Als je de berichtgeving hebt gevolgd sinds de Europese Unie haar voornemen aankondigde om de Cloud and AI Development Act (CADA) in te voeren, zou je kunnen denken dat één van twee dingen waar is: óf Europa heeft eindelijk al zijn soevereiniteitsuitdagingen opgelost, óf de lucht komt naar beneden en wereldwijde cloudproviders verdwijnen binnenkort uit het Europese landschap.
De realiteit ligt, zoals zo vaak, ergens in het midden.
In mijn gesprekken met klanten in heel Europa zie ik beide reacties terug. Sommigen maken zich zorgen dat CADA meer complexiteit creëert zonder hun echte problemen op te lossen. Anderen vrezen dat het het einde betekent van hyperscalers in Europa. Geen van beide interpretaties klopt.
Mijn visie is eenvoudig: CADA is niet het einde van de wereld en ook niet het antwoord op alles. Het is een belangrijke stap vooruit, omdat het een kader biedt om soevereiniteitsrisico’s bewuster te beheren. Maar het neemt die risico’s niet volledig weg. En dat onderscheid is belangrijk.
Digitale soevereiniteit draait in wezen om bedrijfsrisico
Wanneer we het hebben over digitale soevereiniteit, wordt de discussie vaak al snel heel technisch. Maar in de kern is soevereiniteit een bedrijfskundig vraagstuk. Sterker nog: ik zou zeggen dat soevereiniteit fundamenteel gaat over risicobeheersing — iets wat in het AI-tijdperk nog belangrijker wordt.
Organisaties beoordelen elke dag al uiteenlopende risico’s — van cybersecurity en operations tot supply chains en zelfs natuurrampen. Digitale soevereiniteit hoort in dezelfde categorie thuis.
In tegenstelling tot traditionele applicaties slaan AI-systemen data niet alleen op. Ze gebruiken data, transformeren die, leren ervan en genereren er inzichten en beslissingen uit. Daardoor gaat soevereiniteit verder dan de vraag waar data wordt opgeslagen. Het gaat ook om waar intelligentie wordt gecreëerd, hoe die wordt bestuurd en of beslissingen kunnen worden begrepen, uitgelegd en geverifieerd.
Digitale soevereiniteit richt zich op drie specifieke dimensies:
- Datasoevereiniteit
- Operationele soevereiniteit
- Technische soevereiniteit
In praktische zin gaan deze risico’s over vragen zoals:
- Kan een buitenlandse overheid toegang krijgen tot gevoelige data?
- Kunnen geopolitieke spanningen de blijvende toegang tot kritieke technologie verstoren?
- Kan de jurisdictie van een provider juridische risico’s voor de organisatie creëren?
Dit zijn gesprekken voor de boardroom. Daarom moet CADA worden gezien als een strategisch kader, niet als een puur technische regelgeving.
CADA gaat over sterkere soevereiniteit, niet over volledige soevereiniteit
Een van de grootste misverstanden over CADA is dat het hyperscalers zou verbieden of organisaties zou dwingen om in sterk geïsoleerde omgevingen te werken. Dat doet het geen van beide.
CADA zal naar verwachting duidelijkere verwachtingen vastleggen voor soevereiniteitscontroles, terwijl organisaties nog steeds kunnen profiteren van wereldwijde cloud-ecosystemen.
De markt beweegt al in deze richting. Soevereiniteit wordt een kernonderdeel van cloudstrategieën van hyperscalers. Zij investeren in sovereign cloud-regio’s, lokale operatingmodellen, omgevingen met beperkte toegang, klantgestuurde encryptie, disconnected of air-gapped opties en partnergedreven deliverymodellen voor sterk gereguleerde Europese workloads. Dit betekent dat het CADA-debat niet moet worden neergezet als een keuze tussen hyperscalers en Europa. Het moet juist gaan over de vraag hoe wereldwijde cloudmogelijkheden, Europese regelgeving en soevereine operatingmodellen verantwoord kunnen worden gecombineerd.
Voor veel organisaties zal de keuze daarom niet gaan tussen public cloud en private infrastructuur. Het gaat om het selecteren van de juiste mix: sovereign cloudservices waar die voldoen aan wettelijke en operationele vereisten, gecombineerd met private omgevingen waar het risicoprofiel daarom vraagt.
De blended, risicogebaseerde aanpak in de praktijk
Banking is een goed voorbeeld, omdat deze sector deze logica al lange tijd toepast. Kernbanksystemen en zeer gevoelige klantdata worden strikt gecontroleerd, terwijl veel banken omliggende workloads, zoals analytics, klantinteractie, ontwikkelplatformen of aanvullende digitale diensten, naar de public cloud hebben verplaatst wanneer de voordelen zwaarder wegen dan de risico’s.
CADA biedt een duidelijker regelgevend en assurance-kader voor deze risicogebaseerde aanpak en vergroot het aantal commercieel haalbare opties tussen standaard public cloud en maatwerk private infrastructuur. Voor banken wordt de vraag daardoor specifieker: welke workloads kunnen op standaard clouddiensten blijven draaien, welke vereisen sovereign cloud-controls en welke hebben private omgevingen nodig?
Het resultaat is een explicietere, evidence-based en inkoopklare versie van wat gereguleerde organisaties al jaren doen.
