Beltug: Europese techsoevereiniteit staat of valt met een werkbare uitvoering

Europa wil zijn afhan­ke­lijk­heid van Ameri­kaanse en Chinese tech­no­lo­gie­be­drijven verkleinen. Met een pakket aan maat­re­gelen rond cloud, AI, chips, open source en cyber­se­cu­rity probeert de Europese Commissie orga­ni­sa­ties meer controle te geven over hun digitale infra­struc­tuur en gegevens. Volgens de Belgische tech­no­lo­gie­fe­de­ratie Beltug kan vooral de Cloud and AI Devel­op­ment Act, kortweg CADA, daarbij een belang­rijke rol spelen. Maar dan moet de regel­ge­ving wel eenvoudig, Europees gehar­mo­ni­seerd en praktisch uitvoer­baar worden.

De afhan­ke­lijk­heid van een beperkt aantal grote cloud- en soft­wa­re­le­ve­ran­ciers is voor Europese bedrijven en overheden al langer een punt van zorg. Door de veran­derde geopo­li­tieke verhou­dingen krijgt het onderwerp echter een nieuwe urgentie. Orga­ni­sa­ties vragen zich steeds nadruk­ke­lijker af wie toegang kan krijgen tot hun gegevens, onder welke wetgeving hun leve­ran­ciers vallen en of zij bij een conflict of politieke inter­ventie toegang tot essen­tiële digitale diensten kunnen verliezen.

Beltug wijst daarbij onder meer op Ameri­kaanse wetgeving zoals de Cloud Act en FISA en op Chinese wetten die overheden onder bepaalde omstan­dig­heden toegang kunnen geven tot gegevens. Ook de Belgische Nationale Veilig­heids­stra­tegie erkent dat de sterke afhan­ke­lijk­heid van een beperkt aantal cloud­dienst­ver­le­ners een systeem­ri­sico kan vormen voor de vertrou­we­lijk­heid, inte­gri­teit en beschik­baar­heid van gegevens.

Afhankelijkheid is ook een financieel vraagstuk

Naast juri­di­sche en geopo­li­tieke risico’s speelt de finan­ciële afhan­ke­lijk­heid een steeds grotere rol. Beltug verwijst naar onderzoek van de Franse CIO-vere­ni­ging Cigref en onder­zoeks­bu­reau Astérès. Daaruit zou blijken dat jaarlijks ongeveer 264 miljard euro uit de Europese economie wegvloeit via software- en cloud­toe­pas­singen. Ook zouden de prijzen van zakelijke cloud­dien­sten gemiddeld met ongeveer 9 procent per jaar stijgen.

Voor orga­ni­sa­ties is dat niet alleen een IT-probleem. Stijgende cloud­kosten, beperkte onder­han­de­lings­macht en afhan­ke­lijk­heid van tech­no­logie die moeilijk te vervangen is, komen steeds vaker op de agenda van directies en raden van bestuur terecht.

Volgens Beltug is het volledig uitsluiten van buiten­landse tech­no­logie geen realis­ti­sche doel­stel­ling. De uitdaging is vooral om afhan­ke­lijk­heden zichtbaar te maken en bewust te beheersen. Orga­ni­sa­ties moeten per toepas­sing, dataset en bedrijfs­proces bepalen hoe groot het risico is, welke bescher­ming nodig is en of een overstap naar een andere leve­ran­cier mogelijk blijft.

Dat is in de praktijk een omvang­rijke exercitie. Zelfs een relatief kleine orga­ni­satie gebruikt al snel tien tot vijftien cloud­dien­sten. Grote bedrijven, univer­si­teiten en overheden werken vaak met tien­tallen aanbie­ders. Iedere leve­ran­cier brengt eigen juri­di­sche, tech­ni­sche en opera­ti­o­nele afhan­ke­lijk­heden met zich mee.

Vier niveaus van digitale zekerheid

CADA vormt een belang­rijk onderdeel van het bredere Europese Tech Sove­reignty Package. Dat pakket bestaat verder uit onder meer de Chips Act 2.0, een Europese open-sour­cestra­tegie, een route­kaart voor digi­ta­li­se­ring en AI in de ener­gie­sector en een herzie­ning van de Cyber­se­cu­rity Act.

Centraal in CADA staan vier zeker­heids­ni­veaus voor cloud- en AI-diensten die bij publieke aanbe­ste­dingen kunnen worden gebruikt. In de samen­vat­ting van Beltug loopt dat van een basis­ni­veau waarbij gegevens binnen de Europese Unie blijven tot een hoogste niveau waarbij juri­di­sche, tech­ni­sche en opera­ti­o­nele controle volledig in Europese handen moet liggen.

