Defensiefunctionarissen verzetten zich tegen Brusselse druk voor een cloud die alleen binnenlands is
Europese defensiefunctionarissen en wapenindustrie-opdrachtnemers verzetten zich publiekelijk tegen de Cloud and AI Development Act van de Europese Commissie, een wet die in juni 2026 werd gepresenteerd en die overheidsdiensten naar gevoeligheid zou indelen. Het gestelde doel van de wet is de structurele afhankelijkheid van de Europese Unie van Amerikaanse hyperscalers te verminderen, maar functionarissen in meerdere lidstaten stellen dat het tijdschema sneller gaat dan binnenlandse alternatieven kunnen rijpen.
Alleen het hoogste gevoeligheidsniveau zou "volledig binnenlandse" technologie vereisen, en de Commissie schat zelf dat dit niveau slechts ongeveer een procent van de overheidsdiensten betreft. Defensiefunctionarissen en opdrachtnemers waarschuwen dat een snel afscheid van Amazon Web Services, Microsoft Azure en Google Cloud, die samen ongeveer 70 procent van de EU-cloudmarkt beheersen, het risico met zich meebrengt dat strijdkrachten achterblijven met inferieure systemen, grotere cyberkloven en meer moeite om met NAVO-bondgenoten samen te werken. Het gevechtsvliegtuig F-35 is het voorbeeld waar functionarissen steeds op terugkomen: de digitale infrastructuur draait ingebed op Amerikaanse clouddiensten in plaats van te zijn aangeschaft als verwisselbaar abonnement, precies het soort afhankelijkheid dat het hoogste niveau wil beëindigen.
Twee hooggeplaatste EU-defensiefunctionarissen en meerdere Europese defensiebedrijven schatten de Amerikaanse voorsprong in cloud- en AI-defensieplatforms op acht tot tien jaar, een kloof die volgens hen niet binnen het eigen tijdschema van de wet kan worden gedicht. Niet elke opdrachtnemer wacht dat af: Airbus kondigde in juli 2026 aan enkele kritieke toepassingen van AWS naar de Franse leverancier Scaleway te verplaatsen, nog voordat daar enige wettelijke verplichting toe bestond.
Vier fasen, een topniveau: wat 'volledig binnenlands' werkelijk vereist
De Cloud and AI Development Act stelt vier oplopende soevereiniteitsfasen vast, en alleen de laatste vereist een volledig binnenlandse stack. Fase een vereist fysieke datalocatie binnen de EU, een drempel die de meeste bestaande hyperscaler-contracten al halen. Fase twee voegt onafhankelijkheid van derdelandenrecht en transparante toeleveringsketens toe, waardoor situaties worden uitgesloten waarin een buitenlandse overheid toegang tot data zou kunnen afdwingen. Fase drie vereist EU-eigendom en -controle van de leverancier zelf, niet alleen van diens datacenters. Fase vier, voorbehouden aan het circa een procent van de diensten die als meest gevoelig gelden, vereist volledige softwaretransparantie en geen enkele invloed van derde landen.
| Fase | Vereiste | Bereik |
|---|---|---|
| Fase 1 | Fysieke datalocatie binnen de EU | Breed, de meeste publieke werklasten |
| Fase 2 | Onafhankelijkheid van derdelandenrecht, transparante ketens | Gevoelige maar geen topdiensten |
| Fase 3 | EU-eigendom en -controle van de leverancier | Zeer gevoelige diensten |
| Fase 4 | Volledige softwaretransparantie, geen invloed van derde landen ("volledig binnenlands") | Circa 1 procent van de overheidsdiensten |
Fins minister van Buitenlandse Zaken Elina Valtonen verwoordde de onderliggende zorg botweg: Helsinki bereidt zich voor op het risico dat een buitenlandse leverancier een "kill switch" tegen het land inzet. NAVO-functionaris James Appathurai reageerde vanuit interoperabiliteitsoogpunt en benadrukte dat bondgenootschappelijke strijdkrachten gevechtsdata naadloos en snel moeten kunnen uitwisselen, een eis die moeilijker wordt naarmate de cloudstack van een lidstaat verder afwijkt van die van de buren.
