Forsvarsembedsmænd modsætter sig Bruxelles' pres for en rent indenlandsk cloud
Europæiske forsvarsembedsmænd og forsvarsindustrien modsætter sig offentligt EU-Kommissionens Cloud and AI Development Act, en lov fremlagt i juni 2026, der skal klassificere offentlige tjenester efter følsomhed. Lovens erklærede mål er at mindske EU's strukturelle afhængighed af amerikanske hyperscalere, men embedsmænd i flere medlemslande mener, at tidsplanen går hurtigere, end indenlandske alternativer kan modnes.
Kun det højeste følsomhedsniveau ville kræve "rent indenlandsk" teknologi, og Kommissionens eget skøn sætter dette niveau til kun cirka en procent af de offentlige tjenester. Forsvarsembedsmænd og leverandører advarer om, at et hurtigt farvel til Amazon Web Services, Microsoft Azure og Google Cloud, der tilsammen kontrollerer omkring 70 procent af EU's cloudmarked, risikerer at efterlade de væbnede styrker med ringere systemer, større cyberhuller og sværere koordinering med NATO-allierede. Jagerflyet F-35 er det eksempel, embedsmænd bliver ved med at vende tilbage til: dets digitale infrastruktur kører integreret på amerikanske cloudtjenester i stedet for at være købt som et udskifteligt abonnement, netop den slags afhængighed det højeste niveau skal fjerne.
To højtstående EU-forsvarsembedsmænd og flere europæiske forsvarsvirksomheder vurderer det amerikanske forspring inden for cloud- og AI-forsvarsplatforme til otte til ti år, en kløft de mener ikke kan lukkes inden for lovens egen tidsplan. Ikke alle leverandører venter med at finde ud af det: Airbus meddelte i juli 2026, at man ville flytte visse kritiske applikationer fra AWS til den franske leverandør Scaleway, allerede før nogen lovmæssig forpligtelse til det.
Fire faser, ét topniveau: hvad 'rent indenlandsk' egentlig kræver
Cloud and AI Development Act fastsætter fire stigende suverænitetsfaser, og kun den sidste kræver en helt indenlandsk stack. Fase et kræver fysisk dataplacering inden for EU, en tærskel de fleste eksisterende hyperscaler-kontrakter allerede opfylder. Fase to tilføjer uafhængighed af tredjelandes lovgivning og gennemsigtige forsyningskæder, hvilket lukker for situationer, hvor en udenlandsk regering kunne tvinge dataadgang igennem. Fase tre kræver EU-ejerskab og -kontrol over selve leverandøren, ikke kun dennes datacentre. Fase fire, forbeholdt de omkring en procent af tjenesterne, der vurderes mest følsomme, kræver fuldstændig softwaregennemsigtighed og ingen indflydelse fra tredjelande overhovedet.
| Fase | Krav | Omfang |
|---|---|---|
| Fase 1 | Fysisk dataplacering inden for EU | Bredt, de fleste offentlige arbejdslaster |
| Fase 2 | Uafhængighed af tredjelandes lovgivning, gennemsigtige kæder | Følsomme, men ikke topniveau-tjenester |
| Fase 3 | EU-ejerskab og -kontrol over leverandøren | Højfølsomme tjenester |
| Fase 4 | Fuld softwaregennemsigtighed, ingen indflydelse fra tredjelande ("rent indenlandsk") | Cirka 1 procent af de offentlige tjenester |
Finlands udenrigsminister Elina Valtonen satte ord på den underliggende bekymring uden omsvøb og sagde, at Helsinki forbereder sig på risikoen for, at en udenlandsk leverandør aktiverer en "kill switch" mod landet. NATO's viceassisterende generalsekretær James Appathurai svarede fra interoperabilitetssiden og understregede, at allierede styrker skal kunne udveksle kampdata problemfrit og hurtigt, et krav der bliver sværere at opfylde, hver gang et medlemslands cloud-stack afviger fra naboernes.
Ud over striden: et compliance-problem i to hastigheder
Striden, der fylder overskrifterne, handler om, hvor hurtigt EU bør nedbringe sin cloudafhængighed, men det mere nyttige spørgsmål for en virksomhedsejer er, hvad der sker, når fase fire rent faktisk kun gælder for en procent af tjenesterne. Suverænitet som politisk mål og suverænitet som operationel risiko behandles i debatten som samme problem; det er de ikke. Det politiske mål er at mindske den strukturelle løftestang, en udenlandsk regering kunne have over europæiske offentlige tjenester i en krise. Den operationelle risiko er, at det at tvinge skiftet igennem efter en fast tidsplan, før indenlandske alternativer har lukket et otte til ti års kløft, netop kunne skabe de cyber- og interoperabilitetssvigt, loven skal forhindre.
Denne opsplitning skaber et compliance-problem i to hastigheder, der har fået meget lidt opmærksomhed ved siden af suverænitetsoverskrifterne. Nioghalvfems procent af de omfattede tjenester forbliver under stort set uændrede hyperscaler-aftaler i fase et og to, som mest formaliserer praksis, AWS, Azure og Google Cloud allerede understøtter. Den resterende ene procent kræver en helt separat, langt mindre forsyningskæde af indenlandske leverandører, og det er ikke klart, om denne kæde allerede findes i den skala eller modenhed, loven forudsætter. Leverandører, der betjener dette topniveau, fra selskaber som Scaleway til forsvarsspecifikke cloudleverandører, der næppe findes i dag, bliver bedt om at skalere op mod en deadline sat af politik snarere end af deres egen kapacitet. Leverandører, der betjener alle andre, står over for en langt lettere compliance-byrde iklædt det samme "suverænitets"-sprog, hvilket gør det let for begge grupper, og deres offentlige kunder, at fejlvurdere hvilke regler der egentlig gælder for dem.
Hvad en EU-forsvarsnær virksomhedsejer bør holde øje med
En virksomhedsejer, der sælger til EU's offentlige eller forsvarsnære kunder, bør først finde ud af, hvilken af de fire faser egne kontrakter vil falde ind under, da forpligtelserne i fase et og to ligger tæt på nuværende praksis, mens fase fire er en helt anden forretning. Spørg, om nuværende cloud- eller softwareleverandører har en troværdig vej til certificering i fase tre eller fire, eller om det arbejde slet ikke er begyndt, for en leverandør, der bliver taget på sengen på en kontrakt i topniveauet, bliver også køberens problem.
Følg med i, hvordan de enkelte medlemslande implementerer loven, for netop de østlige og nordiske stater, der er mest fokuseret på NATO-interoperabilitet, er også dem, der mest sandsynligt vil søge undtagelser eller langsommere tidsplaner for forsvarsrelaterede tjenester, hvilket kunne skabe et andet, nationalt to-hastigheds-mønster oven i det EU-dækkende. Følg endelig med i, om en reel, rent indenlandsk cloud- og AI-forsyningskæde overhovedet opstår i løbet af de næste to til tre år; sker det ikke, risikerer procent-niveauet at blive en compliance-kategori uden leverandører, der kan udfylde den, hvilket i sig selv er en operationel risiko.
Læs videre: EU Kobler AI-Datacentre til Netplanlægning | Kommissionen brugte amerikansk AI til eget personale
