--- title: "De Cloud and AI Development Act: soevereiniteitsregels voor…" description: "Wat het voorstel van de Commissie voor een verordening cloud- en AI-ontwikkeling zou vragen van cloudaanbieders die aan de overheid verkopen, van aanbestedende…" url: https://pitch.law/nl/academy/cloud-and-ai-development-act --- [pitch](https://pitch.law/nl) [Academy](https://pitch.law/nl/academy) [Data](https://pitch.law/nl/academy/topics/information-technology) # De Cloud and AI Development Act: soevereiniteitsregels voor de aankoop van cloud en AI Wat het voorstel van de Commissie voor een verordening cloud- en AI-ontwikkeling zou vragen van cloudaanbieders die aan de overheid verkopen, van aanbestedende diensten en van inschrijvers op cloud- en AI-opdrachten, en hoe het zich verhoudt tot de Data Act en de aanbestedingsrichtlijn. - - Door [Bart Lieben](https://pitch.law/nl/team/bart-lieben), Advocaat - 13 november 2026 - Bijgewerkt 13-11-2026 ## Het juridisch kader ### Stand van zaken en de teksten De Cloud and AI Development Act is een voorstel. De Commissie publiceerde het op 3 juni 2026 als [COM(2026) 502 final](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:52026PC0502), een voorstel voor een verordening "tot vaststelling van een kader van maatregelen ter versterking van het Europese cloud- en AI-ecosysteem (verordening cloud- en AI-ontwikkeling)". De procedure is [2026/0138(COD)](https://oeil.secure.europarl.europa.eu/oeil/en/procedure-file?reference=2026/0138%28COD%29). Op 13 november 2026 vermeldde het Legislative Observatory "Awaiting committee decision", na verwijzing in het Parlement op 17 september 2026. Niets hiervan bindt vandaag iemand, en de tekst kan nog veranderen. Zoals voorgesteld zou de verordening in werking treden op de twintigste dag na de bekendmaking en van toepassing worden één jaar na de inwerkingtreding ([artikel 48](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:52026PC0502)). De lidstaten zouden binnen datzelfde jaar bevoegde autoriteiten aanwijzen (artikel 25, lid 1), en overheden zouden binnen dat jaar ook hun eerste risicobeoordelingen maken (artikel 29, lid 1). Twee aangenomen teksten vormen de achtergrond. De Data Act, [Verordening (EU) 2023/2854](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32023R2854), regelt in hoofdstuk VI al het overstappen tussen cloudaanbieders. Volgens de toelichting bij het voorstel maakt de Data Act de nieuwe regels mogelijk. De aanbestedingsrichtlijn, [Richtlijn 2014/24/EU](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32014L0024), levert de omschrijving van aanbestedende dienst (artikel 2, lid 1, punt 1) die het voorstel gebruikt. ### Wat het voorstel regelt Artikel 1 noemt vijf maatregelen: de leiderschapsinitiatieven voor cloud en AI, een snellere uitrol van datacenters, een soeverein cloud- en AI-aanbod om de openbare orde te vrijwaren, minder afhankelijkheid van kritieke technologie, en meer gebruik van clouddiensten door de overheid. Dit artikel richt zich op de onderdelen die contracten raken: hoofdstukken I en II van titel IV over autonomie (artikelen 16 tot 33), de Europese cloudfederatie van de overheidssector en de aankoop door de Commissie (artikelen 34 tot 40), en het hoofdstuk over open source (artikelen 41 tot 44). Versnellingszones en strategische projecten voor datacenters staan in de artikelen 10 tot 14. Rekenkracht voor AI-projecten (artikelen 8 en 9) behandelen we in ons artikel over [toegang tot Europese rekenkracht](https://pitch.law/nl/academy/eu-computing-ai-factories-eurohpc). ### Wie zou eronder vallen - **Aanbieders van cloudcomputingdiensten** die aan entiteiten van de Unie en openbare lichamen willen verkopen. Een aanbieder is elke juridische entiteit die een cloudcomputingdienst verleent zoals de NIS2-richtlijn die omschrijft (artikel 2, punten 1 en 2). - **Aanbestedende diensten en entiteiten van de Unie** die clouddiensten aankopen voor exclusief eigen gebruik (artikel 30, lid 1). - **Inschrijvers op innovatieve cloud- en AI-opdrachten**, via de gunningscriteria van artikel 32. - **Auditorganisaties** die clouddiensten auditen (artikel 20). - **Private entiteiten in de sectoren van bijlage I bij NIS2**, die vergelijkbare beoordelingen kunnen maken, en dat zouden moeten doen als de Commissie een gedelegeerde handeling vaststelt (artikel 31). Voorbeeld: een Belgisch hostingbedrijf met datacenters in Vlaanderen wil een gewestelijke overheid als klant houden. Volgens het voorstel zou zijn dienst erkend moeten zijn op het niveau dat de risicobeoordeling van die overheid vraagt. ### De verplichtingen, artikel per artikel **Vier Uniebetrouwbaarheidsniveaus ([artikel 16](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:52026PC0502) en bijlage II).