Overslaan naar inhoud

Soevereiniteits Washing


De belofte die niet kon bestaan

In juni 2025 verklaarde Anton Carniaux, directeur-generaal van Microsoft Frankrijk, onder ede voor de Franse Senaat dat hij niet kan garanderen dat gegevens van Franse burgers — zelfs wanneer ze door Microsoft worden gehost onder een overheidscontract — niet zonder toestemming van de Franse overheid aan buitenlandse autoriteiten worden overgedragen. Kort daarvoor zei Kevin Miller, VP Global Data Centres bij AWS, in feitelijke termen hetzelfde over de data van een Duitse onderneming [1].

Dat is opvallend, want in de jaren daarvoor hadden precies deze bedrijven Europa overstelpt met ‘soevereine’ cloudbeloften. Microsoft lanceerde zijn “European Digital Sovereignty Commitments”, AWS bouwde een “European Sovereign Cloud”, Google presenteerde “Sovereign Solutions” en Oracle draait al sinds 2023 een “EU Sovereign Cloud” uit Frankfurt en Madrid. Het doel was duidelijk: de groeiende Europese zorg over Amerikaanse surveillance en geopolitieke druk bezwendelen met een flink woord op een verhuisdoos.

Critici noemen dit soevereiniteitswashing: het marketingmatig claimen van digitale soevereiniteit zonder de controle te leveren die het woord impliceert — vergelijkbaar met greenwashing, maar dan voor data en infrastructuur. Onderzoekers Rebecca Adler-Nissen en Kristin Eggeling omschreven het label ‘soeverein’ dat door cloudbedrijven wordt gebruikt als “inhoudsloos en onmogelijk te implementeren” [4]. En in de zomer van 2025 viel de hele vertelling uit elkaar — niet door toedoen van critici, maar door de techbedrijven zelf, onder ede [1].

De voorbeelden: vier keer ‘soeverein’, nul keer controle

Microsoft presenteerde in 2022 al “Cloud for Sovereignty” en breidde dat in 2025 uit tot een volledig “Microsoft Sovereign Cloud”: data blijft in Europa, wordt beheerd door in Europa wonende medewerkers, met een “Data Guardian”-functie en externe sleutelbeheer via partners als Utimaco. Klinkt degelijk — tot je beseft dat Microsoft de codebasis, de updatecycli en de sleutelmechanismen blijft beheersen. Analist Axel Oppermann noemde de belofte dan ook ronduit een “illusie”: “soevereiniteit wordt vervangen door de schijn van soevereiniteit, verpakt in regels die Microsoft zelf helpt definiëren” [3]. Hoe zichtbaar die afhankelijkheid is, bleek toen Microsoft op Amerikaanse sanctiedwang het e-mailaccount van de hoofdaanklager van het Internationaal Strafhof uitschakelde [3].

AWS lanceerde in januari 2026 zijn European Sovereign Cloud, met een investering van ruim €7,8 miljard in Duitsland, een eigen Europese holding, een apart Security Operations Center en personeel met alleen EU-nationaliteit [6][7]. Het is ongetwijfeld de meest uitgebreide juridische constructie tot nu toe — maar het is en blijft een Amerikaans bedrijf, onderworpen aan de Amerikaanse CLOUD Act, waarvan dezelfde directeur onder ede geen garantie kon geven over data-uitgifte [1].

Google koos voor een partnermodel: samen met Thales (Frankrijk), T-Systems en Schwarz Group (Duitsland), Minsait (Spanje) en anderen biedt het “Sovereign Cloud”-diensten aan op “geïsoleerde infrastructuur” [8]. Tegelijkertijd lobbyt het bedrijf openlijk tegen strenge Europese soevereiniteitseisen: het vroeg de EU om bepalingen uit de Cloud and AI Development Act te “herzien” opdat “vertrouwde globale partners” gewoon kunnen deelnemen [9].

Oracle presenteert zijn EU Sovereign Cloud als de meest ‘echte’ van de vier: aparte rechtspersonen in de EU, operationeel sinds juni 2023 [10]. Maar ook hier geldt: de hele dienst draait op propriëtaire software waarvan geen enkele Europese overheid ook maar één regel kan inzien.

Waarom de locatie van je data niet het probleem oplost

Alle vier de aanbieders verkopen in wezen hetzelfde: data residency — data die fysiek in Europa ligt, beheerd door Europees personeel. Maar data-inwonerschap is geen soevereiniteit. De Amerikaanse CLOUD Act uit 2018 verplicht Amerikaanse bedrijven om data die in hun “possession, custody or control” is uit te leveren, ongeacht waar op de wereld die data is opgeslagen. Dat betekent dat een ‘soevereine’ Europese regio van een Amerikaanse provider juridisch niets verandert aan de reikwijdte van Amerikaans recht. Een SLA die data-uitgifte “belooft te beperken” kan nooit een Amerikaanse rechterlijke uitspraak trotseren [1][4].

