Europese digitale soevereiniteit, in de diepte.

Drie soorten soevereiniteit

Het helpt om drie begrippen te scheiden die vaak door elkaar lopen. Datasoevereiniteit gaat over zeggenschap en jurisdictie: wie kan wettelijk toegang tot informatie afdwingen, ongeacht waar die is opgeslagen. Dat is niet hetzelfde als dataresidentie, want die vraagt alleen waar de bytes fysiek staan. Digitale, of technologische, soevereiniteit is breder. Het is het vermogen om de technologiestack zelf te bouwen en te beheren, van chips en netwerken tot cloudplatforms, software en AI-modellen. Strategische autonomie is het politieke doel dat de andere twee mogelijk maken: de vrijheid om te handelen, en te blijven handelen, zonder dat iemand je onder druk zet of afsluit via infrastructuur die je niet beheert.

Het onderscheid doet ertoe, want de meeste “soevereine” marketing gaat alleen over residentie. Een datacenter in Frankfurt voldoet aan residentie. Maar als het bedrijf dat het beheert onder een moederbedrijf in een ander rechtsgebied valt, kan diezelfde data tegelijk residentie-conform én soevereiniteitskwetsbaar zijn. Soevereiniteit gaat over wie de macht in handen heeft, niet over waar de schijf toevallig staat. Juist door die drie begrippen uit elkaar te houden, onderscheid je een echte garantie van een geruststellend etiket.

Waarom de afhankelijkheid een echt probleem is

De afhankelijkheid is structureel, niet toevallig. Een klein aantal overwegend Amerikaanse bedrijven, denk aan Amazon, Microsoft en Google, bezit het merendeel van de Europese markt voor cloudinfrastructuur. Europese aanbieders blijven intussen steken op een laag aandeel van rond de 15%, dat al jaren nauwelijks beweegt. Hetzelfde patroon herhaalt zich door de hele stack heen: in besturingssystemen, kantoorsoftware, zoekmachines, browsers, geavanceerde chips en de fundamentele AI-modellen waarop al het andere nu wordt gebouwd.

Dat zou minder uitmaken als de juridische bodem stabiel was, maar dat is hij niet. Het Amerikaanse recht reikt extraterritoriaal tot Amerikaanse aanbieders. De CLOUD Act verplicht een aanbieder data af te geven die in zijn macht is, ongeacht waar die is opgeslagen, en inlichtingenbevoegdheden als FISA Section 702 werken zonder de waarborgen of het verhaal die het Europese recht veronderstelt. Omdat de brug die de trans-Atlantische overdrachten nu legitimeert op een herroepbaar presidentieel besluit rust en niet op een wet, verzwak je die met één handtekening. In 2025 was de onrust bij de Amerikaanse privacytoezichthouder die het verhaalmechanisme van dat kader schraagt een scherpe herinnering aan hoe dun dat fundament is.

Afhankelijkheid wordt een concreet operationeel risico op het moment dat de thuisoverheid van de leverancier, en niet die van jou, de regels kan veranderen, de prijs kan verhogen of kan bevelen een dienst stil te leggen. In het recente Europese debat bespreken deskundigen openlijk scenario’s die ze ooit als achterdocht wegzetten: van een buitenlandse regering die een aanbieder onder druk zet tot de vrees voor een “kill switch” op afstand over kritieke diensten. Je hoeft niet in het ergste geval te geloven om te concluderen dat het een risico is om essentiële functies te laten rusten op infrastructuur die je niet kunt besturen, een risico dat je beter wegneemt.

Er is ook een economische dimensie. Wanneer je de kern van de digitale economie uit het buitenland huurt, vallen de marges, de netwerkeffecten van data en de hoogwaardige technische banen grotendeels elders toe. Europa blijft dan achter met het onderhouden van de afhankelijkheid in plaats van het opbouwen van de waarde die ze creëert. Soevereiniteit gaat in deze opvatting niet alleen over veiligheid; ze gaat over de vraag of het continent de technologieën die nu elke sector schragen, van bankwezen tot zorg tot defensie, zelf bouwt of slechts afneemt.

Een korte geschiedenis van gebroken bruggen

De juridische regeling die persoonsgegevens van de EU naar de Verenigde Staten laat stromen, bouwde en herbouwde Europa drie keer, en zijn eigen hoogste rechter brak haar twee keer af. Safe Harbor regelde de overdrachten van 2000 tot het Hof van Justitie het in 2015 ongeldig verklaarde. De opvolger, Privacy Shield, hield het vol van 2016 tot het Schrems II-arrest het in 2020 onderuithaalde, opnieuw omdat de Amerikaanse surveillancewetgeving Europeanen geen gelijkwaardige bescherming en geen wezenlijke mogelijkheid tot verhaal bood.

