Waarom dit nu speelt
De Europese Unie werkt hard aan regels voor de digitale wereld. Bekende voorbeelden: de AI Act, NIS2, DORA en de Cyber Resilience Act. Toch blijkt dit niet genoeg. Cloud en AI ontwikkelen sneller dan de wetgeving bijhoudt.
De Commissie onderzoekt daarom of extra stappen nodig zijn. Niet als detail, maar als fundamentele verandering. Deze vragen raken elke architect en DevOps-engineer:De Commissie onderzoekt daarom of extra stappen nodig zijn. Niet als detail, maar als fundamentele veraDeze vragen raken verandering. Deze architect en DevOps-engineer:
- Hoe voorkom je dat je vastzit aan één cloudprovider?
- Hoe blijf je in control over data en AI-modellen?
- Hoe zorg je dat overstappen tussen platforms haalbaar blijft?
Dit onderzoek is nog in de verkenningsfase, maar de richting is duidelijk. Transparantie en interoperabiliteit staan centraal.
Huidige kaders
- AI Act: regels voor gebruik van AI, vooral bij hoog risico. Transparantie, documentatie en toezicht zijn verplicht.
- NIS2: bredere cybersecurityrichtlijn. Incidentmeldingen, risicobeheer en sancties bij nalatigheid.
- DORA: specifiek voor financiële instellingen. Richt zich op digitale weerbaarheid en leveranciersrisico’s.
- CRA: verplicht leveranciers om producten veilig te ontwikkelen en te onderhouden.
Goed begin, maar nog niet compleet. Cloudproviders vallen deels buiten beeld. AI-modellen worden complexer en minder inzichtelijk. En overstappen naar een ander platform is vaak praktisch onhaalbaar.
Waar de pijn zit
Vendor lock-in
Organisaties zijn sterk afhankelijk van een paar grote spelers. Migratie is duur en technisch lastig. Proprietary API’s en unieke services zorgen dat je vastzit.
Gebrek aan transparantie
Waar staat data echt? Hoe werkt het onderliggende algoritme? Welke risico’s neem je mee in de keten? Antwoorden blijven vaak uit.
Interoperabiliteit ontbreekt
Standaarden bestaan, maar worden bewust beperkt toegepast. Multi-cloud of hybride omgevingen zijn daardoor complex en duur.
Kleinere organisaties de dupe
Mkb en publieke sector hebben weinig onderhandelingskracht. Ze kunnen vaak niet investeren in multi-cloudstrategieën. De afhankelijkheid wordt alleen maar groter.
Opties die de EU onderzoekt
1. Zelfregulering
De markt spreekt af om meer transparantie en openheid te bieden. Ervaringen uit andere sectoren leren: dit is vaak niet genoeg.
2. Bindende standaarden
Verplichte API’s, dataformaten en migratiemogelijkheden. Vergelijkbaar met de EU-aanpak van roamingkosten: de markt moest open.
3. Toezicht en audits
De EU kijkt naar verplichte audits en rapportages. Providers moeten laten zien hoe hun beveiliging, datalocaties en algoritmes werken. Niet vrijblijvend, maar volgens duidelijke regels.
Daar zit een kans én een risico. In mijn eerdere blog liet ik zien dat de echte winst zit in standaardisatie van rapportage-eisen. Eén goed gedefinieerde dataset, met filtermogelijkheden per toezichthouder of overheid. Dan kunnen we die basis integreren in systemen, en de verschillen oplossen met configuratie in plaats van telkens nieuwe ontwikkeling.
Als de EU hier inzet op losse verplichtingen zonder standaardisatie, ontstaat dezelfde versnippering als nu. Voor DevOps-teams betekent dat meer werk, meer uitzonderingen en hogere kosten. Met een gezamenlijke standaard wordt het juist eenvoudiger om rapportages te automatiseren en in CI/CD-pipelines mee te nemen.
4. Transparantie voor AI
Labeling van datasets en modellen. Documentatie die lijkt op een Software Bill of Materials (SBOM), maar dan voor AI.
Wat dit betekent voor organisaties
Juridisch
Meer verplichtingen om te rapporteren en te documenteren. Niet alleen voor leveranciers, ook voor gebruikers.
Operationeel
- Contracten moeten rekening houden met overstapmogelijkheden.
- Compliance wordt duurder en tijdrovender.
- Risicomanagement krijgt een bredere scope: je moet voorbereid zijn op migratie of uitval.
Risico bij afwachten
- Migratiekosten lopen op als je later pas in beweging komt.
- Boetes bij niet-naleving.
- Reputatieschade bij incidenten waar je geen grip op hebt.
