Ehdotus pilvipalvelujen varmuustasoista, datakeskuksista ja julkisista hankinnoista. Se ei velvoita tänään ketään.
Mikä se on Pilvi- ja tekoälysäädös (Cloud and AI Development Act, CADA) on Euroopan komission 3.6.2026 antama asetusehdotus COM(2026) 502. Se on ehdotus, ei laki. Parlamentin ja neuvoston käsittely on vasta alussa, eikä mitään ole päätetty eikä yksikään sen velvoite sido tänään ketään. Nimi vie helposti harhaan. CADA ei säätele tekoälyjärjestelmiä, kielimalleja eikä niiden käyttöä lainkaan, vaan ne asiat ovat tekoälyasetuksessa . Tämän ehdotuksen kohteena ovat pilvi-infrastruktuuri, datakeskukset ja julkiset hankinnat. Ehdotus liittyy komission tekoälymanner-toimintasuunnitelmaan ja rakentuu kolmesta osasta. Ensimmäinen kokoaa tutkimus- ja innovaatioaloitteet sekä kansalliset pilvi- ja tekoälystrategiat. Toinen kasvattaisi datakeskuskapasiteettia kiihdytysvyöhykkeillä ja nopeutetulla lupamenettelyllä. Kolmas on unionin suvereniteettikehys, jossa pilvipalvelu voitaisiin tunnustaa neljälle varmuustasolle. Käsittely on kummassakin toimielimessä vasta alussa. Neuvoston televiestintä- ja tietoyhteiskuntatyöryhmä ottaa ehdotuksen ensimmäistä kertaa artiklakohtaiseen käsittelyyn 8.9.2026: 31.8.2026 päivätyn kokouskutsun (CM 3901/26) mukaan vuorossa ovat julkisten hankintojen artiklat 29–30, 32–33 ja 37–40 sekä kolmannen pilarin loput artiklat 34–36 ja 41–44. Parlamentissa ehdotus on valmisteluvaiheessa: vastuuvaliokunniksi on merkitty ITRE ja IMCO ja esittelijöiksi Diego Solier (ECR, Espanja) ja Reinier Van Lanschot (Greens/EFA, Alankomaat), mutta valiokuntien vastuunjaosta ei ole päätöstä, eikä valiokuntamietinnölle tai äänestykselle ole päivämäärää. Kaikki tämä on menettelyn kulkua, ei päätöksiä: ehdotuksen sisältö voi vielä muuttua. Ehdotuksen taustalla on komission 11.8.2026 julkaisema selvitys Study on Cloud and AI Development in the EU. Se tuki vaikutusten arviointiin liittyvää komission yksiköiden valmisteluasiakirjaa, mutta se ei itse ole vaikutusten arviointi. Selvityksen mukaan EU:n keskeiset ongelmat ovat laskentakapasiteetin vähäisyys ja maantieteellinen keskittyminen sekä riippuvuus EU:n ulkopuolisista pilvi- ja tekoälypalvelujen tarjoajista. Se käsittelee myös toimittajaloukkua tekoälyn laskentapinossa, kolmansien maiden lainsäädännön ulkoalueellisia vaikutuksia, datakeskusten lupamenettelyjä sekä sähköverkkoon ja veteen liittyviä rajoitteita. Selvitys ei muuta ehdotusta eikä velvoita ketään, mutta se kertoo, millä perusteilla komissio ehdottaa varmuustasoja ja hankintasääntöjä. Aikataulua ei ole. Ehdotuksen 48 artiklassa soveltamispäivän kohdalla on yhä paikanvaraaja, jonka mukaan asetusta sovellettaisiin vuoden kuluttua voimaantulosta, ja kaikki muut määräajat on sidottu samaan voimaantuloon. Voimaantuloa ei ole. Jos luette jostain, että CADA tulee voimaan tiettynä vuonna, luku on arvaus. Koskeeko sinua Tänään ehdotus ei velvoita teitä mihinkään. Jos se joskus hyväksytään, se kohdistuisi kahteen ryhmään. Ensimmäinen on pilvi- ja muun tietojenkäsittelypalvelun tarjoaja. Tarjoaja voisi hakea sijoittautumisjäsenvaltionsa viranomaiselta tunnustusta unionin varmuustasolle 1, 2, 3 tai 4. Hakeminen olisi muodollisesti vapaaehtoista, mutta ehdotuksen 16 artiklan mukaan varmuustaso olisi täytettävä, jotta palvelua voisi tarjota unionin elimille ja julkisen sektorin toimijoille. Käytännössä tunnustus olisi siis edellytys julkiselle sektorille myymiselle. Toinen ryhmä on julkisen sektorin hankkija. Jäsenvaltioiden olisi tehtävä riskiarvioinnit omista toiminnoistaan ja sidottava pilvihankinnat varmuustasoihin. Yksityiselle yritykselle ehdotus ei asettaisi suoria velvoitteita. Vaikutus tulisi hankintojen