Een Sluis-gids voor inkoop-, security- en privacyteams. Laatst gecontroleerd op 23 september 2026.

"Soeverein" staat in de marketing van bijna elke AI-provider en kan vier verschillende dingen betekenen: waar gegevens worden verwerkt, wie de provider bezit, welke overheden hem kunnen dwingen en hoeveel van jouw gegevens hij in de eerste plaats ziet. Een provider kan op drie punten sterk zijn en op het vierde zwak. Deze gids vertaalt die vier gebieden naar zestien vragen die je aan elke provider kunt sturen, met per vraag hoe een goed antwoord en een waarschuwingssignaal eruitzien.

Kort samengevat

Residentie gaat over waar gegevens worden verwerkt en opgeslagen. Het is het makkelijkst te controleren en op zichzelf het minst beschermend.
Eigendom gaat over wie het bedrijf controleert waarmee je contracteert. Dat kan van de ene op de andere dag veranderen: Aleph Alpha, vaak genoemd als de soevereine AI-kampioen van Duitsland, werd in april 2026 naar verluidt overgenomen door het Canadese Cohere.
Jurisdictie gaat over welke overheden de provider kunnen bevelen gegevens te verstrekken. Bij providers onder Amerikaanse controle volgt dit de zeggenschap, niet de locatie.
Gegevensverwerking gaat over wat de provider bewaart, hoelang en wie het kan lezen. Hier telt het contract het zwaarst, en hier blijven de standaardvoorwaarden het vaakst ongewijzigd.
Stel elke vraag schriftelijk en bewaar de antwoorden. Een provider die niet schriftelijk kan antwoorden, heeft je al een antwoord gegeven.

Residentie

#	Vraag	Waarom het ertoe doet	Goed antwoord	Waarschuwingssignaal
1	In welke landen worden prompts en uitvoer verwerkt, ook bij failover en piekbelasting?	Capaciteitsproblemen zijn de gebruikelijke reden dat verkeer een regio verlaat	Benoemde regio's, met failover binnen de EU vastgelegd in het contract	"Onze EU-datacenters" zonder uitspraak over failover
2	Waar worden logs, kopieën voor misbruikbewaking, caches, embeddings en fine-tuningdata opgeslagen, en hoelang?	Residentieclaims gelden meestal voor het verzoek, niet voor de kopieën eromheen	Een lijst per gegevenstype, met locatie en bewaartermijn	Alleen de inferentieregio wordt genoemd
3	Kunnen support- of operationsmedewerkers van buiten de EU bij productiesystemen?	Toegang op afstand is verwerking, waar de servers ook staan	Nee, of alleen benoemde rollen in de EU, gelogd en controleerbaar	"Toegang is beperkt", zonder te zeggen vanwaar
4	Welke subverwerkers verwerken klantinhoud, en hoe worden wijzigingen gemeld?	Elke subverwerker voegt een locatie en een eigenaar toe	Een gepubliceerde lijst met vooraf melden en een recht van bezwaar	Lijst alleen op aanvraag beschikbaar, of geen meldingstermijn

Eigendom

#	Vraag	Waarom het ertoe doet	Goed antwoord	Waarschuwingssignaal
5	Welke rechtspersoon tekent het contract, en waar is die geregistreerd?	De contracterende entiteit is degene waar rechters en toezichthouders mee te maken hebben	Een benoemde EU-entiteit met registratienummer	Een merknaam, of een niet-EU-entiteit met een EU-"aanwezigheid"
6	Wie is de uiteindelijke moedermaatschappij, en heeft een niet-EU-aandeelhouder zeggenschap of vetorechten?	Zeggenschap is waar buitenlandse bevelen aan vastmaken	Een heldere eigendomsketen zonder zeggenschapsrechten buiten de EU	Weigering om te openbaren, of grote niet-EU-investeerders met bestuursrechten
7	Is het eigendom de afgelopen 24 maanden gewijzigd, en wat gebeurt er met ons contract als dat verandert?	Je beoordeling kan worden ingehaald door een transactie	Een change-of-control-clausule die je een melding en een opzegrecht geeft	Geen meldingsplicht
8	Wie kan de medewerkers met productietoegang opdrachten geven?	Een moedermaatschappij die operations kan aansturen, kan toegang afdwingen	Operationsmedewerkers in dienst van en aangestuurd door de EU-entiteit	Groepsbrede operationsteams

