Wie Gaia‑X de afgelopen jaren heeft gevolgd, kent waarschijn­lijk de grote woorden: datasoe­ve­rei­ni­teit, inter­o­pe­ra­bi­li­teit, vertrouwen en een Europese digitale infra­struc­tuur. Voor veel IT-managers bleef echter de vraag wat Gaia‑X nu precies oplevert waar een organi­satie daadwer­ke­lijk iets mee kan. Het nieuwe Gaia‑X Service Provider Frame­work probeert daarop een praktisch antwoord te geven. De nadruk verschuift van principes en archi­tec­turen naar een veel concre­tere vraag: hoe kunnen organi­sa­ties IT‑, software- en datadien­sten via Europese data spaces aanbieden en afnemen?

Dat is een belang­rijke ontwik­ke­ling. Gaia‑X moet namelijk niet worden gezien als een Europese cloud­pro­vider die de concur­rentie aangaat met AWS, Micro­soft Azure of Google Cloud. Het initi­a­tief werkt aan een raamwerk waarbinnen organi­sa­ties data en digitale diensten onder­ling kunnen uitwis­selen, terwijl duide­lijk blijft wie welke data bezit, waar diensten draaien, onder welke juris­dictie ze vallen en aan welke voorwaarden ze voldoen. Het Service Provider Frame­work laat vooral zien hoe dat model in de dagelijkse IT-praktijk moet gaan functioneren.

Wat is eigenlijk een data space?

Om het frame­work te begrijpen, is het belang­rijk om eerst het begrip data space scherp te krijgen. Gaia‑X omschrijft een data space nadruk­ke­lijk niet als een grote centrale database of een soort Europese data lake. Data worden juist niet allemaal naar één centrale omgeving gekopi­eerd. Een data space is juist een federa­tieve omgeving. Data kunnen bij de oorspron­ke­lijke eigenaar blijven staan en worden op basis van vooraf afgesproken voorwaarden beschik­baar gesteld aan andere deelne­mers. De eigenaar moet daarmee controle houden over wie de gegevens mag gebruiken, voor welk doel en onder welke voorwaarden. Datasoe­ve­rei­ni­teit is volgens Gaia‑X dan ook een van de belang­rijkste uitgangspunten. 

Daarvoor zijn volgens het frame­work vijf elementen nodig. Er zijn techni­sche compo­nenten zoals connec­toren, catalogi en mecha­nismen voor identity en trust. Daarnaast zijn juridi­sche afspraken nodig over bijvoor­beeld het gebruik van data. Seman­ti­sche inter­o­pe­ra­bi­li­teit moet ervoor zorgen dat systemen ook daadwer­ke­lijk begrijpen wat uitge­wis­selde gegevens betekenen. Identi­teiten van deelne­mers moeten contro­leer­baar zijn en ten slotte zijn gover­nance-afspraken nodig waaraan alle deelne­mers zich houden. 

Dat maakt een data space eigen­lijk tot een gecon­tro­leerd digitaal ecosys­teem. Bedrijven hoeven elkaar niet blinde­lings te vertrouwen, omdat een deel van dat vertrouwen technisch, organi­sa­to­risch en contrac­tueel wordt geregeld.

Niet alleen data, maar ook IT-diensten

Interes­sant aan het nieuwe frame­work is dat Gaia‑X de aandacht nadruk­ke­lijk verbreedt van het delen van data naar het aanbieden van diensten bovenop die data. Het document is dan ook bedoeld voor softwa­re­le­ve­ran­ciers, IT-dienst­ver­le­ners, cloud­pro­vi­ders, data brokers, onder­zoeks­in­stel­lingen en andere techno­lo­gie­be­drijven die diensten via data spaces willen aanbieden. Daarmee ontstaat een model dat voor IT-afdelingen veel interes­santer kan worden dan alleen het uitwis­selen van datasets.

Gaia‑X onder­scheidt grofweg drie lagen van diensten. Onderaan bevinden zich de Data Space Federa­tion Services. Dit zijn bijvoor­beeld compute, storage, networ­king en compli­ance-diensten waarop een data space kan draaien. Daarboven zitten Data Services voor het uitwis­selen, verrijken en gebruiken van gegevens. Denk aan data connec­tors, metadata brokerage, tools voor datakwa­li­teit, anoni­mi­se­ring, seman­ti­sche verta­ling en data marketplaces.

