Forordningen om udvikling af cloud og kunstig intelligens: hvad Europa faktisk prøver at rette op på

Forordningen om udvikling af cloud og kunstig intelligens er den klareste udmelding hidtil om, hvad europæisk teknologipolitik er blevet til. Det er ikke en forbrugerbeskyttelseslov, og det er ikke en sikkerhedslov. Det er industripolitik rettet mod ét problem: Europa kører det meste af sin digitale økonomi på infrastruktur, som Europa ikke kontrollerer.

Det er en anden slags regulering end GDPR og AI-forordningen, og den når dig ad en anden vej. At forstå hvilken vej betyder mere end at læse betragtningerne.

Problemet, den svarer på

Tallene bag det her er der ingen, der bestrider. Langt hovedparten af de europæiske udgifter til cloudinfrastruktur går til udbydere uden for Europa. De største AI-modeller, europæiske virksomheder bruger, bliver trænet og hostet uden for Europa. Europæisk regnekapacitet udgør en lille brøkdel af den samlede kapacitet i verden.

I et årti blev det opfattet som noget, markedet havde afgjort. Siden 2022 er det blevet opfattet som en strategisk sårbarhed af grunde, der intet har med teknologi at gøre: handelsspændinger, eksportkontrol og den erkendelse, at afhængighed af infrastruktur er et pressionsmiddel.

Forordningen om udvikling af cloud og kunstig intelligens er den lovgivningsmæssige arm i den revurdering. Den ligger ved siden af handlingsplanen for AI-kontinentet, InvestAI-initiativet, programmet for AI-gigafabrikker og den bredere dagsorden om konkurrenceevne, der kom ud af Draghi-rapporten.

Hvad forslaget gør

Kommissionen offentliggjorde forslaget den 3. juni 2026 som COM(2026) 502 sammen med en Chips Act 2.0. Det er en forordning, bygget op om tre mål og en række tiltag for den offentlige sektor:

Forskning og innovation. Cloud and AI Leadership Initiatives til store tværsektorielle projekter, et netværk af AI Experience and Acceleration Centres bygget på de europæiske digitale innovationsknudepunkter, regnekraft afsat til prioriterede projekter inden for frontier-AI og en national strategi for cloud og kunstig intelligens i hver medlemsstat senest et år efter ikrafttrædelsen.

Datacenterkapacitet. Medlemsstaterne udpeger accelerationsområder for datacentre med ét samlet informationspunkt og hurtigere tilladelser, og Kommissionen kan udpege strategiske datacenterprojekter. Det erklærede mål er mindst at tredoble EU's datacenterkapacitet inden 2030, og enhver tilladelse til et nyt datacenter skal kunne opnås på under 18 måneder.

En suverænitetsramme for cloud. Fire fælles sikringsniveauer for EU. Niveau 1 er en selvevaluering; niveau 2 til 4 auditeres af tredjeparter. Niveau 3 kræver, at udbyderen ikke kontrolleres fra et tredjeland, medmindre Kommissionen har anerkendt, at landet giver tilstrækkelige garantier. Anerkendte tjenester optages i et centralt EU-register.

Den offentlige sektors brug. Det er den del, der har bid i sig. Offentlige indkøbere skal købe cloudtjenester, der som minimum er anerkendt på niveau 1. Viser en risikovurdering, at en aktivitet bidrager til den offentlige orden (blandt andet i NIS2-sektorerne, national sikkerhed, forsvar, retsvæsen og retshåndhævelse), er kun niveau 2, 3 eller 4 tilladt. Medlemsstaterne skal desuden anvende kriterier for EU-merværdi, når de køber cloud og kunstig intelligens, en EuroCloud Federation lader offentlige myndigheder dele cloudtjenester, og offentlige myndigheder skal fremme og lette brugen af open source frem for proprietær software.

Kun lidt, der binder private købere. Virksomheder i NIS2-sektorer kan frivilligt lave den samme risikovurdering, og Kommissionen vil kunne gøre den obligatorisk for særligt kritiske sektorer ved en delegeret retsakt. Som forslaget ser ud, gælder forordningen et år efter ikrafttrædelsen, men den skal stadig igennem Parlamentet og Rådet.

