Responsáveis de defesa resistem ao avanço de Bruxelas para uma nuvem só nacional
Responsáveis europeus de defesa e fornecedores da indústria de armamento resistem publicamente ao Cloud and AI Development Act da Comissão Europeia, uma lei apresentada em junho de 2026 que classificaria os serviços públicos por sensibilidade. O objetivo declarado da lei é reduzir a dependência estrutural da União Europeia dos grandes fornecedores norte-americanos, mas responsáveis de vários Estados-membros defendem que o calendário avança mais depressa do que as alternativas nacionais conseguem amadurecer.
Só o nível de sensibilidade mais alto exigiria tecnologia "totalmente nacional", e a própria estimativa da Comissão coloca esse nível em apenas cerca de um por cento dos serviços públicos. Responsáveis e fornecedores de defesa alertam que um afastamento rápido da Amazon Web Services, da Microsoft Azure e da Google Cloud, que juntas controlam cerca de 70 por cento do mercado de nuvem da UE, arrisca deixar as forças armadas com sistemas inferiores, maiores lacunas cibernéticas e mais dificuldade de coordenação com os aliados da NATO. O caça F-35 é o exemplo a que os responsáveis voltam sempre: a sua infraestrutura digital funciona integrada em serviços de nuvem norte-americanos em vez de ser adquirida como uma subscrição substituível, exatamente o tipo de dependência que o nível mais alto pretende eliminar.
Dois altos responsáveis de defesa da UE e várias empresas europeias de defesa estimam o avanço norte-americano em plataformas de nuvem e IA de defesa entre oito a dez anos, uma diferença que, segundo afirmam, não pode ser eliminada dentro do calendário da própria lei. Nem todos os fornecedores esperam para descobrir: a Airbus anunciou em julho de 2026 que iria transferir algumas aplicações críticas da AWS para o fornecedor francês Scaleway, ainda antes de existir qualquer obrigação legal para tal.
Quatro fases, um nível de topo: o que exige realmente ser 'totalmente nacional'
O Cloud and AI Development Act estabelece quatro fases crescentes de soberania, e só a última exige uma infraestrutura totalmente nacional. A fase um exige a localização física dos dados dentro da UE, um patamar que a maioria dos contratos atuais com grandes fornecedores já cumpre. A fase dois acrescenta independência face à lei de países terceiros e cadeias de fornecimento transparentes, excluindo situações em que um governo estrangeiro pudesse obrigar ao acesso a dados. A fase três exige propriedade e controlo europeus do próprio fornecedor, não só dos seus centros de dados. A fase quatro, reservada a cerca de um por cento dos serviços considerados mais sensíveis, exige transparência total do software e nenhuma influência de países terceiros.
| Fase | Requisito | Âmbito |
|---|---|---|
| Fase 1 | Localização física dos dados dentro da UE | Amplo, a maioria das cargas do setor público |
| Fase 2 | Independência face a leis de países terceiros, cadeias transparentes | Serviços sensíveis mas não de nível de topo |
| Fase 3 | Propriedade e controlo europeus do fornecedor | Serviços de alta sensibilidade |
| Fase 4 | Transparência total do software, sem influência estrangeira ("totalmente nacional") | Cerca de 1 por cento dos serviços públicos |
A ministra dos Negócios Estrangeiros da Finlândia, Elina Valtonen, expôs sem rodeios a preocupação de fundo, dizendo que Helsínquia se prepara para o risco de um fornecedor estrangeiro acionar um "kill switch" contra o país. James Appathurai, subsecretário-geral adjunto da NATO, respondeu do lado da interoperabilidade, sublinhando que as forças aliadas precisam de trocar dados do campo de batalha de forma contínua e rápida, uma exigência que se torna mais difícil sempre que a infraestrutura de nuvem de um Estado-membro se afasta da dos seus vizinhos.
Além da polémica: um problema de conformidade a duas velocidades
A disputa que domina as manchetes é sobre a rapidez com que a União Europeia deve reduzir a sua dependência da nuvem, mas a pergunta mais útil para um empresário é o que acontece quando a fase quatro se aplicar realmente a apenas um por cento dos serviços. No debate, a soberania como objetivo político e a soberania como risco operacional são tratadas como o mesmo problema; não são. O objetivo político é reduzir a alavanca estrutural que um governo estrangeiro poderia exercer sobre os serviços públicos europeus numa crise. O risco operacional é que forçar a mudança segundo um calendário fixo, antes de as alternativas nacionais terem fechado uma diferença de oito a dez anos, possa criar exatamente as falhas cibernéticas e de interoperabilidade que a lei pretende evitar.
Essa divisão cria um problema de conformidade a duas velocidades que tem recebido muito pouca atenção ao lado das manchetes sobre soberania. Noventa e nove por cento dos serviços abrangidos permanecem sob acordos com grandes fornecedores em grande parte inalterados nas fases um e dois, que sobretudo formalizam práticas que a AWS, a Azure e a Google Cloud já suportam. O um por cento restante precisa de uma cadeia de fornecimento totalmente separada e muito mais pequena de fornecedores nacionais, e não é claro que essa cadeia já exista na escala ou maturidade que a lei pressupõe. Os fornecedores que servem esse nível de topo, desde empresas como a Scaleway até fornecedores de nuvem específicos para defesa que hoje quase não existem, são chamados a crescer contra um prazo definido pela política e não pela sua própria capacidade. Os fornecedores que servem todos os outros enfrentam uma carga de conformidade muito mais leve, vestida com a mesma linguagem de "soberania", o que torna fácil para ambos os grupos, e para os seus clientes do setor público, avaliar mal quais as regras que realmente se aplicam a eles.
O que um empresário ligado à defesa na UE deve vigiar
Um empresário que venda a entidades públicas da UE ou a clientes ligados à defesa deve primeiro apurar em qual das quatro fases os seus próprios contratos vão cair, já que as obrigações das fases um e dois estão próximas da prática atual, enquanto a fase quatro é um negócio completamente diferente. Pergunte se os fornecedores atuais de nuvem ou software têm um caminho credível para a certificação de fase três ou quatro, ou se esse trabalho ainda nem começou, porque um fornecedor apanhado desprevenido num contrato de nível de topo torna-se também um problema do comprador.
Acompanhe como cada Estado-membro transpõe a lei, já que os países de leste e nórdicos, mais focados na interoperabilidade com a NATO, são também os mais propensos a procurar isenções ou calendários mais lentos para serviços ligados à defesa, o que poderia abrir um segundo padrão a duas velocidades ao nível nacional, além do que já existe à escala da UE. Por fim, acompanhe se, nos próximos dois a três anos, chega mesmo a formar-se uma cadeia de fornecimento de nuvem e IA verdadeiramente nacional; se isso não acontecer, o nível de um por cento arrisca-se a tornar-se uma categoria de conformidade sem fornecedores capazes de a preencher, o que é em si um risco operacional.
Leia a seguir: UE Liga os Data Centers de IA ao Planeamento da Rede | A Comissão contratou IA dos EUA para o seu pessoal