De derde categorie bestaat uit Business Services. Dit zijn appli­ca­ties die daadwer­ke­lijk iets met de beschik­bare data doen. Gaia‑X noemt onder meer analy­tics voor speci­fieke bedrijfs­takken, AI- en machi­ne­learning­mo­dellen als dienst, compli­ance-dashboards, optima­li­satie van supply chains en digital-twinplat­forms. Juist deze bovenste laag maakt duide­lijk waar Gaia‑X uitein­de­lijk naartoe wil. Een data space is niet alleen een infra­struc­tuur om bestanden van A naar B te sturen. Er moet een ecosys­teem ontstaan waarin bedrijven toepas­singen en diensten kunnen aanbieden die gebruik­maken van gegevens van meerdere organisaties.

AI kan een belangrijke toepassing worden

Dat is bijvoor­beeld interes­sant voor AI. Veel AI-toepas­singen worden waarde­voller naarmate ze over meer relevante data kunnen beschikken. Tegelij­ker­tijd willen organi­sa­ties hun gevoe­lige gegevens niet zomaar overdragen aan een externe partij. Een data space probeert beide belangen te combi­neren. Data kunnen onder voorwaarden toegan­ke­lijk worden gemaakt zonder dat de eigenaar daarmee automa­tisch alle controle verliest. Het frame­work noemt bijvoor­beeld onder­zoeks­in­stel­lingen die AI-modellen als dienst aanbieden en gespe­ci­a­li­seerde techno­lo­gie­be­drijven die sector­ge­richte AI, dataver­rij­king of monito­ring leveren. IT-dienst­ver­le­ners zouden analy­tics, digital twins of compli­ance-dashboards kunnen aanbieden.

Daarmee ontstaat een interes­sante situatie. Een organi­satie kan niet alleen data consu­meren, maar bijvoor­beeld ook een AI-dienst inkopen die gegevens uit een data space analy­seert. Een leveran­cier kan dezelfde dienst vervol­gens aan meerdere deelne­mers binnen het ecosys­teem aanbieden.

Controleerbaar maken waarop een dienst draait

Een ander belang­rijk onder­deel van Gaia‑X is trans­pa­rantie. Normaal gesproken koopt een organi­satie bijvoor­beeld een SaaS-dienst en ziet vervol­gens vooral de leveran­cier waarmee het contract is afgesloten. Achter die leveran­cier kan echter een lange techni­sche keten zitten van hosting­be­drijven, cloud­plat­forms, infra­struc­tuur­le­ve­ran­ciers en andere dienst­ver­le­ners. Gaia‑X wil die keten veel beter zicht­baar en contro­leer­baar maken.

Volgens het Service Provider Frame­work moet iedere laag van de IT supply chain beschreven en verifi­eer­baar zijn. Een afnemer moet daardoor niet alleen kunnen contro­leren wie een dienst aanbiedt, maar ook op welke infra­struc­tuur deze draait, onder welke juris­dictie die infra­struc­tuur valt en welke gover­nance-regels erop van toepas­sing zijn. Het doel is dat de complete stack auditable wordt en niet alleen de leveran­cier waarmee de klant recht­streeks zaken doet. 

Voor IT-managers kan dat een van de meest tastbare onder­delen van Gaia‑X worden. Bij leveran­ciers­se­lec­ties spelen immers steeds vaker vragen over datasoe­ve­rei­ni­teit, supply-chainrisico’s en de juridi­sche positie van cloud- en SaaS-leveranciers.

Compliance wordt onderdeel van de infrastructuur

Gaia‑X probeert boven­dien een deel van compli­ance struc­tu­reel in het ecosys­teem onder te brengen. Dat betekent niet dat een organi­satie die aan een Gaia-X-data space deelneemt automa­tisch aan alle relevante wetge­ving voldoet. Het frame­work benadrukt expli­ciet dat deelne­mers zelf verant­woor­de­lijk blijven voor hun compli­ance. Wel moet de infra­struc­tuur een deel van dat werk vereenvoudigen.

