Gaia-X stelt discussie datasoevereiniteit op scherp

Hoewel Gaia-X geen Europese cloud is die kan worden vergeleken met AWS of Azure (ookal hebben velen de neiging dat wel te doen), is het wel de bedoeling dat een gefedereerde data-infrastructuur ontstaat. Deze infrastructuur moet bestaande clouddiensten samenbinden voor flexibele, adaptieve en schaalbare oplossingen gebaseerd op Europese wetgeving.

Gaia-X is een open systeem

Gaia-X zal zorgen voor een gelijk speelveld en dient in die zin ook als een soort keurmerk. Providers die zijn aangesloten bij Gaia-X voldoen aan strikte eisen voor informatie- en databeveiliging en privacy.

Maar Gaia-X is ook een open systeem: iedere service provider die dat wil, kan aansluiten als aan de voorwaarde wordt voldaan. AWS sloot dan ook al aan bij technische werkgroepen van het project. Tegelijkertijd waarschuwden AWS en Microsoft voor beperkingen in de data-economie, waarbij zij stelden dat landsgrenzen de vrije stroom van data niet in de weg mogen zitten.

Dat is natuurlijk een valide punt, want heel veel Europese bedrijven en organisaties hebben inmiddels een belangrijk deel van hun IT-infrastructuur in de (niet-Europese) public cloud staan. En inderdaad zou het paard achter de wagen worden gespannen als opeens alle data van Europese bedrijven in public clouds in Europa in een datacenter moeten staan en nergens anders. Maar dat is ook niet wat wordt beoogd.

Europa zet de toon voor compliance

Doordat Europa wereldwijd voorop loopt met bijvoorbeeld privacywetgeving zullen partijen die willen deelnemen aan Gaia-X in sommige gevallen extra maatregelen moeten nemen. Wereldwijd actieve providers hebben dat al gedaan toen de GDPR van kracht werd. Wie wil deelnemen in Gaia-X zal aan soortgelijke eisen moeten voldoen.

Er is dus geen beletsel voor de grote public clouds om aan te sluiten bij Gaia-X. Maar ze zullen dan gewoon netjes aan de eisen moeten voldoen. Dat kan in de praktijk waarschijnlijk (soms) niet als data in de V.S. staat. Daar mogen inlichtingendiensten vrijelijk in data snuffelen als ze daarvoor speciale toestemming hebben. En door de in 2018 door de V.S. aangenomen CLOUD Act, wat staat voor Clarifying Lawful Overseas Use of Data, zijn Amerikaanse bedrijven in principe verplicht Amerikaanse autoriteiten toegang te geven tot data die op servers elders in de wereld staat zonder de eigenaar van die data in te (mogen) lichten.

Hoe de CLOUD Act en de GDPR en andere eisen van Gaia-X zich tot elkaar gaan verhouden is nog onduidelijk. Maar juist door deze spanning is het interessant om te zien hoe organisaties hiermee om zullen gaan. Vooralsnog in het echter zo dat iedere partij, groot of klein, meer dan welkom is.

Nederlandse digitale infrastructuursector is aan zet

Interessant is dat Europese bedrijven geen last hebben van dit spanningsveld zolang zij data in Europese datacenters hebben staan. Dat biedt ook kansen voor de Nederlandse hosters, cloud service providers en andere dienstverleners. Zij krijgen de mogelijkheid om bij te dragen en deel uit te maken van wat in potentie één van de grootste mondiale cloud- en datainfrastructuren wordt. Bovendien zal die infrastructuur wereldwijd de toon zetten als het gaat om veiligheid, data-portabiliteit en privacy. Dat lijkt misschien vooral ‘lastig’, maar zal in de toekomst een nog veel grotere rol gaan spelen als organisaties en bedrijven vrijwel alle IT in de cloud zetten.

Het is nu dus zaak dat de Nederlandse digitale infrastructuursector aanschuift om Gaia-X gestalte te geven. Samen met ISPConnect, DINL en TNO organiseert DHPA daarom op 26 mei 2020 een ronde tafel over de Nederlandse participatie in Gaia-X, die gesteund wordt door het ministerie van Economische Zaken.