Wat dit betekent voor DevOps
Architectuur
Cloud-agnostisch ontwerpen wordt belangrijker. Gebruik standaarden als Kubernetes, Terraform en OpenAPI. Vermijd specifieke services die lock-in vergroten.
Tooling en CI/CD
Compliance moet onderdeel worden van je pipeline. Denk aan:
- Automatisch rapporteren waar data staat.
- Logging van AI-beslissingen.
- Genereren van documentatie bij elke release.
AI in productie
Teams die AI inzetten, moeten datasets en modellen documenteren. Een “AI-BOM” kan straks net zo standaard zijn als een SBOM.
Ownership
Zonder duidelijke afspraken werkt dit niet. Bepaal wie verantwoordelijk is voor documentatie, rapportage en audits.
Praktische stappen nu al
- Inventariseer afhankelijkheden: maak een lijst van gebruikte cloudservices en bepaal waar lock-in zit.
- Implementeer open standaarden: Kubernetes, OpenAPI en Terraform zijn logische keuzes. Vermijd closed formats.
- Leg gebruik vast: documenteer datasets, modellen en cloudservices. Leg dit vast in version control, niet in losse Excel-lijsten.
- Integreer compliance in DevOps: voeg scans en rapportages toe aan CI/CD. Gebruik GitHub Actions of GitLab CI voor security- en compliancechecks.
- Train teams: developers en operators moeten begrijpen waarom dit belangrijk is. Zonder bewustzijn geen draagvlak.
Voorbeeld uit de praktijk
Een verzekeraar migreerde enkele jaren geleden naar een grote cloudprovider. Kostenbesparing was de belofte. Maar na drie jaar bleken de migratiekosten terugkomen zodra men wilde overstappen. Proprietary services maakten uitwijken onmogelijk zonder miljoeneninvestering.
Tegelijk vroeg de toezichthouder om meer inzicht in datalocaties. De provider kon dit niet leveren. Gevolg: compliance-risico en financiële schade.
Had men vooraf gekozen voor open standaarden en multi-cloud, dan was overstappen minder pijnlijk geweest.
Lessons learned uit eerdere wetgeving
- NIS2 leerde dat incidentmeldingen pas werken als processen en eigenaarschap duidelijk zijn.
- DORA laat zien dat third-party management geen bijzaak is maar kernproces.
- CRA bewijst dat security-by-design verplicht kan worden opgelegd.
Dezelfde lijn is zichtbaar bij AI en cloud. Waar de markt zelf niet corrigeert, grijpt de EU in.
Toekomstscenario’s
Scenario 1: lichte regulering
De EU kiest voor sectorafspraken. Impact op DevOps is beperkt, maar risico’s blijven bestaan.
Scenario 2: bindende standaarden
Overstappen wordt eenvoudiger. DevOps-teams moeten rekening houden met verplichte protocollen en documentatie.
Scenario 3: strenge regulering
Audits en rapportageplicht worden standaard. CI/CD-pipelines moeten bewijs leveren van compliance.
Impact op de rol van de architect
- Minder focus op specifieke cloudfeatures, meer op duurzame ontwerpen.
- Documentatie en compliance integreren in de architectuur.
- Business overtuigen dat lock-in geen strategie is maar een risico.
Impact op de business
- Kosten stijgen op korte termijn door extra compliance.
- Transparantie en interoperabiliteit leveren op lange termijn flexibiliteit op.
- Klanten en toezichthouders eisen bewijs van controle.
Aanbevelingen voor de komende 12 maanden
- Voer een lock-in scan uit: waar zit afhankelijkheid van één provider? Welke alternatieven zijn er?
- Zet compliance in de pipeline: voeg dependency-scans, datalocatiechecks en documentatiegeneratie toe.
- Maak afspraken over eigenaarschap: wie beheert de documentatie? Wie is aanspreekpunt voor audits?
- Bereid contracten voor: neem overstapmogelijkheden en transparantie-eisen op in nieuwe contracten.
- Volg EU-ontwikkelingen actief: beslissingen vallen in Brussel, maar impact is lokaal. Houd nieuws en consultaties in de gaten.
Conclusie
De EU ziet dat bestaande wetgeving gaten laat vallen. Cloud en AI zijn te belangrijk om te negeren. Vendor lock-in, gebrek aan transparantie en beperkte interoperabiliteit vormen een risico voor economie en veiligheid.
Welke route ook gekozen wordt – zelfregulering of bindende wetgeving – de impact op organisaties is groot. Voor DevOps-teams betekent dit:
- cloud-agnostisch ontwerpen,
- compliance automatiseren,
- documentatie en ownership regelen.
Wie nu alvast begint, loopt straks niet achter de feiten aan.