Daarvoor worden onder andere onboar­ding­pro­ce­dures, uitbreid­bare compli­ance-eisen en mecha­nismen voor continue compli­ance ontwik­keld. Gaia‑X wil veran­de­ringen in regel­ge­ving verwerken in nieuwe versies van het frame­work, die vervol­gens binnen data spaces kunnen worden toege­past. Daarnaast moet een inheri­tance mecha­nism het mogelijk maken om bij samen­ge­stelde diensten bestaande compli­ance-eigen­schappen opnieuw te gebruiken.

Dat laatste is technisch interes­sant. Moderne digitale diensten bestaan immers vrijwel altijd uit verschil­lende lagen. Een appli­catie draait op een platform, dat weer gebruik­maakt van compute, storage, identity en netwerk­dien­sten. Wanneer infor­matie over compli­ance en eigen­schappen van die onder­lig­gende compo­nenten herbruik­baar is, hoeft niet voor iedere nieuwe dienst de volle­dige keten opnieuw vanaf nul te worden beschreven. Gaia‑X werkt daarbij met verschil­lende compli­ance-labels. Het document noemt onder andere Enhanced European Compli­ance (L1), Reinforced Cyber­se­cu­rity (L2) en Sovereignty (L3). Zulke labels moeten afnemers helpen om sneller te beoor­delen of een dienst aan bepaalde eisen voldoet. 

Bestaande applicaties hoeven niet de prullenbak in

Een belang­rijke prakti­sche vraag is natuur­lijk hoeveel organi­sa­ties hiervoor aan hun bestaande IT moeten veran­deren. Het antwoord uit het frame­work is opval­lend pragma­tisch: lang niet alles hoeft opnieuw te worden gebouwd. In het document staat het volgende schema waarin Gaia‑X drie situa­ties naast elkaar zet: legacy-services, moderne cloud-native diensten en archi­tec­turen die al zijn ingericht als een cross-organi­sa­tion data mesh.

Bij een oudere monoli­thi­sche appli­catie met proprietary API’s kan bijvoor­beeld een Data Space Adapter voor de bestaande omgeving worden geplaatst. Die adapter kan zaken als policy enfor­ce­ment, contracten en publi­catie in catalogi voor zijn rekening nemen, terwijl de kern van de appli­catie intact blijft.

Een moderne appli­catie die al REST- of GraphQL-API’s gebruikt en bijvoor­beeld gecon­tai­ne­ri­seerd in de cloud draait, bevindt zich dichter bij het gewenste model. Daar kan een lichtere compliant endpoint in de API-laag worden toege­voegd. Bij organi­sa­ties die al met data-producten en een data-meshach­tige archi­tec­tuur werken, ligt de nadruk vooral op standaar­di­satie van proto­collen en het federeren van trust, catalogi en contracten. 

Dat is voor bestaande IT-organi­sa­ties een relevant punt. Gaia‑X hoeft dus niet per definitie een compleet nieuw infra­struc­tuur­pro­ject te betekenen. Het frame­work gaat er juist vanuit dat veel bestaande IT‑, cloud‑, software- en analy­tics­dien­sten kunnen worden aange­past en verpakt voor gebruik binnen data spaces.

Connectors vormen de technische brug

Daarbij spelen connec­tors een belang­rijke rol. Zo’n connector vormt in feite de gecon­tro­leerde toegang tussen een organi­satie of appli­catie en de data space. Het frame­work noemt verschil­lende bestaande open-source­op­los­singen, waaronder Eclipse EDC, de TNO Security Gateway en de FIWARE Data Space Connector. Het document benadrukt daarbij dat deze lijst illustra­tief is en dat het landschap nog volop in ontwik­ke­ling is. Via derge­lijke mecha­nismen kunnen niet alleen gegevens worden uitge­wis­seld, maar ook voorwaarden aan dat gebruik worden gekoppeld.

Gaia‑X verwijst daarvoor onder meer naar ODRL, de Open Digital Rights Language. Daarmee kunnen usage policies machi­ne­lees­baar worden beschreven. Het systeem kan daardoor niet alleen weten dat organi­satie A toegang heeft tot dataset B, maar in principe ook onder welke voorwaarden die toegang geldt. Dat is wezen­lijk anders dan een klassieke API waarbij authen­ti­catie vaak vooral bepaalt óf iemand naar binnen mag.

