Indien de EU ervoor kiest om digitale soevereiniteit serieus te omarmen, dan zal dat een financiële aderlating van 35 miljard tot zelfs 233 miljard euro betekenen. Tenminste: dat zegt een rapport uitgevoerd door de Brusselse denktank ECIPE maar gefinancierd door CCIA Europe. CCIA is een lobbyvereniging met Amerikaanse cloudreuzen waaronder Amazon, Meta en Google.
Het rapport in kwestie (The Real-World Economic Impact of the Cloud and AI Development Act) is met andere woorden een pamflet met een missie. Hoewel ECIPE transparante methodes gebruikt, staat het onderzoek bol van de aannames die het bedrag mee de hoogte injagen.
Vier niveaus van soevereiniteit
Het onderzoek is desalniettemin gegrond in een solide basis. Het rapport kijkt naar de Cloud and AI Development Act (CADA) en de zogenaamde Union Assurance Levels (UAL) die daarin gedefinieerd worden. In het voorstel voor de CADA worden die als volgt gedefinieerd:
| Niveau | Essentie | Controle |
| UAL1 | De aanbieder is gevestigd in de EU. Infrastructuur en klantdata, ook metadata en telemetrie, blijven in de EU, tenzij de overheidsdienst iets anders vraagt. Support van buiten de EU kan alleen met waarborgen. | Zelfbeoordeling door de aanbieder |
| UAL2 | Aanbieder, onderaannemers, infrastructuur en personeel bevinden zich in de EU. Klantdata mogen geen AI-modellen van niet-Europese partijen trainen. De dienst heeft een Europees cybersecuritycertificaat van minstens niveau ‘substantial’, waarborgen tegen inmenging van een derde land, support uitsluitend vanuit de EU, een volledige lijst van softwarecomponenten (SBOM) en een migratieplan. | Onafhankelijke audit |
| UAL3 | Geen controle door een derde land over de aanbieder en zijn onderaannemers. Het personeel bestaat uit EU-burgers. De Europese Commissie kan niet-Europese aanbieders onder strikte voorwaarden toch toelaten, onder meer met toegang tot de code. | Onafhankelijke audit |
| UAL4 | Geen controle door een derde land, zonder uitzondering. De dienst heeft een certificaat van niveau ‘high’. De aanbieder heeft zelf de effectieve controle over ontwerp, ontwikkeling, onderhoud en evolutie van de software. | Onafhankelijke audit |
Hoe hoger het niveau van soevereiniteit, hoe meer vereisten er zijn voor de organisaties die zich eraan moeten houden. Het spreekt voor zich dat het eenvoudiger en dus goedkoper is om UAL1 te bereiken, of zelfs nergens rekening mee te houden, versus UAL4, waarbij de hele technologiestack binnen de EU gecontroleerd wordt.
Om uit te rekenen wat een mogelijke impact van CADA is, moeten we daarom weten welk deel van hun toepassingen organisaties in overeenstemming moeten brengen met welk UAL-niveau. Omdat de regelgeving nog niet in voege is, is daar wat gokwerk mee gemoeid.
Drie scenario’s
Het rapport in opdracht van de CCIA wekt een schijn van objectiviteit door drie scenario’s uit te werken. In het nauwste scenario is de verdeling tussen UAL1, 2, 3 en 4 als volgt: 70 procent van de toepassingen moet aan UAL1 voldoen, twintig procent aan UAL2, negen procent aan UAL3 en een laatste procent aan de strenge UAL4-vereisten.
Vervolgens specificeert het rapport een medium-scenario, dat het als referentie gebruikt. Daarin is de verdeling respectievelijk 50, 30, vijftien en vijf procent. Daarboven voorziet het onderzoek nog een derde breed scenario, met een verdeling van 35, 40, twintig en vijf procent.
Strenger dan de commissie
Dat klinkt genuanceerd, tot je weet dat de EU ook zelf een inschatting heeft gemaakt. Die is identiek aan het scenario dat het rapport als nauw beschouwt. Het rapport vermeldt zelf dat het nauwe scenario de verdeling van de Europese Commissie overneemt. De Commissie baseert die verdeling in haar effectbeoordeling op gesprekken met drie overheidsinstanties, die samen zo’n 200 aanbestedende diensten vertegenwoordigen.
