要約

  • CADA案の第29・30条がつくるのは、一定の公共部門クラウド利用についてどの認定サービスを候補に残せるかを決める適格性の門である。第32条がつくるのは、革新的なクラウドサービスとAIシステムの調達で、欧州の供給網・技術・供給安全への貢献を品質評価に反映する補助的な点数である。前者は候補集合を変え得るが、後者は契約目的との関連、事前開示、裁量制限に加え、「ancillary and not decisive」、すなわち補助的で落札を決定してはならないという明示的制約を受ける。
  • 統治上の焦点は「EU企業を優遇するか」ではなく、誰がどの判断をし、どの証拠でそれを正当化し、判断が外れたときの移行費用・サービス継続リスク・調達責任を誰が負うかにある。第29条では加盟国・EU機関、第17～23条では提供者・監査組織・各国主管当局、第30・32条では個々の調達当局、さらに第29条では一定の場合に欧州委員会までが別々の決定権を持つ。この分業を記録上も分離しなければ、後日の監査や司法審査で「資格要件」と「加点」が混同される危険がある。

最低ラインを越えても、落札者はまだ決まらない

CADAを読む際の実務上の出発点は単純である。あるクラウドサービスが要求された保証水準を満たし、調達に参加できたとしても、それだけではそのサービスが落札すべきだとは決まらない。逆に、ある提案が「欧州への付加価値」で高く評価されても、そもそも要求された保証水準を満たさないサービスを、その加点で救済できる構造にもなっていない。法案はこの二つを別の条文、別の目的、別の証拠体系に置いている。

欧州委員会自身がCADAを、クラウド・AIの研究開発、データセンター容量、自律性という複数の政策手段を束ねた提案として説明している。なかでも自律性については、公共部門がリスク評価に応じて利用できるクラウドを選べるよう、四段階の「Union assurance level」を設け、加盟国による監査・認定と結びつける構想である。委員会の政策説明では、Level 1 はEU域内でのインフラ・データ処理を中心とする基礎水準であり、上位になるにつれて第三国からの独立性、所有・支配、ソフトウェア供給網等に関する要求が強まる。

だが、この保証水準は製品比較の総合得点ではない。それは特定の公共活動について、どの種類のサービスを「使ってよい候補」として残すかを決める規制上の閾値である。CADA案はまず第29条で、加盟国とEU機関に、発効後1年まで、その後は2年ごと、または必要時にリスク評価を実施させる。対象はクラウドを利用または利用予定で、「公共秩序の維持」に寄与する公共活動のうち、NIS2指令の附属書I・II分野や、国家安全保障、国内安全保障、国境管理、防衛、司法、法執行などに関係するものだ。該当すると判断した活動については、Level 2、3、4のどれが適切かを決める。

その判断は国籍ラベルだけで行う設計ではない。第29条2項は、少なくとも、処理される非個人データの機微性・重要性・規模、個人データ処理の性質と権利への危険、EU法上違法となる第三国または第三国法人によるアクセスの危険、それにサービス中断が公共秩序へ及ぼす危険を考慮対象としている。さらに同条9項は、マルチベンダーまたはマルチクラウド戦略が適切かどうかも検討させる。これはCADAが「所在地」だけでなく、アクセス権、支配、停止可能性、代替可能性を依存リスクとして扱っていることを示す。

ここでは加盟国の判断も完全な終点ではない。欧州委員会は実施行為によってリスク評価の方法、様式、考慮要素を定めることができ、加盟国は評価後3カ月以内に結果を委員会へ提出する。委員会が、加盟国の選んだ保証水準では公共秩序上の懸念に十分対応できないと判断した場合、必要な保証水準を実施行為で指定できるという二段階の統制が置かれている。

その結果を調達に接続するのが第30条である。同条は、自己利用のためクラウドを調達する調達当局、および一定のEU機関を対象とし、第29条で公共秩序への寄与が認定されなかった公共活動についてはLevel 1として認定されたクラウドを使用させる。一方、第29条の対象活動として特定された場合にはLevel 2、3または4として認定されたサービスだけを調達する仕組みである。つまりリスク評価は抽象的な政策文書ではなく、候補サービスの集合を直接変える。

ただし、その門には例外弁もある。第30条4項は、例外的かつ十分に正当化される場合、認定サービスを調達しない決定を認める。提案文が挙げるのは、中央リポジトリに契約目的を満たす認定サービスがなく合理的な代替もない場合、過去1年の類似調達で適切な入札・参加者が得られなかった場合、またはCADA要件の適用が不均衡なコストを生む場合である。しかも最初のケースについては、認定サービス不在が調達条件を人為的に狭めた結果であってはならない。したがって例外は「必要なサービスがない」という一言で済む逃げ道ではなく、市場探索と仕様設定の記録を後から検証できる形にする必要がある。