Voorbij het conflict: een tweesnelheden-nalevingsprobleem in wording
Het conflict dat de krantenkoppen haalt, draait om hoe snel de Europese Unie haar cloudafhankelijkheid zou moeten afbouwen, maar de nuttiger vraag voor een ondernemer is wat er gebeurt zodra fase vier daadwerkelijk voor slechts een procent van de diensten geldt. Soevereiniteit als beleidsdoel en soevereiniteit als operationeel risico worden in het debat als hetzelfde probleem behandeld; dat zijn ze niet. Het beleidsdoel is het verminderen van de structurele hefboom die een buitenlandse overheid in een crisis over Europese overheidsdiensten zou kunnen uitoefenen. Het operationele risico is dat het afdwingen van de overstap volgens een vast tijdschema, voordat binnenlandse alternatieven een kloof van acht tot tien jaar hebben gedicht, juist de cyber- en interoperabiliteitsstoringen zou kunnen veroorzaken die de wet wil voorkomen.
Die splitsing levert een tweesnelheden-nalevingsprobleem op dat naast de soevereiniteitskoppen nauwelijks aandacht heeft gekregen. Negenennegentig procent van de betrokken diensten blijft onder grotendeels ongewijzigde hyperscaler-afspraken binnen fasen een en twee, die vooral praktijken formaliseren die AWS, Azure en Google Cloud al ondersteunen. Het resterende ene procent heeft een volledig aparte, veel kleinere toeleveringsketen van binnenlandse leveranciers nodig, en het is niet duidelijk of die keten al bestaat op de schaal of rijpheid die de wet veronderstelt. Opdrachtnemers die dat topniveau bedienen, van bedrijven als Scaleway tot defensiespecifieke cloudleveranciers die vandaag nauwelijks bestaan, moeten opschalen tegen een deadline die door beleid is bepaald in plaats van door hun eigen capaciteit. Opdrachtnemers die iedereen anders bedienen, krijgen te maken met een veel lichtere nalevingslast, verpakt in dezelfde "soevereiniteits"-taal, waardoor het voor beide groepen, en hun publieke klanten, makkelijk is verkeerd in te schatten welke regels daadwerkelijk voor hen gelden.
Waar een defensiegerelateerde ondernemer in de EU op moet letten
Een ondernemer die verkoopt aan EU-overheidsinstanties of defensiegerelateerde klanten moet eerst uitzoeken onder welke van de vier fasen de eigen contracten zullen vallen, aangezien de verplichtingen van fase een en twee dicht bij de huidige praktijk liggen, terwijl fase vier een geheel andere onderneming is. Vraag of huidige cloud- of softwareleveranciers een geloofwaardig pad naar certificering voor fase drie of vier hebben, of dat dit werk nog niet is begonnen, want een leverancier die onvoorbereid is bij een contract in het topniveau wordt ook het probleem van de koper.
Volg hoe afzonderlijke lidstaten de wet omzetten, want juist de oostelijke en Noordse staten, die het meest gericht zijn op NAVO-interoperabiliteit, zullen ook het meest geneigd zijn uitzonderingen of tragere tijdschema's te zoeken voor defensiegerelateerde diensten, wat een tweede, nationaal tweesnelhedenpatroon zou kunnen creëren bovenop het EU-brede patroon. Volg ten slotte of er de komende twee tot drie jaar daadwerkelijk een echte, volledig binnenlandse cloud- en AI-toeleveringsketen ontstaat; gebeurt dat niet, dan loopt het procentniveau het risico een nalevingscategorie te worden zonder leveranciers die deze kunnen invullen, wat zelf weer een operationeel risico is.
Lees hierna: EU Koppelt AI-Datacenters aan Netplanning | Commissie liet Amerikaanse AI het personeel screenen
