Wat betekent digitale soevereiniteit voor je AI-keuze? Europese modellen en het CLOUD Act-risico (2026)

Op 18 juni 2025 kreeg Microsoft Frankrijk in de Franse Senaat een directe vraag: kun je garanderen dat data van Franse burgers nooit zonder toestemming aan Amerikaanse autoriteiten wordt gegeven? Het antwoord van directeur publieke en juridische zaken Anton Carniaux was nee, met de toevoeging dat Microsoft ongegronde verzoeken contractueel bestrijdt en de klant probeert te informeren.

Dat is de eerlijkste samenvatting van digitale soevereiniteit die je van een Amerikaanse leverancier krijgt. Deze pagina vertaalt hem naar één vraag: wat moet je hiermee als je een AI-model kiest voor je bedrijf?

Het antwoord staat in drie delen: hoe de CLOUD Act werkt, wat de Europese aanbieders bieden en kosten, en waar onze eigen Claude-first-keuze in dit plaatje past. Voor het overzicht van alle modellen en routes is er de index over AI-modellen vergelijken.

Digitale soevereiniteit bij AI: drie lagen, geen vlag#

Digitale soevereiniteit is de mate waarin jij bepaalt wie bij je data kan en of je systemen blijven werken als een ander land iets besluit. Voor een AI-model splitst dat in drie lagen die elk een andere maatregel vragen.

Laag 1: jurisdictie. Onder welk recht valt de partij die je prompts, documenten en output verwerkt, en kan een buitenlandse overheid die partij dwingen tot afgifte?

Laag 2: beschikbaarheid. Kan de leverancier, of zijn overheid, je toegang tot het model intrekken, en heb je dan een alternatief dat binnen dagen werkt?

Laag 3: verwisselbaarheid. Zit het model zo in je software dat een wissel een configuratiewijziging is, of een herbouw?

De meeste discussies gaan alleen over laag 1 en verwarren die met de locatie van het datacenter. De juni-blokkade van 2026 ging over laag 2, en laag 3 is de enige die je volledig zelf in de hand hebt.

De CLOUD Act in één zin, en waarom een EU-datacenter hem niet uitschakelt#

De Amerikaanse wet staat in paragraaf 2713 van titel 18 van de federale wetgeving (18 USC 2713) en is korter dan de meeste samenvattingen. Een aanbieder van communicatie- of clouddiensten moet gegevens die hij "in zijn bezit, beheer of controle" heeft bewaren en afgeven, "ongeacht of die zich binnen of buiten de Verenigde Staten bevinden".

De aanknoping is dus de aanbieder, niet de server. Een Amerikaanse moedermaatschappij heeft controle over haar Europese dochter, en daarmee valt data in Frankfurt of Amsterdam onder dezelfde bevoegdheid als data in Virginia.

Dat geldt ook voor Anthropic. Wie in de EER een zakelijk contract sluit, doet dat volgens de commerciële voorwaarden met Anthropic Ireland, Limited, maar die vennootschap is een dochter van een Amerikaans bedrijf en dus geen schild tegen § 2713.

Microsoft heeft dit in 2025 het meest expliciet benoemd, en dat is relevant omdat wij Microsoft-licenties via Pax8 doorverkopen en dus ook belang hebben bij een eerlijke lezing. In april 2025 beloofde het bedrijf een Europese raad van bestuur voor zijn Europese datacenters en een "Digital Resilience Commitment": elk overheidsbevel om clouddiensten in Europa te staken zal het "promptly and vigorously contest", tot in de rechtszaal.

Twee maanden later zat Microsoft Frankrijk in de Senaat. De juridische verdedigingslijn was toen: bestrijden wat ongegrond is, de klant informeren waar dat mag, en verzoeken door eerdere rechtszaken "gerichter en beter onderbouwd" laten zijn.

Beide uitspraken zijn waar, en ze zeggen samen precies wat je moet weten: een Amerikaanse aanbieder kan de kans op afgifte verkleinen, maar niet uitsluiten. Alleen de nationaliteit van de aanbieder verandert die uitkomst.

Wat een EU-route bij een Amerikaanse cloud wél doet#

Een EU-route regelt de verwerkingslocatie en het contract, en dat is voor de AVG geen kleinigheid. Bij Google Cloud houdt het multiregio-endpoint eu de modelverwerking binnen de EU-lidstaten, met een toeslag van 10 procent op de globale prijs; bij Amazon Bedrock blijft een verzoek aan een EU-inferentieprofiel binnen de AWS-geografie EU, en dat zijn alleen EU-lidstaten als je het profiel aanroept vanuit een EU-lidstaat zoals Frankfurt.

Wat je daar per route precies mee afdekt, welke versies je krijgt en hoe je het aantoont, staat op de routepagina over Azure OpenAI, Bedrock en Vertex. De juridische onderbouwing van EU-verwerking per aanbieder, inclusief het Data Privacy Framework en artikel 48 AVG, staat op AI-modellen met EU-hosting.

