Forordningen om udvikling af cloud og kunstig intelligens: hvad Europa faktisk prøver at rette op på

Forordningen om udvikling af cloud og kunstig intelligens er den klareste udmelding hidtil om, hvad europæisk teknologipolitik er blevet til. Det er ikke en forbrugerbeskyttelseslov, og det er ikke en sikkerhedslov. Det er industripolitik rettet mod ét problem: Europa kører det meste af sin digitale økonomi på infrastruktur, som Europa ikke kontrollerer.

Det er en anden slags regulering end GDPR og AI-forordningen, og den når dig ad en anden vej. At forstå hvilken vej betyder mere end at læse betragtningerne.

Problemet, den svarer på

Tallene bag det her er der ingen, der bestrider. Langt hovedparten af de europæiske udgifter til cloudinfrastruktur går til udbydere uden for Europa. De største AI-modeller, europæiske virksomheder bruger, bliver trænet og hostet uden for Europa. Europæisk regnekapacitet udgør en lille brøkdel af den samlede kapacitet i verden.

I et årti blev det opfattet som noget, markedet havde afgjort. Siden 2022 er det blevet opfattet som en strategisk sårbarhed af grunde, der intet har med teknologi at gøre: handelsspændinger, eksportkontrol og den erkendelse, at afhængighed af infrastruktur er et pressionsmiddel.

Forordningen om udvikling af cloud og kunstig intelligens er den lovgivningsmæssige arm i den revurdering. Den ligger ved siden af handlingsplanen for AI-kontinentet, InvestAI-initiativet, programmet for AI-gigafabrikker og den bredere dagsorden om konkurrenceevne, der kom ud af Draghi-rapporten.

Hvad den ventes at gøre

Forslaget var planlagt til første del af 2026 som et flagskib i Kommissionens arbejdsprogram. De erklærede mål går igen i alle udmeldinger:

Styrke Europas evne til at udvikle, indføre og skalere cloud og kunstig intelligens. I praksis handler det om regnekraft, datacentre og evnen til at træne og køre store modeller inden for EU.

Lukke huller i regelværket. De nuværende regler tager først og fremmest fat på cloud gennem dataforordningens regler om leverandørskifte og NIS2's sikkerhedspligter. Ingen af delene rører ved kapacitet eller strategisk afhængighed.

Fremme interoperabilitet. Altså sænke de tekniske omkostninger ved at flytte mellem udbydere. Det er det samme politiske mål, som dataforordningen går efter fra kontraktsiden.

Opbygge en cloudpolitik for hele EU til offentlige forvaltninger og offentlige udbud. Det er den del, der har bid i sig. En fælles tilgang til, hvordan offentlige myndigheder i medlemsstaterne køber cloud, med en europæisk præferencedimension.

Understøtte et sikkert og konkurrencedygtigt europæisk økosystem for cloud og kunstig intelligens. Punktet, der samler resten op.

Den mekanisme, der faktisk når frem til dig

Her er det, der er værd at forstå ved den her sag. Det meste teknologiregulering rammer private virksomheder direkte: du behandler personoplysninger, altså gælder GDPR for dig. Forordningen om udvikling af cloud og kunstig intelligens rammer med langt større sandsynlighed de fleste virksomheder indirekte, gennem offentlige udbud.

Den offentlige sektors teknologiudgifter i EU er enorme. Hvis offentlige myndigheder i medlemsstaterne bliver pålagt eller kraftigt tilskyndet til at købe europæisk cloud, ændrer det markedet for enhver leverandør, der sælger til den offentlige sektor, og det forplanter sig gennem hovedleverandørerne til deres underleverandører.

Mønsteret kender vi fra tilgængelighedsområdet. Det europæiske tilgængelighedsdirektiv har direkte pligter, men en stor del af tilgængelighedsarbejdet blev i praksis drevet af udbudsregler, der sorterede leverandører fra, længe før direktivet begyndte at gælde.

Forvent det samme her. Sælger du software til offentlige købere i Europa, flytter spørgsmålene om, hvor din infrastruktur kører, hvem der kontrollerer den, og om den kan flyttes, sig fra sikkerhedsskemaet op i kvalifikationskriterierne.

Hvad det betyder for arkitekturen

Instinktet, når man læser en politik om suverænitet, er enten at ignorere den eller at gå i panik og migrere. Ingen af delene er rigtigt. Det fornuftige er at sørge for, at spørgsmålet kan besvares.

Få styr på, hvor dine data og din regnekraft faktisk ligger

Det lyder trivielt, og det er det ikke. I et modent system omfatter det ærlige svar på »hvor kører det her« ofte en primær region, en reserveregion, et CDN med uklare edge-lokationer, en administreret database, tre SaaS-afhængigheder med deres egne underdatabehandlere, en leverandør af observability og et model-API, hvor det ikke er dokumenteret, hvor inferensen kører.

At tegne et præcist kort er det første stykke reelt arbejde, og det er det samme kort, du har brug for til analyse af dataoverførsler efter GDPR og til NIS2-spørgsmål om leverandørkæden. Gør det én gang.

Adskil de dele, der kan flyttes, fra dem, der ikke kan

Næsten alle systemer har en flytbar kerne og et sæt udbyderspecifikke afhængigheder. Den flytbare kerne er som regel selve applikationen. De dele, der ikke kan flyttes, er som regel administrerede tjenester: proprietære databaser, serverless-miljøer, køer, identitet og i stigende grad model-API'er.

Du behøver ikke at fjerne dem. Du skal vide, hvilke de er, for den liste er det ærlige svar på, hvor tung en migrering ville blive, og det er præcis det, et udbudsskema spørger om.