De diepere waarheid is dus: het probleem is nooit de serverlocatie geweest, maar de vraag wie de code beheerst die op de server draait.

Hoe kun je soeverein zijn over wat je niet kunt lezen?

Hier komt het kernargument dat in alle “sovereign cloud”-whitepapers zorgvuldig wordt vermeden. Soevereiniteit betekent zelfbeschikking: het vermogen om zelf te bepalen hoe je systemen werken, zonder toestemming van een externe macht te hoeven vragen. Dat is technisch onmogelijk bij propriëtaire software:

  • Je kunt niet auditen wat je niet kunt zien. Bij closed source moet je de belofte van de leverancier nemen dat er geen achterdeur, geen onbedoelde datadoorgifte en geen kwetsbaarheid is. Bij open source kun je dat controleren — of het laten controleren door een onafhankelijke partij.
  • De leverancier beheerst de updateknop. Zelfs als je data in je eigen land ligt, kan een Amerikaanse leverancier wijzigingen in de code pushen die je niet hebt gevraagd en niet kunt weigeren. Soevereiniteit over een systeem dat iemand anders op afstand verandert, bestaat niet [3].
  • Er is altijd een uitknop. De ICC-episode laat zien dat een leverancier een dienst op afstand kan uitschakelen als een Amerikaanse president dat (indirect) eist. Bij propriëtaire software is de enige exitstrategie de hele migratie; bij free and open source software kun je, in het uiterste geval, de code forken en zelf voortzetten met een andere partij.
  • Geen controle over de bron, geen voorwaartse compatibiliteit. Formaatwijzigingen, licentieverhogingen en kunstmatige afhankelijkheden (lock-in) zijn bij propriëtaire aanbieders bedrijfsmodellen, geen randverschijnselen.

Free and open source software lost dit op door vier fundamentele vrijheden te garanderen: gebruiken, bestuderen, aanpassen en verspreiden. Juist díe vrijheden maken soevereiniteit technisch mogelijk, in plaats van juridisch geloofwaardig. Zoals EDRi het formuleert: de digitale soevereiniteit van Europa begint bij open source in de openbare aanbesteding — het geeft overheden flexibiliteit, controle en het vermogen om van leverancier te wisselen [13][16].

Nuance: open source is noodzakelijk, niet voldoende

Eerlijkheid gebiedt: open source alleen is geen soevereiniteitspaard. Je kunt de broncode hebben en tóch afhankelijk zijn — van een hostingpartij, van een monopolist die de supportcontracten beheerst, van je eigen gebrek aan personeel met expertise. Critici wijzen er terecht op dat een Europese datacenter vol open source-software die door een Amerikaanse parent wordt geëxploiteerd nog steeds niet soeverein is [15]. Soevereiniteit vereist óók controle over infrastructuur, exploitatie en kennis.

Maatstaf zou moeten zijn: proprietair = per definitie niet soeverein. Open source is de noodzakelijke voorwaarde; infrastructuur en governance zijn de voldoende. Omgekeerd geldt: zonder broncode maakt niets anders uit — dan is elke ‘soevereine’ regio een zwarte doos op Europees grondgebied.

Ook de EU zelf wast

Er is nog een laatste, ongemakkelijke laag. Ook de Europese Commissie zelf gebruikt het soevereiniteitsvocabulaire om iets anders te verkopen: in het Tech Sovereignty Package wordt gelijktijdig met het zogenaamde “Digital Omnibus” de AI Act en de GDPR afgezwakt — deregulering gepresenteerd als soevereiniteitswinst, aldus ARTICLE 19 [5]. En de Cloud and AI Development Act introduceert vier niveaus van “sovereignty assurance”, maar alleen op het hoogste niveau, niveau 4, worden Amerikaanse hyperscalers daadwerkelijk uitgesloten. Voor het grootste deel van het Europese gebruik mogen ze blijven meedoen [5]. Het framework is niet ontworpen om Big Tech te verdringen, maar om de voorwaarden te bepalen waarop zij blijven participeren.

De geschiedenis had bovendien al geleerd hoe dit afloopt: Gaia-X, het Europese antwoord op de hyperscalers, werd van binnenuit gekaapt doordat uitgerekend Amazon, Microsoft, Google en Oracle lid werden — critici spraken destijds al van een “Trojaans paard” — en de initiatief is inmiddels grotendeels opgedroogd tot een bureaucratische restant [11][12].

