AI zonder dat je data naar de VS gaat.

AI zonder dat je data naar de VS gaat betekent dat de hele keten, van het taalmodel tot de server, niet in handen is van een Amerikaanse techgigant en niet onder Amerikaans recht valt. Dat klinkt als een detail voor juristen. Het is de eerste vraag die elke privacy officer stelt zodra er een AI-tool op tafel ligt.

Stel: een security officer bij een gemeente moet een AI-notuleertool goedkeuren voor de vergaderingen van het college. Ze leest de privacypagina, ziet "data opgeslagen in een Europese regio" staan en vinkt het vakje af. Een week later vraagt de functionaris gegevensbescherming door. Het datacenter staat inderdaad in Europa. Het moederbedrijf staat in de Verenigde Staten. En daarmee valt de hele dienst onder Amerikaans recht, hoe Europees de server ook is.

Om te zien hoe dat kan, helpt het om een AI-dienst even uit elkaar te halen.

Wat betekent AI zonder data naar de VS eigenlijk?

Een AI-dienst is geen enkel ding, maar een stapel lagen. Pas als je ze los ziet, snap je waar het misgaat.

• Het taalmodelHet model dat de samenvatting schrijft. Vaak van OpenAI, Microsoft of Google; soms een eigen model van de aanbieder.
• De spraak-naar-tekstDe stap die het gesprek omzet in woorden. Ook die draait ergens, bij iemand.
• De cloudDe servers waarop dit alles draait en waar de data staat.
• Het bedrijfDe eigenaar van de dienst, met het land waaronder het valt. Die jurisdictie bepaalt wie er wettelijk bij je data kan.

Bij de meeste AI-tools zit op minstens één van die lagen een Amerikaanse partij: het model komt van OpenAI, de cloud is van Amazon of Microsoft, of het bedrijf zelf is Amerikaans. Soevereine AI wil zeggen dat op geen van die lagen zo'n partij zit.

Soevereine AI, Europese AI, AI zonder Amerikaanse cloud, AI zonder Big Tech: het zijn verschillende woorden voor dezelfde vraag. Wie heeft jouw gesprek echt in handen, en onder welk recht valt dat?

Wat is de CLOUD Act, en raakt die EU-data?

De CLOUD Act is een Amerikaanse wet die Amerikaanse aanbieders verplicht data af te geven aan de Amerikaanse overheid, ook als die data in Europa staat. De volledige naam is Clarifying Lawful Overseas Use of Data Act.

Dat laatste is het hele punt. Een Amerikaans bedrijf valt onder Amerikaans recht, ook als de servers in Frankfurt of Amsterdam staan. Het Nationaal Cyber Security Centrum schreef in 2022 dat de kans dat de VS de CLOUD Act echt inzet bij Europese klanten klein is. Maar klein is niet nul, en de aanbieder kan het niet uitsluiten (zie de bronnen onderaan).

In 2025 werd dat concreet. Op 18 juni 2025 hield een onderzoekscommissie van de Franse Senaat een hoorzitting. Daar kreeg Anton Carniaux, directeur public affairs en juridische zaken van Microsoft Frankrijk, de vraag of hij onder ede kon garanderen dat gegevens van Franse klanten nooit zonder toestemming naar de Amerikaanse overheid zouden gaan.

Het citaat is vertaald uit het Frans, en het is inderdaad nog nooit gebeurd, zegt Microsoft er zelf bij. Maar garanderen kan de aanbieder het niet, en dat is precies het punt: het recht van het thuisland gaat voor. Hoe je een tool hierop zelf controleert, lees je bij veilig notuleren. Hier gaat het om het waarom, en het waarom begint bij een misverstand over de server.

Is een EU-cloud of een EU-datacenter genoeg?

Nee, niet automatisch. Een EU-datacenter regelt waar je data fysiek staat. Het regelt niet onder welk recht het bedrijf valt dat erbij kan.

Dat verschil wordt vaak weggepoetst. Een Amerikaanse aanbieder zet een datacenter in Europa, plakt er een EU-vlag en een certificaat op, en noemt het soeverein. In de praktijk heet dat soevereiniteit-washing: het ziet er Europees uit, maar het moederbedrijf, en daarmee de uiteindelijke zeggenschap, blijft Amerikaans. En de kans dat je zo'n constructie tegenkomt is groot: Amerikaanse hyperscalers hebben circa 70% van de Europese cloudmarkt in handen (Synergy Research Group, 2025).

"Onze data staat in Europa" en "onze data valt onder Europees recht" zijn dus twee verschillende beloftes. De eerste gaat over een plek. De tweede gaat over zeggenschap. Voor een doorsnee overleg maakt dat weinig uit. Voor een vertrouwelijk gesprek alles.

Waar je gesprek echt naartoe gaat.

Het makkelijkst zie je dit door twee routes naast elkaar te leggen. Niet als checklist, maar als de weg die je gesprek aflegt vanaf het moment dat iemand op opnemen drukt.

Route A: de gangbare route via Big Tech

1. Jouw gesprek. Iemand drukt op opnemen.
2. Naar een Amerikaans AI-model. De tool stuurt de audio of tekst naar een Amerikaans model, vaak OpenAI, Microsoft of Google onder de motorkap.
3. Opslag op een Amerikaanse cloud. Soms in een EU-regio, maar het moederbedrijf is Amerikaans.
4. Onder de CLOUD Act. Amerikaans recht reikt tot je data, waar die ook staat.
5. Bij gratis consumenten-AI vaak: training. Je invoer helpt het model verbeteren.

