EU versus Google: de DMA-strijd om Android, AI en veiligheid

De Europese Commissie voert twee parallelle specificatieprocedures tegen Google onder de Digital Markets Act (DMA) — één over Android-interoperabiliteit en één over het delen van onlinezoekgegevens — die felle tegenstand hebben opgeroepen van Google en externe veiligheidsexperts vanwege risico's voor cybersecurity, gegevensprivacy en platformintegriteit.

Wat de Commissie voorstelt

Android-interoperabiliteit (artikel 6, lid 7)

De Commissie opende op 27 januari 2026 een specificatieprocedure om de technische maatregelen te bepalen die Google moet implementeren zodat derden 'effectieve interoperabiliteit krijgen met, en toegang krijgen voor interoperabiliteitsdoeleinden tot, dezelfde hardware- en softwarefuncties' die Google's eigen diensten gebruiken . Op 27 april 2026 publiceerde de Commissie voorlopige bevindingen die zich specifiek richten op functies die relevant zijn voor AI-diensten van derden — waarbij Google verplicht wordt rivaliserende AI-assistenten gelijke toegang te geven tot de kernmogelijkheden van Android waar Gemini van profiteert, waaronder spraakactivering, systeembrede zoekintegratie en de mogelijkheid om te interageren met andere Android-software . De voorlopige bevindingen zijn opengesteld voor openbare raadpleging, waarbij feedback wordt gevraagd over 'effectiviteit, volledigheid, integratie-inspanning en implementatietijdlijnen' .

De DMA vereist al dat alle integriteits- of veiligheidsmaatregelen die Google oplegt aan toegang door derden 'strikt noodzakelijk en evenredig' moeten zijn — wat betekent dat Google interoperabiliteit niet op grote schaal op veiligheidsgronden kan blokkeren zonder aan te tonen dat elke beperking nauwkeurig is afgestemd .

Zoekgegevens delen (artikel 5, lid 10)

Een aparte specificatieprocedure, ook geopend op 27 januari 2026, heeft betrekking op Google's verplichting om zoekmachines en AI-ontwikkelaars van derden toegang te geven tot zijn onlinezoekgegevens — inclusief gegevens met betrekking tot het Gemini AI-model — tegen 'eerlijke, redelijke en niet-discriminerende' (FRAND) voorwaarden . Reuters meldde dat de richtlijnen van de Commissie betrekking hebben op hoe rivalen toegang kunnen krijgen tot Google's zoekrangschikkingsgegevens, klik- en querygegevens en AI-gerelateerde diensten .

Cybersecurity- en privacyzorgen geuit door Google en externe experts

Google's positie

Google heeft betoogd dat 'Android inherent open is' en dat het 'al zoekgegevens deelt met rivalen in overeenstemming met de DMA', maar waarschuwde dat het 'bezorgd is dat een voorschrijvende aanpak de gebruikersveiligheid en privacy kan schaden' . In een blogpost van september 2025 stelde Google dat de DMA 'het moeilijk maakt om gebruikers te beschermen tegen oplichting en kwaadaardige links op Android door ons te dwingen onze legitieme waarborgen die de beveiliging en veiligheid van gebruikers beschermen te verwijderen', verwijzend naar het risico dat interoperabiliteitsmandaten Android dwingen de bescherming tegen sideloaded malware en phishing te verzwakken . Google heeft ook geklaagd dat poortwachters die worden onderzocht geen volledige toegang krijgen tot het dossier van de Commissie, wat het 'inconsistent met de rechten van verdediging' in het EU-recht noemt .