Conclusie

Soevereiniteit is geen feature die je kunt bijbestellen bij een Amerikaans cloudcontract. Het is een eigenschap van systemen die je volledig kunt inspecteren, beheren en, als het moet, zonder toestemming van wie dan ook voortzetten. Big Tech kan datacenters in Europa bouwen, personeel aannemen in Europa en holdingconstructies oprichten in Europa — maar zolang de broncode achter slot en grendel blijft, blijft ‘soeverein’ een adjectief in een folder, terwijl de onder ede afgelegde verklaringen de werkelijkheid vertellen: geen garanties [1].

Wie daadwerkelijk soeverein wil zijn, begint bij de enige echte eis: vrije en open broncode, open standaarden, en het recht om te vertrekken. Alles daarvoor is verpakking.

Van woord naar daad

Soevereiniteit begint niet in een whitepaper, maar aan tafel en achter een toetsenbord. Wie de stelling van dit blog in de praktijk wil brengen, kan dat nergens beter doen dan bij OS-SCi zelf.

Op 19 november 2026 brengt Het transitie team in het Dordts Ondernemers Centrum in Dordrecht het netwerk samen tijdens “De Kolibrie: Kennis als Kracht” (16.00–18.00 uur). Aansluitend organiseert de Stichting Foss Career Foundation een benefietdiner, waarvan de opbrengst volledig naar de opleiding en begeleiding van jong talent in open source en digitalisering gaat. Op dit moment wachten 908 studenten op een plek bij OS-SCi; jouw bijdrage aan tafel zet dit talent écht in op de arbeidsmarkt. Precies die kennis en capaciteit heeft de regio nodig — en precies daarmee bouw je aan een digitaal Nederland dat niet afhangt van de goodwill van een Amerikaanse hyperscaler [19].

Kun en wil je liever zelf aan de slag met vrije software? Tijdens het Open Source Event op 21 november 2026 in de Lochal in Tilburg geeft OS-SCi vier gratis open source-lessen: twee keer Linux (11.00 en 14.00 uur) over wat je allemaal kunt met een Linux-computer, en twee keer Nextcloud (13.00 en 15.00 uur), waarin wordt laten zien hoe je Office 365 vervangt door een vrij, open alternatief. “Freedom is a choice”: wie wil ervaren hoe het voelt om daadwerkelijk de regie over je eigen software te hebben, kan het die dag gratis leren [20].

Literatuurlijst

  1. Poortvliet, J. (21 juli 2025). Big Tech’s “Sovereign Cloud” promises just collapsed — in their own words. Nextcloud. nextcloud.com
  2. Nextcloud. Your data, their rules: Sovereignty washing at its finest. nextcloud.com
  3. Bayer, M. (19 juni 2025). How sovereign is Microsoft Sovereign Cloud really? CIO. cio.com
  4. Sukumar, A. M. Tech’s “Sovereignty Washing” in Europe Will Ripple in the Global South. Lawfare. lawfaremedia.org
  5. ARTICLE 19. Sovereignty washing: a critical reading of EU’s Tech Sovereignty Package. article19.org
  6. Amazon (januari 2026). AWS Launches AWS European Sovereign Cloud and Announces Expansion Across Europe. press.aboutamazon.com
  7. Amazon Web Services. Opening the AWS European Sovereign Cloud. aws.amazon.com
  8. Google Cloud. Sovereign Cloud from Google. cloud.google.com
  9. Google Cloud Blog. Choice, compliance, and collaboration: Europe’s path to open digital sovereignty. cloud.google.com
  10. Oracle Europe. EU Sovereign Cloud FAQ. oracle.eu
  11. Fermigier, S. & Franck, S. (23 november 2020). Gaia-X: A trojan horse for Big Tech in Europe. Euractiv. euractiv.com
  12. EuroStack Directory Project (februari 2025). Gaia-X: Chronicle of a Failure Foretold. euro-stack.com
  13. EDRi. Europe’s digital sovereignty starts with open source. edri.org
  14. SUSE. Open Source: The Key to Achieving Digital Sovereignty. suse.com
  15. Nutanix. Why Open Source Can’t Deliver Digital Sovereignty By Itself. nutanix.com
  16. Element. Open source is key to Europe’s digital sovereignty. element.io
  17. Civo. What is sovereignty washing? civo.com
  18. Techzine. Microsoft Cloud for Sovereignty isn’t all it’s cracked up to be. techzine.eu
  19. OS-SCi (21 oktober 2026). 19 november Benefiet Diner. os-sci.nl
  20. OS-SCi. Gratis Vrije Open Source Lessen tijdens Open Source Event! os-sci.nl

Ossci Science — blog · Soevereiniteitswashing

Henricus Mols 27 oktober 2026
Deel deze post
Labels
Archief
Vibe Coding, iedereen kan programmeren???