Het huidige Data Privacy Framework, aangenomen in juli 2023, hield het Gerecht van de EU in september 2025 overeind. Maar die uitspraak ligt in hoger beroep bij het Hof van Justitie, dezelfde rechter die al twee keer tegen zulke regelingen oordeelde. De les is niet dat elk afzonderlijk kader gedoemd is, maar dat alles wat rust op de welwillendheid van de binnenlandse politiek van een ander rechtsgebied per definitie voorlopig is. Bouw je jouw datastromen op de aanname dat de brug altijd blijft staan, dan neem je een risico dat je niet beheerst en niet kunt beprijzen, en dat je onder tijdsdruk weer moet afwikkelen als de rechter opnieuw oordeelt.

De regels die Europa heeft gebouwd

Het wetgevende antwoord van Europa kent twee lagen. De eerste is beschermend. De AVG, van kracht sinds 2018, beperkt het verplaatsen van persoonsgegevens buiten de Europese Economische Ruimte, en het Schrems II-arrest maakte duidelijk dat contractbepalingen alleen de blootstelling aan buitenlandse surveillance niet kunnen genezen: een overdracht heeft aanvullende technische maatregelen nodig om rechtmatig te zijn. De tweede laag duwt de zeggenschap dieper de stack in. De Data Governance Act en de Data Act, waarvan het merendeel geldt vanaf 12 september 2025, maken data overdraagbaar tussen aanbieders en verplichten clouddiensten bovenal om maatregelen te nemen tegen onrechtmatige toegang door niet-EU-overheden, terwijl de overstapkosten die voor lock-in zorgen tegen 2027 volledig moeten verdwijnen.

Daarnaast staat een golf van structurele regelgeving. NIS2 verhoogt de basis voor cyberbeveiliging, governance en incidentmelding bij duizenden essentiële en belangrijke entiteiten, al moesten verschillende lidstaten, waaronder Nederland, de omzetting naar nationaal recht in 2026 nog afronden. De AI Act, van kracht sinds augustus 2024, treedt gefaseerd in werking van 2025 tot 2027; als teken van hoe omstreden het tempo is geworden, kwamen wetgevers in mei 2026 overeen de zwaarste hoogrisicoverplichtingen nog verder uit te stellen. De Digital Markets Act en de Digital Services Act richten zich intussen rechtstreeks op de dominantie van een handvol niet-Europese “poortwachters”.

Samen zijn deze regels niet louter consumentenbescherming. Ze zijn een doelbewuste poging om Europese controle over data tot de standaardvoorwaarde te maken voor digitaal zakendoen in de Unie, en om toezichthouders, rechters en klanten concrete hefbomen te geven wanneer dat niet zo is. Het effect is cumulatief: elk instrument verkleint de ruimte waarin een organisatie soevereiniteit als optioneel kan behandelen.

Van reguleren naar bouwen

Regelgeving alleen kan geen alternatief maken, en Europa begint dat toe te geven. Twee invloedrijke rapporten uit 2024, dat van Enrico Letta over de toekomst van de interne markt en dat van Mario Draghi over concurrentievermogen, plaatsten digitale afhankelijkheid allebei in het hart van Europa’s economische probleem. Draghi pleitte voor extra investeringen in de orde van honderden miljarden euro per jaar, een schaal die het continent in een generatie niet heeft geprobeerd, en waarschuwde dat Europa zonder die investeringen een afnemer van andermans technologie zou blijven. Het beleid is dit, traag, gaan volgen.

In juni 2026 presenteerde de Europese Commissie een European Technology Sovereignty Package, dat een tweede Chips Act koppelt aan een Cloud and AI Development Act die de datacentercapaciteit van de EU de komende vijf tot zeven jaar minstens moet verdrievoudigen. Eromheen liggen het AI Continent Action Plan, het InvestAI-programma van €200 miljard en een reeks grote “AI-gigafactories”, en, concreter, een sovereign-cloudraamwerk van €180 miljoen dat de Commissie in april 2026 aan meerdere Europese aanbiedersgroepen gunde en dat ze beoordeelt op formele, gepubliceerde soevereiniteitsniveaus in plaats van op marketingbeloften. De richting, van capaciteit in het buitenland kopen naar die in eigen huis bouwen, is onmiskenbaar, ook waar de budgetten bescheiden blijven tegenover de omvang van het probleem.

