Wie beheert jouw datastroom?

Twee vragen over dezelfde datastroom
De eerste vraag is technisch van aard: kunnen de gegevens betrouwbaar en op tijd hun bestemming bereiken? Dit is het ‘leidingwerk’ – de pijpleidingen die SaaS-tools, databases, datawarehouses en BI-lagen met elkaar verbinden. De meeste teams steken hier hun energie in, en dat is begrijpelijk; een circulatiesysteem dat vertraagt, lekt of verstopt raakt, is een noodsituatie.

De tweede vraag is juridisch van aard: terwijl de gegevens in beweging zijn, onder welke wetgeving vallen ze dan en wie kan toegang tot de gegevens afdwingen? Deze vraag krijgt veel minder aandacht. Maar deze vraag beslist over iets wat de eerste vraag niet kan – niet of je gegevens aankomen, maar wie er onderweg nog meer toegang toe kan krijgen.

De meeste organisaties richten hun aandacht volledig op de eerste vraag en zwijgen vrijwel over de tweede. De reden komt meestal neer op één onderscheid.

Europees adres, buitenlands recht
De keuze voor een Europees datacenter – en in toenemende mate voor een Europees AI-model zoals Mistral – geeft het gevoel van controle. Dat is slechts gedeeltelijk waar.

Dataresidentie gaat over waar bytes zich fysiek bevinden. Bij gegevenssoevereiniteit gaat het om wie de wettelijke bevoegdheid heeft om er toegang toe te krijgen. Een database die in München wordt gehost, draait nog steeds op infrastructuur die wordt beheerd door een bedrijf dat mogelijk onder een buitenlands rechtssysteem valt.

Dit was in juni 2025 niet langer theoretisch, toen de Franse dochteronderneming van Microsoft tijdens een hoorzitting van de Franse Senaat onder ede bevestigde dat zij niet kon garanderen dat in Frankrijk opgeslagen gegevens niet door Amerikaanse autoriteiten zouden worden ingezien. Het mechanisme is de Amerikaanse CLOUD Act van 2018, die Amerikaanse autoriteiten in staat stelt providers met hoofdkantoor in de VS te dwingen gegevens over te dragen, ongeacht waar ter wereld de servers zich bevinden. Deze wet is nooit formeel in overeenstemming gebracht met de AVG of de EU-gegevenswet, die juist de tegenovergestelde richting aangeven. Een Europese organisatie die gebruikmaakt van een grote Amerikaanse cloud heeft dus te maken met twee rechtsstelsels die stilletjes met elkaar in tegenspraak zijn – en ontdekt pas welk stelsel de overhand heeft wanneer er daadwerkelijk een verzoek binnenkomt.

En let op waar die toets bijna nooit wordt toegepast. Organisaties controleren de jurisdictie van de plaats waar hun gegevens zich bevinden. Veel minder organisaties stellen dezelfde vraag over het tussenliggende traject: de connectoren, pijplijnen en integratietools die de gegevens, hoe kort ook, bij elke stap tussen systemen vasthouden.

Gegevens in rust hebben één beheerder die je kunt benoemen. Gegevens die onderweg zijn, hebben er vaak meerdere, en die bevinden zich zelden allemaal op hetzelfde continent.

Het is niet genoeg om te vragen waar het bloed wordt opgeslagen. Je moet vragen wie zijn hand op de slagader heeft.

Europa geeft al antwoord op de vraag
In december 2025 schreef Airbus een aanbesteding uit – naar verluidt ter waarde van meer dan 50 miljoen euro en met een looptijd van maximaal tien jaar – om bedrijfskritische systemen te verplaatsen naar een soevereine Europese cloud, waarbij expliciet werd verwezen naar het toepassingsgebied van de CLOUD Act. Wat je ook van het juridische argument vindt, er is nu een investering met een looptijd van tien jaar aan gekoppeld.

Zij zijn niet de enigen die dit serieus nemen. Alle EU-lidstaten ondertekenden in november 2025 in Berlijn een Verklaring voor Europese digitale soevereiniteit – niet-bindend, maar een duidelijke koersbepaling. In juni 2026 stelde de Europese Commissie een Tech Sovereignty Package voor dat het gebruik van Amerikaanse cloudproviders voor gevoelige gegevens uit de publieke sector op het gebied van gezondheidszorg, financiën en justitie zou beperken.

En de meest specifieke versie van de vraag wordt al in de praktijk toegepast, in een aanbestedingsdocument in plaats van in een verklaring. Het ‘Cloud Sovereignty Framework’ van de Commissie beoordeelt cloudproviders aan de hand van acht soevereiniteitsdoelstellingen voor overheidsopdrachten. Een daarvan, SOV-3, heeft betrekking op de mate waarin AI-modellen en datapijplijnen, in de woorden van het kader, „onder EU-controle worden ontwikkeld, getraind, gehost en beheerd “. Niet het datacenter. De pijplijnen.

Pas dat criterium eerlijk toe en de datacenterkaart is niet langer het antwoord.

Een datacenter in Frankfurt dat wordt gevoed door een integratielaag met hoofdkantoor in Californië is slechts zo soeverein als de integratielaag zelf.

Vier vragen die het waard zijn om te stellen
Je hoeft geen jurist te zijn om dit serieus te nemen. Je moet betere vragen stellen over je eigen datastroom. Een paar vragen die elk data- of bedrijfsteam aan zijn stack en zijn providers kan stellen:

• Beheer, van begin tot eind. Onder wiens wetgeving opereert elke provider in mijn gegevensstroom?

• Wie heeft de sleutels in handen? Als een buitenlandse autoriteit een rechtmatig verzoek indient, levert mijn leverancier dan leesbare gegevens uit, of alleen versleutelde gegevens waarvan ik de sleutels beheer?

• Data in rust, data onderweg. Ik weet onder wiens wetgeving mijn gegevens zich bevinden. Weet ik ook onder wiens wetgeving ze worden verplaatst?

• Omkeerbaarheid. Als ik een gegevensstroom zou moeten verplaatsen, zou ik dat dan kunnen – of is de lock-in zo diep dat soevereiniteit slechts theoretisch is?
  

Controle is waar het om draait
Regelgeving zal blijven veranderen. SOV-3 is vandaag een criterium in een aanbestedingsdocument, en het bijbehorende instrument zal worden herschreven, hernoemd en opnieuw gewogen. Waar het om vraagt, zal niet veranderen. Elke verschuiving najagen is uitputtend en meestal niet ter zake.

Controle is wat blijft. Als gegevens de levensader van je organisatie zijn, dan is weten wie ze verplaatst – en wie er toegang toe heeft terwijl ze onderweg zijn – geen verplichte compliance-klus. Het is een vraag over hoeveel van je eigen vitale systeem je daadwerkelijk beheert.

Het is dus de moeite waard om deze vraag duidelijk te stellen, voordat iemand anders het antwoord voor je geeft: wie verplaatst jouw data?

Bronnen: Europese Commissie, Cloud Sovereignty Framework; Verklaring inzake Europese digitale soevereiniteit, 18 november 2025;EU Tech Sovereignty Package, CNBC, 3 juni 2026; Aanbesteding Airbus voor soevereine cloud, The Register, december 2025.

Deze blogpost is een bijdrage van Dataddo, een modern data-integratieplatform dat is ontwikkeld voor het AI-tijdperk. Dataddo helpt organisaties data uit diverse bronnen veilig te verbinden voor AI, analytics en rapportages, met volledige controle over hun data en zonder vendor lock-in. Lees meer op www.dataddo.com of bezoek Dataddo op Data Expo.