Sluis vs Cloudflare AI Gateway

De korte versie

Cloudflare AI Gateway is een proxy op het netwerk van Cloudflare. Je wijzigt één URL en krijgt analytics, logging, caching, ratelimieten, retries en model-fallback voor providers zoals OpenAI, Anthropic en Google. De kernfuncties zijn gratis en beschikbaar op alle Cloudflare-plannen.

Sluis is een beheerde gateway die in de EU wordt gehost door 7Lab B.V. in Amsterdam. Elk verzoek doorloopt Inspect, Route, Seal: gevoelige waarden worden gedetecteerd en gepseudonimiseerd, een residentiebeleid bepaalt of de bestemming is toegestaan, en het verzoek wordt weggeschreven in een hashgekoppeld auditlogboek. Sluis spreekt de protocollen van OpenAI en Anthropic Messages; Cloudflare documenteert een OpenAI-compatibel endpoint en een Anthropic-providerendpoint.

In één oogopslag

	Cloudflare AI Gateway	Sluis
Beheerder	Cloudflare, Inc., San Francisco	7Lab B.V., Amsterdam
Hosting	Wereldwijd netwerk van Cloudflare	Beheerde dienst gehost in de EU; optioneel zelfgehoste Sluis Edge
Controle over providerresidentie	Niet beschreven in de AI Gateway-docs die we lazen; Data Localization Suite vermeldt AI Gateway als incompatibel met Regional Services	Organisatiebeleid afgedwongen bij verzending; standaard alleen EU, andere worden geweigerd met 403
Gevoelige data	DLP markeert of blokkeert treffers in prompts en antwoorden	Detecteert en pseudonimiseert omkeerbaar vóór verzending; herstelt in het antwoord
Veiligheidscontroles	Guardrails (Llama Guard 3 8B), markeren of blokkeren	Optionele prompt-injectiescan en scopebewaker per workload, loggen of blokkeren
Logs	Prompts en antwoorden standaard gelogd, per gateway of verzoek uit te schakelen	Auditregel per verzoek, hashgekoppeld, offline te verifiëren
Budgetten	Regels voor uitgavenlimieten, maximaal 20 per gateway	Ratelimieten en budgetten per workload, afgeboekt vóór verzending
MCP	Apart product (MCP-serverportals in Cloudflare One)	Toolaanroepen passeren dezelfde poort als chatverzoeken
Basisprijs	Gratis; logs, guardrails en Logpush hebben aparte prijzen	Lijstprijs van de provider + 10%; BYOK EUR 0,50 per 1M tokens

Datalocatie en jurisdictie

De documentatie van Cloudflare beschrijft AI Gateway als een proxy op zijn netwerk. De compatibiliteitstabel van de Data Localization Suite markeert AI Gateway als niet compatibel met Regional Services of Geo Key Manager, en als compatibel met kanttekeningen voor de Customer Metadata Boundary. In de AI Gateway-pagina's vonden we geen instelling die beperkt welke providerregio een verzoek mag bereiken.

Sluis behandelt residentie als organisatiebeleid. De standaard staat alleen het EU-rechtsgebied toe, en een verzoek dat een provider buiten de toegestane set zou bereiken, wordt vóór verzending geweigerd met 403. EU-eigendom van de provider is een aparte beperking, omdat een EU-serveringsregio niet betekent dat de provider in EU-handen is. Het verruimen van het beleid is een expliciet, vastgelegd besluit. Zie residentie en modellen.

Over eigendom: Cloudflare, Inc. is een Amerikaans bedrijf. Onder de CLOUD Act kan een aanbieder die onder Amerikaanse jurisdictie valt, worden bevolen gegevens te verstrekken die in zijn bezit of onder zijn beheer of controle zijn, waar ze ook zijn opgeslagen. Sluis wordt beheerd door een Nederlands bedrijf, dus het EU-recht is erop van toepassing, maar dat is geen immuniteit tegen elke overheid, en als je in je beleid een Amerikaanse modelprovider toestaat, geldt de jurisdictie van die provider voor wat hij ontvangt. Onze CLOUD Act-gids geeft het evenwichtige beeld.

