Harde aanpak van platforms, sovereign clouds en een terugval in investeringen

De Europese Commissie heeft de industrie er deze week aan herinnerd dat de Digital Services Act nog altijd scherpe tanden heeft. ChatGPT, Reddit en Roblox werden aangewezen als Very Large Online Platforms, waarbij ChatGPT bovendien werd geclassificeerd als een zeer grote online zoekmachine. Dit is een label dat de dienst onderwerpt aan dezelfde verplichtingen voor systeemrisico's als Google Search. De drie diensten hebben nu tot januari 2027 om aan de regels te voldoen. De aanwijzing vond toevallig plaats in dezelfde week als de State of the Union-toespraak van de voorzitter van de Commissie, het jaarlijkse moment waarop Brussel zijn digitale prioriteiten voor het komende jaar vaststelt.

De rest van het regelgevingslandschap was chaotischer. Het amendement op de EU AI Act binnen het Digital Omnibus-pakket boekte vooruitgang, waardoor de nalevingsdata voor risicovolle AI-systemen werden uitgesteld. Een parallel voorstel om te herdefiniëren wat onder de GDPR kwalificeert als persoonsgegevens, stuitte echter op weerstand tijdens interinstitutioneel overleg. Brussel probeert in hetzelfde pakket de AI-naleving te vereenvoudigen en een fundamentele privacydefinitie te versoepelen, en slechts de helft daarvan verloopt soepel.

Het vereenvoudigen van de ene set regels zoekt de grenzen van de andere op.

De handhaving van het mededingingsrecht sneed ook aan twee kanten. Opera verloor de rechtszaak om Microsoft Edge als gatekeeper te laten bestempelen onder de Digital Markets Act. Het General Court oordeelde dat de browser geen belangrijk genoeg toegangspoort was om in aanmerking te komen. Deze uitspraak beperkt de mate waarin de DMA ingrijpt in desktopsoftware. Ondertussen opende de Commissie een informatieverzamelingsonderzoek naar de cloudlicentiepraktijken van Oracle, volgend op een soortgelijk onderzoek naar SAP. Dit is een teken dat toezicht op leveranciers van enterprise software eerder regel dan uitzondering wordt.

Soevereiniteitsambities liepen tegen hun eigen tegenstrijdigheden aan. Nederland publiceerde een conceptontwerp voor zijn soevereine overheidscloud, een concrete stap naar het soort onafhankelijkheid van publieke infrastructuur waar Brussel om blijft roepen. In Italië speelt zich de tegenovergestelde dynamiek af. Aanbestedingsregels die zijn geschreven om lokale aanbieders te beschermen, bevoordelen juist de Amerikaanse hyperscalers. De kwalificatie-eisen belonen namelijk de schaalvoordelen waaraan alleen de grootste gevestigde partijen kunnen voldoen. Hierdoor worden lokale cloudfederaties zoals EduStorage buitengesloten, hoewel ze technisch klaar zijn om te concurreren. De intentie en de uitkomst trekken in tegengestelde richtingen.

Privékapitaal vertelde een soortgelijk verhaal. Het in Zürich gevestigde xorlab haalde 5 miljoen euro op voor de uitbreiding van een soeverein e-mailbeveiligingsplatform dat expliciet is gebouwd om de afhankelijkheid van door de VS gecontroleerde infrastructuur te verminderen. Dagen later bevestigde Nvidia de overname van 12,93 miljard dollar van Hugging Face, de van oorsprong Franse AI-model repository die is uitgegroeid tot een van de centrale knooppunten van open-source AI. Een van oorsprong Franse voorvechter van soevereiniteit is zojuist in handen overgegaan van de dominante chipmaker in de wereld. Dit is een harde herinnering dat het bouwen van soevereiniteitsgerichte bedrijven en ze in Europese handen houden twee verschillende uitdagingen zijn.

De handhaving van gegevensbescherming ging gewoon door, ongeacht het definitiedebat in Brussel. De Oostenrijkse Supreme Court oordeelde dat kredietbureau CRIF illegaal gegevens had verzameld in strijd met het doelbindingsbeginsel van de GDPR. Deze uitspraak versterkt de lopende class action van noyb. De Ierse Data Protection Commission legde de Health Service Executive een boete op van 645.000 euro wegens onbeveiligde papieren medische dossiers. De Franse CNIL beboette Hôpital Privé de la Loire met 500.000 euro nadat een datalek gezondheidsinformatie van meer dan 524.000 patiënten had blootgelegd. De Nederlandse privacytoezichthouder koos voor een tegenovergestelde aanpak en publiceerde gratis compliance-templates om kleine bedrijven te helpen aan hun GDPR-verplichtingen te voldoen zonder een juridisch team. En nu de EUDI Wallet in december 2026 gelanceerd moet worden, wees Agenda Digitale erop dat de architectuur ervan nog steeds open vragen oproept over de omgang met metadata onder precies de regels die toezichthouders elders actief handhaven.

Kapitaalmarkten vertelden ondertussen twee verhalen, afhankelijk van het perspectief. De wekelijkse samenvatting van Tech.eu telde aan het begin van de week iets meer dan 475 miljoen euro aan investeringen verspreid over meer dan 35 deals. Dagen later plaatste een afzonderlijk rapport het bredere plaatje in perspectief. De Europese techfinanciering daalde in augustus met 63 procent naar 3,2 miljard euro verdeeld over 165 deals, wat deel uitmaakt van een bredere vertraging van dealmaking op het hele continent. Desondanks bleef het geld dat wel bewoog, naar strategisch gevoelige sectoren stromen. De Duitse spacetech HyImpulse verzekerde zich van ruim 50 miljoen euro om soevereine lanceercapaciteit op te schalen in de aanloop naar komende missies. INLEAP Photonics haalde 20 miljoen euro op om zijn op lasers gebaseerde anti-dronesystemen voor klanten in de Europese defensie en kritieke infrastructuur uit te breiden. Het Finse bedrijf Creoir verwierf seed funding om spraak-AI voor defensiesystemen te commercialiseren. Het Spaanse iPronics haalde 107,6 miljoen euro op voor optische netwerken voor AI-datacenters, in een investeringsronde waarbij ook Nvidia zelf betrokken was. Dit is een deal die zich ergens bevindt tussen Europees deep tech-succes en de afhankelijkheid van dezelfde chipmaker die het soevereiniteitsdebat deze week elders opnieuw vormgeeft.

Europa blijft de regels voor soevereiniteit sneller schrijven dan dat het eigenaarschap erachter kan opbouwen.

Al met al laat de week goed zien waar het Europese project voor digitale soevereiniteit werkelijk staat. Het juridische apparaat dat is opgebouwd uit de DSA, de DMA, de AI Act en de GDPR is actief en wordt gehandhaafd, soms tegen dominante Amerikaanse platforms en soms tegen Europese ziekenhuizen en instanties die niet aan hun eigen verplichtingen voldoen. Maar soevereiniteit over infrastructuur en eigendom blijkt veel moeilijker te reguleren dan soevereiniteit over regels. Een cloudontwerp van de Nederlandse overheid en een investeringsronde voor e-mailbeveiliging uit Zürich wijzen de ene kant op; een Italiaanse aanbestedingsstructuur en een overname door Nvidia wijzen de andere kant op. Geen van beide heft de ander op, en het ziet ernaar uit dat die spanning de komende maanden bepalend zal zijn.