空客将“免受域外法律约束”列为云服务招标评分标准

空客在本周公布了其主权云合作伙伴的招标结果，法国云服务商Scaleway在竞争性评估中胜出。这次选择之所以引起欧洲科技圈和合规领域的关注，并不在于哪一厂商拿下订单，而在于招标文件中第一次把“法律管辖权”作为与技术能力、运营卓越性并列的正式评分维度。空客明确要求，最终选定的云环境必须能够保护其关键数据资产，使之免受非欧洲域外立法的约束。

根据空客公开的评估框架，供应商从三个大类接受打分。第一类是技术能力，涵盖先进的云服务、互操作性、可扩展性以及人工智能能力。第二类是运营卓越性，聚焦于安全性、弹性、服务连续性和与空客现有多云架构的集成度。第三类则是法律与治理保障措施，具体包括欧洲司法管辖权、数据保护，以及防范非欧洲域外立法的措施。把法律管辖权直接变成评分栏中的硬指标，在欧洲大型工业买家的采购流程中尚属首次，它传递出的信号是：主权合规已经从政策讨论的话题，转变为实际商业决策中的筛选条件。

空客数字业务执行副总裁Catherine Jestin在公告中的措辞毫不含糊。她指出，这次合作是致力于维护欧洲数字主权迈出的重要一步。通过整合一个值得信赖、高性能的云环境，使关键数据资产免受外国域外法律的约束，空客既确保了数字基础设施能够跟上航空航天创新的步伐，也维护了工业运营的控制权和韧性。这里提到的“外国域外法律”，在美国《云法案》（CLOUD Act）的语境下有了非常具体的指向：该法案允许美国当局强制要求总部位于美国的服务提供商提交其存储在全球任何地方的数据，包括由欧盟子公司运营、建在欧盟境内的数据中心。只要服务提供商本身仍受美国管辖，单纯在欧洲设立区域数据中心根本绕不开这一法律风险。

这一担忧并非停留在理论推演，近期已经出现了多个实际案例。在Hacker News上讨论这次协议的业内人士提到了两个先例：2025年，国际刑事法院首席检察官因受到行政命令制裁，无法访问其微软邮箱，微软总裁随后否认曾切断该账户的访问权限；今年6月，由于出口管制原因，部分用户短暂失去了对Claude Fable 5和Mythos 5模型的访问权限。一位评论者据此总结出一条直白的采购规则：你的业务不能依赖于可能随时被迫封锁你的供应商。空客显然把这条规则写进了合同。

从定位上看，这套新平台将支撑涵盖飞机设计、工程、制造和企业运营等领域的关键业务应用。Scaleway承诺提供基于欧洲技术的基础设施，采用开放技术，并能与空客现有的系统实现互操作。公告中并没有出现任何“撤离现有超大规模云商”的表述。空客强调，此次安排是对现有多云策略的补充，目标是“将每项工作负载部署在最符合其技术、运营和监管要求的环境中”。这意味着它不是一次全面的数据回流，而是一种基于工作负载关键性的分层处理：对受管辖权影响的数据设立专门的主权层，其余负载依然留在超大规模云服务商的算力上。这很可能成为大多数正在评估主权问题的欧洲企业最终采用的模式。

Scaleway首席执行官Damien Lucas则把这次交易直接与人工智能基础设施挂钩，而不是简单的存储。他认为，要在先进产业中释放AI的潜力，需要的是兼具性能、可信度和长期控制权的基础设施。这个表述的分量在于，当前主权问题正越来越多地与AI工作负载绑在一起。InfoQ稍早前的报道就显示，多位欧洲从业者在微软Foundry平台上接入Claude模型时面临合规障碍：一家荷兰银行直接驳回了使用申请，而一位肿瘤领域的IT架构师明确提出必须确保推理过程托管在欧盟境内。空客的立场完全一致，而且已经把这一要求写入了签署的正式合同。

影响的范围并不局限于超大规模云服务商。一位运营美国SaaS公司的创始人讲述了因为同样的理由连续失去长期欧洲客户的经历。过去一年中，多位客户转向了欧洲竞争对手，尽管这些客户多年来一直对其服务满意，并在使用该公司位于欧洲区域的服务。当被问及原因时，客户的回答是：“对产品很满意，但管理层要求使用欧盟供应商。”大型供应商或许还能通过设立欧盟实体来回应这种合规诉求，但对中小型SaaS厂商而言，这在操作上近乎无解。

Scaleway作为法国电信集团iliad旗下的云计算部门，其自身资质也在强化这套说辞。今年4月，他们入选为欧盟委员会专门面向欧盟机构的1.8亿欧元“Cloud III”框架的四家供应商之一；7月又收购了高性能计算服务商Qarnot，给出的收购理由之一就是两家公司均受欧洲司法管辖，因此能够为客户提供免受域外法律约束的保障。与此同时，空客在5月还单独与Mistral AI达成合作，将欧洲模型提供商与欧洲基础设施组合在同一技术栈内。这些动作叠加在一起，勾勒出一条越来越清晰的欧洲主权技术路线。

不过，并不是所有解读都聚焦在管辖权议题上。有评论者指出，主权框架背后还藏着一个更加务实的驱动因素：云基础设施正在快速商品化，底层架构的独立性正在成为默认标准，小型供应商如今也能够在成本和技术支持方面与巨头展开有力竞争。这种看法与主权诉求并不矛盾，反而可以并行成立。Kubernetes、Terraform以及兼容S3的API已经将切换成本压得足够低，使得管辖权偏好从一种理想变成可以落地的选项。对于空客这样的招标方而言，现在完全有条件在不牺牲技术要求的前提下，用分数项来有效规避法律风险。

对于合规从业者来说，“主权要求”到底意味着什么，仍然是一个需要细化的问题。Scaleway在LinkedIn上发布公告后，多位专业人士在评论中提出了具体的主权审核框架。数据合规专家兼数据保护官Marie-José P指出，对关键工作负载而言，信任必须转化为可验证的控制措施：数据和日志的物理位置、支持团队的访问权限、加密密钥的治理模式、分包商的监督机制、可逆性以及运营连续性，这些才是能够被审计员核查的具体事项。关键问题不仅在于云服务商的注册地在哪一个司法管辖区，更在于其能否在实际架构和服务链中证明长期控制措施的有效性。

另一位在医疗保健法律与数据隐私领域工作的Julien Raspopovitch则从监管角度点出了一个容易被忽视的陷阱。他说，在欧洲进行数据托管虽然能降低受《云法案》和《外国情报监视法》约束的风险，但这并不能免除企业进行数据保护影响评估或核查第28条分包处理条款的义务，特别是在多云环境中。他的结论很精炼：主权是一种合规资产，而非合规的替代品。换句话说，选了欧洲的云，并不等于自动完成了所有合规作业。

两家公司至今没有披露合同金额、迁移时间表、涉及的应用程序数量，也没有说明哪些工作负载会继续留在现有的超大规模云商那里。对任何大型制造商而言，生产型ERP和制造系统的迁移项目都很容易遭遇延误，而本次公告中并未将这类风险纳入前置考量。对于欧洲其他地区的平台团队来说，空客此举的真正信号并不在于选了谁，而在于招标结构本身：当一家如此体量的采购方把“管辖权保护”列为计分要求时，后续的竞标方几乎必然会照搬这一评分标准。这种采购行为的示范效应，可能比单一合同的去向更能重塑欧洲企业云市场的格局。