Europa of de VS?
Wat de regels echt betekenen.
Het korte antwoord
Gegevens doorgeven aan Amerikaanse AI-aanbieders mag op dit moment via het EU-VS Data Privacy Framework; het Europese Gerecht liet dat op 3 september 2025 in stand, en het hoger beroep loopt nog. Daarnaast geldt de Amerikaanse CLOUD Act: een Amerikaans bedrijf moet gegevens afgeven waar ze ook staan. Een Europese server bij een Europese hoster beschermt je opslag daartegen beter; de tekst die naar een Amerikaans taalmodel gaat, valt wel onder Amerikaans recht.
Wat waar onder valt
| Wat | Valt onder Amerikaans recht? | Waarom |
|---|---|---|
| Opslag bij een Amerikaanse cloud, ook in een Europees datacenter | ja | de CLOUD Act geldt voor wat een Amerikaans bedrijf in handen heeft, waar het ook staat |
| Opslag bij een Europese hoster zonder Amerikaans moederbedrijf | in de regel niet | geen Amerikaans bedrijf dat de gegevens in handen heeft |
| Tekst die naar een Amerikaans taalmodel gaat | ja | de aanbieder is Amerikaans |
| Tekst die naar een Europees taalmodel gaat (bijvoorbeeld Mistral, EU-opslag) | in de regel niet | opslag standaard in de EU; subverwerkers kunnen afwijken |
Het Data Privacy Framework
Sinds juli 2023 mogen persoonsgegevens naar gecertificeerde Amerikaanse bedrijven op grond van het Data Privacy Framework. Het Gerecht van de EU verwierp op 3 september 2025 het beroep daartegen; dat hoger beroep loopt. Mocht het Hof het framework vernietigen, dan valt doorgifte terug op standaardcontractbepalingen met een eigen risicotoets, zoals tussen 2020 en 2023.
De CLOUD Act en FISA
De CLOUD Act (sinds 2018) verplicht een Amerikaans bedrijf om gegevens die het in handen heeft af te geven op een bevel, ongeacht waar ze staan. FISA 702, de bevoegdheid voor buitenlandse inlichtingen, is als wet verlopen op 12 juni 2026, maar de bestaande certificeringen blijven geldig tot 17 maart 2027.
Een “soevereine cloud” van een Amerikaans bedrijf regelt waar gegevens liggen en wie de systemen bedient; het neemt die Amerikaanse rechtsmacht niet weg.
Wat dit betekent voor je keuze
Wil je je opslag buiten Amerikaanse rechtsmacht, kies dan een Europese hoster zonder Amerikaans moederbedrijf. Voor het denkwerk kies je tussen de sterkste modellen (die nu vooral Amerikaans zijn) en een Europees model, dat volgens Epoch AI gemiddeld zo’n vier maanden achterloopt. Bij Oneeno staat de server bij een Europese hoster; het denkwerk gaat naar Anthropic.
Op het gebied van Europese opslag is een soevereine cloud van een grote aanbieder ook goed geregeld. Die biedt dat niet in combinatie met een hoster zonder Amerikaans moederbedrijf en een server die alleen van jou is.
Veelgestelde vragen
Is het Data Privacy Framework ongeldig verklaard?
Nee. Het Gerecht van de EU liet het op 3 september 2025 in stand. Het hoger beroep bij het Hof loopt nog.
Wat is de CLOUD Act en geldt die ook voor data in Europa?
De CLOUD Act verplicht Amerikaanse bedrijven gegevens af te geven die zij in handen hebben, ook als die in Europa staan. Bij een Europese hoster zonder Amerikaans moederbedrijf speelt dat in de regel niet.
Kan een AI-assistent mijn mailbox lezen zonder dat de data naar Amerika gaat?
De mail zelf blijft waar hij staat. Wat de assistent per vraag naar een Amerikaans taalmodel stuurt, gaat wel naar de VS. Wil je dat niet, dan is een Europees of lokaal model de keuze, met wat minder kwaliteit.
Wil je weten waar jouw gegevens naartoe gaan?
We laten per leverancier zien wat er gebeurt.
Bronnen
- 18 U.S.C. § 2713 (CLOUD Act), Cornell Legal Information Institute
- Brennan Center for Justice, over het verlopen van FISA 702, 22 september 2026
- Algemene verordening gegevensbescherming (AVG), EUR-Lex
- Epoch AI, open-weight modellen lopen ongeveer vier maanden achter, 29 mei 2026
- Mistral AI Help Center, gegevensgebruik en training, 31 augustus 2026