Het eerste niveau richt zich vooral op de locatie van gegevens. Een hoger niveau moet bescher­ming bieden tegen toegang op basis van wetgeving van buiten de Europese Unie. Vervol­gens kan worden gekeken naar Europees eigendom en Europees beheer. Op het hoogste niveau mag er volgens het voor­ge­stelde model geen relevante buiten­landse inmenging meer mogelijk zijn.

Daarbij gaat het niet alleen om de locatie van een data­center of het hoofd­kan­toor van de leve­ran­cier. Ook de eigen­doms­struc­tuur, het personeel dat systemen beheert, de gebruikte software, onder­aan­ne­mers en opera­ti­o­nele processen kunnen deel uitmaken van de beoor­de­ling. Diensten op de hogere niveaus zouden periodiek moeten worden geaudit en opgenomen in een centraal register.

Beltug ziet de vier niveaus als een nuttige manier om zoge­naamde sove­reignty washing tegen te gaan. Begrippen als ‘data in Europa’ of ‘made in Europe’ zeggen op zichzelf weinig over wie uitein­de­lijk juri­di­sche of opera­ti­o­nele controle over een dienst heeft. Een toetsbaar raamwerk kan orga­ni­sa­ties helpen om claims van leve­ran­ciers beter te beoordelen.

Overheidsinkoop kan de markt veranderen

De poten­tiële invloed van CADA reikt verder dan de overheid. Europese overheden besteden jaarlijks ongeveer 2.000 miljard euro aan diensten, werken en producten, goed voor circa 13,6 procent van het Europese bruto binnen­lands product. Door bij aanbe­ste­dingen speci­fieke zeker­heids­ni­veaus te eisen, kunnen zij leve­ran­ciers ertoe bewegen hun diensten te laten auditen en aanpassen.

Die ontwik­ke­ling kan vervol­gens door­sij­pelen naar zieken­huizen, univer­si­teiten, nuts­be­drijven en andere gere­gu­leerde sectoren. Zodra gecer­ti­fi­ceerde diensten beschik­baar komen, kunnen ook commer­ciële onder­ne­mingen dezelfde eisen opnemen in hun inkoopbeleid.

“De hefboom is niet het label zelf, maar de markt­vraag die het creëert”, stelt Beltug. De gedachte daar­achter is dat Europese tech­no­lo­gie­be­drijven pas werkelijk kunnen groeien wanneer er voldoende vraag ontstaat naar contro­leer­bare, soeve­reine diensten.

Gevaar van 27 verschillende uitvoeringen

Beltug onder­steunt de Europese ambitie, maar waar­schuwt dat de uitvoe­ring bepalend wordt voor het succes. De belang­rijkste zorg is een gebrek aan harmonisatie.

De vier zeker­heids­ni­veaus worden weliswaar Europees vast­ge­legd, maar lidstaten zouden mogelijk zelf kunnen bepalen welk niveau voor een bepaalde over­heids­dienst of toepas­sing vereist is. Daardoor kan een leve­ran­cier in België voor een toepas­sing aan niveau twee moeten voldoen, terwijl dezelfde toepas­sing in Duitsland onder niveau drie valt.

Voor middel­grote Europese tech­no­lo­gie­be­drijven kan dat grote gevolgen hebben. Wanneer zij per lidstaat nieuwe beoor­de­lingen, audits of tech­ni­sche aanpas­singen moeten doorlopen, verdwijnen de schaal­voor­delen die de Europese interne markt juist zou moeten bieden.

Beltug pleit daarom voor één Europees systeem, een centraal register en weder­zijdse erkenning van audits. Zonder een gehar­mo­ni­seerde uitvoe­ring dreigt CADA uit te monden in 27 nationale varianten van hetzelfde beleid.

Ook de reik­wijdte van de wet is nog onvol­doende duidelijk. De term ‘cloud’ kan betrek­king hebben op infra­struc­tuur, plat­form­dien­sten, zakelijke software, bevei­li­gings­dien­sten en hybride of lokaal beheerde omge­vingen. Omdat AI bovendien steeds vaker in bestaande appli­ca­ties wordt geïn­te­greerd, wordt het lastiger om scherp af te bakenen welke producten en diensten onder CADA vallen.

VUB wil opnieuw bewust kunnen kiezen

Karin Voets, CIO van de Vrije Univer­si­teit Brussel, ziet de Europese plannen als een moge­lijk­heid om de positie van afnemers te versterken. Grote cloud­be­drijven zijn volgens haar zo dominant geworden dat Europese orga­ni­sa­ties nauwe­lijks nog invloed kunnen uitoe­fenen tijdens contractonderhandelingen.

