Door Laas Nury"Soevereine AI" is een verkoopterm geworden. Cloudaanbieders gebruiken het voor datacenters in Frankfurt, modelmakers voor open-weight-releases en adviseurs voor bijna alles wat Europees is. Voor een bedrijf dat moet kiezen waar zijn AI draait, zegt dat etiket weinig. De vragen erachter zeggen des te meer.
In dit artikel leggen we soevereiniteit uit in vier concrete vragen, zetten we op een rij wat de wet wel en niet eist, en beschrijven we drie opzetten die in de praktijk werken, van eenvoudig tot streng. We sluiten af met de vragen die je elke AI-leverancier stelt.
Vier vragen achter "soeverein"
Wie om soevereine AI vraagt, bedoelt meestal een of meer van deze dingen:
- Waar staat de data? Opgeslagen en verwerkt in de EU, of ergens anders, ook op het moment dat het AI-model de data leest.
- Onder welk recht? Een Amerikaans bedrijf dat data in Frankfurt opslaat, valt nog steeds onder Amerikaans recht. Via de CLOUD Act kunnen Amerikaanse autoriteiten Amerikaanse aanbieders verplichten gegevens te verstrekken die ze beheren, waar die ook staan.
- Van welk model ben je afhankelijk? Een model dat je alleen via de dienst van één buitenlandse aanbieder bereikt, of een model dat je zo nodig ook elders kunt draaien.
- Wie kan de stekker eruit trekken? Wat gebeurt er met de processen die erop draaien als de aanbieder zijn voorwaarden, prijzen of beschikbaarheid in Europa verandert?
Verschillende gegevens en processen vragen om verschillende antwoorden. Daarom is "alles volledig soeverein" zelden het juiste doel.
Wat de wet eist, en wat niet
De AVG eist geen hosting in de EU. Persoonsgegevens mogen de EU verlaten, onder voorwaarden: naar een land of bedrijf met een adequaatheidsbesluit, of met waarborgen zoals standaardcontractbepalingen. Amerikaanse bedrijven die gecertificeerd zijn onder het EU-VS Data Privacy Framework gelden als adequaat.
Dat framework is geldig, maar staat ter discussie. Het Gerecht van de EU liet het in september 2025 in stand. Tegen die uitspraak is in oktober 2025 hoger beroep ingesteld bij het Hof van Justitie, en dat liep nog toen dit artikel werd geschreven. De twee regelingen die eraan voorafgingen, Safe Harbour en Privacy Shield, zijn allebei door datzelfde Hof vernietigd. Bedrijven die sterk leunen op doorgifte naar de VS, houden daarom meestal een plan B achter de hand.
Ook de AI Act eist geen hosting in de EU. De verordening regelt hoe AI wordt gebruikt, niet waar het draait.
Soevereiniteit is dus vooral een risicoafweging, geen wettelijke plicht. Die weegt het zwaarst bij gevoelige persoonsgegevens, bedrijfsgeheimen, gereguleerde informatie en processen die niet mogen stilvallen.
Drie werkbare opzetten
| 1. Gangbaar, met opslag in de EU | 2. Europese infrastructuur | 3. Je eigen omgeving | |
|---|---|---|---|
| Wat het is | Grote Amerikaanse AI- en clouddiensten, met data in hun EU-regio's en zonder training op jouw data | AI bij een Europese cloudaanbieder, met een Europees model of een open-weight-model | AI op je eigen servers of private cloud, met een open-weight-model |
| Waar staat de data | In de EU, met uitzonderingen om te controleren (support, piekcapaciteit) | In de EU | Waar jij het zet |
| Onder welk recht | Amerikaans recht geldt voor de aanbieder | Europees recht | Onder je eigen beheer |
| Wat het model kan | De krachtigste modellen die er zijn | Goed; het sterkst op afgebakende taken | Goed; hangt af van de hardware |
| Inspanning voor jou | Het laagst | Gemiddeld | Het hoogst, tenzij een partner het beheert |
| Past bij | Het meeste dagelijkse AI-gebruik, zonder gevoelige gegevens | Gevoelige persoonsgegevens, vertrouwelijke bedrijfsgegevens | Gereguleerd, gerubriceerd of zeer gevoelig werk, of werken zonder internet |
De meeste bedrijven gebruiken uiteindelijk twee van deze opzetten naast elkaar: de gangbare voor het dagelijkse werk en een strengere voor de processen met gevoelige gegevens.
