Europa wil zijn afhan­ke­lijk­heid van Ameri­kaanse en Chinese techno­lo­gie­be­drijven verkleinen. Met een pakket aan maatre­gelen rond cloud, AI, chips, open source en cyber­se­cu­rity probeert de Europese Commissie organi­sa­ties meer controle te geven over hun digitale infra­struc­tuur en gegevens. Volgens de Belgi­sche techno­lo­gie­fe­de­ratie Beltug kan vooral de Cloud and AI Devel­op­ment Act, kortweg CADA, daarbij een belang­rijke rol spelen. Maar dan moet de regel­ge­ving wel eenvoudig, Europees gehar­mo­ni­seerd en praktisch uitvoer­baar worden.

De afhan­ke­lijk­heid van een beperkt aantal grote cloud- en softwa­re­le­ve­ran­ciers is voor Europese bedrijven en overheden al langer een punt van zorg. Door de veran­derde geopo­li­tieke verhou­dingen krijgt het onder­werp echter een nieuwe urgentie. Organi­sa­ties vragen zich steeds nadruk­ke­lijker af wie toegang kan krijgen tot hun gegevens, onder welke wetge­ving hun leveran­ciers vallen en of zij bij een conflict of politieke inter­ventie toegang tot essen­tiële digitale diensten kunnen verliezen.

Beltug wijst daarbij onder meer op Ameri­kaanse wetge­ving zoals de Cloud Act en FISA en op Chinese wetten die overheden onder bepaalde omstan­dig­heden toegang kunnen geven tot gegevens. Ook de Belgi­sche Natio­nale Veilig­heids­stra­tegie erkent dat de sterke afhan­ke­lijk­heid van een beperkt aantal cloud­dienst­ver­le­ners een systeem­ri­sico kan vormen voor de vertrou­we­lijk­heid, integri­teit en beschik­baar­heid van gegevens.

Afhankelijkheid is ook een financieel vraagstuk

Naast juridi­sche en geopo­li­tieke risico’s speelt de finan­ciële afhan­ke­lijk­heid een steeds grotere rol. Beltug verwijst naar onder­zoek van de Franse CIO-vereni­ging Cigref en onder­zoeks­bu­reau Astérès. Daaruit zou blijken dat jaarlijks ongeveer 264 miljard euro uit de Europese economie wegvloeit via software- en cloud­toe­pas­singen. Ook zouden de prijzen van zakelijke cloud­dien­sten gemid­deld met ongeveer 9 procent per jaar stijgen.

Voor organi­sa­ties is dat niet alleen een IT-probleem. Stijgende cloud­kosten, beperkte onder­han­de­lings­macht en afhan­ke­lijk­heid van techno­logie die moeilijk te vervangen is, komen steeds vaker op de agenda van direc­ties en raden van bestuur terecht.

Volgens Beltug is het volledig uitsluiten van buiten­landse techno­logie geen realis­ti­sche doelstel­ling. De uitda­ging is vooral om afhan­ke­lijk­heden zicht­baar te maken en bewust te beheersen. Organi­sa­ties moeten per toepas­sing, dataset en bedrijfs­proces bepalen hoe groot het risico is, welke bescher­ming nodig is en of een overstap naar een andere leveran­cier mogelijk blijft.

Dat is in de praktijk een omvang­rijke exercitie. Zelfs een relatief kleine organi­satie gebruikt al snel tien tot vijftien cloud­dien­sten. Grote bedrijven, univer­si­teiten en overheden werken vaak met tientallen aanbie­ders. Iedere leveran­cier brengt eigen juridi­sche, techni­sche en opera­ti­o­nele afhan­ke­lijk­heden met zich mee.

Vier niveaus van digitale zekerheid

CADA vormt een belang­rijk onder­deel van het bredere Europese Tech Sovereignty Package. Dat pakket bestaat verder uit onder meer de Chips Act 2.0, een Europese open-sourcestra­tegie, een route­kaart voor digita­li­se­ring en AI in de energie­sector en een herzie­ning van de Cyber­se­cu­rity Act.

Centraal in CADA staan vier zeker­heids­ni­veaus voor cloud- en AI-diensten die bij publieke aanbe­ste­dingen kunnen worden gebruikt. In de samen­vat­ting van Beltug loopt dat van een basis­ni­veau waarbij gegevens binnen de Europese Unie blijven tot een hoogste niveau waarbij juridi­sche, techni­sche en opera­ti­o­nele controle volledig in Europese handen moet liggen.