** Het voorstel richt een kader voor cloudsoevereiniteit op met vier niveaus waaraan aanbieders moeten voldoen om clouddiensten te leveren aan entiteiten van de Unie en openbare lichamen. De criteria zijn cumulatief en worden per niveau strenger. Kort samengevat, zoals bijlage II ze ontwerpt: - _Niveau 1_: aanbieder gevestigd in de Unie; infrastructuur en klantgegevens, met metadata en telemetrie, in de Unie, tenzij de overheid uitdrukkelijk anders vraagt; cyberbeveiliging volgens de stand van de techniek; volledige transparantie over onderaannemers. - _Niveau 2_: ook onderaannemers gevestigd in de Unie, personeel in de Unie, een Europees cyberbeveiligingscertificaat van minstens "substantieel" onder de Cyberbeveiligingsverordening zodra er een cloudregeling bestaat, geen gebruik van gegevens uit de dienst om AI-systemen te trainen die een derde land of een entiteit uit een derde land beheert, ondersteuning uitsluitend in de Unie, en een softwarestuklijst (SBOM). Een aanbieder onder zeggenschap van een derde land moet aantonen dat die zeggenschap de dienst niet kan aantasten. - _Niveau 3_: personeel met de nationaliteit van een lidstaat, met veiligheidsmachtiging bij gerubriceerde informatie, en in principe geen zeggenschap vanuit een derde land. Een aanbieder onder zeggenschap van een derde land kan alleen voor niveau 3 worden geaudit als de Commissie dat land op grond van artikel 18 heeft opgenomen. - _Niveau 4_: een certificaat van minstens "hoog", helemaal geen zeggenschap vanuit een derde land, en effectieve controle over de gebruikte softwarecomponenten. **Erkenning ([artikel 17](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:52026PC0502)).** Een aanbieder dient een aanvraag in bij de bevoegde autoriteit van de lidstaat waar hij gevestigd is. Die heeft 60 dagen om het bewijs te beoordelen en geeft de andere lidstaten daarna 60 dagen om bezwaar te maken. Zonder bezwaar geldt de erkenning in de hele Unie. Verklaringen van overeenstemming voor niveau 1 van kmo's zouden automatisch erkend worden (artikel 17, lid 3). De erkenning kan worden ingetrokken bij onjuiste of misleidende informatie (artikel 17, lid 11). **Geassocieerde derde landen ([artikel 18](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:52026PC0502)).** De Commissie zou derde landen kunnen aanwijzen waarvan de aanbieders voor niveau 3 geaudit mogen worden. De criteria omvatten onder meer een adequaatheidsbesluit onder de GDPR, geen maatregelen die botsen met de regels van de Data Act over rechtmatige toegang tot niet-persoonsgebonden gegevens in [artikel 32, leden 2 en 3](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32023R2854#art_32), en wederkerige toegang tot overheidsopdrachten. **Zelfbeoordeling en audits ([artikelen 19 tot 21](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:52026PC0502)).** Niveau 1 steunt op een zelfbeoordeling en een openbare EU-verklaring van overeenstemming, waarvoor de aanbieder de verantwoordelijkheid draagt. Voor de niveaus 2 tot 4 is een onafhankelijke audit door een derde nodig, op kosten van de aanbieder. De auditor moet onafhankelijk zijn: geen andere diensten over de geauditeerde onderwerpen in de 12 maanden voor en na de audit, geen audit van dezelfde aanbieder in de voorbije 10 jaar, en geen vergoeding die van het resultaat afhangt (artikel 20, lid 4). Het auditverslag wordt elk jaar herzien (artikel 20, lid 8). **Register en transparantie ([artikelen 22 en 23](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:52026PC0502)).** Erkende diensten komen in een openbaar centraal register. Een erkende aanbieder meldt elke wezenlijke wijziging die zijn audit of erkenning kan raken zo snel mogelijk aan de auditor en de bevoegde autoriteit. **Sancties en schadevergoeding ([artikel 24](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:52026PC0502)).