De cloud wordt gezien als een belangrijke voorwaarde voor innovatie en toekomstige economische groei. Ook voor overheden zijn data essentieel om processen slimmer te kunnen organiseren. Gaat Gaia-X, de ‘Europese cloud’, daar een positieve rol in spelen? Het Nederlandse kabinet is vooralsnog terughoudend.
Beeld: Shutterstock / iBestuur
Niet de aanwezigheid, maar de ontsluiting en uitwisselbaarheid van data is de echte uitdaging. Om beide processen soepel te laten verlopen heb je opslag, connectiviteit en duidelijke spelregels nodig. Het zijn vooral de spelregels rondom clouddiensten die steeds meer gaan knellen. Gaia-X is nu nog een een-tweetje van Frankrijk en Duitsland, maar is hard op weg om een groot en nieuw Europees monsterproject te worden, gericht op Europese regels en richtlijnen voor clouddiensten. Om uit te leggen wat heeft bijgedragen aan het initiatief dat Gaia-X heet (genoemd naar de Griekse godin van de aarde) moeten we eerst terug naar de kern van cloudcomputing.
Cloudcomputing is computercapaciteit die aan vijf criteria voldoet: direct te gebruiken; onderdeel van een gedeelde pool van IT-voorzieningen; direct verkrijgbaar zonder tussenkomst van een persoon of organisatie; snel en onbeperkt schaalbaar; en transparant in gebruik en kosten. In de markt voor cloudinfrastructuur en cloudgebaseerde software spelen Amerikaanse bedrijven een dominante rol. Volgens analisten van IDC hebben Amazon Web Services (AWS), Microsoft, Salesforce.com, Google en Oracle samen 35 procent in handen. Binnen de infrastructuurmarkt heeft AWS bijna de helft in handen, de rest ligt grotendeels bij andere Amerikaanse bedrijven (IBM, Microsoft, Google) en het Chinese Alibaba. Naar schatting 92 procent van alle westerse data wordt op Amerikaans grondgebied opgeslagen, concluderen onderzoekers van denktank Cesp.
Bescherming schiet tekort
Waar cloud eerst werd ‘verkocht’ als kostenefficiënt, schaalbaar en locatieonafhankelijk, beginnen er nu barstjes in het cloudmodel te komen. Die barstjes hebben vooral te maken met de spelregels van cloudcomputing. In toenemende mate is cloudinfrastructuur bepalend voor kernprocessen van organisaties. Nieuwe technologie zoals AI is bijvoorbeeld grotendeels gebaseerd op cloudgebaseerde rekenkracht waarbij grote hoeveelheden data kunnen worden verwerkt. Terwijl de economische betekenis van data toeneemt, schiet de bescherming van Europese data binnen niet-Europese infrastructuren nog altijd tekort. Individuen, organisaties en gemeenschappen hebben nog steeds geen volledige controle over opslag en verwerking van data en zijn niet in staat om onafhankelijk te bepalen wie toegang mag hebben tot die data.
Ook is de afgelopen jaren duidelijker geworden dat het gebrek aan portabiliteit van clouddata en cloudsoftware voor lockin zorgt. “Niet de klant, maar de leverancier bepaalt hoe de cloud eruitziet. Het is het omgekeerde van maatwerk”, licht Michiel Steltman, directeur van Stichting Digitale Infrastructuur Nederland (DINL), toe. “Dat je niet naar Google of Microsoft kunt gaan met het verzoek om een cloud te bouwen die specifieke eigenschappen heeft, is extra lastig voor de overheid, die gewend is om alles naar zijn hand te zetten. Maar die omgekeerde regie, dat is juist de essentie en de kracht van het businessmodel van cloud.”
Europa heeft behoefte aan regie
De rammelende spelregels rondom gebruik van diensten van vooral Amerikaanse cloudproviders waren afgelopen jaar voor Duitsland – een land met een expliciete nationale cloudstrategie – reden om te gaan nadenken over het optuigen van een nieuw cloud-ecosysteem. Saillant detail: 80 procent van de Duitse DAX-beursfondsen maakt gebruik van AWS. In de zomer van 2020 is Gaia-X officieel aangekondigd als een samenwerking tussen Duitsland, Frankrijk en een flinke serie Duitse en Franse internationaal actieve ondernemingen.
Met Gaia-X willen de initiatiefnemers drie zaken bereiken: datasoevereiniteit, dataportabiliteit en meer kansen voor Europese landen om met clouddiensten uit andere Europese landen aan de slag te gaan. Steltman: “Nu gaat een Duits bedrijf niet zo snel zakendoen met een Nederlandse cloudleverancier, want het ontbreekt aan voldoende Europese waarborgen op het gebied van privacy en databescherming.”
Moet Nederland aanhaken?
Uiteraard staat Nederland voor de keuze om wel of niet aan te haken. Er vinden al wel informele gesprekken plaats, maar Gaia-X wordt nog niet omarmd door het kabinet. Misschien is een afwachtende houding niet onverstandig, want het project is nog jong en heeft nu al megalomane trekjes. De Duitse minister van Economische Zaken Peter Altmaier kondigde Gaia-X aan als “de Europese maanlancering als het gaat om digitaal beleid”. Dat de Fransen snel bij de Duitsers zijn aangehaakt is opmerkelijk, omdat dit land al enkele honderden miljoenen heeft gestoken in mislukte voorgangers zoals Numergy (2012) en Cloudwatt (2017). Ook in Duitsland is een specifieke Duitse Microsoftcloud, opgetuigd in 2015, na drie jaar bevroren.