Het eerste niveau richt zich vooral op de locatie van gegevens. Een hoger niveau moet bescher­ming bieden tegen toegang op basis van wetge­ving van buiten de Europese Unie. Vervol­gens kan worden gekeken naar Europees eigendom en Europees beheer. Op het hoogste niveau mag er volgens het voorge­stelde model geen relevante buiten­landse inmen­ging meer mogelijk zijn.

Daarbij gaat het niet alleen om de locatie van een datacenter of het hoofd­kan­toor van de leveran­cier. Ook de eigen­doms­struc­tuur, het perso­neel dat systemen beheert, de gebruikte software, onder­aan­ne­mers en opera­ti­o­nele processen kunnen deel uitmaken van de beoor­de­ling. Diensten op de hogere niveaus zouden perio­diek moeten worden geaudit en opgenomen in een centraal register.

Beltug ziet de vier niveaus als een nuttige manier om zogenaamde sovereignty washing tegen te gaan. Begrippen als ‘data in Europa’ of ‘made in Europe’ zeggen op zichzelf weinig over wie uitein­de­lijk juridi­sche of opera­ti­o­nele controle over een dienst heeft. Een toets­baar raamwerk kan organi­sa­ties helpen om claims van leveran­ciers beter te beoordelen.

Overheidsinkoop kan de markt veranderen

De poten­tiële invloed van CADA reikt verder dan de overheid. Europese overheden besteden jaarlijks ongeveer 2.000 miljard euro aan diensten, werken en producten, goed voor circa 13,6 procent van het Europese bruto binnen­lands product. Door bij aanbe­ste­dingen speci­fieke zeker­heids­ni­veaus te eisen, kunnen zij leveran­ciers ertoe bewegen hun diensten te laten auditen en aanpassen.

Die ontwik­ke­ling kan vervol­gens doorsij­pelen naar zieken­huizen, univer­si­teiten, nutsbe­drijven en andere geregu­leerde sectoren. Zodra gecer­ti­fi­ceerde diensten beschik­baar komen, kunnen ook commer­ciële onder­ne­mingen dezelfde eisen opnemen in hun inkoopbeleid.

“De hefboom is niet het label zelf, maar de markt­vraag die het creëert”, stelt Beltug. De gedachte daarachter is dat Europese techno­lo­gie­be­drijven pas werke­lijk kunnen groeien wanneer er voldoende vraag ontstaat naar contro­leer­bare, soeve­reine diensten.

Gevaar van 27 verschillende uitvoeringen

Beltug onder­steunt de Europese ambitie, maar waarschuwt dat de uitvoe­ring bepalend wordt voor het succes. De belang­rijkste zorg is een gebrek aan harmonisatie.

De vier zeker­heids­ni­veaus worden welis­waar Europees vastge­legd, maar lidstaten zouden mogelijk zelf kunnen bepalen welk niveau voor een bepaalde overheids­dienst of toepas­sing vereist is. Daardoor kan een leveran­cier in België voor een toepas­sing aan niveau twee moeten voldoen, terwijl dezelfde toepas­sing in Duits­land onder niveau drie valt.

Voor middel­grote Europese techno­lo­gie­be­drijven kan dat grote gevolgen hebben. Wanneer zij per lidstaat nieuwe beoor­de­lingen, audits of techni­sche aanpas­singen moeten doorlopen, verdwijnen de schaal­voor­delen die de Europese interne markt juist zou moeten bieden.

Beltug pleit daarom voor één Europees systeem, een centraal register en weder­zijdse erken­ning van audits. Zonder een gehar­mo­ni­seerde uitvoe­ring dreigt CADA uit te monden in 27 natio­nale varianten van hetzelfde beleid.

Ook de reikwijdte van de wet is nog onvol­doende duide­lijk. De term ‘cloud’ kan betrek­king hebben op infra­struc­tuur, platform­dien­sten, zakelijke software, bevei­li­gings­dien­sten en hybride of lokaal beheerde omgevingen. Omdat AI boven­dien steeds vaker in bestaande appli­ca­ties wordt geïnte­greerd, wordt het lastiger om scherp af te bakenen welke producten en diensten onder CADA vallen.

VUB wil opnieuw bewust kunnen kiezen

Karin Voets, CIO van de Vrije Univer­si­teit Brussel, ziet de Europese plannen als een mogelijk­heid om de positie van afnemers te versterken. Grote cloud­be­drijven zijn volgens haar zo dominant geworden dat Europese organi­sa­ties nauwe­lijks nog invloed kunnen uitoe­fenen tijdens contractonderhandelingen.