Zorgen van externe experts en denktanks

• ECIPE waarschuwde in een beleidsnota dat artikel 5, lid 4 van de DMA aanbieders van mobiele besturingssystemen zou kunnen 'dwingen om ongereguleerde externe links toe te staan, kritieke beveiligingscontroles te omzeilen en miljoenen smartphonegebruikers bloot te stellen aan cyberdreigingen' en dat Android's 'veelgebruikte opensource-systeem ook in gevaar kan worden gebracht door DMA-handhaving, wat de flexibiliteit, veiligheid en innovatie mogelijk beperkt' .
• Het Center for Cybersecurity Policy and Law publiceerde een paper waarin wordt gewaarschuwd dat de DMA-push voor interoperabiliteit mobiele platformbeveiligingscontroles 'kan verzwakken' nu kernfuncties worden opengesteld voor externe ontwikkelaars die mogelijk niet dezelfde beveiligingsnormen volgen .
• De Information Technology and Innovation Foundation (ITIF) diende opmerkingen in waarin werd gesteld dat de ontwerp-interoperabiliteitsmaatregelen van de Commissie te breed zijn en de 'veiligheid van het Android-ecosysteem kunnen ondermijnen' als AI-diensten van derden systeemtoegang krijgen zonder evenredige veiligheidsverplichtingen .
• Een arXiv-computerwetenschappelijk paper (februari 2025) merkte op dat 'interoperabiliteitsinitiatieven aanzienlijke controverse hebben gegenereerd over hun potentieel om nieuwe beveiligingskwetsbaarheden te introduceren, platformverdedigingen te verzwakken en het aanvalsoppervlak dat beschikbaar is voor kwaadwillende actoren te vergroten' .
• Stanford Law School's TTLF Working Papers merkten op dat de DMA-uitspraken 'het ontwerp en de bedrijfsmodellen aanzienlijk kunnen beïnvloeden, met effecten die zich ver buiten de geografische grenzen van de EU uitstrekken', wat de trans-Atlantische regelgevingskloof tussen veiligheid en concurrentie verdiept .

Brede context: EU-concurrentiedoelen versus veiligheidsoverwegingen

De kernspanning van de DMA

De DMA is ontworpen om de 'betwistbaarheid van de markt in digitale markten te vergroten' en 'meer ruimte te creëren voor innovatie en meer keuze voor consumenten' . De interoperabiliteits- en gegevensdelingsbepalingen worden gezien als essentieel voor het doorbreken van platformvergrendeling, vooral in de opkomende AI-markt. De eigen tweejarige evaluatie van de Commissie (juni 2026) concludeerde dat de DMA 'geschikt blijft voor het doel en niet hoeft te worden herzien' , wat de intentie van de EU signaleert om door te zetten ondanks waarschuwingen uit de industrie.

Escalerende regelgevingsconfrontatie

De specificatieprocedures tegen Google volgen op soortgelijke maatregelen tegen Apple in 2025 met betrekking tot iOS-interoperabiliteit voor verbonden apparaten zoals smartwatches . Dit toont een systematische regelgevingspush aan over beide grote mobiele ecosystemen. De confrontatie is het scherpst rond AI: de Commissie probeert effectief te voorkomen dat Google Android gebruikt als een concurrentiemuur voor Gemini, net nu de generatieve AI-markt vorm krijgt. TNW beschreef het als bepalend 'of kunstmatige intelligentie de volgende grote platformvergrendeling wordt of de eerste die wordt verbroken voordat hij zich zet' .

Conflict met andere EU-kaders

ECIPE merkte op dat 'DMA-handhaving nu ook spanningen genereert met andere EU-regelgevingskaders, met name op het gebied van gegevensbescherming, cybersecurity, intellectuele-eigendomsrechten en consumentenbescherming' . De handhaving van interoperabiliteitsverplichtingen 'illustreert deze spanningen bijzonder duidelijk' omdat wat de DMA vraagt voor concurrentie direct in conflict kan komen met wat de AVG, NIS2-richtlijn en Cyber Resilience Act vereisen voor veiligheid. De Commissie erkent deze spanning in haar eigen documenten: de DMA staat integriteitsmaatregelen alleen toe waar ze 'strikt noodzakelijk en evenredig' zijn , maar critici stellen dat de bewijslast bij de poortwachter ligt, wat een verlammend effect creëert op proactieve beveiliging.

Kernboodschap: De EU dwingt Google om Android's kernfuncties en zoekgegevens open te stellen voor concurrenten — vooral AI-concurrenten — terwijl Google en talrijke veiligheidsexperts waarschuwen dat de verplichte interoperabiliteit malwarebescherming zal verzwakken, aanvalsoppervlakken zal vergroten en conflicten zal creëren met andere EU-cybersecuritywetten.