Resumo

  • A CADA, ainda uma proposta legislativa em 16 de outubro de 2026, usa os Artigos 29 e 30 para criar um portão de elegibilidade baseado em risco e níveis reconhecidos de garantia. Passar por esse portão torna um serviço contratável nas situações cobertas; não o transforma no vencedor de uma licitação. O procedimento 2026/0138(COD) continua no Parlamento Europeu como “awaiting committee decision”, sem texto final aprovado. (Parlamento Europeu, 2026/0138(COD)).
  • O Artigo 32 faz outra coisa: em licitações públicas para serviços inovadores de computação em nuvem e sistemas de IA, exige um critério não relacionado a preço para avaliar a contribuição ao ecossistema europeu, mas condiciona esse critério ao objeto do contrato, à divulgação prévia e à ausência de discricionariedade ilimitada — e determina que ele permaneça acessório e não decisivo para a adjudicação. O CESE recomendou elevar sua influência; essa posição de setembro de 2026 é uma recomendação no processo legislativo, não direito vigente. (Comissão Europeia, COM(2026) 502, art. 32; CESE, parecer sobre a CADA).

O portão responde “pode concorrer”, não “quem ganha”

O problema prático começa depois de uma pergunta aparentemente simples. Imagine que uma administração pública precisa contratar nuvem para uma função sensível. Ela conclui sua avaliação de risco, determina o nível de garantia pertinente e verifica que dois ou três serviços possuem o reconhecimento necessário. Qual deles vence? A CADA não responde a essa pergunta por meio do nível de garantia. O reconhecimento funciona, no desenho dos Artigos 29 e 30, como uma condição de entrada para determinadas compras. A seleção do vencedor continua sendo uma decisão de contratação pública, sujeita aos critérios aplicáveis à licitação. (Comissão Europeia, COM(2026) 502, arts. 29–30).

O Artigo 29 começa antes da licitação. Pela proposta, Estados-membros e entidades da União teriam de identificar atividades do setor público que utilizam, ou utilizarão, computação em nuvem e que contribuem para a preservação da ordem pública em setores cobertos pelos anexos I ou II da Diretiva NIS2 ou em áreas como segurança nacional e interna, gestão das fronteiras externas, defesa, justiça e aplicação da lei. Para essas atividades identificadas, a avaliação deverá determinar qual dos níveis de garantia da União 2, 3 ou 4 é apropriado. O exercício deverá ocorrer até um ano após a entrada em vigor do futuro regulamento, repetir-se a cada dois anos e ser atualizado quando necessário — prazos que, em 16 de outubro de 2026, permanecem apenas no texto proposto. (Comissão Europeia, COM(2026) 502, art. 29).

Essa classificação não pode, pelo texto proposto, ser uma declaração abstrata de “soberania”. A avaliação deve considerar a sensibilidade e a criticidade da atividade; o volume e a natureza dos dados; riscos a direitos e liberdades; o impacto potencial de acesso ilícito por um terceiro país ou entidade sujeita à sua jurisdição; e os efeitos de interrupção do serviço. A Comissão receberia competência para especificar metodologia, modelos e elementos das avaliações por atos de execução. Os Estados-membros teriam de enviar os resultados à Comissão e explicar divergências em relação à metodologia; se o nível escolhido não for adequado para responder às preocupações de ordem pública, a Comissão poderia especificar o nível exigido por ato de execução. (Comissão Europeia, COM(2026) 502, art. 29).

O Artigo 30 converte essa avaliação de risco em uma regra de compra. Para autoridades contratantes que adquiram serviços de nuvem para seu uso exclusivo, e para as entidades da União abrangidas, atividades que não tenham sido classificadas no Artigo 29 como contribuintes para a ordem pública ficam vinculadas, em princípio, a serviços reconhecidos no nível de garantia 1. Para as atividades identificadas como relevantes à ordem pública nos setores e áreas previstos, a contratação somente poderá recair, conforme o nível exigido, em serviços reconhecidos nos níveis 2, 3 ou 4. (Comissão Europeia, COM(2026) 502, art. 30).

