{"id":3916,"date":"2026-10-19T01:29:14","date_gmt":"2026-10-19T00:29:14","guid":{"rendered":"http:\/\/sooma.com\/pt-pt\/bruxelas-passa-a-exigir-cloud-europeia-o-que-muda-para-quem-compra-e-quem-fornece\/"},"modified":"2026-10-19T01:29:14","modified_gmt":"2026-10-19T00:29:14","slug":"bruxelas-passa-a-exigir-cloud-europeia-o-que-muda-para-quem-compra-e-quem-fornece","status":"publish","type":"post","link":"https:\/\/sooma.com\/pt-pt\/bruxelas-passa-a-exigir-cloud-europeia-o-que-muda-para-quem-compra-e-quem-fornece\/","title":{"rendered":"Bruxelas passa a exigir cloud europeia: o que muda para quem compra e quem fornece"},"content":{"rendered":"

Enquanto o Cloud and AI Development Act segue o seu caminho no Parlamento e no Conselho, a Comiss\u00e3o Europeia n\u00e3o esperou: no seu pr\u00f3prio concurso de cloud soberana aplicou uma grelha de n\u00edveis de soberania, excluiu quem n\u00e3o atingia o m\u00ednimo e adjudicou tudo a fornecedores europeus. O resultado mostra at\u00e9 onde chegam as ofertas \u00absoberanas\u00bb dos hyperscalers e o que uma entidade p\u00fablica europeia pode exigir desde j\u00e1.<\/strong><\/em><\/p>\n

O que j\u00e1 aconteceu<\/h2>\n

Em abril de 2026 a Comiss\u00e3o dividiu um contrato-quadro de 180 milh\u00f5es de euros em seis anos, ao qual todas as institui\u00e7\u00f5es e ag\u00eancias da UE podem recorrer, por quatro cons\u00f3rcios: Post Telecom com OVHcloud e Clever Cloud, STACKIT (grupo Schwarz), Scaleway (grupo Iliad) e Proximus com S3NS, Clarence e Mistral. Avaliou-os com o seu Cloud Sovereignty Framework, que transforma soberania em oito objetivos mensur\u00e1veis e atribui um n\u00edvel SEAL de 0 a 4: controlo da empresa, localiza\u00e7\u00e3o dos dados, cadeia de abastecimento, abertura tecnol\u00f3gica, seguran\u00e7a e conformidade com o direito da UE. S\u00f3 era eleg\u00edvel quem atingisse SEAL-2 (soberania dos dados). OVHcloud, STACKIT e Scaleway chegaram a SEAL-3 (resili\u00eancia digital). O cons\u00f3rcio que assenta em S3NS, a joint venture da Thales com a Google, ficou em SEAL-2, o m\u00ednimo. A Comiss\u00e3o vai aplicar os mesmos crit\u00e9rios aos seus pr\u00f3prios servi\u00e7os digitais e publicar uma vers\u00e3o atualizada do framework.<\/p>\n

O que vem a\u00ed<\/h2>\n

O Cloud and AI Development Act (CADA) vai tornar este tipo de grelha obrigat\u00f3rio para o setor p\u00fablico de todos os Estados-Membros, com quatro n\u00edveis de garantia e exig\u00eancia de n\u00edvel 2 ou superior nos setores cr\u00edticos, extens\u00edvel \u00e0s empresas abrangidas pela NIS2. J\u00e1 explic\u00e1mos os quatro n\u00edveis em Bruxelas prop\u00f5e quatro n\u00edveis de soberania digital na contrata\u00e7\u00e3o p\u00fablica<\/a>.<\/p>\n

O Public Procurement Act, adotado a 9 de setembro, substitui as diretivas de contrata\u00e7\u00e3o p\u00fablica por um regulamento \u00fanico com prefer\u00eancia europeia em todos os setores: pelo menos 30% da avalia\u00e7\u00e3o em crit\u00e9rios n\u00e3o-pre\u00e7o, onde a origem europeia pode contar, e poder da Comiss\u00e3o para fechar concursos a pa\u00edses sem reciprocidade. As plataformas de contrata\u00e7\u00e3o eletr\u00f3nica ter\u00e3o de estar estabelecidas no EEE, guardar l\u00e1 os dados e n\u00e3o ter controlo externo.<\/p>\n

Nenhum dos dois est\u00e1 em vigor. O CADA n\u00e3o ter\u00e1 texto final antes de 2027 nem aplica\u00e7\u00e3o antes de 2028; o Public Procurement Act n\u00e3o se aplica antes de 2029. Mas um contrato de cloud assinado hoje por quatro anos termina j\u00e1 sob estas regras.<\/p>\n

Onde isto coloca Microsoft, Google e Amazon<\/h2>\n

Os tr\u00eas hyperscalers conseguem cumprir o n\u00edvel 1: t\u00eam filiais europeias e regi\u00f5es de dados na UE. Mas n\u00e3o \u00e9 o que vem por omiss\u00e3o. A localiza\u00e7\u00e3o dos dados na UE \u00e9 uma op\u00e7\u00e3o a configurar e a contratar \u00e0 parte, com um pre\u00e7o acrescido e exclus\u00f5es, como a telemetria, o suporte e alguns servi\u00e7os de IA, que continuam a sair da Europa. Garantir sequer o n\u00edvel 1 obriga o cliente a saber o que pedir e a pagar por isso. O problema come\u00e7a no n\u00edvel 2. Enquanto a empresa-m\u00e3e estiver sujeita ao CLOUD Act e ao FISA 702, um fornecedor controlado a partir dos Estados Unidos n\u00e3o consegue garantir que nenhum ator estrangeiro acede aos dados ou suspende o servi\u00e7o. O caso de 2025, em que a conta de email de um procurador do Tribunal Penal Internacional foi suspensa na sequ\u00eancia de san\u00e7\u00f5es norte-americanas, \u00e9 citado nos trabalhos preparat\u00f3rios como o cen\u00e1rio que o n\u00edvel 2 pretende evitar.<\/p>\n