Den mekanisme, der faktisk når frem til dig

Her er det, der er værd at forstå ved den her sag. Det meste teknologiregulering rammer private virksomheder direkte: du behandler personoplysninger, altså gælder GDPR for dig. Forordningen om udvikling af cloud og kunstig intelligens rammer med langt større sandsynlighed de fleste virksomheder indirekte, gennem offentlige udbud.

Den offentlige sektors teknologiudgifter i EU er enorme. Hvis offentlige myndigheder i medlemsstaterne bliver pålagt eller kraftigt tilskyndet til at købe europæisk cloud, ændrer det markedet for enhver leverandør, der sælger til den offentlige sektor, og det forplanter sig gennem hovedleverandørerne til deres underleverandører.

Mønsteret kender vi fra tilgængelighedsområdet. Det europæiske tilgængelighedsdirektiv har direkte pligter, men en stor del af tilgængelighedsarbejdet blev i praksis drevet af udbudsregler, der sorterede leverandører fra, længe før direktivet begyndte at gælde.

Forvent det samme her. Sælger du software til offentlige købere i Europa, flytter spørgsmålene om, hvor din infrastruktur kører, hvem der kontrollerer den, og om den kan flyttes, sig fra sikkerhedsskemaet op i kvalifikationskriterierne.

Hvad det betyder for arkitekturen

Instinktet, når man læser en politik om suverænitet, er enten at ignorere den eller at gå i panik og migrere. Ingen af delene er rigtigt. Det fornuftige er at sørge for, at spørgsmålet kan besvares.

Få styr på, hvor dine data og din regnekraft faktisk ligger

Det lyder trivielt, og det er det ikke. I et modent system omfatter det ærlige svar på »hvor kører det her« ofte en primær region, en reserveregion, et CDN med uklare edge-lokationer, en administreret database, tre SaaS-afhængigheder med deres egne underdatabehandlere, en leverandør af observability og et model-API, hvor det ikke er dokumenteret, hvor inferensen kører.

At tegne et præcist kort er det første stykke reelt arbejde, og det er det samme kort, du har brug for til analyse af dataoverførsler efter GDPR og til NIS2-spørgsmål om leverandørkæden. Gør det én gang.

Adskil de dele, der kan flyttes, fra dem, der ikke kan

Næsten alle systemer har en flytbar kerne og et sæt udbyderspecifikke afhængigheder. Den flytbare kerne er som regel selve applikationen. De dele, der ikke kan flyttes, er som regel administrerede tjenester: proprietære databaser, serverless-miljøer, køer, identitet og i stigende grad model-API'er.

Du behøver ikke at fjerne dem. Du skal vide, hvilke de er, for den liste er det ærlige svar på, hvor tung en migrering ville blive, og det er præcis det, et udbudsskema spørger om.

Behandl modeludbydere som en abstraktionsgrænse

Den her er den nyeste, og den bliver oftest sprunget over. Applikationer, der kalder én leverandørs model-API direkte, med leverandørspecifikke promptformater og svarhåndtering spredt ud over kodebasen, har truffet en beslutning om afhængighed uden at opdage det.

En tynd abstraktion over modelkald koster meget lidt at bygge og giver dig muligheden for at dirigere kald videre til en europæisk udbyder, til en model med åbne vægte på europæisk infrastruktur eller til en helt anden leverandør. Så hurtigt som modellandskabet flytter sig, er det værd at gøre alene af kommercielle grunde.

Afprøv udgangen, dokumentér den ikke bare

Dataforordningen giver dig allerede ret til at skifte cloududbyder, og gebyrerne for at skifte forsvinder helt fra den 12. januar 2027. Meget få købere bruger den ret, og endnu færre afprøver, om den eksport, de har krav på, rent faktisk ville kunne genskabe deres tjeneste.

Kør eksporten. Prøv at tolke den. Afstanden mellem det, en udbyder kalder eksporterbart, og det, der rent faktisk kan bruges, er dér, indlåsningen gemmer sig, og det er samtidig det ærlige svar på et spørgsmål om suverænitet.

Hvad den ikke er

En passende portion skepsis er på sin plads, og det er bedre at se klart nu end at blive overrasket senere.

Det er ikke et forbud mod amerikansk cloud. Intet i forslaget forbyder private virksomheder at bruge udbydere uden for Europa. Mekanismen er præference i udbud og opbygning af kapacitet, ikke forbud.

