Digitale suverænitetskrav i CADA og konsekvenser for offentlige cloud- og AI-udbud
Europa-Kommissionens European Tech Sovereignty-pakke – med forslaget til Cloud and AI Development Act (CADA) – flytter fokus fra ren databeskyttelse til digital suverænitet. Offentlige ordregivere skal ikke blot sikre lovlighed, sikkerhed og økonomi, men også vurdere leverandørers uafhængighed af tredjelande og kontrol over den digitale infrastruktur.
CADA forventes at fungere som et nyt reguleringslag oven på udbudsdirektivet, GDPR, NIS2 og AI-forordningen. Konsekvensen er, at offentlige indkøb af cloud- og AI-ydelser i stigende grad vil afhænge af, om løsningerne kan leveres fra europæisk kontrolleret infrastruktur og uden sårbarhed over for fremmed jurisdiktion.
Et nyt lag oven på udbudsregler: suverænitet som evalueringsparameter
Hvor pris, kvalitet, informationssikkerhed, databeskyttelse og interoperabilitet i dag er bærende parametre, skal ordregivere fremover også kunne dokumentere en suverænitetsvurdering. Det vil påvirke prækvalifikation, kravspecifikation og tildelingsmodeller – og i praksis afgrænse kredsen af egnede leverandører.
En saglig suverænitetsvurdering forudsætter, at ordregiver tidligt kortlægger centrale risici, herunder følgende forhold:
- Om leverandøren er underlagt tredjelandsjurisdiktion.
- Om tredjelandsmyndigheder kan få adgang til data eller infrastruktur.
- Hvor data behandles og lagres.
- Hvem der kontrollerer software- og hardwarekæden.
- Afhængighed af ikke-europæiske teknologier i leverancekæden.
Disse kriterier får særlig betydning i drifts- og outsourcingmodeller, hvor en EU-baseret leverandør anvender global cloud-infrastruktur. Fokus flyttes fra kontraktparten til den underliggende tekniske og juridiske kontrol.
Risikobaserede assurance levels og klassificering af systemer
CADA introducerer et risikobaseret system med flere assurance levels, hvor kravene skærpes i takt med den samfundskritiske betydning. Medlemsstaterne skal foretage løbende vurderinger af offentlige aktiviteter ud fra offentlig orden, samfundssikkerhed og strategisk autonomi.
For ordregivere betyder det, at it-systemer og tjenester skal klassificeres, før udbud igangsættes. Højere niveauer kan udløse krav om europæisk dataplacering, begrænsning af tredjelandsindflydelse og reel leverandøruafhængighed – i visse tilfælde forudsættende særlige “sovereign cloud”-strukturer.
Gør dit arbejde med sundhedsdata og AI lidt lettere efter Djøfs kursus
Læs mere her →Tildelingskriterier og europæisk værdiskabelse i innovative indkøb
Ud over minimumskrav åbner CADA for, at innovative indkøb kan vægte leverandørens bidrag til det europæiske cloud- og AI-økosystem. Dermed anvendes offentlige indkøb aktivt til at styrke europæisk teknologi- og forsyningskapacitet.
Ved evaluering kan ordregivere efter forslaget bl.a. lægge vægt på:
- Anvendelse af europæisk teknologi og komponenter.
- Styrkelse af europæiske digitale forsyningskæder.
- Investeringer i europæiske innovationsmiljøer.
- Hardware designet eller produceret i EU.
Myndigheder, der planlægger større cloud-, AI- eller outsourcingprojekter, bør allerede nu indarbejde suverænitet i strategier, genudbud og kravspecifikationer – særligt i sektorer som sundhed, forsvar og politi. Tidlig markedsdialog og teknologikortlægning bliver afgørende for at undgå udbudsfejl og efterfølgende kontraktmæssige omkostninger.