Route B: de route die in de EU blijft

1. Jouw gesprek. Iemand drukt op opnemen.
2. Eigen modellen in Amsterdam. Spraak-naar-tekst en samenvatting draaien op eigen, zelfgehoste modellen. Geen Amerikaanse partij in de keten.
3. Het verslag in ieders mail. Met samenvatting, besluiten en actiepunten, en de volledige transcriptie als bijlage.
4. Audio na verwerking gewist. Binnen een minuut. Geen archief.
5. Geen training, data blijft in de EU. Je gesprekken trainen niets.

Het verschil tussen de twee routes is niet "beter versleuteld". Beide kunnen sterk beveiligd zijn. Het zit in de eigenaar van de keten, niet in de plek van de server. Daarom bewijst een EU-vlag op een website nog niets.

Wanneer data naar de VS juist prima is.

Voor heel veel werk is een Amerikaanse AI-tool een prima keuze, en daar zijn we eerlijk over. Die tools zijn technisch sterk, goed beveiligd en koppelen met alles wat je al gebruikt. Voor een brainstorm, een openbare presentatie of een interne notitie zonder gevoelige inhoud is de herkomst van het model meestal geen probleem.

Het wringt op twee plekken. Bij vertrouwelijke gesprekken: een klant, een patiënt, een dossier, een collegevergadering, of een advocaat die onder geheimhouding werkt. En bij organisaties met harde eisen rond soevereiniteit of de AVG. Haal je gesprekken door een algemene chatbot in plaats van een notuleertool, lees dan eerst of ChatGPT AVG-proof is.

En eerlijk is eerlijk: een eigen Europese stack heeft ook nadelen. Minder integraties, geen wereldwijd ecosysteem van plugins, een kleiner bedrijf erachter. Dit is geen verhaal van goed tegen kwaad. Het is een keuze die afhangt van wat er in het gesprek wordt gezegd.

Hoe Notuly laat zien dat het kan.

De makkelijkste manier om te laten zien dat het kan, is iets dat zo gebouwd is. Daarom is Notuly zo gemaakt: dé AI-notulist voor elk gesprek, discreet fysiek, hybride en online.

Zo ziet dat eruit op een dinsdag. Half drie, een gesprek aan tafel: de telefoon in het midden, iemand drukt op opnemen, en het gesprek gaat gewoon door. Voor meetings via Teams, Zoom of Google Meet doet de desktop-app voor macOS en Windows hetzelfde vanaf je laptop. Na afloop staat het verslag binnen tien minuten in ieders mail: samenvatting, besluiten en actiepunten met eigenaar en moment ("Sam stuurt vrijdag het voorstel naar Daniël", "Leila plant dinsdag het vervolggesprek in"). En als je dat kiest, komt de transcriptie als .txt-bestand mee.

Wat de lezer niet ziet, is de route eronder. De hele AI-stap, van spraak naar tekst tot de samenvatting, draait op eigen, zelfgehoste modellen op servers in Amsterdam. Geen OpenAI, geen Microsoft, geen Google in de keten. De audio wordt binnen een minuut na verwerking gewist, er is geen archief, en je gesprekken zijn geen trainingsdata. Notuly verstaat 90+ gesproken talen en levert het verslag in het Nederlands of Engels.

Vanaf een Team-licentie hoort daar de verwerkersovereenkomst (AVG art. 28) bij, het document waarin de subverwerkers in die keten contractueel vastliggen (art. 28 lid 2 en 4 AVG). Hoe wij met je data omgaan staat zwart op wit bij Privacy & Security. Dat is route B, van begin tot eind.

Voor wie hierover beslist

Kort, voor wie dit moet goedkeuren op privacy, AVG en soevereiniteit:

• Valt onze data onder Amerikaans recht? Nee. De keten staat in Nederland en er zit geen Amerikaanse partij in.
• Waar wordt het verwerkt? In Amsterdam, op eigen, zelfgehoste modellen. Je data verlaat de EU niet.
• Wordt erop getraind? Nee, nooit. Gesprekken zijn geen trainingsdata en geen handelswaar.
• Krijgen we een verwerkersovereenkomst? Ja, beschikbaar vanaf een Team-licentie (AVG art. 28).

Wat het kost, staat bij de veelgestelde vragen hieronder. Staat het besluit nog open, lees dan hoe je vooraf een AVG-proof tool kiest.

Lees hoe Notuly veilig notuleert →

Bronnen.

• ICTRecht: de werking van de CLOUD Act bij dataopslag in Europa.
• NCSC, CLOUD Act Memo en CLOUD Act Requests: de nuance dat de praktijkkans klein is, maar niet nul.
• The Register: Microsoft erkent dat het datasoevereiniteit niet kan garanderen (hoorzitting Franse Senaat 18 juni 2025, gepubliceerd 25 juli 2025).
• Synergy Research Group: Amerikaanse hyperscalers houden circa 70% van de Europese cloudmarkt (24 juli 2025).
• European Data Protection Board (EDPB): international data transfers, de doorgifte naar derde landen onder de AVG.

Gebaseerd op openbare bronnen, geraadpleegd juni 2026 en nagelopen bij deze herziening. Wetgeving en bedrijfsbeleid veranderen; check de bron voor de actuele stand. Dit is algemene uitleg, geen juridisch advies.