Het medium-scenario gaat uit van aanzienlijk hogere soevereiniteitsvereisten dan waar de Europese Commissie zelf rekening mee houdt.
Zelfs het medium-scenario gaat bijgevolg uit van aanzienlijk hogere soevereiniteitsvereisten dan waar de Europese Commissie zelf rekening mee houdt. Daarin valt twintig procent op UAL3 of UAL4, het dubbele van wat de Commissie verwacht. Het brede scenario lijkt helemaal extreem. Het rapport verantwoordt die verdeling zelf niet.
Wat met de private sector?
Verder zien we in het rapport voor ieder scenario een percentage van de private sector dat mee onderhevig zou zijn aan CADA en de UAL-niveaus. Die hebben immers voornamelijk betrekking op de publieke sector en bijhorende aanbestedingen.
Ook voor kritieke sectoren zouden de regels echter kunnen gelden. Artikel 31 van het voorstel opent die deur voor bedrijven in kritieke NIS2-sectoren zoals energie, banken, transport en zorg. Hoe meer private organisaties Assurance Levels moeten halen, hoe groter de (financiële) impact.
Hier kiest ECIPE voor tien, 25 en 50 procent voor respectievelijk het nauwe, medium en brede scenario. Die schattingen zijn van ECIPE zelf. In het medium-scenario is de kost veroorzaakt door de private sector daardoor goed voor zo’n 70 procent van het totaalbedrag, of 80 miljard euro. Het rapport geeft zelf wel toe dat artikel 31 niet automatisch geldt voor alle bedrijven in die sectoren.
Het onderzoek gaat dus uit van heel wat aannames, waarbij het ECIPE-rapport in opdracht van de Amerikaanse cloudproviders consequent naar een erg grote impact kijkt, zonder echt te verantwoorden wat de redenering erachter is. Vanuit een lobbystandpunt is het natuurlijk verstandig om CADA voor te stellen als zowel ingrijpend als duur.
Kostprijs van digitale soevereiniteit
Het onderzoek schat de financiële impact voor de hele Europese Unie voor het meest bescheiden scenario op 35,6 miljard euro over de periode 2027-2036. Daarvan komt 17,4 miljard euro voor rekening van de overheid, de rest voor bedrijven in kritieke sectoren. Dat is het scenario dat het dichtst aanleunt bij wat de Europese Commissie op dit moment zelf verwacht.
Het zelfverklaarde medium-scenario, dat dus al wel best extreem is, spreekt van 115 miljard euro. In het brede scenario gaat het om 233 miljard euro. Een extra “stresstest” met nog strengere aannames komt uit op 327 miljard euro.
Dure migratie
De kosten worden volgens het onderzoek voor het grootste deel veroorzaakt door de kost van migraties richting meer soevereine diensten. Ook het herwerken van toepassingen zou veel geld kosten. In het nauwe scenario gaat het om 21,4 miljard euro. In het medium-scenario loopt dat op tot 79,1 miljard euro, of 69 procent van het totaal.
| Nauw scenario | Medium scenario | Breed scenario | |
|---|---|---|---|
| Totale kosten | 35,6 miljard euro | 115 miljard euro | 233 miljard euro |
| Waarvan migratie en herschrijven van toepassingen | 21,4 miljard euro | 79,1 miljard euro | 159,3 miljard euro |
| Waarvan hogere cloudprijzen | 14,1 miljard euro | 34 miljard euro | 67,6 miljard euro |
| Waarvan uitgestelde digitalisering | 150 miljoen euro | 1,9 miljard euro | 6,1 miljard euro |
Hier merken we op dat de migratiekost deels een gevolg zal zijn van het gesloten ecosysteem van veel providers. Wie de eigen diensten van een provider gebruikt, moet die bij een overstap vervangen. Daar zit volgens het rapport ook het grootste deel van de kost: nieuwe API’s, aanpassingen aan databanken en identiteitsbeheer, testen en opleiding.
Soeverein kost geld
De onderzoekers wijzen verder naar hogere prijzen voor meer soevereine cloud. Op basis van cijfers van BCG en het Franse Rekenhof rekenen ze met een meerprijs van tien procent voor UAL1, vijftien procent voor UAL2, 30 procent voor UAL3 en 40 procent voor UAL4. In het medium-scenario komt dat neer op 34 miljard euro over tien jaar. Dat klinkt dramatisch, maar is in combinatie met de scenario’s niet sterk gefundeeerd. De onderzoekers kijken ook naar de kost voor digitalisering die uitgesteld wordt omdat er nog geen conform alternatief bestaat. Die weegt met 1,9 miljard euro veel minder door.