Opzet 1: gangbaar, met opslag in de EU
Grote aanbieders bieden inmiddels opslag in de EU en de contractuele toezegging dat ze niet trainen op zakelijke gegevens. Microsoft heeft bijvoorbeeld een EU Data Boundary voor Microsoft 365 Copilot en verklaart dat prompts en bedrijfsgegevens niet worden gebruikt om modellen te trainen. Lees wel de details: volgens Microsofts eigen documentatie kunnen AI-verzoeken bij grote drukte in andere regio's worden verwerkt.
Voor het meeste AI-gebruik zonder gevoelige gegevens is dit een redelijke en praktische keuze. Veel mogelijkheden, weinig inspanning.
Opzet 2: Europese infrastructuur
Hier draait de AI bij een cloudaanbieder die in Europa is gevestigd en beheerd, met een Europees model of een open-weight-model. De data blijft in de EU, en een Europese aanbieder zonder Amerikaanse moederbedrijven valt niet onder Amerikaanse wetten als de CLOUD Act. Kijk dus naar wie de eigenaar is, niet alleen naar het adres.
De prijs die je betaalt, zit in mogelijkheden en gemak. De meest geavanceerde gesloten modellen zijn niet altijd op deze manier beschikbaar. Voor goed afgebakende bedrijfstaken, zoals documenten uitlezen, aanvragen indelen of boekingen voorbereiden, is een goed open-weight-model vaak ruim voldoende.
Opzet 3: je eigen omgeving
In de strengste gevallen draait het model in je eigen omgeving: op je eigen servers, in je private cloud of op apparatuur zonder internetverbinding. Niets verlaat je eigen beheer.
Dat kost meer moeite: hardware, updates, monitoring. Het is het juiste antwoord voor gereguleerde of gerubriceerde informatie, voor locaties zonder verbinding en voor bedrijven waarvan klanten het eisen. Hier telt de keuze van het open-weight-model ook het zwaarst, omdat je het zelf draait.
Vragen voor elke AI-leverancier
- Waar worden onze gegevens opgeslagen, en waar verwerkt als het model ze leest? Zijn er uitzonderingen, bijvoorbeeld voor support of bij piekbelasting?
- Valt jullie bedrijf onder niet-Europees recht dat autoriteiten toegang tot onze gegevens kan geven?
- Trainen jullie op onze gegevens, of bewaren jullie ze na verwerking? Hoe lang?
- Welke subverwerkers zijn erbij betrokken, en waar zitten die?
- Welk model draait eronder, en kan de oplossing zo nodig overstappen op een ander model?
- Wat gebeurt er als we vertrekken? Kunnen we onze gegevens, regels en configuratie meenemen?
Zet de antwoorden in je AI-register; in AI-governance op één pagina lees je hoe.
Waar je begint
Deel je AI-toepassingen in naar de gegevens die ze raken. Dagelijks werk zonder gevoelige gegevens kan op gangbare diensten met opslag in de EU. Processen met gevoelige persoonsgegevens of bedrijfsgeheimen horen op Europese infrastructuur of in je eigen omgeving. Ons platform Nightfall is precies voor die tweede groep gemaakt: het laat AI draaien waar jouw regels dat vragen, op je eigen servers, in een overheidscloud of volledig offline.
Het doel is niet overal maximale soevereiniteit. Het doel is per proces het juiste niveau, bewust gekozen en vastgelegd.