A resposta deles \u00e9 o modelo de fiduci\u00e1rio: a tecnologia americana operada por uma entidade europeia que det\u00e9m as chaves e o pessoal. S3NS (Thales com Google), Bleu (Orange e Capgemini com Microsoft) e a European Sovereign Cloud da AWS seguem esse caminho. O concurso da Comiss\u00e3o mostrou o limite: o cons\u00f3rcio que usou S3NS ficou em SEAL-2, o m\u00ednimo, enquanto os fornecedores nativos europeus chegaram a SEAL-3. O n\u00edvel 3 do CADA s\u00f3 admite fornecedores controlados por pa\u00edses terceiros se a Comiss\u00e3o reconhecer formalmente a jurisdi\u00e7\u00e3o e houver salvaguardas demonstradas; o n\u00edvel 4 n\u00e3o admite exce\u00e7\u00f5es.<\/p>\n

Onde isto coloca a Sooma<\/h2>\n

A Sooma \u00e9 uma empresa europeia, com capital, gest\u00e3o e equipa na UE, que opera infraestrutura pr\u00f3pria desde 2018: servidores exclusivamente na Europa, fora do alcance de leis de pa\u00edses terceiros. Os crit\u00e9rios estruturais do n\u00edvel 2 e do n\u00edvel 3 do CADA, estabelecimento e dados na UE, cadeia de subcontrata\u00e7\u00e3o europeia, aus\u00eancia de controlo de pa\u00eds terceiro e equipa europeia, s\u00e3o a forma como a Sooma sempre operou. O Sooma Business, com email, drive e chat assentes em software de c\u00f3digo aberto, responde ao crit\u00e9rio de abertura tecnol\u00f3gica que o framework SEAL valoriza e que impede o bloqueio ao fornecedor.<\/p>\n

A tabela seguinte cruza os crit\u00e9rios do CADA e do framework SEAL com o que cada tipo de fornecedor consegue demonstrar hoje.<\/p>\n\n\n\n\n\n\n\n\n\n\n\n
O que o comprador vai exigir<\/th>\nMicrosoft, Google, Amazon<\/th>\nSooma<\/th>\n<\/tr>\n<\/thead>\n
Estabelecimento e controlo na UE<\/td>\nFilial europeia, mas controlo final nos EUA; s\u00f3 contorn\u00e1vel por modelo fiduci\u00e1rio (S3NS, Bleu, AWS European Sovereign Cloud)<\/td>\nEmpresa europeia, capital e gest\u00e3o na UE<\/td>\n<\/tr>\n
Dados, c\u00f3pias e registos na UE<\/td>\nRegi\u00f5es europeias dispon\u00edveis; telemetria e suporte nem sempre confinados \u00e0 UE<\/td>\nServidores exclusivamente na Europa<\/td>\n<\/tr>\n
Subcontratantes europeus<\/td>\nCadeia global de hardware, software e suporte<\/td>\nCentros de dados, conectividade e fornecedores na UE<\/td>\n<\/tr>\n
Imunidade a ordens e san\u00e7\u00f5es de pa\u00edses terceiros<\/td>\nN\u00e3o garant\u00edvel enquanto a empresa-m\u00e3e estiver sujeita ao CLOUD Act e ao FISA 702; o modelo fiduci\u00e1rio ficou em SEAL-2 no concurso da Comiss\u00e3o<\/td>\nSujeita apenas ao direito da UE e dos seus Estados-Membros<\/td>\n<\/tr>\n
Pessoal com acesso privilegiado cidad\u00e3o da UE (n\u00edvel 3)<\/td>\nApenas nas ofertas fiduci\u00e1rias, com per\u00edmetro limitado<\/td>\nEquipa integralmente na UE<\/td>\n<\/tr>\n
Dados do cliente n\u00e3o usados para treinar IA de pa\u00edses terceiros<\/td>\nDepende de cl\u00e1usulas contratuais; os modelos de IA s\u00e3o operados a partir dos EUA<\/td>\nN\u00e3o h\u00e1 treino de modelos com dados de clientes<\/td>\n<\/tr>\n
Abertura tecnol\u00f3gica e plano de sa\u00edda em 12 meses<\/td>\nFormatos e APIs propriet\u00e1rios; migra\u00e7\u00e3o complexa<\/td>\nSooma Business em c\u00f3digo aberto; formatos abertos e portabilidade<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

O limite dos hyperscalers n\u00e3o \u00e9 t\u00e9cnico, \u00e9 jur\u00eddico: por muito que invistam em regi\u00f5es e parceiros europeus, o controlo final e a exposi\u00e7\u00e3o ao direito norte-americano n\u00e3o mudam. \u00c9 exatamente esse o crit\u00e9rio que o n\u00edvel 3 do CADA e o SEAL-3 colocam no centro.<\/p>\n

Para as entidades p\u00fablicas e as empresas de setores cr\u00edticos na Europa, a mensagem \u00e9 simples: os fornecedores que v\u00e3o ser eleg\u00edveis em 2028 j\u00e1 existem hoje, e os crit\u00e9rios para os distinguir j\u00e1 est\u00e3o publicados.<\/strong><\/em><\/p>\n

Fontes<\/h2>\n