“Wat je als CIO wilt, is bewust keuzes kunnen maken over waar je data en workloads zich bevinden”, zei Voets tijdens een webinar over dit thema. “Dat woord ‘bewust’ was er een beetje uitgegaan.”

Voor een univer­si­teit is een risico­ge­ba­seerde aanpak belang­rijk. Publiek toegan­ke­lijke onder­zoeks­ge­ge­vens vragen om een ander bescher­mings­ni­veau dan gevoe­lige onder­zoeks­data, persoons­ge­ge­vens of infor­matie die op een private cloud wordt opgeslagen. Wanneer leveran­ciers duide­lijk aan een bepaald zeker­heids­ni­veau zijn gekop­peld, kan een organi­satie haar datasets en toepas­singen eenvou­diger aan passende oplos­singen verbinden.

Voets onder­schrijft tegelijk de oproep tot eenvoud en eenheid. Europa staat bekend om zijn vermogen om regels op te stellen, maar moet die regel­ge­ving volgens haar ook omzetten in prakti­sche hulpmid­delen waarmee CIO’s daadwer­ke­lijk kunnen werken.

Als voorbeeld noemt zij de Belgi­sche aanpak van NIS2. De Europese richt­lijn is in België vertaald naar natio­nale wetge­ving, terwijl het Centre for Cyber­se­cu­rity Belgium met het Cyber­Fun­da­men­tals Frame­work concrete handvatten biedt voor de uitvoe­ring. Een verge­lijk­bare aanpak op Europees niveau zou de toepas­baar­heid van CADA kunnen vergroten.

AI kan nieuwe afhankelijkheden creëren

De discussie over techsoe­ve­rei­ni­teit gaat inmid­dels verder dan cloud­in­fra­struc­tuur. Cloud en AI raken steeds nauwer met elkaar verweven. De keuze voor een AI-model kan daardoor ook een keuze voor een bepaalde infra­struc­tuur­le­ve­ran­cier worden.

Daarnaast wordt AI steeds vaker standaard ingebouwd in zakelijke appli­ca­ties. Dat kan bestaande vendor lock-in versterken. Vooral de opkomst van AI-agents verdient volgens Voets aandacht. Wanneer zulke agents zelfstandig taken uitvoeren binnen kritieke bedrijfs­pro­cessen, ontstaat een nieuwe vorm van afhankelijkheid.

Organi­sa­ties zouden daarom niet alleen moeten beoor­delen welke medewer­kers toegang hebben tot gevoe­lige processen, maar ook welke AI-systemen daarbinnen beslis­singen nemen of werkzaam­heden uitvoeren. Zij moeten weten wie de agent beheert, welke gegevens worden gebruikt en of de werking ervan contro­leer­baar blijft.

Ook de energie- en water­vraag van AI-infra­struc­tuur speelt een rol. Europa moet volgens Voets voorkomen dat de uitbrei­ding van AI-capaci­teit ten koste gaat van de behoeften van huishou­dens en lokale gemeen­schappen. Digitale soeve­rei­ni­teit draait daarmee niet alleen om eigendom en data, maar ook om de fysieke infra­struc­tuur en middelen die voor digita­li­se­ring nodig zijn.

Beslissende fase

De voorstellen bevinden zich nog in een vroege fase. Beltug houdt rekening met een wetge­vings­proces van ongeveer achttien maanden, waarna de prakti­sche invoe­ring nog moet beginnen. Voor verschil­lende onder­delen van het Europese pakket wordt de eerste merkbare impact vanaf 2027 of 2028 verwacht.

Voor Beltug is de richting duide­lijk: de afhan­ke­lijk­heid van niet-Europese techno­logie kan niet van de ene op de andere dag verdwijnen, maar Europa kan organi­sa­ties wel meer controle, keuze­vrij­heid en onder­han­de­lings­macht geven.

Daarvoor moet CADA meer worden dan een verza­me­ling nieuwe labels en proce­dures. De zeker­heids­ni­veaus moeten aantoon­bare bescher­ming bieden, audits moeten actueel blijven en de toepas­sing moet in alle lidstaten zo veel mogelijk gelijk zijn. Alleen dan kan het Europese techsoe­ve­rei­ni­teits­pakket uitgroeien van beleids­am­bitie tot een bruik­baar instru­ment voor bedrijven en overheden.