Há válvulas de escape, e elas importam. A proposta admite, excepcionalmente e com justificativa, deixar de comprar um serviço reconhecido quando o objeto não puder ser atendido pelos serviços reconhecidos disponíveis e não houver alternativa adequada; quando procedimento semelhante no ano anterior não tiver produzido propostas ou participantes adequados; ou quando aplicar o requisito gerar custo desproporcional. Isso impede uma leitura segundo a qual a CADA transformaria o reconhecimento em obrigação absoluta independentemente de disponibilidade, preço ou continuidade. Ao mesmo tempo, a exigência de excepcionalidade e justificativa deixa uma pergunta de governança inevitável: quais fatos demonstram que uma exceção realmente estava presente? (Comissão Europeia, COM(2026) 502, art. 30).

O contraste com o Artigo 32 pode ser resumido assim:

Pergunta de governança Artigos 29–30 Artigo 32
O que o mecanismo decide? Qual nível reconhecido de serviço pode ser contratado nas situações cobertas Quanto a contribuição ao ecossistema europeu pode contar como qualidade em determinadas licitações inovadoras
Escopo central Compra de serviços de nuvem para uso exclusivo das autoridades e entidades abrangidas, com nível ligado ao risco da atividade Licitações públicas para serviços inovadores de nuvem e sistemas de IA
Momento decisório Classificação de risco e verificação de elegibilidade antes da escolha final Avaliação comparativa das propostas
Evidência central Avaliação de risco, reconhecimento do serviço, documentação de auditoria quando aplicável e justificativa de eventual exceção Critério previamente publicado e evidência da contribuição concreta da proposta ao objeto contratado
Efeito Pode excluir da compra um serviço que não satisfaça o nível exigido Pode influenciar a avaliação de qualidade, mas deve permanecer acessório e não decisivo

A tabela não cria uma hierarquia entre os instrumentos; ela mostra que eles resolvem problemas diferentes no próprio desenho da proposta. (Comissão Europeia, COM(2026) 502, arts. 29–32).

Daí surgem três situações distintas. Uma compra de nuvem não inovadora para uso exclusivo de um órgão pode estar submetida ao portão dos Artigos 29–30 sem que o Artigo 32 entre em cena. Uma licitação para um sistema inovador de IA pode acionar o Artigo 32 sem que isso, por si só, transforme todo o sistema em uma compra de serviço de nuvem coberta pelo Artigo 30. E uma contratação inovadora de nuvem que também se enquadre no Artigo 30 pode reunir ambos: primeiro se determina quais serviços são elegíveis; depois se comparam as ofertas admissíveis.

Essa leitura decorre da diferença expressa de escopo entre os dispositivos, e não de uma regra geral de preferência por um fornecedor europeu.

Quem decide — e qual trilha de prova permite conferir a decisão

A arquitetura distribui autoridade em vez de concentrá-la. Estados-membros e entidades da União fazem as avaliações de risco do Artigo 29; a Comissão define, por atos de execução, a metodologia e pode intervir na especificação do nível quando considerar inadequada a resposta nacional; a autoridade contratante aplica o nível pertinente à compra e, se invocar uma exceção do Artigo 30, precisa justificá-la. Essa distribuição cria contrapesos, mas também torna possível que a consequência operacional recaia sobre uma organização diferente daquela que fixou o parâmetro de risco. (Comissão Europeia, COM(2026) 502, arts. 29–30).

Do outro lado está o prestador. O sistema proposto de reconhecimento exige que o fornecedor peça reconhecimento à autoridade nacional competente do Estado de estabelecimento. No nível 1, a proposta prevê avaliação própria e declaração de conformidade; nos níveis 2 a 4, exige auditoria independente, parecer positivo e elementos de prova, com o custo da auditoria suportado pelo prestador. Os níveis superiores acumulam exigências de garantia mais fortes. Assim, a autoridade contratante não deveria reconstruir do zero, em cada edital, toda a comprovação que fundamenta o reconhecimento: ela pode verificar a condição reconhecida do serviço. Mas a responsabilidade pela veracidade e manutenção das evidências continua distribuída entre prestador, auditor e autoridade competente. (Comissão Europeia, COM(2026) 502, arts. 17, 19–20 e anexos).

A diferença entre evidência de garantia e evidência de valor agregado da União é particularmente importante. Os critérios de garantia tratam de elementos como estabelecimento, localização de ativos e dados, controle, pessoal, cadeia de fornecimento de software e exposição a jurisdições de terceiros, com requisitos crescentes nos níveis superiores. Já o Artigo 32 permite avaliar, entre outros aspectos, uso de software ou hardware concebido ou fabricado na União, integração de tecnologias desenvolvidas na União e inovação que fortaleça a segurança do abastecimento e o ecossistema europeu. O fato de uma característica contribuir para a pontuação do Artigo 32 não significa automaticamente que ela seja requisito do nível de garantia aplicável — e vice-versa. (Comissão Europeia, COM(2026) 502, art. 32 e anexos).

