Harde aanpak van platforms, soevereine clouds en een terugloop in investeringen

De Europese Commissie heeft de industrie er deze week aan herinnerd dat de Digital Services Act nog altijd stevig kan bijten. ChatGPT, Reddit en Roblox werden aangewezen als zeer grote onlineplatforms. ChatGPT werd daarnaast geclassificeerd als een zeer grote onlinezoekmachine, een stempel waardoor de dienst aan dezelfde verplichtingen rond systeemrisico's moet voldoen als Google Search. De drie diensten hebben nu tot januari 2027 de tijd om aan de regels te voldoen. Deze aanwijzing viel toevallig in dezelfde week als de State of the Union-toespraak van de voorzitter van de Commissie, het jaarlijkse moment waarop Brussel zijn digitale prioriteiten voor het komende jaar vaststelt.

De rest van het regelgevingslandschap was minder overzichtelijk. Het amendement op de AI Act binnen het Digital Omnibus-pakket boekte vooruitgang, waardoor de nalevingsdata voor hoogrisico-AI-systemen zijn opgeschoven. Een parallel voorstel om de definitie van persoonsgegevens onder de AVG te herzien, stuitte echter op weerstand tijdens het interinstitutioneel overleg. Brussel probeert in hetzelfde pakket de naleving van AI-regels te vereenvoudigen en een kernbegrip op het gebied van privacy te versoepelen, en slechts één van beide verloopt soepel.

Het vereenvoudigen van de ene wet test de grenzen van de andere.

Ook de handhaving van de mededingingsregels sneed aan twee kanten. Opera verloor zijn rechtszaak om Microsoft Edge als poortwachter te laten aanmerken onder de Digital Markets Act. Het Gerecht oordeelde dat de browser geen voldoende belangrijke toegangspoort was om hiervoor in aanmerking te komen. Deze uitspraak beperkt de reikwijdte van de DMA op het gebied van desktopsoftware. Ondertussen opende de Commissie een onderzoek naar de cloudlicentiepraktijken van Oracle, in navolging van een soortgelijk onderzoek naar SAP. Dit is een teken dat het toezicht op leveranciers van bedrijfssoftware eerder regel dan uitzondering wordt.

Ambities op het gebied van soevereiniteit liepen tegen hun eigen tegenstrijdigheden aan. Nederland publiceerde een conceptontwerp voor zijn soevereine overheidscloud, een concrete stap naar de onafhankelijkheid van publieke infrastructuur waar Brussel steeds om roept. In Italië speelt zich de tegenovergestelde dynamiek af. Aanbestedingsregels die zijn opgesteld om lokale aanbieders te beschermen, bevoordelen juist Amerikaanse hyperscalers. De kwalificatie-eisen belonen namelijk de schaalvoordelen waaraan alleen de grootste gevestigde partijen kunnen voldoen. Hierdoor worden lokale cloudfederaties zoals EduStorage buitengesloten, hoewel zij technisch klaar zijn om te concurreren. De intentie en het uiteindelijke resultaat staan haaks op elkaar.

De markt voor privékapitaal liet een soortgelijk beeld zien. Het in Zürich gevestigde xorlab haalde 5 miljoen euro op voor de uitbreiding van een soeverein e-mailbeveiligingsplatform, dat expliciet is gebouwd om de afhankelijkheid van door de VS gecontroleerde infrastructuur te verminderen. Enkele dagen later bevestigde Nvidia de overname van Hugging Face voor 12,93 miljard dollar. Deze door Fransen opgerichte repository voor AI-modellen is uitgegroeid tot een van de centrale knooppunten van opensource-AI. Een in Frankrijk opgerichte voorvechter van soevereiniteit is zojuist in handen gevallen van de dominante chipproducent van de wereld. Het herinnert ons eraan dat het bouwen van soevereiniteitsgerichte bedrijven en het behouden van Europees eigendom twee fundamenteel verschillende uitdagingen zijn.

De handhaving van gegevensbescherming ging onverminderd door, ongeacht het debat over definities in Brussel. Het Oostenrijkse Hooggerechtshof oordeelde dat kredietbureau CRIF illegaal gegevens had verzameld in strijd met het beginsel van doelbinding uit de GDPR, een uitspraak die de lopende massaclaim van noyb versterkt. De Ierse Data Protection Commission legde de Health Service Executive een boete van 645.000 euro op voor onbeveiligde papieren medische dossiers. De Franse toezichthouder CNIL beboette Hôpital Privé de la Loire met 500.000 euro nadat bij een datalek de gezondheidsgegevens van meer dan 524.000 patiënten op straat kwamen te liggen. De Nederlandse Autoriteit Persoonsgegevens gooide het over een andere boeg en bracht gratis nalevingssjablonen uit om kleine bedrijven te helpen zonder juridisch team aan hun GDPR-verplichtingen te voldoen. En aangezien de EUDI Wallet in december 2026 gelanceerd moet worden, wees Agenda Digitale erop dat de architectuur ervan nog steeds open vragen oproept over de verwerking van metadata, en dat onder precies die regels die toezichthouders elders actief handhaven.

De kapitaalmarkten vertelden ondertussen twee verhalen, afhankelijk van het perspectief. De wekelijkse samenvatting van Tech.eu telde aan het begin van de week iets meer dan 475 miljoen euro aan investeringen verspreid over ruim 35 deals. Enkele dagen later plaatste een afzonderlijk rapport het bredere plaatje in perspectief. De Europese techfinanciering daalde in augustus met 63 procent naar 3,2 miljard euro verdeeld over 165 deals, wat deel uitmaakt van een bredere vertraging van investeringen op het hele continent. Toch bleef het geld dat wel in beweging kwam, richting strategisch gevoelige sectoren stromen. Het Duitse ruimtevaartbedrijf HyImpulse haalde ruim 50 miljoen euro op om zijn soevereine lanceercapaciteit op te schalen in de aanloop naar komende missies. INLEAP Photonics haalde 20 miljoen euro op om zijn op lasers gebaseerde antidronesystemen voor Europese klanten in de defensie en kritieke infrastructuur uit te breiden. Het Finse bedrijf Creoir ontving startkapitaal voor de commercialisering van spraak-AI, speciaal gebouwd voor defensiesystemen. En het Spaanse iPronics haalde 107,6 miljoen euro op voor optische netwerken voor AI-datacenters. In deze investeringsronde participeerde ook Nvidia zelf, een deal die balanceert ergens tussen een Europees deeptech-succes en afhankelijkheid van dezelfde chipproducent die elders deze week het debat over soevereiniteit hervormt.

Europa blijft de regels voor soevereiniteit sneller schrijven dan het de eigendomsstructuur erachter kan opbouwen.

Alles bij elkaar genomen laat deze week goed zien waar het Europese project voor digitale soevereiniteit daadwerkelijk staat. Het juridische apparaat dat is opgebouwd uit de DSA, de DMA, de AI Act en de GDPR is actief en wordt gehandhaafd. Dit gebeurt soms tegen dominante Amerikaanse platforms en soms tegen Europese ziekenhuizen en instanties die in gebreke blijven bij hun eigen verplichtingen. Maar soevereiniteit over infrastructuur en eigendom blijft veel lastiger in wetgeving te vangen dan soevereiniteit over regels. Een ontwerp voor een Nederlandse overheidscloud en een investeringsronde voor e-mailbeveiliging in Zürich wijzen in de ene richting, terwijl een Italiaanse aanbestedingsstructuur en een overname door Nvidia de andere kant op wijzen. Geen van beide heft de ander op, en deze spanning zal naar verwachting bepalend zijn voor de komende maanden.