Het rapport gaat verder. ECIPE rekent ook uit wat de kostprijs per persoon in de beroepsbevolking zou zijn, met de kosten voor overheid en bedrijven samen. Die komt dan op 170 euro in het nauwe scenario, en 548 euro en 1.110 euro in respectievelijk medium en breed.
Kost per persoon
Voor België komt het rapport in het medium-scenario uit op 709 euro per persoon, bijna 30 procent boven het Europese gemiddelde. Luxemburg, Denemarken, Oostenrijk, Finland, Ierland, Nederland en Portugal scoren hoger. Wat rechtstreeks op de overheidsbudgetten terechtkomt, schat het rapport een pak lager: 82, 159 en 188 euro per persoon in de drie scenario’s. Voor België is dat 285 euro in het medium-scenario.
Digitale soevereiniteit wordt afgeschilderd als een hoge kost die gedragen zal worden door Europese burgers.
Dat past bij de boodschap die CCIA klaarblijkelijk probeert uit te sturen: digitale soevereiniteit wordt afgeschilderd als een hoge kost die gedragen zal worden door Europese burgers. Het rapport houdt geen rekening met het feit dat geld geïnvesteerd in soevereine oplossingen in de EU blijft. Het doet Europese bedrijven draaien, die in Europa belastingen betalen en Europese burgers tewerkstellen.
Het vermeldt wel dat de ICT-sector in 26 van de 27 lidstaten zou groeien. Ook dat wil ECIPE als negatief uitlichten. Het zou ten koste gaan van andere sectoren, waaruit arbeid en kapitaal weggetrokken worden.
Kosten, geen baten
Het rapport berekent met andere woorden enkel de kosten, niet de eventuele baten. ECIPE schrijft zelf dat de studie de baten van veiligheid, weerbaarheid en strategische autonomie niet in euro uitdrukt.
Door investeringen naar Europese bedrijven te verschuiven, zou er alleen vertraging en verlies aan innovatie optreden, klinkt het. Niet-Europese aanbieders komen hier naar voren als de bron van innovatie. De impact op het Europese digitale ecosysteem wordt zo enkel als negatief bekeken.
Afschrikking tussen de lijnen
Verder veronderstelt het onderzoek dat kleinere lidstaten meer geld zouden moeten uitgeven aan dominante regionale providers, vooral in Frankrijk en Duitsland. Volgens het rapport zou dat de digitale innovatie in die kleinere lidstaten afremmen. Die investeringen worden als groot nadeel belicht. Dat het geld in de EU geïnvesteerd wordt, en door Europese aanbieders gebruikt kan worden voor Europese innovatie, komt niet aan bod.
Dat het geld in de EU geïnvesteerd wordt, en door Europese aanbieders gebruikt kan worden voor Europese innovatie, komt niet aan bod.
Het ECIPE-rapport leest als een waarschuwing, vermomd als objectief onderzoek. In feite gaat het om een berekening van de mogelijke kosten, met baten volledig buiten beschouwing gelaten, gebaseerd op relatief extreme scenario’s. Dat afschrikken de bedoeling is, wordt geïllustreerd door de berekening van de kost per persoon in de beroepsbevolking.
Niet zonder waarde
Toch staan er ook belangrijke inzichten in het onderzoek. Dat meer digitale soevereiniteit iets zal kosten, staat buiten kijf. Met het nauwe scenario als maatstaaf worden die kosten op een concrete manier in kaart gebracht. Het rapport wijst er ook op dat een soeverein datacenter alleen niet volstaat. Ook databanken, identiteitsbeheer, beveiligingstools en AI-diensten moeten aan de eisen voldoen.
Dat soevereiniteit minstens bruto investeringen zal vereisen, is geen verrassing. Een eventuele kost staat bovendien los van de noodzaak van meer soevereiniteit. Een grote afhankelijkheid van de VS (en andere landen) heeft heel concrete gevolgen. Dat werd al meermaals duidelijk, onder andere door de exportbeperkingen van de meest geavanceerde Amerikaanse AI-modellen, of recenter door onaangekondigde beperkingen op het gebruik van Starlink (Starshield) door Oekraïne.