A proposta também atribui um preço à mudança de classificação. Quando uma avaliação de risco exigir migração para outro serviço, o Artigo 29 prevê um período de transição razoável, limitado a 12 meses, levando em conta viabilidade técnica, continuidade do serviço e portabilidade de dados. O mesmo artigo manda considerar se uma estratégia de múltiplos fornecedores ou múltiplas nuvens é adequada. Esses detalhes são centrais para a responsabilização porque reconhecem, no próprio texto, que elevar uma exigência de garantia pode produzir custo de saída, risco operacional e trabalho de migração. (Comissão Europeia, COM(2026) 502, art. 29).

Uma trilha de auditoria útil, portanto, não deveria se resumir a guardar a ata da licitação. Como inferência de governança a partir das obrigações propostas, um revisor posterior precisaria conseguir seguir a cadeia: qual atividade foi classificada; quais riscos levaram ao nível de garantia; qual ato ou metodologia da Comissão foi usado; qual reconhecimento provou que o serviço era elegível; se houve exceção, que fatos demonstraram indisponibilidade, fracasso anterior ou custo desproporcional; e, se houve migração, como continuidade e portabilidade foram ponderadas. O texto cria várias dessas peças documentais separadamente, ainda que não imponha um único “dossiê de responsabilização” com esse nome.

Essa distinção importa também para incentivos. Quem fixa um nível mais alto pode reduzir certos riscos soberanos, mas uma autoridade compradora pode ser quem enfrenta menor número de opções, maior custo ou migração. Quem escolhe uma exceção pode preservar continuidade e competição, mas assume a necessidade de explicar por que o desvio era justificável. Quem solicita reconhecimento superior amplia sua elegibilidade potencial, mas financia auditorias e precisa demonstrar os controles correspondentes.

Nenhum desses incentivos demonstra má-fé; eles mostram por que a qualidade do registro importa quando autoridade e consequências não estão concentradas na mesma mão.

A pontuação europeia influencia a disputa, mas não substitui os critérios que escolhem o vencedor

É no Artigo 32 que a proposta tenta introduzir política industrial na avaliação das ofertas sem converter o mecanismo em uma preferência irrestrita de nacionalidade. Em procedimentos públicos para serviços inovadores de computação em nuvem e sistemas de IA, as autoridades deverão incluir, na avaliação de qualidade, critérios não relacionados a preço sobre a contribuição da oferta ao ecossistema europeu de nuvem e IA. Esses critérios precisam estar ligados ao objeto do contrato, não podem conferir liberdade ilimitada de escolha, devem aparecer expressamente na documentação da licitação ou no anúncio e devem ser “acessórios e não decisivos” para a adjudicação. (Comissão Europeia, COM(2026) 502, art. 32).

Esse conjunto de freios é coerente com a estrutura mais ampla das regras europeias de compras públicas. A Diretiva 2014/24/UE exige respeito a igualdade de tratamento, não discriminação, proporcionalidade, transparência e abertura dos contratos à concorrência, além de disciplinar os critérios de adjudicação no Artigo 67. A CADA não revoga essa arquitetura; propõe encaixar o “valor agregado da União” dentro dela. (Diretiva 2014/24/UE, versão vigente).

Por isso, ler o Artigo 32 como “pontos por ser europeu” é impreciso. O texto enumera contribuições que podem ser avaliadas: fortalecimento da cadeia de fornecimento digital na União; uso de software ou hardware concebido ou fabricado na União; incorporação de tecnologias desenvolvidas na União, inclusive resultados de programas de pesquisa financiados pela UE; inovação que reforce segurança de abastecimento e o ecossistema europeu; e, quando possível diante do mercado e das exigências técnicas, utilização de componentes críticos de computação, armazenamento e rede concebidos ou fabricados na União. A própria formulação admite, quando isso não for viável, hardware de país terceiro que contribua para segurança de abastecimento e desenvolvimento do ecossistema. (Comissão Europeia, COM(2026) 502, art. 32).