Jurisdictie

#	Vraag	Waarom het ertoe doet	Goed antwoord	Waarschuwingssignaal
9	Welke overheden kunnen de contracterende entiteit of haar moedermaatschappij dwingen klantgegevens te verstrekken?	Dit is de werkelijke extraterritoriale blootstelling	Een precies antwoord met de relevante wetten	"Wij voldoen aan de AVG", wat de vraag niet beantwoordt
10	Wat doen jullie als jullie een overheidsbevel voor onze gegevens ontvangen?	Het proces bepaalt in de praktijk de uitkomst	Ongegronde bevelen aanvechten, je informeren waar de wet dat toestaat, het minimum verstrekken	Geen schriftelijk beleid
11	Publiceren jullie statistieken over overheidsverzoeken?	Cijfers laten zien of verzoeken voorkomen	Een transparantierapport met aantallen verzoeken per land	Geen rapport
12	Wie beheert de versleutelingssleutels, en kunnen jullie medewerkers inhoud lezen terwijl die wordt verwerkt?	Versleuteling in rust beschermt geen gegevens die de provider kan ontsleutelen	Sleutels in handen van de klant waar aangeboden, en een duidelijke verklaring wanneer platte tekst toegankelijk is	"Alle gegevens zijn versleuteld", zonder iets over sleutels

Gegevensverwerking en minimalisatie

#	Vraag	Waarom het ertoe doet	Goed antwoord	Waarschuwingssignaal
13	Wordt onze inhoud gebruikt om modellen te trainen of te verbeteren? Hoe wordt dat uitgezet, en staat het in het contract?	Gebruik voor training is de moeilijkst terug te draaien verstrekking	Standaard uit voor zakelijke klanten, bevestigd in de overeenkomst	Opt-out alleen op een instellingenpagina
14	Wat is de standaardbewaartermijn voor invoer en uitvoer, en wat moeten we tekenen om die op nul te krijgen?	Standaardinstellingen gelden als niemand erom vraagt	Vermeld in dagen, met een zero-retention-optie en de voorwaarden daarvoor	"Zolang als nodig is"
15	Bekijken mensen inhoud, bijvoorbeeld voor misbruikbewaking? Wanneer, en vanwaar?	Menselijke beoordeling is verstrekking aan mensen, niet aan systemen	Alleen bij specifieke triggers, door benoemde teams in de EU, met de mogelijkheid om je af te melden	Routinematige steekproeven, locatie niet gespecificeerd
16	Werkt de dienst met gepseudonimiseerde invoer, zoals «PERSON_NAME_1» in plaats van namen?	Hoe minder de provider ontvangt, hoe minder de andere vijftien antwoorden ertoe doen	Ja, ook voor gestructureerde uitvoer en toolaanroepen	Placeholders breken functies waar je op rekent

Recente voorbeelden

Deze laten zien waarom de antwoorden ververst moeten worden en niet weggeborgen.