Gevoelige data en guardrails

De DLP van Cloudflare scant prompts en antwoorden met dezelfde detectieprofielen als Cloudflare One en kent twee acties: markeren of blokkeren. Het is gratis op alle plannen, met twee voorgedefinieerde profielen (financiële informatie, en sociale-zekerheids-, verzekerings- en nationale identificatienummers), tenzij het account een Zero Trust-abonnement heeft, dat de volledige profielenset ontgrendelt. Gedocumenteerde beperkingen: beleid geldt per gateway zonder profielkeuze per verzoek, base64-inhoud en bijlagen worden niet gedecodeerd, en met responsescanning aan worden gestreamde antwoorden volledig gebufferd voordat ze worden vrijgegeven.

Sluis handelt op het verzoek voordat het vertrekt. Zestig ingebouwde detectoren dekken persoonsgegevens en geheimen, met een pakket nationale identiteitsnummers dat in 12 EU-landen de controlecijfers valideert. Het beleid kan blokkeren, maskeren, loggen of omkeerbaar pseudonimiseren: elke waarde wordt een getypeerd token zoals «EMAIL_1», en het antwoord wordt op de terugweg hersteld naar de echte waarden, ook bij streaming. Detectie is niet perfect, en het gebruik van Sluis maakt je op zichzelf niet AVG-conform. Met overrides per workload kunnen verschillende teams in verschillende modi werken. Details staan in gegevensbescherming.

Voor inhoudsveiligheid draait Cloudflare Guardrails Llama Guard 3 8B op Workers AI met per categorie markeren, negeren of blokkeren, plus detectie van prompt-injectie. De docs vermelden een typische extra latentie van ongeveer 500 ms per verzoek en dat streaming niet wordt ondersteund zolang Guardrails aanstaan. Sluis biedt een prompt-injectiescan (uit, loggen of blokkeren) en een scopebewaker per workload die verzoeken buiten de scope weigert. Ook de eigen optionele controles van Sluis kosten tijd: het Deep-niveau voor naamherkenning voegt aanzienlijke latentie toe voordat het antwoord begint.

Logging en audit

Logs van Cloudflare kunnen de prompt, het antwoord, de provider, tokens, kosten en duur bevatten. Logging staat standaard aan en kan per gateway of per verzoek worden uitgezet, of worden beperkt tot metadata. De auditlogs van Cloudflare voor AI Gateway dekken configuratiewijzigingen zoals het aanmaken of verwijderen van een gateway, niet de individuele verzoeken.

Sluis schrijft één auditregel per verzoek. Elke hash is sha256(prev_hash + record), dus het wijzigen van een veld breekt elke latere schakel, en sluis-gateway audit verify-chain controleert dit offline. Bewaren van inhoud staat standaard aan, is versleuteld opgeslagen en kan worden gewist terwijl de metadata en hashschakels verifieerbaar blijven. Om te debuggen volstaan de logs van Cloudflare. Als bewijs dat niemand het record heeft bewerkt, is een hashketen het sterkere antwoord.

Routing, budgetten en agents

De dynamische routing van Cloudflare is een visuele of JSON-flow met voorwaarden, procentuele splitsingen voor A/B-tests, modelknooppunten, knooppunten voor ratelimieten en budgetten, versies en directe rollback. Uitgavenlimieten gelden per model, provider of metadatawaarde en geven 429 wanneer ze worden overschreden. Dynamische routes kunnen ook vertakken op requestbody, headers of metadata, zodat je zelf regio-gebaseerde regels kunt bouwen.