Het doel is passende controle, niet volledige isolatie
Een ander veelvoorkomend misverstand is dat Europa volledige technologische onafhankelijkheid van niet-Europese technologieproviders kan bereiken. Op dit moment is dat simpelweg niet realistisch. Er bestaat momenteel geen volledig Europese, end-to-end technologiestack die elk component kan vervangen waar organisaties op vertrouwen.
Sommige organisaties streven ernaar om elk buitenlands technologiecomponent uit hun omgeving te verwijderen. Dat is begrijpelijk, maar deze aanpak verwart vaak mogelijkheid met waarschijnlijkheid, terwijl de trade-offs vaak worden onderschat.
Ja, er zijn hypothetische scenario’s waarin geopolitieke spanningen tot technologische beperkingen kunnen leiden. Maar organisaties zouden beslissingen moeten nemen op basis van realistische risicobeoordelingen in plaats van worstcasescenario’s. Uiteindelijk is het doel passende controle, niet volledige isolatie.
Hoe terecht is de veelgehoorde kritiek op CADA?
Veel kritiek op CADA valt in bekende categorieën. Laten we er een paar bekijken.
“CADA is protectionistisch en kan Europa afremmen.”
Ik begrijp die zorg. Toch denk ik niet dat organisaties hoeven te kiezen tussen innovatie en soevereiniteit. Succesvolle strategieën combineren hyperscalers waar dat passend is, sovereign omgevingen waar dat nodig is en hybride architecturen waar die logisch zijn. Het draait om het creëren van opties.
“CADA verhoogt kosten en complexiteit.”
De vraag is: vergeleken waarmee?
Afgezet tegen een pure public-cloudaanpak kunnen sommige sovereign controls inderdaad extra kosten met zich meebrengen. Maar als een organisatie haar eigen private infrastructuur zou bouwen en beheren, kunnen sovereign oplossingen juist een efficiëntere route bieden.
Belangrijker nog: CADA moedigt organisaties aan om workloads te classificeren op basis van risico en kritikaliteit. Niet elke workload vraagt om het hoogste niveau van soevereiniteit. Een farmaceutisch bedrijf dat gevoelige R&D uitvoert, kan strikte controls toepassen op onderzoeksdata en tegelijkertijd flexibelere omgevingen gebruiken voor reguliere bedrijfsapplicaties. Zo’n gerichte aanpak kan onnodige uitgaven voorkomen.
“Europa heeft onvoldoende binnenlandse capaciteit.”
Er zit waarheid in die zorg. Het Europese ecosysteem voor sovereign cloud en AI is nog in ontwikkeling, met capaciteitslacunes op sommige gebieden.
Maar vooruitgang vraagt niet om perfectie. Organisaties kunnen gefaseerd werken: bestaande clouddiensten gebruiken waar dat passend is, terwijl ze geleidelijk sovereign capabilities opbouwen rond hun meest kritieke assets.
Sinds 2019 werken de EU en Japan — waar NTT Group, waarvan NTT DATA een kernonderdeel is, gevestigd is — onder een wederzijdse adequaatheidsregeling die erkent dat elkaars kaders voor databescherming gelijkwaardige waarborgen bieden voor de overdracht van persoonsgegevens. In 2023 hebben beide partijen de eerste evaluatie van deze regeling afgerond en de blijvende effectiviteit ervan bevestigd. Daardoor kunnen organisaties persoonsgegevens tussen de EU en Japan uitwisselen zonder veel van de aanvullende transfermechanismen die voor andere niet-EU-jurisdicties nodig zijn. Dit maakt de weg vrij voor gestroomlijnde strategische partnerships.
Dat is belangrijk, omdat soevereiniteit niet alleen draait om locatie; het gaat ook om vertrouwde jurisdicties, governance en langetermijnpartnerships.
“De definities zijn te vaag.”
Die kritiek is terecht. Veel regelgevingskaders laten bewust ruimte voor interpretatie, omdat technologie zich sneller ontwikkelt dan wetgeving. De uitdaging voor organisaties is om beleidstaal te vertalen naar praktische architectuur, governancemodellen en operationele procedures.
Hier telt ervaring. De vraag is niet of een definitie perfect precies is, maar hoe die van toepassing is op je bedrijf, je data en je risicoprofiel.
Welke sectoren voelen de impact als eerste?
Hoewel CADA uiteindelijk bijna elke sector zal beïnvloeden, zullen sommige sectoren de effecten waarschijnlijk eerder merken dan andere.
Energy and utilities springen direct in het oog, omdat zij kritieke nationale infrastructuur beheren en tegelijkertijd onder grote moderniseringsdruk staan.
Ook banken, farmaceutisch onderzoek, defensie en public sector-organisaties krijgen te maken met verhoogde aandacht en toetsing.
Waarom dit een waardevolle kans is voor Europa
CADA zou organisaties niet in paniek of stilstand moeten brengen, maar juist helpen betere beslissingen te nemen. Het antwoord is niet om alles in één keer sovereign te maken. Je moet eerst je risicoblootstelling begrijpen, je workloads classificeren, het juiste controlmodel kiezen en een praktische roadmap bouwen waarin public cloud, private cloud, sovereign cloud en AI-infrastructuur samenkomen.
Bij NTT DATA helpen we je die balans te vinden tussen autonomie en openheid, tussen bescherming en innovatie, en tussen lokale controle en wereldwijde kansen.
Onze aanpak combineert sovereignty assessment, workloadclassificatie, gefaseerde architectuur en managed execution. Zo helpen we je bestaande cloud te gebruiken waar dat passend is, terwijl je private of sovereign capaciteit opbouwt waar die het meest nodig is.