Apples DMA-afrekening, de tanden van de AI Act en soevereiniteitskapitaal

Brussel besteedde een groot deel van de afgelopen week aan het bewijzen dat het Europese digitale regelboek tanden heeft en niet alleen uit inkt bestaat. Apple boog onder handhavingsdruk vanuit twee richtingen tegelijk, nationale implementaties van de AI Act kregen hun eerste serieuze interne kritiek te verduren, en toezichthouders voor gegevensbescherming bleven testen waar anonimisering daadwerkelijk eindigt. Onder dit alles bleven investeerders erop inzetten dat het Europese antwoord op de afhankelijkheid van buitenlandse AI-infrastructuur de financiering waard is.

Het duidelijkste teken van die verschuiving kwam uit Cupertino. Apple bevestigde dat het de App Store-commissies voor Europese ontwikkelaars vanaf oktober zal verlagen, waarbij betalingsopties van derden worden toegestaan en standaardcommissies worden verlaagd van 30 procent naar tussen de 15 en 26 procent, meldde Silicon Republic. De wijzigingen volgen op een boete van 500 miljoen euro en maandenlang getouwtrek over wat naleving van de Digital Markets Act daadwerkelijk vereist, zoals Agenda Digitale in detail beschreef. Daarnaast beval het Duitse Federal Cartel Office Apple om te stoppen met het ontwerpen van zijn App Tracking Transparency-meldingen op een manier die gebruikers naar Apple's eigen apps en weg van concurrenten stuurde, meldde The Verge. Dit vormt een herinnering dat de Europese hoofdpijndossiers van Apple nu op twee parallelle sporen lopen: DMA-handhaving geleid door de Commissie en nationale mededingingszaken.

De EU AI Act ging deze week ook van papier naar de praktijk. In Italië paste een herzien uitvoeringsbesluit de regels rond gezichtsherkenning aan na weerstand van de privacywaakhond van het land en de Europese Commissie, meldde Agenda Digitale. In Nederland bevestigde de Autoriteit Persoonsgegevens dat organisaties die risicovolle AI-systemen inzetten vanaf december 2027 een impact assessment voor de fundamentele rechten moeten voltooien. De autoriteit zelf kadert dit als een Nederlandse maatregel in plaats van een directe EU-vereiste, een maatregel die is ontworpen in de geest van de aankomende AI Act in plaats van dat deze erdoor wordt verplicht. En EU-Startups telde tien Europese compliance-startups die governance- en audit-tools bouwen nu de handhavingsbevoegdheden van de wet actief zijn voor AI-systemen, wat bewijst dat de wet op zichzelf een marktkans is geworden en niet slechts een nalevingslast.

Niet iedereen is ervan overtuigd dat de uitrol soepel verloopt. De commissaris voor gegevensbescherming van Niedersachsen bekritiseerde de Duitse nationale implementatiewet voor de AI Act scherp, volgens Heise Online. Hij waarschuwde dat deze het markttoezicht zodanig centraliseert dat regionale gegevensbeschermingsautoriteiten buitenspel kunnen worden gezet en zowel de bescherming van de grondrechten als de digitale soevereiniteit in gevaar komen, waarbij een grondwettelijke toetsing naar verluidt in overweging wordt genomen. De kritiek komt op een interessant moment: Agenda Digitale meldde ook dat OpenAI de ontwikkeling van zijn frontier models heeft vertraagd en de werkzaamheden op het gebied van reinforcement learning heeft opgeschort om de veiligheidscontroles te versterken na incidenten met geavanceerde systemen. Dit illustreert een divergentie die het artikel expliciet benoemt, waarbij Europa neigt naar preventieve regelgeving en publiek toezicht op strategische AI, terwijl de Verenigde Staten neigen naar technologisch leiderschap via samenwerking met de industrie.

Wetgeving maken voor AI is het makkelijke deel; beslissen wie het handhaaft is waar soevereiniteit wordt betwist.

Privacytoezichthouders bleven ondertussen de grenzen opzoeken van waar anonimisering daadwerkelijk begint en eindigt in een van AI doordrenkte data-economie. De European Data Protection Board publiceerde verduidelijkte criteria voor wanneer gegevens als correct geanonimiseerd worden beschouwd onder de GDPR, meldde Agenda Digitale. Hierbij werd gewezen op factoren zoals de aard van de gegevens, wie er toegang toe heeft, hoe gemakkelijk ze opnieuw aan een persoon kunnen worden gekoppeld, en de kosten en technologie die daarvoor nodig zijn, met de nadruk op het feit dat verificatie per geval moet plaatsvinden. Die vraag is niet louter academisch. In Duitsland klaagt het in Tübingen gevestigde BinDoc de toezichthouder voor gegevensbescherming van Baden-Württemberg aan over een bevel om informatie te verstrekken over de vraag of de miljoenen ziekenhuisdossiers die het beheert echt geanonimiseerd zijn of persoonlijke gezondheidsgegevens blijven onder de GDPR, meldde Heise Online. En in Nederland drong de Autoriteit Persoonsgegevens er bij Twitch-gebruikers op aan om een standaard ingeschakelde instelling uit te schakelen die gezichts- en stemgegevens deelt met Amazon voor AI-training, waarbij werd gewaarschuwd voor het risico op misbruik.

Geld bleef ook het soevereiniteitsargument volgen. De Deense AI-infrastructuur startup Velatir haalde 5 miljoen euro op, expliciet gebouwd rond infrastructuur in Europese handen, en positioneerde zich daarmee tegen de afhankelijkheid van Amerikaanse hyperscalers, meldde Tech.eu. In Londen haalde Callosum een seed round van 100 miljoen dollar op, geleid door Atomico, om knelpunten in AI compute aan te pakken. Dit werd ondersteund door het Sovereign AI Fund van het Verenigd Koninkrijk en het AI-hardwareplan van de overheid, aldus Sifted. Ierland richtte een adviesraad voor halfgeleiders op, voorgezeten door een voormalig Intel-topman, specifiek om de betrokkenheid van het land bij de EU Chips Act te begeleiden, meldde Silicon Republic. En in Frankrijk registreerde Tech.eu meer dan 2,5 miljard euro aan opgehaald kapitaal door de toonaangevende techbedrijven van het land in de eerste helft van 2026, geleid door AI, ruimtevaart en fintech, waarbij Eutelsat en Mistral AI tot de grootste investeringsrondes behoorden.

Europa maakt deze week niet alleen wetgeving voor digitale soevereiniteit, het begint deze ook te financieren.

Individueel gezien zijn dit afzonderlijke verhalen: een platformboete, een reeks compliance-deadlines, een aantal financieringsrondes. Samen beschrijven ze een continent dat probeert zijn eigen digitale regels te schrijven en te handhaven, terwijl het tegelijkertijd de infrastructuur bouwt die bedoeld is om daarop te draaien. Of regelgeving en kapitaal elkaar uiteindelijk zullen versterken of juist in verschillende richtingen zullen trekken, lijkt eerder het verhaal van volgend jaar te worden dan van dit jaar.