** De lidstaten zouden de sancties bepalen. Klanten zouden schadevergoeding kunnen vorderen van aanbieders voor schade door een schending van dit hoofdstuk. **Risicobeoordelingen door overheden ([artikel 29](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:52026PC0502)).** Lidstaten en entiteiten van de Unie zouden de overheidsactiviteiten in kaart brengen die clouddiensten gebruiken en bijdragen aan de openbare orde in NIS2-sectoren en in veiligheid, defensie, justitie en rechtshandhaving. Ze beslissen welk niveau, van 2 tot 4, past. Vraagt de beoordeling een overstap naar een andere dienst, dan moet die gebeuren binnen een overgangsperiode van hoogstens 12 maanden. Ze moeten ook nagaan of een strategie met meerdere leveranciers of meerdere clouds aangewezen is (artikel 29, lid 9). **Overheidsopdrachten ([artikel 30](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:52026PC0502)).** Overheden waarvan de activiteiten niet als relevant voor de openbare orde zijn aangeduid, zouden diensten gebruiken die op niveau 1 erkend zijn. Aanbestedende diensten waarvan de activiteiten wel zo zijn aangeduid, zouden alleen diensten aankopen die op niveau 2, 3 of 4 erkend zijn. Uitzonderingen zijn mogelijk als geen erkende dienst het voorwerp van de opdracht kan leveren, als een gelijkaardige aanbesteding in het voorbije jaar geen geschikte inschrijvingen opleverde, of als naleving onevenredige kosten zou meebrengen. **Meerwaarde voor de Unie ([artikel 32](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:52026PC0502)).** Bij aanbestedingen voor innovatieve clouddiensten en AI-systemen zouden aanbestedende diensten niet-prijsgerelateerde gunningscriteria moeten opnemen over de bijdrage van de inschrijver aan een Europees cloud- en AI-ecosysteem, zoals het gebruik van software of hardware die in de Unie is ontworpen of gemaakt. Die criteria moeten verband houden met het voorwerp van de opdracht, in de aanbestedingsstukken staan en "bijkomstig en niet doorslaggevend" zijn. **Kmo's ([artikel 33](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:52026PC0502)).** De lidstaten zouden als doel nastreven dat minstens 25% van hun aankopen van clouddiensten en AI-systemen naar innovatieve kmo's gaat. **Gedeelde overheidscloud en aankoop door de Commissie ([artikelen 34 tot 40](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:52026PC0502)).** Het voorstel richt de EuroCloud-federatie op, waarbinnen overheden hun eigen datacenter- en clouddiensten tegen kostprijs met elkaar kunnen delen. De Commissie zou ook clouddiensten, software en AI-systemen kunnen aankopen als aankoopcentrale voor aanbestedende diensten van de lidstaten, via raamovereenkomsten of dynamische aankoopsystemen. **Open source ([artikelen 41 tot 44](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:52026PC0502)).** Overheden zouden aangemoedigd worden om open standaarden en opensourcecomponenten te gebruiken. Software die ze onder een opensourcelicentie vrijgeven, zou via de EU-catalogus van opensourceoplossingen op het Interoperabel Europa-portaal verschijnen. Zie [Interoperabel Europa](https://pitch.law/nl/academy/interoperable-europe-act) voor de hergebruikregels die nu al gelden. ## In de praktijk Voor aanbieders is de vraag welk niveau ze nastreven. Een aanbieder gevestigd in de Unie met infrastructuur die alleen in de EU staat, kan niveau 1 halen met een zelfbeoordeling. Voor niveau 2 en hoger toets je nu al je onderaannemers, helpdesks, telemetriestromen en softwareketen aan bijlage II. Gegevens die de Unie verlaten via een supporttool of een AI-functie zijn precies wat de criteria testen. Voor inschrijvers op AI- of cloudopdrachten zouden de gunningscriteria van artikel 32 het gebruik van Europese technologie belonen. Documenteer waar je software, modellen en hardware vandaan komen. Dat bewijs heb je in de inschrijving nodig. Voor aanbestedende diensten voegt het voorstel een risicobeoordeling toe vóór de aankoop, en een migratietermijn van 12 maanden als de beoordeling een andere dienst vraagt. Daardoor worden de exitvoorwaarden belangrijk. De Data Act eist nu al een schriftelijk contract met overstaprechten, een opzegtermijn van hoogstens twee maanden en een overgangsperiode van 30 dagen ([artikel 25](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32023R2854#art_25)). Dat behandelen we in [overstappen tussen cloudaanbieders](https://pitch.law/nl/academy/switching-cloud-providers-data-act). ### Contractstappen 1. Voeg een soevereiniteitsbijlage toe aan cloudcontracten: locatie van gegevens, metadata en telemetrie; onderaannemers en hun vestiging; waar de ondersteuning gebeurt. 