Een catalogus voor diensten

Een ander interes­sant onder­deel is de federated catalogue. Leveran­ciers die een dienst aanbieden, publi­ceren daarin een zogeheten self-descrip­tion. Daarin worden relevante eigen­schappen van de dienst vastge­legd. Afnemers kunnen vervol­gens diensten ontdekken en beoor­delen. Voordat een dienst daadwer­ke­lijk wordt gebruikt, kunnen de voorwaarden, creden­tials en het voorge­nomen gebruik worden gecon­tro­leerd. Daarna kan een contract worden afgesloten en technisch worden afgedwongen.

Daarmee ontstaat iets dat op een market­place lijkt, maar zonder dat er noodza­ke­lijk één centrale commer­ciële partij tussen leveran­cier en klant hoeft te staan. Dat onder­scheid is belang­rijk. Gaia‑X probeert immers juist een federa­tief model te creëren.

Ook betalen kan op verschillende manieren

Het frame­work besteedt daarom opval­lend veel aandacht aan business­mo­dellen. Diensten kunnen bijvoor­beeld recht­streeks door een provider aan een afnemer worden gefac­tu­reerd. Sommige data spaces kunnen daarnaast een market­place aanbieden die betaling, metering en factu­re­ring regelt en daarvoor een commissie ontvangt. 

Daarnaast zijn abonne­menten mogelijk en kan betaling plaats­vinden op basis van daadwer­ke­lijk gebruik, bijvoor­beeld per API-call of datatrans­actie. Gaia‑X noemt dat laatste onder meer interes­sant voor AI-inference en dataverrijkingsdiensten.

Hiermee wordt duide­lijk dat Gaia‑X niet alleen een technisch standaar­di­sa­tie­pro­ject wil zijn. Het probeert ook de voorwaarden te creëren voor een markt waarin digitale diensten tussen organi­sa­ties kunnen worden verhandeld.

Open source is belangrijk, maar niet verplicht

Rond Gaia‑X bestaat soms het beeld dat alle software binnen het ecosys­teem open source moet zijn. Uit het frame­work blijkt dat dit genuan­ceerder ligt. De techni­sche en seman­ti­sche funda­menten zijn sterk op open standaarden en open-source­com­po­nenten gebaseerd. Speci­fi­ca­ties, regels en reference code worden openbaar gepubli­ceerd, zodat verschil­lende partijen erop kunnen voort­bouwen. Het achter­lig­gende idee is dat geen enkele leveran­cier het ecosys­teem volledig naar zich toe kan trekken.

Maar bovenop die funde­rings­laag mogen leveran­ciers zelf bepalen hoe zij hun producten licen­seren. Een commer­ciële appli­catie die via een data space wordt aange­boden, hoeft dus niet automa­tisch open source te zijn. Provi­ders kunnen zowel open-source- als proprieta­ry­mo­dellen gebruiken. 

Wat betekent dit voor een IT-afdeling?

Voor een gemid­delde IT-manager is het waarschijn­lijk niet nodig om morgen een team vrij te maken dat Gaia-X-techno­logie gaat imple­men­teren. Interes­santer is om te kijken of de organi­satie actief is in een sector waarin data spaces ontstaan en welke rol de eigen organi­satie daarin zou kunnen spelen. Een organi­satie kan namelijk verschil­lende rollen hebben. Zij kan data of diensten leveren, diensten consu­meren of infra­struc­tuur exploi­teren. Daarnaast bestaan rollen voor identity provi­ders, opera­tors en partijen die de gover­nance en inter­o­pe­ra­bi­li­teit van een data space coördi­neren. Een organi­satie kan boven­dien meerdere rollen tegelij­ker­tijd vervullen. 

Voor een IT-afdeling zijn daarom vooral drie vragen relevant: 

• welke data zouden wij gecon­tro­leerd met andere organi­sa­ties willen delen, 
• welke externe data of diensten zouden voor ons interes­sant zijn 
• en welke bestaande digitale diensten zouden wij zelf via een data space kunnen aanbieden?