Kapacitet opstår ikke, fordi en lov siger det. Europæisk cloudkapacitet er begrænset, fordi det er kapitalkrævende at bygge datacentre og træne frontier-modeller, og Europa har indtil for nylig ikke afsat kapital i den nødvendige skala. Finansieringsprogrammerne i vores guide til EU's teknologifinansiering er det egentlige redskab her. Forordningen er rammen om dem.

Et suverænitetsstempel er ikke suverænitet. Flere løsninger markedsfører sig som suveræn cloud, samtidig med at de kører på licenseret teknologi uden for Europa med svingende grad af driftsmæssig uafhængighed. Forslagets svar er sikringsniveauerne: kontrol fra et tredjeland holder en tjeneste ude af niveau 3 og derover, medmindre Kommissionen anerkender landet. Hvor grænsen mellem niveau 2 og 3 ender med at ligge, afgør forhandlingerne.

Det er et forslag. Der ligger nu en tekst, men pr. 10. oktober 2026 har hverken Rådet eller Parlamentet en holdning til den, og i Parlamentet ligger sagen stadig i udvalgene ITRE og IMCO. Sikringsniveauerne er den del, der mest sandsynligt flytter sig. Retningen har været den samme gennem tre års meldinger fra Kommissionen.

Hvordan det hænger sammen med alt det andet

Forordningen om udvikling af cloud og kunstig intelligens er ét stykke af et samlet fremstød, og læser man den isoleret, ser den svagere ud, end den er.

AI-forordningen regulerer, hvordan AI-systemer opfører sig. Dataforordningen går efter indlåsning i cloud ad kontraktvejen. NIS2 skubber kontrollen med leverandørkæden nedad gennem leverandørerne. Forordningen om cyberrobusthed lægger sikkerhedspligter på produkter. InvestAI og gigafabriksprogrammet lægger penge i regnekapacitet. Forordningen om udvikling af cloud og kunstig intelligens lægger laget med udbud og suverænitet oveni.

Hver for sig ligner de en ekstra byrde. Tilsammen beskriver de et ret sammenhængende væddemål: at Europa kan regulere sig frem til sin egen teknologibase ved at kombinere regler om markedsadgang med offentlige penge.

Om det væddemål går op, er et rimeligt spørgsmål. At det bliver indgået, er der ingen tvivl om.

Hvad du bør gøre de næste tolv måneder

Tegn infrastrukturkortet. Hvor kører det hele, hvem driver det, og hvad er den kontraktlige vej ud. Det kort kan bruges til fire andre ting.

Find de afhængigheder, der reelt ikke kan flyttes, og sæt en ærlig pris på migreringen, også selv om du aldrig gennemfører den. Det er svaret på udbudsspørgsmålet, og det er i øvrigt bare god arkitekturhygiejne.

Læg en abstraktion over modeludbyderne, hvis du ikke har en. Billigt nu, dyrt senere, og nyttigt af grunde, der intet har med politik at gøre.

Sælger du til offentlige købere i Europa, så find ud af, hvilket sikringsniveau din tjeneste kan nå. Det er i forordningens udbudsregler, at kravet først vil dukke op som et kvalifikationskriterium, og forslaget til en Public Procurement Act fra 9. september 2026 lægger en generel ramme for europæisk præference ovenpå.

Migrér ikke på spekulation. At flytte infrastruktur på grund af et forslag, som ingen har forhandlet om endnu, er den sikreste måde at bruge et år og et stort budget på noget, der viser sig aldrig at have været et krav.

Sådan får du hjælp

Vi designer og bygger cloudinfrastruktur, dataplatforme og AI-integrationer for virksomheder, der opererer i Europa, og det indebærer det upåagtede arbejde med at gøre et system reelt flytbart og ikke bare flytbart på papiret.

Har du brug for et kort over infrastruktur og afhængigheder, en test af vejen ud fra din nuværende udbyder eller et abstraktionslag over modeludbydere, så skriv til office@c9group.dev. Mere om vores arbejde med infrastruktur på siden om AWS-omkostningsoptimering og om vores arbejde i Europa på siden om markedsindtræden i EU.

Det bredere lovgivningsbillede finder du i vores gennemgang af EU's lovgivningskø, og pengene bag denne dagsorden er kortlagt i vores guide til EU's teknologifinansiering.

Vi er ingeniører og ikke politiske rådgivere. Det her er et planlægningsblik på et forslag, ikke juridisk rådgivning.