A consequência é sutil: uma empresa não precisa deixar de ser elegível simplesmente porque sua oferta obtém pontuação menor nesse critério, desde que satisfaça os requisitos aplicáveis do procedimento e, quando pertinente, o nível de garantia exigido. Da mesma forma, um grande resultado em “valor agregado da União” não deveria resgatar um serviço que falhe no portão obrigatório do Artigo 30. O score não cura inelegibilidade; a elegibilidade não garante o contrato. Essa é a separação institucional mais importante da proposta.

O considerando 67 ajuda a interpretar a intenção da Comissão: ele afirma que o valor agregado europeu não deve ser decisivo e sugere que as autoridades considerem uma ponderação máxima de 15 pontos em 120 no método geral de avaliação, de modo a preservar a primazia dos critérios técnicos e financeiros ligados ao desempenho. Trata-se de orientação no considerando da proposta, não de um teto numérico inscrito no Artigo 32 como comando autônomo. (Comissão Europeia, COM(2026) 502, considerando 67).

É justamente aí que entrou o Comitê Econômico e Social Europeu. No parecer adotado em 23 de setembro de 2026, o CESE recomendou dar peso significativo ao critério de valor agregado da União. Em sua comunicação sobre o parecer, publicada em 29 de setembro, explicitou a preferência por elevar a referência de 15 para 40 pontos em 120. O argumento do CESE é que a ponderação sugerida pela Comissão seria fraca demais para influenciar demanda e apoiar capacidade europeia. Isso é uma posição consultiva: em 16 de outubro, nem os 40 pontos defendidos pelo CESE nem uma eventual mudança correspondente no Artigo 32 haviam sido transformados em lei. (CESE, parecer de 23 de setembro de 2026; CESE, comunicação de 29 de setembro de 2026).

Se uma ponderação muito maior fosse incorporada durante a negociação legislativa sem alterar a exigência de que o critério continue acessório e não decisivo, surgiria uma questão concreta de desenho: como demonstrar que um fator com influência maior ainda permanece subordinado? Essa é uma inferência, não uma conclusão já dada pelo texto. Quanto mais peso o critério receber, maior será a importância de regras de pontuação verificáveis, documentação do vínculo com o objeto contratado e explicação de como critérios técnicos, financeiros e de desempenho conservaram papel determinante.

A verificabilidade é mais importante que o rótulo. Para o Artigo 32, o registro crítico começa antes de abrir as propostas: o edital deve dizer quais critérios serão usados. Depois, a autoridade precisa conseguir mostrar que a prova apresentada pelo licitante corresponde ao objeto e sustenta a pontuação. Isso reduz o espaço para transformar “valor europeu” em justificativa pós-hoc. A exigência se alinha ao princípio de transparência que já estrutura a contratação pública europeia. (Comissão Europeia, COM(2026) 502, art. 32; Diretiva 2014/24/UE).

Há, enfim, um limite decisivo para qualquer análise em outubro de 2026: a CADA não é lei. A Comissão apresentou a COM(2026) 502 em 3 de junho de 2026. No Parlamento, o processo legislativo ordinário 2026/0138(COD) tem ITRE e IMCO como comissões conjuntas responsáveis; o encaminhamento à comissão em primeira leitura foi anunciado em 17 de setembro. A página oficial do Observatório Legislativo, consultada para esta análise em 16 de outubro, ainda registra a etapa como “Awaiting committee decision”. Portanto, Artigos 29, 30 e 32 descrevem o desenho que está em negociação, não obrigações atualmente exigíveis sob um regulamento CADA já vigente. (Parlamento Europeu, 2026/0138(COD); Comissão Europeia, proposta publicada em 3 de junho de 2026).

Isso também é a melhor defesa contra duas leituras exageradas. A primeira é que toda compra pública europeia de nuvem passaria a exigir o mesmo grau de “soberania”: a proposta usa níveis diferenciados, avaliação de risco e exceções. A segunda é que o Artigo 32 seria uma preferência geral que entrega contratos a fornecedores europeus: seu escopo é o de compras inovadoras de nuvem e IA, seu conteúdo mede contribuições concretas e o próprio texto exige papel acessório e não decisivo. A Comissão apresenta o mecanismo como parte de uma estratégia de autonomia e capacidade europeia, mas sua página de política também descreve a maior parte do mercado como permanecendo aberta a parceiros. (Comissão Europeia, política para computação em nuvem e CADA; COM(2026) 502).

Fontes primárias essenciais