Sluis routeert op beleid en op beheerde aliassen zoals sluis/auto. Workloads beheren ratelimieten, budgetten en lijsten met toegestane modellen; elk verzoek wordt geprijsd uit een actueel prijsboek en vóór verzending afgeboekt, en voorbij het budget geeft het verzoek 402. MCP-toolaanroepen passeren dezelfde poort met standaard geweigerde toegangsrechten. Zie budgetten en MCP.

Prijzen

De kernfuncties van Cloudflare zijn gratis. Gateways die op of na 24 september 2026 zijn aangemaakt, gebruiken voor logs de prijzen van Workers Logs. Guardrails worden gefactureerd als Workers AI-inferentie. Unified Billing, waarbij Cloudflare het providergebruik factureert, voegt een toeslag van 5% toe op gekocht tegoed.

Sluis heeft geen abonnement of kosten per gebruiker. Beheerd gebruik kost de lijstprijs van de provider + 10%. Met je eigen providersleutels rekent Sluis EUR 0,50 per 1M input- plus outputtokens. Self-service is vooruitbetaald met een minimum van EUR 25 en zonder gratis laag, en toeslagen per betaalmethode zijn van toepassing. Naamherkenning kost EUR 0,005 of EUR 0,01 per geïnspecteerd verzoek en een voltooide injectiescan EUR 0,01. Zie prijzen.

Als je alleen je eigen sleutels wilt proxyen, is Cloudflare goedkoper. Sluis rekent voor de handhaving die het toevoegt. Voor de andere gateways op de shortlist, zie AI-gateways voor Europese organisaties vergeleken.

Wanneer Cloudflare AI Gateway beter past

Je draait al op Cloudflare en wilt AI-verkeer in hetzelfde dashboard.
Je behoefte is zicht, caching, ratelimieten en fallback, en je wilt het gratis en binnen enkele minuten live.
Je applicaties bedienen gebruikers wereldwijd en je waardeert een wereldwijd edge-netwerk voor de providers.
Je wilt visuele dynamische routing met A/B-splitsingen en rollback.

Wanneer Sluis beter past

Je moet voorkomen dat een verzoek een niet-EU-provider bereikt, niet alleen het observeren.
Je wilt persoonsgegevens vervangen vóór verzending en hersteld bij terugkomst, niet alleen gemarkeerd of geblokkeerd.
Auditors hebben een record nodig waarvan je kunt aantonen dat het sinds het schrijven niet is gewijzigd.
Medewerkers, applicaties en codeeragents moeten één beleid en één spoor delen.
Je wilt een beheerde EU-operator, of een zelfgehost dataplane via Sluis Edge.

Veelgestelde vragen

Dwingt Cloudflare AI Gateway alleen-EU-routing af?

In de AI Gateway-pagina's die we lazen vonden we zo'n controle niet, en de tabel van de Data Localization Suite vermeldt AI Gateway als incompatibel met Regional Services. Dynamische routes kunnen vertakken op metadata, dus je kunt zelf een regel bouwen. Vraag Cloudflare om bevestiging als handhaving een eis is.

Kan ik Claude Code of de Anthropic-SDK met beide gebruiken?

Ja. Cloudflare documenteert een Anthropic-providerendpoint en een Claude Code-integratie. Sluis serveert de Anthropic Messages API native en kan die verzoeken naar elke gekoppelde provider routeren.

Is Sluis sneller dan Cloudflare AI Gateway?

We hebben de twee niet tegen elkaar gemeten. De interne benchmark van Sluis vergelijkt alleen de eigen poort aan en uit; zie prestaties. De plaatsing in het netwerk van Cloudflare kan zwaarder wegen voor wereldwijd verspreide clients.

Wat is goedkoper?

Voor doorsturen van je eigen sleutels Cloudflare, waarvan de kernfuncties gratis zijn. Sluis kost de lijstprijs van de provider + 10%, of EUR 0,50 per 1M tokens voor BYOK, in ruil voor afgedwongen beleid en verzegelde audit.