Sinds het woord ‘soevereiniteit’ door geopolitieke instabiliteit is overgewaaid naar de IT-sector, is de definitie ervan op z’n best wankel te noemen. Op Open Source Summit Europe werd de controle van het continent over de eigen digitale toekomst opnieuw op de proef gesteld. De realiteit is dat er geen shortcuts bestaan en dat ware zelfredzaamheid een prijs heeft.
Welke checklist je ook opstelt, geen enkele leidt tot een volledig Europese tech-stack. Wie aandringt op een Europees equivalent van AWS, zal nog jaren moeten wachten, zo niet voor altijd. Het eindresultaat is dat soevereiniteit, een term die zo populair is dat hij ogenschijnlijk geen introductie meer behoeft, onhoudbaar is op basis van enkel proprietary IT-oplossingen. Open source biedt “een zeker niveau van digitale soevereiniteit, maar brengt je er niet helemaal”, zegt Thierry Carrez, General Manager van Linux Foundation Europe en de OpenInfra Foundation. “Je hebt meer nodig dan alleen open source. Je hebt open bestuurde ecosystemen nodig, en je moet daaraan deelnemen, zodat je genoeg vertrouwd raakt met de software om er soeverein mee te kunnen zijn en er effectieve controle over te hebben.”
Meedoen in plaats van forken
Daar wringt de schoen. Open source wordt vaak gepresenteerd als een soort cheat code, een hack zo je wilt, om jezelf richting een soevereine oplossing te wurmen. Je kunt de code immers inzien. Als maintainers afhaken of de oplossing een ongewenste kant op sturen, is forken een vrij drastische oplossing. Drastisch, omdat een fork lastig te onderhouden is en omdat er een veel eenvoudigere manier is om je zin te krijgen: vanaf het begin meer participeren en deze projecten mee sturen.
Dat is makkelijker gezegd dan gedaan. Maintainers zijn geen amorfe massa. De professionele developer-community telt volgens geregeld aangehaalde schattingen zo’n 20 à 30 miljoen leden wereldwijd. Veel van hen zijn Europees. Maar als je ervan uitgaat dat de kennis van een werknemer ook de kennis van diens werkgever is, dan ligt veel van die expertise bij Amerikaanse en Chinese bedrijven.
De ontbrekende schakel
Open source draait evenzeer om waardecreatie als om een gevoel van community, praktische behoeften en ideologische overwegingen rond een vrij en open digitaal ecosysteem. Vrijwel niemand verkoopt deze vrij beschikbare standaarden, tools en programma’s, maar ze worden wel in producten verwerkt en vormen een laag in de abstractietaart waaruit alles is opgebouwd, van clouds tot CDN’s, securitysoftware en enterprise-SaaS. Europese organisaties laten hier kansen liggen: 59 procent draagt code upstream bij, maar slechts 37 procent neemt deel aan governance.
Carrez ziet een verwant gat verderop in de keten. “De technologie is er. Die hoef je niet opnieuw uit te vinden. Het is niet nodig om Europese open source te maken, wat dat ook zou zijn”, zegt hij. “Wat je wel nodig hebt, is een ecosysteem van bedrijven die die open source-software nemen en zo verpakken dat bedrijven die lokaal kunnen afnemen.” In Frankrijk lijkt iedereen nu een eigen private cloud op basis van OpenStack te willen, merkt hij op, maar er zijn “misschien één of twee bedrijven, zo’n twintig mensen in Frankrijk, die dat nu echt kunnen. En alle anderen stappen naar een Amerikaanse serviceprovider, omdat dat het enige antwoord is dat ze hebben.” Een bank als Société Générale bouwde de expertise uiteindelijk zelf op. Europa schrijft veel van de code, maar het geld gaat ergens anders heen.
Wat de VS en China wel hebben
Paula Grzegorzewska, Senior Manager, Strategic Partnerships bij Linux Foundation Europe, stelt dat open source als ontsnappingsroute naar soevereiniteit voortkomt uit het feit dat Europese beleidsmakers en andere stakeholders impliciet accepteren dat er geen Europese equivalenten bestaan van Amerikaanse en Chinese IT-reuzen. Beide verdienen aandacht: de VS heeft alles, bij wijze van spreken. Het land is digitaal soeverein omdat vrijwel elk onderdeel van de IT-supply chain Amerikaans is. Alleen het Taiwanese TSMC en het technisch gezien Nederlandse, maar sterk geglobaliseerde ASML maken het echt ingewikkeld, maar zelfs in deze fase van de chipproductie is de Amerikaanse controle enorm. Kijk maar naar de richtlijnen om geavanceerde chipmachines niet aan China te verkopen, of naar de forse investeringen in Amerikaanse fabrieken van zowel TSMC als Intel.
China kreeg zijn soevereiniteitsschrik daarentegen al lang geleden. Niet alleen werd Huawei afgesneden van belangrijke telecommarkten, exportbeperkingen dwongen China ook om te doen wat Europa zich nooit zou kunnen voorstellen: holistisch eigen IT-stacks bouwen. Hoewel een volwaardige ASML van het Oosten nog zo’n tien jaar weg lijkt, is de vooruitgang gestaag. China wordt digitaal autonoom en soeverein.