Behandl modeludbydere som en abstraktionsgrænse

Den her er den nyeste, og den bliver oftest sprunget over. Applikationer, der kalder én leverandørs model-API direkte, med leverandørspecifikke promptformater og svarhåndtering spredt ud over kodebasen, har truffet en beslutning om afhængighed uden at opdage det.

En tynd abstraktion over modelkald koster meget lidt at bygge og giver dig muligheden for at dirigere kald videre til en europæisk udbyder, til en model med åbne vægte på europæisk infrastruktur eller til en helt anden leverandør. Så hurtigt som modellandskabet flytter sig, er det værd at gøre alene af kommercielle grunde.

Afprøv udgangen, dokumentér den ikke bare

Dataforordningen giver dig allerede ret til at skifte cloududbyder, og gebyrerne for at skifte forsvinder helt fra den 12. januar 2027. Meget få købere bruger den ret, og endnu færre afprøver, om den eksport, de har krav på, rent faktisk ville kunne genskabe deres tjeneste.

Kør eksporten. Prøv at tolke den. Afstanden mellem det, en udbyder kalder eksporterbart, og det, der rent faktisk kan bruges, er dér, indlåsningen gemmer sig, og det er samtidig det ærlige svar på et spørgsmål om suverænitet.

Hvad den ikke er

En passende portion skepsis er på sin plads, og det er bedre at se klart nu end at blive overrasket senere.

Det er ikke et forbud mod amerikansk cloud. Intet af det, der er meldt ud, tyder på, at private virksomheder får forbud mod at bruge udbydere uden for Europa. Mekanismen er præference i udbud og opbygning af kapacitet, ikke forbud.

Kapacitet opstår ikke, fordi en lov siger det. Europæisk cloudkapacitet er begrænset, fordi det er kapitalkrævende at bygge datacentre og træne frontier-modeller, og Europa har indtil for nylig ikke afsat kapital i den nødvendige skala. Finansieringsprogrammerne i vores guide til EU's teknologifinansiering er det egentlige redskab her. Forordningen er rammen om dem.

Et suverænitetsstempel er ikke suverænitet. Flere løsninger markedsfører sig som suveræn cloud, samtidig med at de kører på licenseret teknologi uden for Europa med svingende grad af driftsmæssig uafhængighed. Om det er nok til at klare en fremtidig udbudsregel, er præcis det spørgsmål, forordningen skal svare på, og det har den ikke svaret på endnu.

Det er et forslag. Indtil der ligger en tekst med holdninger fra Rådet og Parlamentet omkring sig, kan detaljerne ikke vides. Det, der kan vides, er retningen, og den har været den samme gennem tre års meldinger fra Kommissionen.

Hvordan det hænger sammen med alt det andet

Forordningen om udvikling af cloud og kunstig intelligens er ét stykke af et samlet fremstød, og læser man den isoleret, ser den svagere ud, end den er.

AI-forordningen regulerer, hvordan AI-systemer opfører sig. Dataforordningen går efter indlåsning i cloud ad kontraktvejen. NIS2 skubber kontrollen med leverandørkæden nedad gennem leverandørerne. Forordningen om cyberrobusthed lægger sikkerhedspligter på produkter. InvestAI og gigafabriksprogrammet lægger penge i regnekapacitet. Forordningen om udvikling af cloud og kunstig intelligens lægger laget med udbud og interoperabilitet oveni.

Hver for sig ligner de en ekstra byrde. Tilsammen beskriver de et ret sammenhængende væddemål: at Europa kan regulere sig frem til sin egen teknologibase ved at kombinere regler om markedsadgang med offentlige penge.

Om det væddemål går op, er et rimeligt spørgsmål. At det bliver indgået, er der ingen tvivl om.

Hvad du bør gøre de næste tolv måneder

Tegn infrastrukturkortet. Hvor kører det hele, hvem driver det, og hvad er den kontraktlige vej ud. Det kort kan bruges til fire andre ting.

Find de afhængigheder, der reelt ikke kan flyttes, og sæt en ærlig pris på migreringen, også selv om du aldrig gennemfører den. Det er svaret på udbudsspørgsmålet, og det er i øvrigt bare god arkitekturhygiejne.

Læg en abstraktion over modeludbyderne, hvis du ikke har en. Billigt nu, dyrt senere, og nyttigt af grunde, der intet har med politik at gøre.

Sælger du til offentlige købere i Europa, så følg udbudssporet tættere end selve forordningen. Det er dér, kravet først dukker op, som et kvalifikationskriterium.

Migrér ikke på spekulation. At flytte infrastruktur på grund af et forslag, der endnu ikke er offentliggjort, er den sikreste måde at bruge et år og et stort budget på noget, der viser sig aldrig at have været et krav.

Sådan får du hjælp

Vi designer og bygger cloudinfrastruktur, dataplatforme og AI-integrationer for virksomheder, der opererer i Europa, og det indebærer det upåagtede arbejde med at gøre et system reelt flytbart og ikke bare flytbart på papiret.

Har du brug for et kort over infrastruktur og afhængigheder, en test af vejen ud fra din nuværende udbyder eller et abstraktionslag over modeludbydere, så skriv til office@c9group.dev. Mere om vores arbejde med infrastruktur på siden om AWS-omkostningsoptimering og om vores arbejde i Europa på siden om markedsindtræden i EU.

Det bredere lovgivningsbillede finder du i vores gennemgang af EU's lovgivningskø, og pengene bag denne dagsorden er kortlagt i vores guide til EU's teknologifinansiering.

Vi er ingeniører og ikke politiske rådgivere. Det her er et planlægningsblik på et forslag, ikke juridisk rådgivning.