このゲートを支える認定プロセスにも権限の分散がある。クラウド提供者は認定を求めて設立国の主管当局に申請し、Level 2～4を求める場合には、自費で独立第三者監査を受け、監査報告書と監査意見を得なければならない。Level 1では適合自己評価の仕組みがあり、認定されたサービスは欧州委員会が維持する中央リポジトリに登録される。重要な事情変更があれば、提供者から監査組織・主管当局へ通知し、監査意見や認定の変更・取消しにつなげる構造も提案されている。

したがって、ゲート判断を後日検証するために必要なのは、少なくとも三層の記録である。第一に、第29条のリスク評価がなぜ当該活動を公共秩序上重要と分類し、なぜ特定の保証水準を選んだか。第二に、入札時点で対象サービスが実際に中央リポジトリ上で必要水準の認定を保持していたか。第三に、第30条4項の例外を使うなら、利用可能な代替、過去の調達結果、追加コストについて何を確認したかである。これは条文から導かれる統治上の含意であり、単に「認定済み」と記すより、判断主体ごとの証拠を保存する方が説明責任を強くする。

第32条の「Union added value」は別のレバーである

第32条の射程は違う。対象は「革新的なクラウド・コンピューティング・サービスおよびAIシステム」の公共調達であり、その入札の品質評価に、入札者が欧州のクラウド・AIエコシステム発展へどれだけ寄与するかを測る非価格基準を含めるよう求める。通常のクラウド調達すべてに同一の「欧州性スコア」を課す規定でもなければ、AI一般の市場参入資格を定める規定でもない。

その品質基準で見る要素は具体的である。第32条3項は、EU域内で設計・製造されたソフトウェアやハードウェアの使用を含むデジタル供給網の強化、EUで開発された技術やEU資金による研究開発成果の統合、サービス提供に必要なイノベーションが供給安全と欧州のクラウド・AIエコシステムを強化する度合い、そして市場での入手可能性と技術要件が許す限り、EUで設計・製造された重要な計算・ストレージ・ネットワーク用ハードウェアを使う度合いを評価対象にしている。EU製部品が現実的でない場合についても、供給安全と欧州エコシステムの強化に寄与する第三国製ハードウェアを条文自身が想定している。したがって、第32条を「欧州企業だけを選ぶ条項」と読むのは正確ではない。

さらに、調達当局の裁量には四つの明示的な柵がある。非価格基準は、契約の対象と関連していなければならず、調達当局に無制限の選択自由を与えてはならず、調達文書または公告に明示され、そして契約の落札において補助的で、決定的であってはならない。これは一般のEU公共調達法にもある「契約対象との関連」「無制限の裁量を認めない」という統制原理と整合的である。公共調達指令2014/24/EU第67条も、品質基準を契約対象と関連づけ、実効的な競争と検証可能性を確保する構造を置いている。

提案の前文67は、この補助性を数値でイメージさせるため、「Union added value」に総合120点中最大15点を割り当てることを調達当局が検討し得るとしている。しかしこれは第32条本文に置かれた法定上限ではなく、前文の例示である。重要なのは15点という数字そのものではなく、技術的・財務的な中核評価に対して従属的であるべきだという条文上の原則である。

ここで第29・30条と第32条を一つの「EU優遇ルール」とまとめると、責任の所在が見えなくなる。第29・30条は、リスクに応じた最低保証水準によって参加可能性を制約する。第32条は、参加資格を得た入札の品質を比較する局面で、特定のイノベーション調達に限り一つの補助的観点を加える。論理順序としては、まず門を通過できるかを確認し、その後、落札評価を行う。Union added value が高いという理由で保証要件を免除することも、保証水準が高いというだけで落札を自動化することも、条文からは導けない。

この区別は証拠設計にも直結する。第30条では、「このサービスを候補に入れてよいか」を示す認定記録が中心になる。第32条では、「この入札が契約に具体的にどのような欧州付加価値を与えるか」を比較可能な証拠で示す必要がある。例えば「EUに貢献する企業である」という一般的な企業属性ではなく、当該契約で使用する技術、ソフトウェア、重要部品、研究成果、供給網、供給安全への寄与を、公告済み基準に照らして採点できる形にする必要がある。そうでなければ、契約対象との関連性や、無制限の選択自由を禁じる第32条2項との緊張が強くなる。これは同条と既存公共調達原則を合わせて読むことで得られる実務上の帰結である。

