EU:s försvar gör motstånd mot molnlag

Försvarstjänstemän gör motstånd mot Bryssels tryck för ett helt inhemskt moln

Europeiska försvarstjänstemän och vapenindustrins leverantörer motsätter sig öppet EU-kommissionens Cloud and AI Development Act, en lag som lades fram i juni 2026 och som skulle klassificera offentliga tjänster efter känslighet. Lagens uttalade mål är att minska EU:s strukturella beroende av amerikanska hyperscalers, men tjänstemän i flera medlemsländer menar att tidsplanen går snabbare än inhemska alternativ hinner mogna.

Bara den högsta känslighetsnivån skulle kräva "helt inhemsk" teknik, och kommissionens egen uppskattning sätter den nivån till bara omkring en procent av de offentliga tjänsterna. Försvarstjänstemän och leverantörer varnar för att ett snabbt avsked från Amazon Web Services, Microsoft Azure och Google Cloud, som tillsammans kontrollerar omkring 70 procent av EU:s molnmarknad, riskerar att lämna försvarsmakterna med sämre system, större cyberluckor och svårare samordning med Natoallierade. Jaktplanet F-35 är det exempel tjänstemän ständigt återkommer till: dess digitala infrastruktur körs inbäddat på amerikanska molntjänster i stället för att köpas som ett utbytbart abonnemang, precis det slags beroende som högsta nivån är tänkt att avskaffa.

Två högt uppsatta EU-försvarstjänstemän och flera europeiska försvarsföretag uppskattar det amerikanska försprånget inom moln- och AI-försvarsplattformar till åtta till tio år, ett gap som de menar inte kan slutas inom lagens egen tidsplan. Inte alla leverantörer väntar för att ta reda på det: Airbus meddelade i juli 2026 att bolaget skulle flytta vissa kritiska tillämpningar från AWS till den franska leverantören Scaleway, redan innan någon rättslig skyldighet att göra det fanns.

Fyra steg, en topp-nivå: vad 'helt inhemsk' egentligen kräver

Cloud and AI Development Act fastställer fyra stigande suveränitetssteg, och bara det sista kräver en helt inhemsk stack. Steg ett kräver fysisk datalagring inom EU, en tröskel som de flesta befintliga hyperscaler-avtal redan klarar. Steg två lägger till oberoende från tredjelands lagstiftning och transparenta leveranskedjor, vilket stänger ute situationer där en utländsk regering skulle kunna tvinga fram dataåtkomst. Steg tre kräver EU-ägande och kontroll över själva leverantören, inte bara dess datacenter. Steg fyra, förbehållet de omkring en procent av tjänsterna som bedöms mest känsliga, kräver fullständig mjukvarutransparens och ingen som helst påverkan från tredjeland.

Finlands utrikesminister Elina Valtonen satte ord på den underliggande oron rakt på sak och sa att Helsingfors förbereder sig på risken att en utländsk leverantör aktiverar en "kill switch" mot landet. Natos biträdande generalsekreterare James Appathurai svarade från interoperabilitetshållet och betonade att allierade försvarsmakter måste kunna utbyta stridsdata sömlöst och snabbt, ett krav som blir svårare varje gång ett medlemslands molnstack avviker från grannarnas.

Bortom bråket: ett tvåhastighetsproblem i vardande

Striden som dominerar rubrikerna handlar om hur snabbt EU bör minska sitt molnberoende, men den mer användbara frågan för en företagare är vad som händer när steg fyra faktiskt bara gäller en procent av tjänsterna. Suveränitet som politiskt mål och suveränitet som operativ risk behandlas i debatten som samma problem; det är de inte. Det politiska målet är att minska den strukturella hävstång en utländsk regering skulle kunna ha över europeiska offentliga tjänster i en kris. Den operativa risken är att tvinga fram bytet enligt en fast tidsplan, innan inhemska alternativ har slutit ett åtta till tio år stort gap, vilket i sig skulle kunna skapa just de cyber- och interoperabilitetsbrister lagen är tänkt att förhindra.

Den uppdelningen skapar ett tvåhastighetsproblem som fått mycket lite uppmärksamhet vid sidan av suveränitetsrubrikerna. Nittionio procent av de berörda tjänsterna stannar kvar under i stort sett oförändrade hyperscaler-avtal enligt steg ett och två, som mest formaliserar praxis som AWS, Azure och Google Cloud redan stöder. Den återstående enda procenten behöver en helt separat, mycket mindre leveranskedja av inhemska leverantörer, och det är oklart om den kedjan redan finns i den skala eller mognad som lagen förutsätter. Leverantörer som betjänar den topp-nivån, från bolag som Scaleway till försvarsspecifika molnleverantörer som knappt finns i dag, ombeds skala upp mot en deadline satt av politiken snarare än av sin egen kapacitet. Leverantörer som betjänar alla andra möter en betydligt lättare efterlevnadsbörda klädd i samma "suveränitets"-språk, vilket gör det lätt för båda grupperna, och deras offentliga kunder, att felbedöma vilka regler som faktiskt gäller dem.

Vad en EU-försvarsnära företagare bör bevaka

En företagare som säljer till EU:s offentliga sektor eller försvarsnära kunder bör först ta reda på vilket av de fyra stegen de egna avtalen kommer att falla under, eftersom skyldigheterna i steg ett och två ligger nära nuvarande praxis, medan steg fyra är en helt annan verksamhet. Fråga om nuvarande moln- eller mjukvaruleverantörer har en trovärdig väg mot certifiering i steg tre eller fyra, eller om det arbetet inte ens har börjat, för en leverantör som tas på sängen i ett avtal på topp-nivån blir också köparens problem.

Följ hur enskilda medlemsländer genomför lagen, för just de östliga och nordiska staterna, mest inriktade på Nato-interoperabilitet, är också de som troligast söker undantag eller långsammare tidsplaner för försvarsrelaterade tjänster, vilket kan skapa ett andra, nationellt tvåhastighetsmönster utöver det EU-övergripande. Följ slutligen om en riktig, helt inhemsk moln- och AI-leveranskedja alls uppstår under de kommande två till tre åren; sker det inte riskerar procentnivån att bli en efterlevnadskategori utan leverantörer som kan fylla den, vilket i sig är en operativ risk.

Läs vidare: EU Kopplar AI-Datacenter till Nätplanering  |  Kommissionen lät amerikansk AI granska egen personal