2. Verplicht de aanbieder om wijzigingen te melden die zijn erkenning kunnen raken, naar het voorbeeld van artikel 23. 3. Koppel beëindiging en migratiebijstand aan het verlies van een erkenning of een wijziging van het vereiste niveau. 4. Vraag de softwarestuklijst als niveau 2 of hoger meespeelt. 5. Maak voor AI-aanbestedingen een kort bewijsdossier over Europese componenten voor de gunningscriteria. ## Veelgestelde vragen ### Is de Cloud and AI Development Act al van toepassing? Nee. Het is een voorstel van de Commissie van 3 juni 2026, dat op 13 november 2026 nog in de commissiefase van het Parlement zat. Zoals voorgesteld zou het één jaar na de inwerkingtreding van toepassing worden. ### Worden cloudaanbieders van buiten de EU uitgesloten van overheidsopdrachten? Niet helemaal, zoals het nu geschreven staat. Niveau 1 vraagt vestiging in de Unie, en de niveaus 2 en 3 laten zeggenschap vanuit een derde land alleen toe met waarborgen of, voor niveau 3, na een besluit van de Commissie onder artikel 18. Niveau 4 sluit zeggenschap vanuit een derde land uit. Welk niveau geldt, hangt af van de risicobeoordeling van de overheid. ### Vervangt dit de overstapregels van de Data Act? Nee. Het voorstel bouwt erop voort. De regels van de Data Act over overstappen, in de artikelen 23 tot 31, blijven gelden voor alle aanbieders van dataverwerkingsdiensten. ### Kan een privébedrijf de niveaus gebruiken? De niveaus zijn geschreven voor overheidsopdrachten. Private entiteiten in de sectoren van bijlage I bij NIS2 kunnen onder artikel 31 vergelijkbare beoordelingen maken, en de Commissie zou die met een gedelegeerde handeling verplicht kunnen maken. ## Hoe dit samenhangt Het voorstel maakt van soevereiniteit een reeks contractvoorwaarden. Ons team [commerciële contracten en transacties](https://pitch.law/nl/solutions/commercial-contracts-transactions) stelt cloudovereenkomsten en inschrijvingen op en onderhandelt erover. We toetsen bestaande cloudcontracten aan de voorgestelde criteria met de [clausulebibliotheek en risicoanalyse](https://pitch.law/nl/technologies/clause-library-risk-review), en maken bijlagen op met [Document Studio](https://pitch.law/nl/technologies/contract-studio), ons eigen systeem voor documentanalyse en -opmaak. **Geciteerde bepalingen:** voorstel COM(2026) 502, artikelen 1, 2, 16 tot 24, 25, 29 tot 44 en 48 en bijlage II; Verordening (EU) 2023/2854, artikelen 25 en 32; Richtlijn 2014/24/EU, artikel 2, lid 1. **Belangrijke data:** - 3 juni 2026: voorstel COM(2026) 502 gepubliceerd - 17 september 2026: verwezen naar de commissie in het Parlement - 12 januari 2027: einde van de overstapkosten onder de Data Act (artikel 29, lid 1) - Eén jaar na de inwerkingtreding: voorgestelde datum van toepassing **Verder lezen:** [de Europese Data Act](https://pitch.law/nl/academy/eu-data-act), [overstappen tussen cloudaanbieders](https://pitch.law/nl/academy/switching-cloud-providers-data-act), [Interoperabel Europa](https://pitch.law/nl/academy/interoperable-europe-act), [toegang tot Europese rekenkracht](https://pitch.law/nl/academy/eu-computing-ai-factories-eurohpc) en [een request for information of proposal organiseren](https://pitch.law/nl/academy/rfi-rfp-procurement). ## In het kort - Stand van het voorstel en waar je het kan volgen - De vier Uniebetrouwbaarheidsniveaus voor clouddiensten - Zelfbeoordeling, onafhankelijke audits en erkenning in de hele EU - Welk niveau overheden zouden moeten eisen - Gunningscriteria en het hoofdstuk over open source - Contractstappen voor aanbieders en inschrijvers ## Hier helpen we mee - [Oplossingen](https://pitch.law/nl/solutions/commercial-contracts-transactions) ### [Commerciële contracten en transacties](https://pitch.law/nl/solutions/commercial-contracts-transactions) [Leverings-, distributie-, dienstverlenings-, SaaS- en aankoopcontracten en de deals eromheen, geschreven en nagelezen met oog voor IP, data