kautta: kun julkinen ostaja vaatii tunnustettua palvelua, vaatimus siirtyy toimittajaketjuun. NIS2:n liitteen I aloilla toimiva yksityinen yritys voisi tehdä saman riskiarvioinnin vapaaehtoisesti, ja vasta myöhemmin komissio voisi delegoidulla säädöksellä tehdä siitä pakollisen kaikkein kriittisimmillä aloilla. Se, mikä pilvipalveluissa velvoittaa teitä nyt, tulee datasäädöksestä . Keskeiset velvoitteet Vain kaksi ensimmäistä kohtaa sitoo tänään, ja molemmat tulevat datasäädöksestä. Loput ovat ehdotusta: ne eivät velvoita ketään ennen kuin asetus on hyväksytty ja tullut voimaan. Palvelun vaihtaminen ja vaihtomaksut (datasäädös, voimassa jo nyt). Tietojenkäsittelypalvelun tarjoajan on poistettava palvelun vaihtamisen esteitä, ja vaihtomaksut on rajattu. Sääntöjä on sovellettu pääosin 12.9.2025 alkaen, eikä CADA muuttaisi niitä. Suoja kolmansien maiden viranomaispääsyltä (datasäädös, voimassa jo nyt). Voimassa oleva datasäädös velvoittaa tarjoajan toteuttamaan suojatoimet, jotka estävät kolmannen maan viranomaisia pääsemästä dataan. CADA-ehdotus rakentaisi tämän varaan uuden auditointisäännön: sen 18 artiklan mukaan kolmannen maan määräysvallassa oleva tarjoaja voitaisiin auditoida varmuustasolle 3 vain, jos komissio on täytäntöönpanosäädöksellä tunnustanut kyseisen maan. Tunnustaminen edellyttäisi kuutta kumulatiivista ehtoa, joista viranomaispääsy on yksi. Tunnustus neljälle varmuustasolle (ehdotus). Tarjoaja voisi hakea sijoittautumisjäsenvaltionsa viranomaiselta tunnustusta tasolle 1, 2, 3 tai 4. Tasolla 1 arviointi olisi tarjoajan oma vaatimustenmukaisuusvakuutus, tasoilla 2–4 riippumaton kolmannen osapuolen auditointi tarjoajan omalla kustannuksella. Varmuustasojen kriteerit (liite II, ehdotus). Kriteerit ovat sisällöllisiä jo tasolla 1: se edellyttäisi sijoittautumista unioniin ja asiakasdatan pysymistä EU:ssa. Itsearviointi koskee arviointitapaa, ei vaatimusten tasoa. Tasot 3 ja 4 (liite II ja 18 artikla, ehdotus). Henkilöstön olisi oltava EU-kansalaisia, eikä tarjoaja tai alihankkija saisi olla kolmannen maan määräysvallassa. Tasolla 3 tästä olisi kapea poikkeus komission tunnustamille kolmansille maille, tasolla 4 ei lainkaan, joten taso 4 on tiukempi kuin taso 3. Tasoilla 2–4 palvelun datalla ei myöskään saisi kouluttaa tai hienosäätää kolmannen maan operoimaa tekoälyjärjestelmää eikä dataa saisi siirtää EU:n ulkopuolelle. Kyberturvallisuussertifikaatti (liite II, ehdotus ja ehdollinen). Tasot 2 ja 3 edellyttäisivät eurooppalaista kyberturvallisuussertifikaattia vähintään tasolla substantial ja taso 4 tasolla high, mutta vain jos tällainen EU-järjestelmä on perustettu ja tarjoajien saatavilla. Pilvipalvelujen EUCS-järjestelmää ei ole hyväksytty, joten toistaiseksi sovellettaisiin kansallisia sertifiointijärjestelmiä. Julkisen sektorin hankinnat (30 artikla, ehdotus). Toiminnoissa, joita riskiarvioinnissa ei ole tunnistettu yleisen järjestyksen kannalta merkityksellisiksi, olisi käytettävä vähintään tasolle 1 tunnustettua palvelua. Kriittisissä toiminnoissa — NIS2:n liitteiden I ja II alat sekä kansallinen turvallisuus, sisäinen turvallisuus, ulkorajavalvonta, puolustus, oikeuslaitos ja lainvalvonta — kelpaisivat vain tasoille 2, 3 tai 4 tunnustetut palvelut. Hankintayksikkö voisi poiketa tästä poikkeuksellisesti ja perustellusti, esimerkiksi jos tunnustettua palvelua ei ole saatavilla tai kustannukset olisivat kohtuuttomat. Jäsenvaltion tehtävät (ehdotus). Jäsenvaltion olisi laadittava kansallinen pilvi- ja tekoälystrategia, nimettävä toimivaltainen viranomainen ja tehtävä julkisten toimintojen riskiarviointi vuoden kuluessa voimaantulosta, minkä jälkeen arviointi toistettaisiin joka toinen vuosi. Datakeskusten