Met de Cloud and AI Development Act krijgt Europa een tweede kans om zijn digitale afhankelijkheid onder controle te krijgen. Beltug ziet voor het eerst iets toetsbaars, maar alles staat of valt met de uitvoering.
Vanaf september gaan in Brussel de werkgroepen rond het Europese techsoevereiniteitspakket van start. Beltug, dat de belangen verdedigt van zo’n vijfhonderd grote Belgische organisaties, vindt het daarom een uitgelezen moment om uit de doeken te doen wat die regelgeving kan betekenen voor haar leden. Wat er de komende achttien maanden met de Cloud and AI Development Act (CADA) gebeurt, bepaalt immers hoe die organisaties de komende vijf jaar hun afhankelijkheid van niet-Europese spelers kunnen afbouwen.
“Het slagen van CADA is voor ons een erop-of-eronderverhaal”, zegt Danielle Jacobs, CEO van Beltug. “Als dit goed wordt aangepakt, geloven we dat er een tweede kans komt voor Europa om het beter te doen.”
Afhankelijkheid is realiteit
Die afhankelijkheden zijn er nu eenmaal, en ze brengen risico’s met zich mee. Geopolitiek zorgen onder andere de Amerikaanse Cloud Act en de Chinese National Intelligence Law ervoor dat buitenlandse overheden in bepaalde gevallen bij Europese data kunnen.
Het slagen van CADA is voor ons een erop-of-eronderverhaal.
Danielle Jacobs, CEO Beltug
Daar komt een financiële kant bij: uit onderzoek van het Franse Cigref, een zusterorganisatie van Beltug, blijkt dat jaarlijks zo’n 264 miljard euro de Unie verlaat via software en cloud, terwijl de cloudprijzen structureel met negen procent per jaar stijgen. Ook de Nationale Veiligheidsstrategie noemt de Belgische afhankelijkheid van een handvol cloudleveranciers intussen een systeemrisico.
De afhankelijkheid van buitenlandse spelers brengt dus significante nadelen met zich mee. Ze stante pede wegwerken door alles te vervangen door een Europese oplossing is geen realistische piste. De risico’s en afhankelijkheid bewust beheersen, kan dat wel zijn.
Wie met tientallen providers werkt, moet per toepassing afwegen waar de gevoeligste processen zitten en hoe hij weggeraakt als het moet. Een zware oefening, die volgens Jacobs in veel organisaties nu al loopt.
Vier Europese niveaus
Europa erkent het probleem en gaat het te lijf met regelgeving. Het pakket dat de Europese Commissie in juni voorstelde, bundelt vier samenhangende initiatieven: de Chips Act 2.0, CADA, een opensourcestrategie en een roadmap voor digitalisering en energie.
CADA is de component waar bedrijven het snelst iets van zullen merken. De regelgeving omvat een verplichting rond soevereiniteit voor publieke aanbestedingen, met vier zekerheidsniveaus als ruggengraat.
Soevereiniteit is niet binair.
Tom Samyn, Community Manager Beltug
“Soevereiniteit is niet binair”, licht Tom Samyn, Community Manager bij Beltug, toe. Niveau 1 binnen CADA is het minimum minimorum. “Dat niveau vraagt enkel dat data in de Unie blijven, op basis van een self-assessment door de provider”, verduidelijkt hij. Niveau 2 voegt juridische bescherming toe tegen rechtstoegang door derde landen. Niveau 3 vereist dat de dienst in Europese handen is en onder Europees beheer staat. Niveau 4 staat voor volledige controle, zonder buitenlandse inmenging.
Gedaan met sovereignty washing
Een reeks criteria maakt dat concreet, van de locatie van de data en het beheer van de infrastructuur tot het personeel dat aan de code werkt, het hergebruik van AI-inferentiedata en de onderaannemers. Vanaf niveau 2 volgt een audit door een derde partij, onder toezicht van nationale regulatoren. Erkenningen zullen gepubliceerd worden in een centraal register.
Daar zit voor Jacobs en de Beltug-leden veel waarde. “Wij zien nu heel veel sovereignty washing. Iedereen heeft zijn sovereign cloud, maar wat is dan wel soeverein en wat niet?” De vier levels leveren iets op dat via audits controleerbaar is, in plaats van een claim als data in Europe of made in Europe.
Gaia-X achterna (en voorbij?)
De vergelijking met de Gaia-X-catalogus voor soevereiniteit is niet ver weg. Gaia-X is een onafhankelijke organisatie, die vorig jaar al niveaus voor soevereiniteit heeft gelanceerd. Die passen iets meer in het eigen kraam van dataspaces, maar lijken toch grotendeels te overlappen.
De niveaus van Europa komen op een andere manier tot stand, rekening houdend met gevoeligheden van lidstaten. Dat, in combinatie met het centrale register en de verplichting om er rekening mee te houden bij openbare aanbestedingen, kan ze tot een krachtig instrument maken.