en fiscaliteit.](https://pitch.law/nl/solutions/commercial-contracts-transactions) ## Onze eigen Legal Tech - [Technologie](https://pitch.law/nl/technologies/contract-studio) ### [Document Studio](https://pitch.law/nl/technologies/contract-studio) [Onze Document Studio stelt juridische documenten op en analyseert ze, in een beveiligde on-premise omgeving. En ze houdt de documenten in je dossiers bij wanneer er nieuwe gegevens binnenkomen of een volgende procedurestap nadert.](https://pitch.law/nl/technologies/contract-studio) - [Technologie](https://pitch.law/nl/technologies/clause-library-risk-review) ### [Contractreview](https://pitch.law/nl/technologies/clause-library-risk-review) [Stuur ons het contract van de wederpartij en we toetsen het clausule per clausule aan ons playbook, met een risicorangschikking die een advocaat heeft nagekeken.](https://pitch.law/nl/technologies/clause-library-risk-review) ## Meer over Data - ### [Kinderen online: het voorstel voor een EU KIDS Act en leeftijdsverificatie](https://pitch.law/nl/academy/children-online-kids-act-and-age-verification) [Wat de Digital Services Act vandaag al vraagt om minderjarigen te beschermen, wat het voorstel voor een EU KIDS Act van 17 september 2026 zou toevoegen voor sociale netwerken, videoplatformen, games, appwinkels en chatbots, en hoe het Europese kader voor leeftijdsverificatie daarin past.](https://pitch.law/nl/academy/children-online-kids-act-and-age-verification) - ### [Verordening cyberweerbaarheid III: importeurs, distributeurs, open source en contracten](https://pitch.law/nl/academy/cyber-resilience-act-importers-distributors-open-source) [De plichten van importeurs, distributeurs en gemachtigde vertegenwoordigers onder de artikelen 18 tot en met 23 van Verordening (EU) 2024/2847, wanneer een wederverkoper fabrikant wordt, hoe vrije en opensourcesoftware en haar stewards worden behandeld, en welke bedingen daaruit volgen.](https://pitch.law/nl/academy/cyber-resilience-act-importers-distributors-open-source) - ### [Verordening cyberweerbaarheid I: welke producten vallen eronder, en in welke klasse](https://pitch.law/nl/academy/cyber-resilience-act-products-and-classes) [Hoe je nagaat of hardware of software die je verkoopt onder Verordening (EU) 2024/2847 valt, of het een gewoon, belangrijk (klasse I of II) of kritiek product is en welke conformiteitsroute daaruit volgt, met de data tot 11 december 2027.](https://pitch.law/nl/academy/cyber-resilience-act-products-and-classes) - ### [Verordening cyberweerbaarheid II: kwetsbaarheden aanpakken en melden sinds 11-09-2026](https://pitch.law/nl/academy/cyber-resilience-act-vulnerability-handling-and-reporting) [Wat fabrikanten sinds 11 september 2026 onder artikel 14 van Verordening (EU) 2024/2847 moeten melden, binnen 24 uur, 72 uur, 14 dagen en één maand, en welke plichten rond kwetsbaarheden uit bijlage I, deel II, volgen vanaf 11 december 2027.](https://pitch.law/nl/academy/cyber-resilience-act-vulnerability-handling-and-reporting) - ### [Cyberincidenten over de grenzen heen: de verordening cybersolidariteit](https://pitch.law/nl/academy/cyber-solidarity-act) [Wat Verordening (EU) 2025/38 opzet, het Europees waarschuwingssysteem voor cyberbeveiliging, het noodmechanisme voor cyberbeveiliging met de EU-cyberbeveiligingsreserve en het evaluatiemechanisme voor incidenten, hoe een bedrijf dat door een zwaar incident wordt getroffen ervan kan profiteren, en wat het betekent voor aanbieders van beheerde beveiligingsdiensten.](https://pitch.law/nl/academy/cyber-solidarity-act) - ### [Het cyberbeveiligingspakket van 2026: herziene Cyberbeveiligingsverordening en NIS2-wijzigingen](https://pitch.law/nl/academy/cybersecurity-act-revision-and-nis2-amendments) [Wat de Commissie op 20 januari 2026 voorstelde in COM(2026) 11 (de Cybersecurity Act 2, ter vervanging van Verordening (EU) 2019/881) en COM(2026) 13 (gerichte wijzigingen aan de NIS2-richtlijn), hoe ver de procedures staan en wat bedrijven nu al kunnen voorbereiden.](https://pitch.law/nl/academy/cybersecurity-act-revision-and-nis2-amendments) ## Even sparren? Vertel waar je mee bezig bent. We zetten de juiste persoon erop en je hoort binnen één werkdag van ons. Het eerste gesprek is gratis. [Plan een gesprek](https://pitch.law/nl/schedule)