Digitale autonomie: kansen voor Europa ondanks dominantie big tech

Europa behoort tot de wereldtop in halfgeleideronderzoek, chiptechnologie en hightechmaakindustrie. Organisaties als het Belgische imec en het Nederlandse ASML-ecosysteem leveren cruciale bouwstenen voor de meest geavanceerde chips ter wereld. Toch ontbreekt een Europese digitale techreus die kan concurreren met bedrijven als Apple, Microsoft, Google, Amazon, Nvidia of Tencent. Daardoor ligt de regie over platforms, data, cloud en AI-infrastructuur grotendeels buiten Europa. In een recent NRC-interview werd de vraag gesteld: ‘Waarom zouden we in Europa geen nieuwe techreus kunnen bouwen?’[1] In dit artikel benaderen we dat thema als strategisch vraagstuk en vertalen we het naar wat bestuurders en risicomanagers nú kunnen doen.

Benaderen we dit structurele gebrek als strategisch vraagstuk, dan duiken er twee vragen op: welke kansen mist Europa door het laten ontbreken van een eigen techreus, en welke risico’s ontstaan daardoor?

Kernvraag voor bestuurders en risicomanagers: welke rol willen wij als organisatie spelen in het verkleinen van strategische afhankelijkheden en het versterken van een veerkrachtig, waardengedreven digitaal Europa?

In wat volgt schetsen we eerst de gemiste kansen op Europees niveau. Daarna vertalen we die macro-observatie naar concrete risicodomeinen en handelingsopties op organisatieniveau.

Europa als toeleverancier zonder regie

Europa heeft de kwaliteit en het talent in huis om een innovatieve digitale economie te dragen. In de praktijk levert Europa vooral essentiële technologie, terwijl de regie over de toepassing ervan elders ligt. Daardoor blijft Europa achter in waardecreatie, zowel financieel als maatschappelijk, die die technologie mogelijk maakt. De dominante architectuur van cloud-platforms, AI-infrastructuur en appstores wordt vooral bepaald in de Verenigde Staten en in delen van Azië, niet in Brussel, Berlijn of Den Haag.

Voor organisaties betekent dit dat de spelregels van de digitale economie – denk aan standaarden, interfaces, prijsmodellen, licentievoorwaarden en datagebruik – primair worden bepaald door niet-Europese partijen. Europese bedrijven en instellingen opereren in een speelveld waarop zij slechts beperkt invloed hebben, zeker wanneer kernleveranciers zoals Microsoft de standaarden en voorwaarden dicteren. Daardoor wordt het lastiger om Europese waarden, maatschappelijke doelen en sectorale belangen stevig te verankeren in de digitale infrastructuur

Een Europese techreus is daarbij slechts één mogelijke route om de verbonden risico’s te kunnen mitigeren. Ook een Europese dominante speler kan immers vendor lock-in creëren. Alternatieven zijn bijvoorbeeld federatieve ecosystemen, sectorale dataruimtes, open-source- en hybrid-cloudarchitecturen, strengere interoperabiliteit en publieke digitale infrastructuur.

Van gemiste kans naar katalysator

Dat Europa geen eigen techreus heeft, is op dit moment een strategische zwakte. Het betekent minder regie over de digitale waardeketen, minder onderhandelingsmacht, grotere kwetsbaarheid voor externe schokken en een risico op innovatieachterstand. Tegelijkertijd kan deze constatering een katalysator zijn. Juist omdat de afhankelijkheden zo zichtbaar worden, ontstaat er ruimte voor een nieuw type Europese digitale speler én voor organisaties om hun eigen rol te herijken.

Voor bestuurders en risicomanagers ligt hier een duidelijke opgave. De vraag ‘Waarom heeft Europa geen techreus?’ is belangrijk, maar de kernvraag voor organisaties is: hoe maken we onze digitale afhankelijkheden beheersbaar en vergroten we onze veerkracht?

Casus (Den Haag): ICC-mailbox en geopolitieke afhankelijkheid

Een concreet voorbeeld van de manier waarop de digitale autonomie van een organisatie in Nederland in twijfel getrokken kan worden voltrok zich in mei 2025. De media berichtten dat de hoofdaanklager van het Internationaal Strafhof (ICC) in Den Haag tijdelijk geen toegang meer had tot zijn Microsoft-mailaccount na Amerikaanse sancties. Dat illustreert hoe besluiten en sanctieregimes van bovenaf en van buiten Europa kunnen doorwerken in digitale dienstverlening en continuïteit. Microsoft stelde later dat het de diensten aan het ICC als organisatie niet stopzette, maar dat een gesanctioneerde functionaris werd losgekoppeld van Microsoft-diensten. [2][3][4]

Gemiste kansen: waardeketen, autonomie, innovatie en talent

De afwezigheid van een Europese techreus vertaalt zich in een reeks gemiste kansen.