Wat begint bij de overheid
Beltug schetst een positief scenario dat vertrekt bij de aankoopdossiers van de overheid. Die zijn goed voor zo’n veertien procent van het Europese BBP. Zodra FOD’s, ziekenhuizen, universiteiten en nutsbedrijven met CADA-niveaus werken, zullen aanbieders die willen meedingen de audit en bijhorende erkenning opzoeken. Van daaruit sijpelt dezelfde logica door naar gereguleerde sectoren en uiteindelijk naar de bredere privémarkt. “De hefboom is niet het label zelf, maar de marktvraag die het creëert”, vat Samyn samen.
Als CIO voelde je al lang dat je in elke onderhandeling in een zwakke positie zat.
Karin Voets, CIO VUB
Karin Voets, CIO van de VUB, herkent die dynamiek. “Een overheidsopdracht wordt vaak als een last ervaren, maar die koers geeft wel de markt mee vorm.” Voor haar corrigeert de regelgeving vooral een scheefgegroeide machtsverhouding: “Als CIO voelde je al lang dat je in elke onderhandeling in een zwakke positie zat. Je wil bewuste keuzes maken over waar je data en workloads zich bevinden, en dat woordje ‘bewust’ was er wat uitgegaan.”
Zonder harmonisatie geen schaal
Met de regelgeving rond niveaus en aanbestedingen is de scheefgegroeide situatie echter niet rechtgezet. “Van heel onze presentatie is er maar één woord dat jullie moeten onthouden, en dat is schaalbaarheid”, zegt Jacobs.
De vier niveaus liggen Europees vast, maar elke lidstaat mag zelf bepalen welk niveau een overheidsapplicatie moet halen. “Als een middelgrote Belgische IT-speler in verschillende landen verschillende audits moet doen voor eenzelfde toepassing, gaat het niet werken.” Regelgeving of een raamwerk rond implementatie kan dat rechttrekken, maar voorlopig zitten de 27 lidstaten niet op één lijn.
CCB als voorbeeld
Voets sluit zich daarbij aan. “Europa heeft niets meer te bewijzen op het vlak van regulering. Over de kwaliteit maak ik mij geen zorgen, over de harmonisatie wel. Ik pleit voor eenheid en eenvoud.” Ze verwijst naar NIS2: België goot die richtlijn niet alleen in wetgeving, maar vertaalde ze via het CyFun-framework van het CCB meteen naar praktische handvatten voor beslissingnemers. Dat raamwerk kon bovendien op internationale volging rekenen.
Ook operationeel zijn er valkuilen. Het centrale register moet vlot werken terwijl nationale regulatoren onderling afstemmen, en audits worden minstens jaarlijks nodig. “Zonder audits hebben we geen toetsbaarheid”, aldus Jacobs.
En dan is er nog AI
Het grootste vraagteken is misschien wel het toepassingsgebied. “Cloud is iets heel rekbaars”, zegt Jacobs. “Uit de teksten zou je kunnen afleiden dat het niet over businessapplicaties gaat. Waar ligt de grens?” Sinds de regulering vorm krijgt, raast de AI-hypetrein bovendien aan hoge snelheid verder. AI zit er nu overal tussen, inclusief applicaties. Ook securitydiensten en on-premises scenario’s blijven grijze zone.
Uit de teksten zou je kunnen afleiden dat het niet over businessapplicaties gaat. Waar ligt de grens?
Danielle Jacobs, CEO Beltug
Dat is meer dan een definitiekwestie. Cloud en AI raken sterker gebundeld, waardoor de keuze van een infrastructuurprovider stilaan ook een keuze voor bepaalde modellen wordt.
Voets ziet daar een nieuwe afhankelijkheid ontstaan, op het vlak van energie én van agenten. “Op het moment dat agenten in onze bedrijven een cruciale rol beginnen te vervullen en niet onder onze controle staan, introduceren we een nieuwe afhankelijkheid. Net zoals NIS2 zegt dat je medewerkers op kritieke posities moet screenen, moet je datzelfde doen met een agent die kritiek werk overneemt.”
Voorspelbaarheid als fundering voor innovatie
Vanuit de CADA bekeken, moet de regelgeving breed genoeg toepasbaar zijn zodat nieuwe technologie wordt afgevangen, en er geen optie is om via omwegen te ontsnappen aan de verplichtingen. Daar moeten nog heel wat puntjes op de i worden gezet. Het staat al wel vast dat er vanuit de sector immens lobbywerk op til is.
Begin oktober buigt de Raad zich over het dossier, daarna volgen het Parlement en de trialoog. Beltug rekent op zo’n achttien maanden en verwacht een stevige lobbystroom vanuit de IT-sector. “Het gaat niet over meer of minder regelgeving”, besluit Jacobs. “Belangrijk is dat er regels en regulatoren komen die bedrijven voorspelbaarheid geven, en goede redenen om te innoveren en te groeien in Europa.”