Europa is voor meer dan 80% van haar digitale producten en cloudinfrastructuur afhankelijk van aanbieders van buiten de Europese Unie. Op 3 juni 2026 presenteerde de Europese Commissie het Technological Sovereignty Package (een pakket wetten om de Europese digitale onafhankelijkheid te vergroten) met de Cloud and AI Development Act als belangrijkste pijler. Hoewel de eerste berichten spraken over een noodknop om Amerikaanse techgiganten direct uit te schakelen, ligt de realiteit genuanceerder. Het plan introduceert een kader dat cloud- en AI-diensten indeelt in 4 veiligheidsniveaus waarmee overheidsinstanties op basis van het risicoprofiel van hun data een passende cloud moeten inkopen.
1. Niveau 1 (Basis): Stelt basale eisen aan de beveiliging en de locatie waar data wordt opgeslagen.
2. Niveau 2 en 3 (Gevorderd): Introduceert strengere regels voor datalocatie, strengere cybersecurityaudits en operationele controle binnen Europa.
3. Niveau 4 (Strikte Soevereiniteit): Dit hoogste niveau vereist volledige transparantie en controle over de volledige softwaretoeleveringsketen. Klantgegevens, infrastructuur, operationeel beheer en het personeel moeten zich volledig binnen Europa bevinden en onder Europese jurisdictie vallen.
Door de invoering van deze regels staan techreuzen als Microsoft, Google en Amazon voor een bijna onmogelijke opgave om aan de hoogste eisen te voldoen. De eurocommissaris voor technologie heeft toegegeven dat het voor Amerikaanse bedrijven nagenoeg onmogelijk zal zijn om aan de eisen van het hoogste niveau te voldoen door de Amerikaanse CLOUD Act uit 2018 (de wet die Amerikaanse techbedrijven verplicht om de Amerikaanse overheid toegang te geven tot data, ongeacht waar de servers staan). Zelfs als Microsoft of Google een datacenter in Frankfurt of Amsterdam bouwt, blijft de data juridisch bereikbaar voor de Amerikaanse overheid omdat het moederbedrijf in de Verenigde Staten is gevestigd. Europa stelt nu helder dat geografie niet gelijkstaat aan jurisdictie. Om aan niveau 4 te voldoen, moeten Amerikaanse techgiganten hun Europese dochterondernemingen zo onafhankelijk structureren dat ze volledig buiten de juridische invloedssfeer van de Verenigde Staten vallen, wat organisatorisch en juridisch een enorme uitdaging is.
Het pakket kijkt verder dan alleen dataopslag en stimuleert ook speciale zones om de Europese datacentercapaciteit tegen 2030 te verdrievoudigen. Daarnaast focust de Chips Act 2.0 (de vernieuwde Europese wet voor microchips) op de oprichting van de eerste Europese open gieterij voor geavanceerde microchips tussen 2030 en 2033. Verder stimuleert Brussel open alternatieven om de vaste greep van grote Amerikaanse techbedrijven te voorkomen en richt een strategisch plan zich op de verduurzaming van de energiesector. Het pakket is nu nog een wetsvoorstel waarover het Europees Parlement en alle 27 lidstaten moeten onderhandelen. Hoewel kritische stemmen wijzen op mazen voor de Europese dochterondernemingen van grote techbedrijven, trekt Europa een duidelijke streep in het zand als het gaat om de meest gevoelige overheidsdata en burgergegevens. Amerikaanse techreuzen worden niet direct verbannen, maar de tijd dat zij blindelings toegang hadden tot elk Europees overheidscontract is voorbij.