Een eerste gemiste kans is waardeketenregie. Wie eigenaar is van een platform, bepaalt in hoge mate de richting van innovatie, de toegang tot data en de condities voor deelname aan een ecosysteem. Europese spelers die zich vooral richten op hardware, componenten of niche-oplossingen, leveren hoogwaardige producten, maar hebben minder invloed op de applicatielaag en op innovatie in het softwaredomein.

Een tweede gemiste kans ligt in digitale autonomie en onderhandelingsmacht. De Europese economie is structureel afhankelijk geworden van een beperkt aantal buitenlandse aanbieders van cloud, chips, AI-modellen en softwareplatforms. Dit creëert een machtsasymmetrie: voorwaarden rond prijs, toegang, dataverwerking en continuïteit liggen primair aan de zijde van grote, niet-Europese techbedrijven. Voor overheden, financiële instellingen, zorgorganisaties en nutsbedrijven is dat een reëel strategisch vraagstuk, zeker nu geopolitiek en technologie steeds sterker vervlochten raken.

Een derde gemiste kans betreft innovatie en talent. Grote techbedrijven fungeren wereldwijd als magneet voor kapitaal, toptalent en startups. Rond zulke spelers ontstaat een lerend ecosysteem waarin onderzoek, ondernemerschap en productontwikkeling elkaar versterken. Wanneer dergelijke ecosystemen vooral rond Amerikaanse en Aziatische techgiganten ontstaan, groeit het risico dat Europees talent in AI, chips, cloud en software daar carrière maakt en dat succesvolle Europese startups in Azië en de VS op zoek gaan naar mogelijkheden om op te schalen. Europa investeert dan in kennis en opleiding, maar ziet een deel van de economische en maatschappelijke opbrengst elders landen.

Van gemiste kansen naar organisatie-impact: voor afzonderlijke organisaties materialiseren deze afhankelijkheden in drie risicodomeinen.

Te beginnen met de concrete strategische kwetsbaarheid: wanneer kritieke processen draaien op technologie van een beperkt aantal buitenlandse aanbieders, ontstaat concentratierisico. Een verstoring door geopolitieke spanningen, exportrestricties, sancties of eenzijdige beleidswijzigingen bij leveranciers kan direct doorwerken in de continuïteit van Europese organisaties. De vraag is dan niet óf dit meespeelt in strategisch risicomanagement, maar hoe expliciet het al op de agenda staat.

Daarmee wordt een tweede domein geraakt: digitale soevereiniteit en datarisico’s. Europa heeft met onder andere de AVG (Algemene Verordening Gegevensbescherming), GDPR (General Data Protection Regulation), de AI Act, DORA (Digital Operational Resilience Act) en de cyberbeveiligingswet (NIS2) een stevig reguleringskader opgebouwd. Die regels moeten worden toegepast op technologie en platforms die niet altijd volgens Europese waarden of governanceprincipes zijn ontworpen. Dat leidt tot spanning tussen het juridische kader en de feitelijke inrichting van dataverzameling, AI-modellen en cloudinfrastructuur. Daarnaast maakt vendor lock-in het ingewikkeld om bij veranderende regelgeving of risicobereidheid snel van leverancier te wisselen. Overstappen is technisch, juridisch én financieel zwaar, zeker voor instellingen met complexe of verouderde digitale omgevingen.

Een derde risicodomein is cultureel en maatschappelijk. Digitale platformen en AI-systemen dragen onderliggende waarden, aannames en besluitlogica in zich. Wanneer de dominante digitale infrastructuur buiten Europa ontstaat, wordt het lastiger om principes als privacy, dataminimalisatie, non-discriminatie, inclusie en publieke verantwoordelijkheid voluit te borgen. Voor organisaties met een sterke maatschappelijke opdracht, zoals zorginstellingen, pensioenfondsen, onderwijsorganisaties en overheden, is dit direct gekoppeld aan reputatierisico, maatschappelijke legitimiteit en het vertrouwen van burgers en klanten.

Implicaties voor governance: van afhankelijkheid naar bewuste regie (wat kan uw organisatie nu doen?)

Deze context vraagt om een andere houding in besturen, toezicht en risicomanagement. In de eerste plaats is het nodig om digitale afhankelijkheden expliciet te maken. Welke kritieke processen zijn afhankelijk van welke leveranciers buiten Europa? Welke scenario’s zijn denkbaar, bijvoorbeeld scherpere exportrestricties, wijzigingen in datatoegang of nieuwe sanctiepakketten? En welke technische en contractuele exit-mogelijkheden zijn daadwerkelijk beschikbaar? Dit zijn vragen die thuishoren in het risicomanagement en het beheersingskader (control framework) én in de bespreking van de risicobereidheid.

In de tweede plaats is er ruimte om bewuster te investeren in Europese ecosystemen. Dat betekent niet dat organisaties per definitie alleen nog Europese technologie zouden moeten gebruiken. Het betekent wél dat bij keuzes rond cloud, data en AI systematisch wordt gekeken naar Europese alternatieven en consortia, en naar mogelijkheden om deel te nemen aan publiek-private samenwerkingen rond bijvoorbeeld AI-chips, veilige cloud of sectorale dataruimtes. In aanbestedingen en selectieprocessen zouden naast prijs en functionaliteit ook factoren als governance, datalocatie, waarden en langetermijnpartnerschap volwaardig mee moeten wegen. De website european-alternatives.eu biedt daarvoor een praktisch startoverzicht.