Deze pagina voegt daar één zin aan toe: die routes verplaatsen de verwerking naar Europa, maar de verwerker blijft Amerikaans. Voor dossiers waarbij dat onaanvaardbaar is, heb je een Europese partij of eigen hardware nodig.

Het tweede risico: afgesloten worden#

Op vrijdag 12 juni 2026 meldde Anthropic dat het een brief van de Amerikaanse overheid had ontvangen met de opdracht de toegang tot Claude Fable 5 en Mythos 5 voor buitenlandse gebruikers op te schorten, uit nationale-veiligheidsoverwegingen. Anthropic schreef dat het "abruptly" beide modellen voor al zijn klanten moest uitschakelen om aan de opdracht te voldoen, en dat het vermoedde dat de overheid een mogelijke jailbreak van Fable 5 op het spoor was.

De reactie in Europa was fel. Een Europese politicus schreef op X dat een land dat voor zijn technologie van anderen afhangt "overnight" kan worden losgekoppeld, en Geert Wilders wilde zijn Fable 5 terug.

Bij CleverTech AI was het geen krantenbericht maar een werkdag zonder standaardmodel; hoe dat ging staat op Claude Fable 5 geblokkeerd. Sinds 1 september 2026 is Claude Fable 5.1 beschikbaar en is die episode gesloten.

De les blijft staan. Exportcontrole is een ander instrument dan de CLOUD Act, komt van dezelfde overheid en raakt je ongeacht welke hosting-route je koos.

Dit risico verkleint niet door een EU-datacenter, maar door laag 3: een architectuur waarin je binnen dagen naar een ander model schakelt. Dat is ook de enige maatregel die tegen een Europese aanbieder beschermt die failliet gaat of zijn API stopzet.

De eigen tabel: Europese AI-aanbieders, geschiktheid, prijs en CLOUD Act-blootstelling#

Onderstaande tabel is onze eigen samenstelling, met elke cel uit de aanbiederspagina zoals die op 18 september 2026 online stond. De prijzen zijn de bedragen die de aanbieder zelf toont; waar btw erin zit, staat dat erbij.

Vier dingen vallen op als je de tabel leest als MKB-bedrijf.

Mistral is de enige Europese partij met een compleet zakelijk pakket. Assistent, API, EU-endpoint, DPA en enterprise-features bestaan naast elkaar; de anderen leveren hosting van andermans open-weight modellen of maatwerk.

GPT-NL is in september 2026 geen keuze voor een MKB-bedrijf. Het is bewust geen universeel model, het is alleen open voor launching customers en de initiatiefnemers waarschuwen zelf voor een commerciële naamgenoot op gpt-nl.com.

De Franse en Duitse hosters zijn goedkoop voor open-weight werk. Een miljoen invoertokens gpt-oss-120b kost bij OVHcloud €0,08, minder dan een vijfde van de €0,44 die Mistral voor Large 3 rekent (bij uitvoer is het €0,40 tegen €1,30); welk open model welk werk aankan, staat op open-source AI-modellen zakelijk draaien.

Europees is niet automatisch volledig Europees. Mistral zegt zelf dat regionale inferentie de verwerking verplaatst, maar niet het beheer van accounts, sleutels en facturatie; en de Vibe-europrijs is een dollarbedrag plus 21 procent btw, wat je terugleest op de kostenpagina van Mistral.

De regionale toeslag als prijs van soevereiniteit#

Zowel Mistral als Google rekent 10 procent extra voor een vaste verwerkingsregio. Mistral biedt daarbovenop Enterprise APIs met "regional data processing controls" en SLA's tegen 75 procent boven de lijstprijs.

Reken dat om naar een proces. Stel dat je maandelijks 20 miljoen invoertokens en 4 miljoen uitvoertokens verwerkt op Mistral Large 3, dan is dat op de eurolijst €8,80 aan invoer en €5,20 aan uitvoer, samen €14, en via het EU-endpoint €15,40 per maand.

De toeslag is dus geen argument tegen EU-verwerking; het bouwwerk eromheen kost meer dan de tokens. Wat een volledig AI-project bij ons kost, staat op het kostenoverzicht van AI voor bedrijven.

Claude-first en digitale soevereiniteit: waar het wringt#

Claude is ons standaardmodel voor klantcode en interne tooling, en Anthropic is een Amerikaans bedrijf. Dat betekent drie dingen die we niet wegpoetsen.

Ten eerste valt Anthropic, inclusief zijn Ierse contractentiteit, onder de CLOUD Act. Ten tweede kent de eigen API van Anthropic geen Europese verwerkingsregio; de details van "global" en "us" staan op de EU-hostingpagina.

Ten derde heeft de Amerikaanse overheid in juni 2026 laten zien dat ze een Anthropic-model voor niet-Amerikanen kan uitzetten. Dat is geen theorie meer, dat is een datum.