Aleph Alpha en Cohere. In april 2026 zou Cohere, een Canadees bedrijf, Aleph Alpha hebben overgenomen. Volgens de berichtgeving blijft de infrastructuur in Duitsland. Voor een koper met als eis "in EU-bezit" veranderde het antwoord op vraag 6, terwijl de antwoorden op vraag 1 tot en met 4 gelijk bleven.
AWS European Sovereign Cloud. Gelanceerd op 15 januari 2026 in Brandenburg als een partitie die los staat van andere AWS-regio's. Volgens AWS wordt die beheerd door AWS European Sovereign Cloud GmbH, een Duits bedrijf met in de EU gevestigde medewerkers en een eigen certificeringsinstantie, netwerk en securityoperaties. Dit is een serieus antwoord op vraag 3, 5 en 8. Of het ook vraag 9 beantwoordt, is niet door een rechter getoetst. Zie onze gids over de CLOUD Act.
Microsoft voor de Franse Senaat. In juli 2025 verklaarde de juridisch directeur van Microsoft Frankrijk onder ede tegenover een onderzoekscommissie van de Senaat dat het bedrijf niet kon garanderen dat gegevens van de Franse publieke sector nooit zonder toestemming van de klant aan Amerikaanse autoriteiten zouden worden verstrekt. Hij zei ook dat dit niet was gebeurd en dat Microsoft zich contractueel verbindt ongegronde verzoeken aan te vechten. Beide uitspraken zijn bruikbare antwoorden op vraag 9 en 10.

Een referentiepunt: SecNumCloud

Als je een concrete standaard nodig hebt voor wat "immuun voor buitenlands recht" betekent, is het Franse SecNumCloud 3.2 de meest specifieke die van kracht is. Volgens berichtgeving over het decreet van 12 augustus 2026 vereist het dat de statutaire zetel, het besluitvormingscentrum en het beheer van de provider in de EU liggen, beperkt het niet-EU-aandeelhouderschap en sluit het vetorechten van buiten de EU uit, naast zo'n 360 securitymaatregelen bovenop ISO 27001. Het bindt inmiddels een groot deel van de Franse centrale overheid. Ook buiten Frankrijk zijn de eigendomscriteria een bruikbare maatstaf voor vraag 5 tot en met 8.

Hoe je de antwoorden weegt

Niet elk gebruik vraagt dat elk antwoord perfect is. Een praktische aanpak:

Gegevens die je verstuurt	Moet sterk zijn	Mag gematigd zijn
Geen persoonlijke of vertrouwelijke gegevens, zoals marketingteksten of openbare documentatie	13, 14	Al het andere
Persoonsgegevens van klanten of medewerkers, gepseudonimiseerd voordat ze bij je weggaan	1 tot en met 4, 13 tot en met 16	5 tot en met 12
Persoonsgegevens in leesbare vorm, of vertrouwelijke bedrijfsgegevens	Alle zestien	Geen
Bijzondere categorieën van persoonsgegevens, zoals gezondheids- of HR-dossiers	Alle zestien, plus een provider in EU-bezit of geen extern model	Geen

Checklist

Zestien vragen schriftelijk gestuurd aan elke provider op de shortlist
Antwoorden bewaard met de datum van ontvangst
Contracterende entiteit en uiteindelijke moedermaatschappij bevestigd in een bedrijfsregister
Bevestigd dat failover, logs en supporttoegang in de EU blijven
Trainingsgebruik uit en bewaartermijn vastgelegd in de getekende overeenkomst
Change-of-control-clausule in het contract
Antwoorden herzien bij elke verlenging en na elke gemelde eigendomswijziging

Bronnen

AWS, AWS launches AWS European Sovereign Cloud and announces expansion across Europe, januari 2026
AWS, Overview of the AWS European Sovereign Cloud
The Register, Microsoft admits it 'cannot guarantee' data sovereignty, 25 juli 2025, over de hoorzitting van de Franse Senaat van 10 juli 2025
De overname van Aleph Alpha door Cohere is ontleend aan persberichtgeving van april 2026. We hebben geen stuk gezien dat de voorwaarden bevestigt en herhalen de gemelde prijs niet.
De eisen van SecNumCloud 3.2 zijn ontleend aan berichtgeving over het decreet van 12 augustus 2026 en het gepubliceerde kader van ANSSI.

Due diligence voor soevereine AI: zestien vragen voor elke provider