Het is eerlijk om te erkennen dat niet alles is gelukt. Het cloud-certificeringsschema van de EU verloor zijn sterkste soevereiniteitseisen, de eisen die immuniteit van niet-EU-recht zouden hebben verlangd voor de gevoeligste workloads, na bezwaren van sommige lidstaten en Amerikaanse aanbieders, en zit sindsdien vast. Van Gaia-X, het federatieve cloudproject dat ooit als Europa’s antwoord gold, oordelen velen dat het te weinig heeft opgeleverd. Industriële en infrastructurele soevereiniteit blijkt veel lastiger in wetgeving te vatten dan gegevensbescherming, want je moet ze bouwen, financieren en kopen, en niet enkel verplichten.

De omvang van de inzet

De cijfers geven een idee van zowel de ambitie als de kloof. De oorspronkelijke Chips Act wilde meer dan €43 miljard aan publieke en private investeringen mobiliseren en Europa’s aandeel in de wereldwijde halfgeleiderproductie tegen 2030 verdubbelen naar een vijfde, een doel dat het waarschijnlijk niet zal halen. InvestAI, begin 2025 gelanceerd, wil €200 miljard voor kunstmatige intelligentie mobiliseren, waaronder een apart fonds van €20 miljard voor de “gigafactories” die grote modellen op Europese bodem zouden trainen. De Cloud and AI Development Act uit 2026 stelt als doel de datacentercapaciteit van de Unie binnen vijf tot zeven jaar minstens te verdrievoudigen.

Afgezet tegen Draghi’s schatting dat het dichten van Europa’s concurrentiekloof elk jaar honderden miljarden euro aan extra investeringen vergt, zijn zelfs deze bedragen eerder een voorschot dan de volledige rekening. Maar de betekenis is richtinggevend. Voor het eerst telt Europa zijn antwoord op digitale afhankelijkheid in fabrieken, datacenters en rekenkracht, en niet alleen in artikelen en overwegingen. Soevereiniteit heeft een investeringsbudget gekregen, en daarmee een achterban die het geld in capaciteit wil zien veranderen.

Soevereiniteit is geen isolement

Het is goed om het voor de hand liggende bezwaar voor te zijn. Soevereiniteit in deze zin is geen autarkie en geen boycot van Amerikaanse technologie. Het doel is niet Europa af te sluiten, maar enkele punten van buitenlandse zeggenschap weg te nemen over zaken die ertoe doen, zodat een omslag van het politieke weer in een andere hoofdstad geen ziekenhuis, bank of overheidsdienst kan ontwrichten. Open standaarden, interoperabiliteit, opensourcesoftware en de vrijheid om van aanbieder te wisselen horen bij dezelfde agenda; ze voorkomen dat soevereiniteit verzandt in een andere soort lock-in.

Zo bezien is soevereiniteit minder een politieke kreet dan een vorm van risicobeheer. Ze stelt een vertrouwde vraag, dezelfde die elke raad van bestuur stelt over een kritieke leverancier, en past die toe op de digitale fundamenten waarover de meeste organisaties zijn opgehouden na te denken als een keuze.

Wat het voor jou betekent

Voor een organisatie lost de politiek op in een eenvoudiger vraag. Europese controle over data wordt zowel een juridische als een commerciële verwachting, vastgelegd in aanbestedingsregels, sectorale richtsnoeren en de due-diligencevragenlijsten die klanten steeds vaker sturen voordat ze tekenen. Het verstandige antwoord is niet wachten op de volgende uitspraak, maar jezelf afvragen of jouw eigen stack er een zou overleven.

Die druk komt nu al via gewone commerciële kanalen. Overheidsinstanties laten soevereiniteit meewegen in hun aanbestedingen, gereguleerde sectoren vlechten soevereiniteit in het toezicht, en private kopers vragen om inzicht in datastromen en subverwerkers als voorwaarde voor het contract. Een antwoord dat neerkomt op “onze aanbieder verzekert ons dat het in orde is” houd je steeds moeilijker met goed fatsoen vol. De organisaties die deze overgang makkelijk zullen vinden, zijn de organisaties die het vroeg als een architectuurvraag behandelden, in plaats van later als een noodoperatie onder tijdsdruk.

Dat blijkt evenzeer een kwestie van techniek als van beleid: waar jouw data fysiek stroomt, welke bedrijven die onderweg aanraken, en wie gedwongen zou kunnen worden die af te geven of de sleutels uit handen te geven. Dat is het onderwerp van ons vervolgstuk, dat één verzoek door de volledige stack volgt, van DNS tot het AI-model, en precies laat zien waar je soevereiniteit wint of verliest.