Wat de EU-routes van Google Cloud en Bedrock dan wel oplossen: de verwerkingslocatie ligt vast in Europa, de verwerkersovereenkomst loopt via Google of AWS en Anthropic ziet je prompts niet. Wat ze niet oplossen: Google en Amazon zijn Amerikaans, en een exportmaatregel tegen Anthropic-modellen raakt ook de kopieën op hun platformen zolang die maatregel voor alle klanten geldt.

Onze werkwijze volgt uit die drie punten. Elke koppeling loopt via een eigen modellaag, zodat een wissel naar Mistral, een open-weight model op OVHcloud of een ander Amerikaans model een configuratiewijziging is en geen herbouw.

Eist een klant verwerking in de EU, dan zetten we een EU-route in, en voor dossiers waar Amerikaanse jurisdictie zelf het probleem is, zetten we Mistral via het EU-endpoint of zelf gehoste open-weight modellen in. Of Mistral voor jouw werk goed genoeg is, toetsen we per taak; de kwaliteitsvergelijking staat op Mistral of ChatGPT en Claude.

We zeggen er ook bij wat we niet doen. We bouwen geen Europese route om het principe, want voor een offertegenerator zonder persoonsgegevens is de beste modelkwaliteit belangrijker dan de vestigingsplaats van de aanbieder.

Wat Europa bouwt, en wat dat tussen nu en 2028 verandert#

De Europese Commissie heeft een voorstel voor de Cloud and AI Development Act aangenomen, COM(2026) 502. Het introduceert onder de noemer "autonomy" één EU-breed beoordelingskader voor cloud- en AI-soevereiniteit, gekoppeld aan een adoptiemechanisme voor de publieke sector.

Voor een MKB-bedrijf is dat vooral indirect relevant. Lever je aan overheden of gereguleerde sectoren, dan gaat de soevereiniteitsscore van jouw cloud- en AI-keten meewegen zodra het voorstel wet wordt.

Aan de infrastructuurkant heeft de EU een aanbesteding geopend voor maximaal zeven AI Gigafactories, faciliteiten met meer dan 100.000 geavanceerde AI-processors voor het trainen van modellen met biljoenen parameters. Daarnaast wees het EuroHPC-samenwerkingsverband in oktober 2025 zes nieuwe AI Factories aan, waaronder één in Nederland.

Dat is rekenkracht voor onderzoek en modelbouw, geen product dat je volgend kwartaal afneemt. De Europese modellen die je vandaag kunt kopen, staan in de tabel hierboven.

De AI-verordening verandert niet mee met je modelkeuze#

Een Europees model ontslaat je niet van de AI-verordening, en een Amerikaans model maakt haar niet strenger. De data uit de Digital Omnibus gelden voor elke aanbieder: transparantieplichten voor systemen die synthetische tekst, beeld of audio maken vanaf 2 augustus 2026, met uitloop tot 2 december 2026 voor systemen die al op de markt waren; hoog-risicosystemen uit bijlage III vanaf 2 december 2027; hoog-risico onder de productwetgeving van bijlage I vanaf 2 augustus 2028.

Wat wel verschuift, is het bewijs. Bij een Europese aanbieder of eigen hosting kun je de verwerkingsketen zonder Amerikaanse schakel documenteren, wat een DPIA en een leveranciersbeoordeling korter maakt.

Zo bepaal je hoeveel soevereiniteit jouw bedrijf nodig heeft#

Niet elk proces verdient dezelfde route, en de duurste route overal toepassen is verspilling. Dit is de volgorde die wij aanhouden.

1. Deel je AI-toepassingen in op datagevoeligheid. Openbare productteksten, interne documenten, persoonsgegevens van klanten, bijzondere persoonsgegevens of geheimhoudingsplichtige dossiers.
2. Koppel per laag een minimumroute. Openbaar: elk model op de globale API; persoonsgegevens: EU-route met DPA; bijzondere categorieën of geheimhouding: Europese aanbieder of eigen hosting.
3. Bouw de wissel in, ongeacht de route. Een modellaag met twee geteste alternatieven per toepassing, en een jaarlijkse oefening waarbij je daadwerkelijk overschakelt.
4. Leg de keuze vast in je AI-beleid en DPIA. Welke aanbieder, welk endpoint, welke contractentiteit en waarom dat volstaat; welk model AVG-technisch kan, staat op AI en AVG: welk model is AVG-proof.
5. Herzie bij elke leverancierswijziging. Een overname, een nieuw endpoint of een exportmaatregel is een trigger, niet een jaarlijkse agenda.

Deze indeling maken we in een AI readiness assessment: een nulmeting, gap-analyse en kansenlijst voor €3.500, vaste prijs. Je krijgt daarin per toepassing de route, de leverancier en de wisseloptie op papier.

Wil je eerst weten of dit voor jouw situatie speelt, bel 085 016 0118, of zet je vraag op de contactpagina. We zeggen ook eerlijk wanneer een EU-route van een Amerikaans model gewoon volstaat.

Veelgestelde vragen over digitale soevereiniteit en je AI-keuze#