De prijs van soevereiniteit
In EU-termen probeert China SEAL-4 te bereiken. Dit Sovereignty Effectiveness Assurance Level is grofweg samen te vatten als 0 voor digitaal hulpeloos, 1 voor weinig meer dan onder EU-jurisdictie vallen, 2 voor het borgen van datasoevereiniteit, 3 voor ‘digitale weerbaarheid’ tegen verstoringen in de supply chain van buiten de EU en 4 voor volledige zelfredzaamheid, chips incluis. Europa kan SEAL-2 bereiken met weinig aanpassingen in gewoontes, door welk sovereign cloud-aanbod de hyperscalers ook bieden streng te toetsen en te beveiligen. Maar om SEAL-3 überhaupt haalbaar te maken, kan open source weleens de verlossing bieden. Projecten die je mee stuurt, zijn immers net zo goed van jou als van ieder ander.
Wat die onafhankelijkheid kost, is fel omstreden. CCIA Europe, de lobbyorganisatie waarvan onder meer Amazon, Google en Meta lid zijn, liet denktank ECIPE uitrekenen dat de soevereiniteitseisen in de voorgestelde Cloud and AI Development Act (CADA) Europa in tien jaar 115 miljard euro kunnen kosten, volgens CCIA ruim zes keer de bovengrens van 18 miljard euro die de Europese Commissie zelf raamt. De grootste post in de studie, 79 miljard euro, is het migreren en herschrijven van applicaties. Dat zijn precies de overstapkosten die open source zou moeten drukken, maar de studie gaat helemaal niet in op open source.
Het niet-kwantificeerbare
In gesprek met Madalin Neag, EU Policy Advisor bij OpenSSF, bespreken we hoe lastig het kan zijn om vast te stellen wat organisaties nu echt halen uit deelname aan open source. Hij noemt er een paar: beter talent aantrekken, talent behouden en vroeg toegang krijgen tot updates waar alleen open source-insiders van op de hoogte zijn. Daarnaast noemt hij invloed op de roadmaps van projecten en “veel snellere antwoorden vanuit upstream. Die zijn niet te kwantificeren.” Toch is een deel wel meetbaar. Organisaties zonder formele open source-governance halen volgens de Linux Foundation 3,6 keer hun investering terug, terwijl organisaties met een volwassen aanpak 4,6 keer terugverdienen.
De kosten zijn wel kwantificeerbaar, of op z’n minst merkbaar zodra je je eraan verbindt. Deelname aan open source is “niet gratis en het is niet makkelijk”, zegt Christopher “CRob” Robinson, Chief Technology Officer en Chief Security Architect bij OpenSSF. Niet meedoen is evenmin gratis: organisaties met private forks zijn gemiddeld 311 uur per releasecyclus kwijt aan het patchen ervan. En hoezeer Europa zich ook wil ‘losmaken’ en wil ‘repatriëren’, de uitvoering mag niet koppig of zelfondermijnend zijn. “Wat ik de Europeanen zou willen meegeven nu jullie verdergaan op jullie soevereiniteitsreis”, vervolgt CRob, “is: probeer niet isolationistisch te zijn. […] Sluit je niet af voor deze geweldige ideeën en deze innovatie, maar ontwikkel en cultiveer die expertise lokaal, want je wilt wel een sterke identiteit hebben.”
“De realiteit is dat geen enkele regio alle technologie zal kunnen maken die ze nodig heeft”, zegt Jonathan Bryce, Executive Director van de Cloud Native Computing Foundation (CNCF), die samen met CRob op het podium zat. “Ik denk dat het eigenlijk veel weerbaarder is om een heel brede basis van contributors aan een project te hebben.”
Conclusie: vertrouwen en overtuiging moeten samengaan met pragmatisme
Wat opvalt aan dit alles, is dat het soevereiniteitsdebat zich ironisch genoeg vooral op Europa richt, terwijl het een wereldwijde kwestie is. Bovendien komt veel van de aanmoediging om te participeren van de Linux Foundation, een in de VS gevestigde organisatie met een eigen belang. Dat hoeft niet te irriteren. Veel ervan komt voort uit open source-overtuigingen, uit de wens om evenveel te krijgen als je geeft, of uit een mix van beide.
Er zijn genoeg soevereine initiatieven te noemen, van NeoNephos tot ECOFED en het eerbiedwaardige OpenStack. Om Gaia-X, het Frans-Duitse initiatief dat in 2019 werd aangekondigd om een Europese data-infrastructuur op te bouwen, hoeven we niet te treuren. Al deze ambities lijken te verwijzen naar iets groters, een ‘IT-Airbus’ zo je wilt, waarbij je simpelweg de benodigde applicaties, tools en hardware optelt tot SEAL-4 is bereikt en elk IT-onderdeel in één geheel is geïntegreerd. Wat heb je daaraan?
Open source kan juist meer bieden dan een shortcut om te voldoen aan een theoretische standaard of aanstaande regelgeving rond controle. Het verschil tussen technisch compliant zijn en daadwerkelijk technisch competent zijn zal door geopolitieke spanningen op de proef worden gesteld. Laat zulke onrust liever leiden tot forks waar het kan en proprietary oplossingen waar het moet, dan dat organisaties de toegang tot hun tooling verliezen en mopperen dat hun buitenlandse closed source-oplossing toch alle soevereiniteitsvakjes aanvinkte.