Hur långt är vi beredda att gå för att uppnå digital suveränitet? Frågan ställs på sin spets av EU-kommissionens förslag om en ny lag om moln- och AI-utveckling, CADA. Lagens syfte är att stärka Europas suveränitet och minska beroendet av utomeuropeiska moln- och AI-tjänster. Och en central del är gemensamma EU-krav på molntjänsters suveränitet i en fyrgradig skala, där bland annat europeiskt ägande kan bli avgörande vid offentliga upphandlingar.
Lagförslaget presenterades i somras och är nu ute på remiss i medlemsländerna, även i Sverige där remissvaren från myndigheter och andra intressenter trillade in i början av oktober. Det är intressant läsning för svaren sätter inte bara ett utan flera fingrar på utmaningarna.
Lite grovt kan svaren sammanfattas så här: alla är för digital suveränitet och välkomnar EU:s ambition, ”men…”
Vad reservationen består i varierar beroende på vilken typ av intressent det handlar om men kontentan är att det finns en bred enighet om att Europa behöver större digital suveränitet, men att förändringarna som föreslås och konsekvenserna av dem är svårare att svälja.
Det är lätt att tro att det bara är de stora amerikanska leverantörerna som spjärnar emot, men så är inte fallet. Molnjättarna säger sig också välkomna digital suveränitet – men förstås definierad på ett sätt så att deras tjänster kan fortsätta användas. Som ”sovereign cloud”-lösningar, med lokala juridiska enheter som följer lokala regelverk, där tekniska avgränsningar blir viktigare än ursprungsland.
Företrädare för näringslivet vill gärna minska beroendet av USA, men inte om det betyder högre kostnader, sämre tjänster och försämrad konkurrenskraft för svenska företag. De vill ha teknikneutralitet, tillgång till global teknik och hanterbara krav på leveranskedjorna.
Stora myndigheter ser bland annat problem med genomförandet och ifrågasätter vem som ska bestämma över klassningen. Här syns att de självbestämmande myndigheterna vill ha kontroll över sin egen rådighet. Samtidigt vill man inte tvingas in i kostsamma migreringar utan finansiering.
Ute i kommunerna där beroendet av utländska molntjänster är stort är man också rädda för att tvingas genomföra, och betala för, dyra systembyten. Dessutom på orimligt kort tid – EU anger en frist på 12 månader när en riskbedömning kräver migrering. Det påpekas också att det i dagsläget saknas reella alternativ, vilket återkommer i remissvar från flera intressenter.
Inte ens våra mest säkerhetsmedvetna myndigheter, som Försvarsmakten, Säpo, och FRA är särskilt positiva. De vill se undantag för sina verksamheter för att värna sitt handlingsutrymme. FRA:s remissvar är extremt tydligt:
”FRA välkomnar ambitionen att stärka den digitala suveräniteten inom EU och minska beroendet av tredjeland vad gäller moln- och AI-tjänster. Förslaget bygger dock på förutsättningen att det finns, eller snart kommer att finnas, europeiska alternativ till de aktörer i tredjeland som i dag dominerar marknaden på området. Det kan ifrågasättas om det finns europeiska aktörer som i närtid kommer kunna leverera motsvarande kapacitet, skalbarhet och säkerhet.
Den föreslagna förordningen riskerar att begränsa FRA:s möjligheter till digitalisering och därmed utvecklingen av myndighetens förmågor. Det vore till skada för myndighetens verksamhet och i förlängningen Sveriges nationella säkerhet.
/…/
För FRA:s del skulle kraven i det föreslagna ramverket – givet att myndigheten omfattas av dem – innebära att såväl vissa befintliga och planerade åtgärder inom försvarsunderrättelseverksamheten, bland annat vissa internationella samarbeten, omöjliggörs.”
FRA:s remissvar pekar också på en paradox, som återkommer även i andra svar. Vi har gjort oss så beroende av utländsk teknik att ett försök att minska beroendet av säkerhetsskäl riskerar att försämra säkerheten. De har blivit så viktiga för våra offentliga verksamheter att bara ett försök att minska beroendet i sig kan hota verksamhetens funktion.
Det är förstås så beroenden fungerar, men det är sällan den sammanvägda bilden blir så tydlig som i de över 70 remissvaren. För bortsett från väldigt positiva svar från ett par europeiska molnutmanare (fattas bara annat) är det alltså så här det låter generellt sett. Alla vill ha suveränitet, få vill betala priset. Välkommet, men.
Det är inte osannolikt, snarare troligt, att alla invändningar är fullt rimliga. Problemet är bara att om alla får igenom dem så blir det inte mycket kvar. Det kan självklart vara så att just det här upplägget från EU-kommissionen är väldigt dåligt. Men vad säger att det skulle låta annorlunda med en annan typ av åtgärder, om målet är detsamma?
Om alla åtgärder som skulle tänkas öka den digitala suveräniteten kan avfärdas med hänvisning till verksamhetskrav, funktionalitet, kostnader eller konkurrenskraft, hur ska då beroendet någonsin minska?
Jag förespråkar inte den ena eller andra vägen här, min åsikt är framför allt att om man nu tycker att digital suveränitet är ett så viktigt strategiskt mål som alla verkar vara överens om, då måste det också fattas tuffa politiska beslut.
Då måste man vara beredd att prioritera målet – och acceptera konsekvenserna. Kostnader, störningar och försämringar är inte automatiskt skäl att avstå från en nödvändig förändring. Snarare är det kanske något man måste tugga i sig.
Grundfrågan är enkel: menar vi allvar med den digitala suveräniteten, eller vill vi bara ha det så länge vi slipper ändra något?
—
Den här krönikan är hämtad ur CS Veckobrev, ett personligt nyhetsbrev med lästips, länktips och analyser skickat direkt från chefredaktör Marcus Jerrängs skrivbord. Vill du också ha nyhetsbrevet på fredagar? Skriv upp dig för en kostnadsfri prenumeration här.