Critici leggen graag de nadruk op het gebrek aan timing: niet-Europese spelers hebben de markt volledig in handen, leveren topkwaliteit en blijven jaarlijks tientallen miljarden investeren. Europa heeft volgens die critici de kans om eigen cloudproviders van betekenis te lanceren gemist. Ook de cloudleveranciers zelf hebben kritiek: Gaia-X zou leiden tot lokale Europese spelregels, terwijl zij vinden dat bij cloud geen geografische grenzen horen; die geografische verbijzondering zit bovendien de wereldwijde schaalbaarheid in de weg.
Europa heeft volgens die critici de kans om eigen cloudproviders van betekenis te lanceren gemist
De initiatiefnemers van Gaia-X zetten daar tegenover dat ze beslist niet de ambitie hebben om een nieuwe Europese cloudinfrastructuur op te tuigen. In tegendeel, het gaat niet om infrastructuur, maar om een Europees governancemodel. Gevestigde leveranciers worden juist uitgenodigd om diensten te gaan leveren die straks het Gaia-X- keurmerk kunnen krijgen. AWS en Microsoft hebben al laten weten dat ze graag meedoen. Toch blijft overeind dat er dan twee soorten cloud ontstaan: de gereguleerde Europese cloud en de cloud die we nu hebben. Hoe die twee aan elkaar geknoopt gaan worden is nog niet duidelijk.
Keurmerk en toezicht
De initiatiefnemers van Gaia-X willen vooral bereiken dat bedrijven en overheden zekerheden krijgen van leveranciers over toegankelijkheid en de verwerking van data. “Die zijn op dit moment onvoldoende, vinden rechters en toezichthouders. Daarom wordt er ook gestreefd naar een Gaia-X logo, een trust-keurmerk waarmee afnemers zekerheden hebben. Iedereen, ook big tech, mag aantonen aan de Europese zekerheden te voldoen”, aldus Steltman.
Het keurmerk moet garanties geven over clouddiensten, maar ook over cloudtoepassingen zoals API’s en microservices. De garanties gaan over dataportabiliteit, dataprivacy, continuïteit, de aanwezigheid van specifieke verantwoordingrapportages en cloudportabiliteit – de mogelijkheid om van de ene naar de andere provider over te stappen. Het ecosysteem zal beheerd worden door een Europees bureau dat de eisen bepaalt en dat toeziet op de naleving. Ook zal handhaving mogelijk worden.
“Of alles goed geregeld is, hangt nu vooral af van audits op niet-gestandaardiseerde afspraken. Gaia-X maakt de markt dus transparanter”, zegt Berry Vetjens van TNO. Hoewel Nederland formeel nog niet is aangehaakt, werkt TNO al wel samen met de Nederlandse cloudsector – vertegenwoordigd door organisaties als DINL, DHPA, ISPConnect en SURF – en met andere coalities om een rol spelen bij het coördineren en implementeren van toepassingsprojecten.
“We werken aan het ontwikkelen van demo’s, zodat we kunnen laten zien wat Gaia-X méér is dan een set aan afspraken”, aldus Vetjens. “Denk aan een federated container (functionaliteit voor softwareontwikkeling die gemakkelijk tussen verschillende cloud-aanbieders verplaatsbaar is) of denk aan cloudinfrastructuur-onafhankelijke API’s. Een voorbeeld hiervan is een energy information API, die het mogelijk maakt om de footprint van een IT-dienst te bepalen. Begin volgend jaar willen we prototypes van ‘Gaia-X-ready’-diensten kunnen laten zien. Het is aan de industrie om die om te zetten in producten, want wij ontwikkelen primair technologie.”
Hoe gaat het nu verder?
Volgens de website zijn er al meer dan 300 organisaties uit verschillende landen betrokken. De initiatiefnemers willen dit graag uitbreiden: niet alleen met meer bedrijven maar vooral met meer landen. Succesfactor daarbij lijkt goede communicatie, want Gaia-X wordt gemakkelijk verward met ‘publieke infrastructuur’ (Raad voor Openbaar Bestuur) of met ‘een Europese cloud’ (De Nederlandse Digitaliseringstrategie (NDS)). Daarnaast is het de vraag hoe de wens voor een betere concurrentiepositie in de data-economie samengaat met verregaande Europese regulering en standaardisatie. Maar de hoofdvraag is hoe de gigantische hoeveelheden aan Europese data die nu in hoofdzakelijk Amerikaanse cloudomgevingen staan, straks ondergeschikt worden gemaakt aan de nieuwe regels. Want aan de US Cloud Act – die Amerikaanse autoriteiten toegang geeft tot gegevens die in de cloud van Amerikaanse aanbieders zijn opgeslagen, zelfs als nationale wetgeving dit verbiedt – verandert voorlopig helemaal niets.
Dit artikel staat ook in iBestuur magazine 36