Dat laatste wordt vaak over het hoofd gezien. Een organi­satie kan bijvoor­beeld over een speci­a­lis­tisch algoritme, digital-twinmodel, dataset of analy­tic­som­ge­ving beschikken die ook voor andere organi­sa­ties waarde heeft. Via een data space kan zo’n toepas­sing in theorie als gecon­tro­leerde dienst beschik­baar worden gemaakt zonder dat daarvoor iedere keer een volledig aparte integratie hoeft te worden gebouwd. Dat kan erg interes­sant zijn voor samen­wer­king met toele­ve­ran­ciers of partner­be­drijven die niet over die speci­a­lis­ti­sche kennis of tooling beschikken, maar waarbij flinke voordelen kunnen ontstaan als zij daar op goed gecon­tro­leerde manier toch gebruik van zouden kunnen maken.

Gaia‑X vraagt ook nieuwe kennis

Helemaal vanzelf gaat dat uiter­aard niet. Het frame­work noemt een behoor­lijk brede verza­me­ling compe­ten­ties die nodig zijn om daadwer­ke­lijk diensten via een data space te leveren. Teams moeten onder andere kennis hebben van DevOps en cloud-native enginee­ring, backend-integratie, identity- en PKI-manage­ment, ODRL-policy model­ling en juridi­sche en compliancevraagstukken.

Dat laat tegelij­ker­tijd zien waarom Gaia‑X voor veel IT-profes­si­o­nals lange tijd abstract heeft aange­voeld. Het is niet één product of techno­logie die je instal­leert. Het combi­neert infra­struc­tuur, identity, API’s, seman­tiek, gover­nance, contracten, compli­ance en business­mo­dellen. Juist het nieuwe Service Provider Frame­work maakt die combi­natie een stuk tastbaarder.

Van Europese principes naar bruikbare IT-infrastructuur

De kern van het document is uitein­de­lijk vrij praktisch. Gaia‑X probeert een infra­struc­tuur te creëren waarin organi­sa­ties niet alleen gecon­tro­leerd data kunnen uitwis­selen, maar waarin daarboven een markt voor digitale diensten kan ontstaan. Een cloud­pro­vider kan infra­struc­tuur aanbieden. Een softwa­re­be­drijf kan een appli­catie beschik­baar stellen. Een onder­zoeks­in­sti­tuut kan een AI-model aanbieden. Een gespe­ci­a­li­seerde IT-dienst­ver­lener kan data uit verschil­lende bronnen analy­seren. Een andere organi­satie kan zo’n dienst vervol­gens vinden in een catalogus, contro­leren wie de leveran­cier is en waarop de dienst draait, de gebruiks­voor­waarden beoor­delen en de dienst afnemen.

Daarmee wordt ook duide­lijker wat Gaia‑X uitein­de­lijk voor een CIO of IT-manager kan betekenen. Het is niet de zoveelste cloudom­ge­ving waar workloads naartoe moeten worden gemigreerd. Het is eerder een verza­me­ling techni­sche en organi­sa­to­ri­sche afspraken waarmee bestaande en nieuwe IT-diensten tussen organi­sa­ties beschik­baar kunnen worden gemaakt zonder dat controle over data, identi­teit, gebruiks­voor­waarden en infra­struc­tuur volledig bij één centrale platform­le­ve­ran­cier terechtkomt.

Of alle onder­delen daarvan op grote schaal gaan werken, valt uit dit guide­book niet af te leiden. Gaia‑X geeft zelf aan dat bijvoor­beeld de mecha­nismen rond compli­ance nog in ontwik­ke­ling zijn en dat de volwas­sen­heid per onder­deel kan verschillen. Maar het Service Provider Frame­work V1.0 van september 2026 laat wel zien dat Gaia‑X steeds meer probeert de stap te maken van archi­tec­tuur en principes naar concrete diensten, connec­tors, catalogi, policies, compli­ance-niveaus en verdienmodellen. 

Voor IT-managers die Gaia‑X tot nu toe vooral zagen als een abstract Europees infra­struc­tuur­pro­ject, is dat wellicht de belang­rijkste ontwik­ke­ling. De relevante vraag wordt langzaam minder “wat is Gaia‑X eigen­lijk?” en steeds meer “welke data en diensten kunnen wij via zo’n data space gebruiken of beschik­baar stellen?”

Photo by Israel Andrade on Unsplash