos seus próprios serviços digitais e publicar uma versão atualizada do framework.
O que vem aí
O Cloud and AI Development Act (CADA) vai tornar este tipo de grelha obrigatório para o setor público de todos os Estados-Membros, com quatro níveis de garantia e exigência de nível 2 ou superior nos setores críticos, extensível às empresas abrangidas pela NIS2. Já explicámos os quatro níveis em Bruxelas propõe quatro níveis de soberania digital na contratação pública.
O Public Procurement Act, adotado a 9 de setembro, substitui as diretivas de contratação pública por um regulamento único com preferência europeia em todos os setores: pelo menos 30% da avaliação em critérios não-preço, onde a origem europeia pode contar, e poder da Comissão para fechar concursos a países sem reciprocidade. As plataformas de contratação eletrónica terão de estar estabelecidas no EEE, guardar lá os dados e não ter controlo externo.
Nenhum dos dois está em vigor. O CADA não terá texto final antes de 2027 nem aplicação antes de 2028; o Public Procurement Act não se aplica antes de 2029. Mas um contrato de cloud assinado hoje por quatro anos termina já sob estas regras.
Onde isto coloca Microsoft, Google e Amazon
Os três hyperscalers conseguem cumprir o nível 1: têm filiais europeias e regiões de dados na UE. Mas não é o que vem por omissão. A localização dos dados na UE é uma opção a configurar e a contratar à parte, com um preço acrescido e exclusões, como a telemetria, o suporte e alguns serviços de IA, que continuam a sair da Europa. Garantir sequer o nível 1 obriga o cliente a saber o que pedir e a pagar por isso. O problema começa no nível 2. Enquanto a empresa-mãe estiver sujeita ao CLOUD Act e ao FISA 702, um fornecedor controlado a partir dos Estados Unidos não consegue garantir que nenhum ator estrangeiro acede aos dados ou suspende o serviço. O caso de 2025, em que a conta de email de um procurador do Tribunal Penal Internacional foi suspensa na sequência de sanções norte-americanas, é citado nos trabalhos preparatórios como o cenário que o nível 2 pretende evitar.
A resposta deles é o modelo de fiduciário: a tecnologia americana operada por uma entidade europeia que detém as chaves e o pessoal. S3NS (Thales com Google), Bleu (Orange e Capgemini com Microsoft) e a European Sovereign Cloud da AWS seguem esse caminho. O concurso da Comissão mostrou o limite: o consórcio que usou S3NS ficou em SEAL-2, o mínimo, enquanto os fornecedores nativos europeus chegaram a SEAL-3. O nível 3 do CADA só admite fornecedores controlados por países terceiros se a Comissão reconhecer formalmente a jurisdição e houver salvaguardas demonstradas; o nível 4 não admite exceções.
Onde isto coloca a Sooma
A Sooma é uma empresa europeia, com capital, gestão e equipa na UE, que opera infraestrutura própria desde 2018: servidores exclusivamente na Europa, fora do alcance de leis de países terceiros. Os critérios estruturais do nível 2 e do nível 3 do CADA, estabelecimento e dados na UE, cadeia de subcontratação europeia, ausência de controlo de país terceiro e equipa europeia, são a forma como a Sooma sempre operou. O Sooma Business, com email, drive e chat assentes em software de código aberto, responde ao critério de abertura tecnológica que o framework SEAL valoriza e que impede o bloqueio ao fornecedor.
A tabela seguinte cruza os critérios do CADA e do framework SEAL com o que cada tipo de fornecedor consegue demonstrar hoje.
| O que o comprador vai exigir | Microsoft, Google, Amazon | Sooma |
|---|---|---|
| Estabelecimento e controlo na UE | Filial europeia, mas controlo final nos EUA; só contornável por modelo fiduciário (S3NS, Bleu, AWS European Sovereign Cloud) | Empresa europeia, capital e gestão na UE |
| Dados, cópias e registos na UE | Regiões europeias disponíveis; telemetria e suporte nem sempre confinados à UE | Servidores exclusivamente na Europa |
| Subcontratantes europeus | Cadeia global de hardware, software e suporte | Centros de dados, conectividade e fornecedores na UE |
| Imunidade a ordens e sanções de países terceiros | Não garantível enquanto a empresa-mãe estiver sujeita ao CLOUD Act e ao FISA 702; o modelo fiduciário ficou em SEAL-2 no concurso da Comissão | Sujeita apenas ao direito da UE e dos seus Estados-Membros |
| Pessoal com acesso privilegiado cidadão da UE (nível 3) | Apenas nas ofertas fiduciárias, com perímetro limitado | Equipa integralmente na UE |
| Dados do cliente não usados para treinar IA de países terceiros | Depende de cláusulas contratuais; os modelos de IA são operados a partir dos EUA | Não há treino de modelos com dados de clientes |
| Abertura tecnológica e plano de saída em 12 meses | Formatos e APIs proprietários; migração complexa | Sooma Business em código aberto; formatos abertos e portabilidade |
O limite dos hyperscalers não é técnico, é jurídico: por muito que invistam em regiões e parceiros europeus, o controlo final e a exposição ao direito norte-americano não mudam. É exatamente esse o critério que o nível 3 do CADA e o SEAL-3 colocam no centro.
Para as entidades públicas e as empresas de setores críticos na Europa, a mensagem é simples: os fornecedores que vão ser elegíveis em 2028 já existem hoje, e os critérios para os distinguir já estão publicados.