“Wat je als CIO wilt, is bewust keuzes kunnen maken over waar je data en workloads zich bevinden”, zei Voets tijdens een webinar over dit thema. “Dat woord ‘bewust’ was er een beetje uitgegaan.”

Voor een univer­si­teit is een risi­co­ge­ba­seerde aanpak belang­rijk. Publiek toegan­ke­lijke onder­zoeks­ge­ge­vens vragen om een ander bescher­mings­ni­veau dan gevoelige onder­zoeks­data, persoons­ge­ge­vens of infor­matie die op een private cloud wordt opge­slagen. Wanneer leve­ran­ciers duidelijk aan een bepaald zeker­heids­ni­veau zijn gekoppeld, kan een orga­ni­satie haar datasets en toepas­singen eenvou­diger aan passende oplos­singen verbinden.

Voets onder­schrijft tegelijk de oproep tot eenvoud en eenheid. Europa staat bekend om zijn vermogen om regels op te stellen, maar moet die regel­ge­ving volgens haar ook omzetten in prak­ti­sche hulp­mid­delen waarmee CIO’s daad­wer­ke­lijk kunnen werken.

Als voorbeeld noemt zij de Belgische aanpak van NIS2. De Europese richtlijn is in België vertaald naar nationale wetgeving, terwijl het Centre for Cyber­se­cu­rity Belgium met het Cyber­Fun­da­men­tals Framework concrete hand­vatten biedt voor de uitvoe­ring. Een verge­lijk­bare aanpak op Europees niveau zou de toepas­baar­heid van CADA kunnen vergroten.

AI kan nieuwe afhankelijkheden creëren

De discussie over tech­soe­ve­rei­ni­teit gaat inmiddels verder dan cloud­in­fra­struc­tuur. Cloud en AI raken steeds nauwer met elkaar verweven. De keuze voor een AI-model kan daardoor ook een keuze voor een bepaalde infra­struc­tuur­le­ve­ran­cier worden.

Daarnaast wordt AI steeds vaker standaard ingebouwd in zakelijke appli­ca­ties. Dat kan bestaande vendor lock-in versterken. Vooral de opkomst van AI-agents verdient volgens Voets aandacht. Wanneer zulke agents zelf­standig taken uitvoeren binnen kritieke bedrijfs­pro­cessen, ontstaat een nieuwe vorm van afhankelijkheid.

Orga­ni­sa­ties zouden daarom niet alleen moeten beoor­delen welke mede­wer­kers toegang hebben tot gevoelige processen, maar ook welke AI-systemen daar­binnen beslis­singen nemen of werk­zaam­heden uitvoeren. Zij moeten weten wie de agent beheert, welke gegevens worden gebruikt en of de werking ervan contro­leer­baar blijft.

Ook de energie- en water­vraag van AI-infra­struc­tuur speelt een rol. Europa moet volgens Voets voorkomen dat de uitbrei­ding van AI-capa­ci­teit ten koste gaat van de behoeften van huis­hou­dens en lokale gemeen­schappen. Digitale soeve­rei­ni­teit draait daarmee niet alleen om eigendom en data, maar ook om de fysieke infra­struc­tuur en middelen die voor digi­ta­li­se­ring nodig zijn.

Beslissende fase

De voor­stellen bevinden zich nog in een vroege fase. Beltug houdt rekening met een wetge­vings­proces van ongeveer achttien maanden, waarna de prak­ti­sche invoering nog moet beginnen. Voor verschil­lende onder­delen van het Europese pakket wordt de eerste merkbare impact vanaf 2027 of 2028 verwacht.

Voor Beltug is de richting duidelijk: de afhan­ke­lijk­heid van niet-Europese tech­no­logie kan niet van de ene op de andere dag verdwijnen, maar Europa kan orga­ni­sa­ties wel meer controle, keuze­vrij­heid en onder­han­de­lings­macht geven.

Daarvoor moet CADA meer worden dan een verza­me­ling nieuwe labels en proce­dures. De zeker­heids­ni­veaus moeten aantoon­bare bescher­ming bieden, audits moeten actueel blijven en de toepas­sing moet in alle lidstaten zo veel mogelijk gelijk zijn. Alleen dan kan het Europese tech­soe­ve­rei­ni­teits­pakket uitgroeien van beleids­am­bitie tot een bruikbaar instru­ment voor bedrijven en overheden.