kiihdytysvyöhyke olisi nimettävä kuuden kuukauden kuluessa, mutta vain siinä jäsenvaltiossa, jonka alueelle rakennetaan datakeskuskapasiteettia. Seuraamukset (24 artikla, ehdotus). Seuraamuksista päättäisivät jäsenvaltiot. EU-tason sakkokattoja ei ehdoteta, mutta asiakkaalla olisi oikeus vahingonkorvaukseen. Näin sovellat käytännössä Pk-yritys, joka tarjoaa pilvi- tai SaaS-palvelua suomalaisille asiakkaille Ensimmäinen askel ei liity CADA:an lainkaan. Tarkistakaa datasäädöksen pilvivelvoitteet sopimuksianne vasten: palvelun vaihtamisen esteet ja vaihtomaksut ovat kuuluneet sen piiriin 12.9.2025 alkaen, ja se on tässä aiheessa ainoa asia, joka teitä tänään sitoo. Ehdotuksesta riittää tuntea suunta. Jo taso 1 edellyttäisi sijoittautumista unioniin ja asiakasdatan pysymistä EU:ssa, mutta kriteerit muuttuvat vielä käsittelyssä, joten mitään ei kannata rakentaa niiden varaan. Julkisen sektorin hankkija, joka kilpailuttaa pilvipalveluja Varmuustasoa ei voi vielä käyttää hankintakriteerinä, koska tunnustusmenettelyä ei ole olemassa eikä yhtään palvelua ole tunnustettu. Hyödyllinen ensimmäinen askel on silti tunnistaa, mitkä omista toiminnoista olisivat yleisen järjestyksen kannalta kriittisiä, sillä juuri ne ehdotus sitoisi tasoihin 2, 3 tai 4. Tieto palvelee hankintojen riskienhallintaa riippumatta siitä, eteneekö ehdotus. Yritys, joka ostaa pilvipalvelunsa muualta Ehdotus ei kohdistuisi teihin ostajana edes hyväksyttynä. Jos joku tarjoaa teille CADA-valmistautumista, pyytäkää artiklaviite ja päivämäärä. Päivämäärää ei ole olemassa, ja artikla on ehdotuksesta, jonka sisältö muuttuu vielä. Ensimmäinen askel on datasäädös, joka antaa teille oikeuden vaihtaa palvelua ilman kohtuuttomia maksuja ja jonka noudattamista voitte vaatia nykyiseltä toimittajaltanne jo tänään. Suomessa Suomessa ei ollut 27.8.2026 tunnistettua CADA:aa koskevaa lakia eikä kansallista lainvalmisteluhanketta. Kyse on asetusehdotuksesta, joka olisi hyväksyttynä suoraan sovellettavaa oikeutta, ja kansallista sääntelyä tarvittaisiin lähinnä valvontarakenteeseen. Valtioneuvosto ei ollut 27.8.2026 mennessä antanut eduskunnalle U-kirjelmää ehdotuksesta: eduskunnan avoimessa datassa valtiopäivien 2026 U-kirjelmien sarja päättyy numeroon 47, eikä sarjassa ole CADA:aa. E-kirjettä ei löytynyt samasta aineistosta. Havainto on hetkellinen ja vanhenee todennäköisesti pian, sillä eduskunnan syysistuntokausi alkaa syyskuussa. Valvovaa viranomaista ei ole. Ehdotuksen 25 artikla velvoittaisi jäsenvaltion nimeämään yhden tai useamman kansallisen toimivaltaisen viranomaisen vuoden kuluessa asetuksen voimaantulosta, ja tarjoajan päätoimipaikan jäsenvaltiolla olisi yksinomainen toimivalta. Nimeämistä ei ole tehty eikä voida tehdä ennen kuin asetus on hyväksytty. Pilvipalveluihin kohdistuva valvonta, joka Suomessa on tänään olemassa, tulee muualta. Traficom kertoo toimivansa data-asetuksen pääasiallisena toimivaltaisena viranomaisena ja datakoordinaattorina. Kuluttajien tiedonsaantivelvoitteita valvoo kuluttaja-asiamies ja henkilötietoja tietosuojavaltuutettu. NIS2-velvoitteet tulevat kyberturvallisuuslaista 124/2025, ja ne käsitellään NIS2-sivulla . Yhtä suomalaisyritystä on kuultu ehdotuksesta parlamentissa. Parlamentin lainsäädäntötietokannan mukaan esittelijä Diego Solier tapasi 23.7.2026 suomalaisen UpCloud Oy:n, ja esittelijät tapasivat heinäkuussa 2026 muitakin pilvi- ja tekoälyalan toimijoita, myös Euroopan ulkopuolelta. Tapaamiset ovat vaikuttamistyötä, eivät päätöksiä. Suomenkielistä perustietoa ehdotuksesta on komission suomenkielisellä politiikkasivulla ja Have your say -portaalin suomenkielisellä aloitesivulla, jossa palautejakso on auki 22.10.2026 asti.