権限の所在、継続性の負担、そしてEESCの修正圧力

CADA案の統治構造を理解するには、「最終的に誰が困るか」まで追う必要がある。第29条のリスク評価を行うのは加盟国とEU機関であり、評価方法を具体化し、一定の場合に保証水準を修正できるのは欧州委員会である。認定を求めるのはサービス提供者であり、上位保証水準の監査費用は提供者が負う。独立監査組織は証拠を評価し、設立国の主管当局が認定判断を担う。そして実際の調達仕様、例外利用、落札基準と採点を担うのは調達当局である。ひとつの「EU当局」が一括して全判断をしているわけではない。

この権限分散はチェック・アンド・バランスになり得る反面、結果責任をぼかす可能性もある。たとえば、第29条の再評価によってより高い保証水準が必要になり、別のクラウドへ移行しなければならなくなった場合、提案は加盟国またはEU機関に対して、技術的実現可能性、サービス継続、データ可搬性を考慮しながら、合理的な移行期間、最長12カ月以内で移行するよう求める。法的評価を下す主体と、実際にアプリケーションを移し、停止リスクを管理する組織の負担は同一とは限らない。

そのため第29条9項のマルチベンダー・マルチクラウド検討は、単なる技術アーキテクチャの話以上の意味を持つ。認定水準の変更や提供者側の認定取消しが発生したとき、代替先へ移れる設計がなければ、規制上はより高い「主権」を得ても、運用上は一社への依存が深まるという逆説が生じ得る。これは法案が必ずそうした結果を生むという意味ではない。むしろ、法案自身が複数提供者戦略を検討項目に入れていることから、保証水準と退出可能性を同時に管理する必要性が読み取れる。

第30条の例外も同じ視点で見るべきだ。認定サービスしか買えないという規律を厳格にするほど、認定サービスの供給が薄い分野では価格、機能、導入期限への圧力が高まり得る。法案が「合理的な代替がない」「前年の類似調達で適切な入札がなかった」「不均衡なコスト」という例外を置いたのは、その緊張を明示的に処理するためと読める。一方、例外を容易に使えばゲートの政策目的が空洞化する。そのため実務上の重要な監査対象は、例外件数だけでなく、例外に至る前に仕様を不当に狭めていなかったか、中央リポジトリをどう検索したか、代替設計や段階移行を検討したかである。

第32条には別種のインセンティブがある。調達当局が欧州の技術・供給網への寄与に点数を与えれば、提供者にはEU域内でのR&D、ソフトウェア統合、ハードウェア調達、供給網可視化への投資を入札上の価値へ変換できる余地が生まれる。他方、その点数が大きくなりすぎれば「補助的で決定的でない」という条文との整合性が問題になる。したがって政策当局にとっての課題は、産業政策として意味のある強さを持たせながら、実質的な落札決定因子にはしないという狭い帯域に評価設計を収めることである。これは第32条そのものが内包する緊張である。

この点で、2026年9月23日に採択された欧州経済社会評議会（EESC）の意見は重要な政治シグナルである。EESCはCADAの目的を支持しつつ、第32条の「Union added value」落札基準に**significant weight（相当の重み）**を与えるよう勧告した。これは欧州委員会提案より産業政策的な力を強めたい方向の提言と読める。しかしEESC意見は立法過程における勧告であって、現時点で第32条を書き換えたわけではない。

仮に議会・理事会が今後EESCの方向に沿って第32条の重みを増すなら、少なくとも二つの問題がより鋭くなる。第一は、「相当の重み」と「補助的で非決定的」をどう両立させるか。第二は、その点数が企業の本拠地や所有者という抽象的属性ではなく、契約対象と結びついた具体的価値を本当に測っているかである。これは将来の修正条文次第で評価が変わる部分であり、現時点で確定的な法的効果を予断すべきではない。

2026年10月16日時点で、欧州議会の手続ファイルは依然「委員会決定待ち」である。責任委員会はITRE（産業・研究・エネルギー）とIMCO（域内市場・消費者保護）の合同で、両委員会の報告者は6月24日に任命されている。したがって、EESC意見を含む秋以降の政治的圧力がどの条文修正へ結実するかはまだ確定していない。CADAを既成事実として事業計画や調達仕様へ固定的に織り込むより、現案をベースラインとして、保証水準、例外、Union added value の三領域を別々に変更追跡する方が合理的である。

説明責任の観点から最も重要なのは、最終的な落札結果だけを見ることではない。後日のレビューで再現できるべきなのは、①第29条でなぜその公共活動をその保証水準にしたか、②第30条でなぜそのサービスを候補に残した、または例外を認めたか、③第32条で何をUnion added valueとして公告し、各入札者のどの証拠をどう比較したか、④その点数を除いても基準が「補助的・非決定的」であったと言えるか、⑤判断変更時に誰が移行・継続コストを負担する設計だったか、である。ここまで記録が分離されて初めて、「主権」という広い政策語を、監査可能な意思決定へ変換できる。

主要一次資料