Ten derde vraagt deze situatie om versterkte governance op data, AI en infrastructuur. Data en algoritmen kunnen niet langer uitsluitend als IT-dossiers worden behandeld. Ze zijn strategische assets waarvan eigenaarschap, verantwoordelijkheden en toezicht helder moeten zijn, ook voor de bestuurlijke laag van organisaties. Daartoe zouden raden van bestuur en raden van commissarissen inzicht moeten hebben in digitale afhankelijkheden, concentratierisico’s en de impact van nieuwe regelgeving in het domein van data en AI.

Tot slot is er de mens- en cultuurkant. Een eigen Europese techpositie ontstaat niet alleen door kapitaal en beleid, maar ook door het ontwikkelen en behouden van multidisciplinair talent. Organisaties die serieus werk maken van digitale autonomie investeren in teams waarin technologie, governance, risk, ethiek en sectorinhoud samenkomen. Zij stimuleren een cultuur waarin men leveranciers niet vanzelfsprekend vertrouwt, maar gericht bevraagt op transparantie, waarden en impact op lange termijn. Diversiteit in perspectieven is daarbij een voorwaarde om blinde vlekken te beperken.

Key Takeaways

Europa heeft een sterke positie in onderzoek, chips en hightechindustrie, maar mist een eigen digitale techreus en daarmee regie over platforms, data en AI. Dit vergroot strategische afhankelijkheid, concentratierisicoafhankelijkheid en concentratierisico, en leidt tot spanningen rond digitale soevereiniteit, waarden en regulering. Bestuurders kunnen nu al handelen door digitale afhankelijkheden expliciet te maken, governance op data en AI te versterken en bewuster te investeren in Europese ecosystemen en multidisciplinair talent.

Actielijst voor risicomanagers

Voor risicomanagers liggen hier duidelijke opdrachten.

Begin met het in kaart brengen van digitale afhankelijkheden:

Welke kritieke processen leunen op welke grote – vaak niet-Europese – cloud-, data- en AI-platforms, en waar ontstaat feitelijk concentratierisico of een single point of failure (SPOF)? Vertaal dit vervolgens in concrete scenario’s (geopolitieke of -economische conflicten, exportrestricties, strengere datalocatie-eisen, licentiewijzigingen). Voorbeeldscenario: toegang tot (onderdelen van) e-mail of een andere beveiligde omgeving wordt beperkt na sancties of beleidswijzigingen, zoals in de berichtgeving rond het ICC. Leg de impact van een dergelijk scenario naast de bestaande risicobereidheid: welke mate van afhankelijkheid accepteren we bewust, en welke niet?

Mitigeer óók binnen de bestaande afhankelijkheid (als volledige exit niet realistisch of wenselijk is):

• Borg datasoevereiniteit waar mogelijk door dataclassificatie en datalocatie-eisen (bijvoorbeeld verwerking en opslag binnen de EU), en door gevoelige datasets te scheiden en op verschillende manieren te beveiligen.
• Versterk technische en contractuele waarborgen: versleuteling met sleutelbeheer buiten de leverancier, expliciete auditrechten, transparantie over subverwerkers en procedures voor verzoeken van overheden om toegang tot data. Zo verlaag je datarisico’s, óók als je (tijdelijk) op dezelfde leverancier blijft.

Toets (en periodiek) de exit- en migratiemogelijkheden:

• Zorg dat digitale afhankelijkheid en vendor lock-in structureel onderdeel worden van risicorapportages richting het bestuur en de audit- en risicocommissie, waarmee deze thema’s gekoppeld worden aan strategie en maatschappelijke opdracht in plaats van alleen aan IT-risico.
• Betrek inkoop, juridische functie, IT en business vroegtijdig bij nieuwe technologiekeuzes, zodat governance, datalocatie, auditrechten, portabiliteit en aansluiting bij waarden vanaf het begin worden meegewogen. Zo maak je de overgang van passieve afhankelijkheid naar bewuste regie over de digitale toekomst van de organisatie.

Als aanvullende nulmeting kun je de Digital Autonomy Readiness Quotient (DARQ)-test van onze partners gebruiken: een kosteloze test die inzicht geeft in waar je organisatie staat op het spectrum van digitale autonomie.

[1] NRC Handelsblad, ‘Waarom zouden we in Europa geen nieuwe techreus kunnen bouwen?’ 17 april 2026 [link]

[2] https://www.politico.eu/article/microsoft-did-not-cut-services-international-criminal-court-president-american-sanctions-trump-tech-icc-amazon-google/

[3] https://www.security.nl/posting/888903/

[4] https://www.computable.nl/2025/05/16/microsoft-blokkeert-e-mail-hoofdaanklager-internationaal-strafhof/