EU-soeverein AI-platform.

Wat 'EU Sovereign' werkelijk betekent

EU-soevereine AI is meer dan 'EU-regio' bij Amerikaanse cloudaanbieders. Echte EU-soevereiniteit vereist vier lagen: ten eerste een EU-bedrijf als provider (een rechtspersoon naar EU-recht, geen Amerikaanse dochter), ten tweede EU-hostinginfrastructuur (servers in een EU-lidstaat, geen Amerikaanse cloudregio), ten derde LLM-verwerking in de EU (inferentie op EU-servers, contractueel gegarandeerd, geen training op klantdata), ten vierde een volledige verwerkersovereenkomst volgens AVG art. 28 met een transparante lijst van sub-verwerkers. Bij Amerikaanse hyperscalers is punt één al problematisch, de moederconcerns zijn Amerikaanse rechtssubjecten, de jurisdictie volgt het Amerikaanse recht (Schrems II). 'EU-regio' verschuift alleen de serverlocatie, niet de rechtssoevereiniteit.

Schrems II + AVG art. 28, de juridische realiteit in 2026

Het Schrems II-arrest van het Europese Hof van Justitie uit 2020 heeft Amerikaanse derdelanddoorgiften van persoonsgegevens als principieel problematisch aangemerkt. EDPB-verduidelijkingen 2024 hebben aangescherpt: aanvullende waarborgen (TIA, versleuteling, sub-processor-audits) zijn verplicht, Amerikaanse cloudaanbieders met een Amerikaans moederbedrijf moeten afzonderlijk worden gerechtvaardigd. Voor praktijken, kantoren, banken en alle mkb-bedrijven met persoonsgegevens in AI-workflows wordt dat vanaf 2026 een regulatoir breekpunt. Een EU-soevereine stack omzeilt het probleem vanaf het begin, geen derdelanddoorgiften, geen TIA-verklaring, geen Amerikaanse cloud-audit nodig.

AI Act art. 50, transparantieplicht vanaf 02-08-2026

Artikel 50 van de EU-AI-verordening 2024/1689 verplicht aanbieders vanaf 02-08-2026 tot disclosure bij AI-interacties in het eindklantcontact. Concreet: AI-oproepen moeten in de openingszin als AI worden aangeduid, AI-chats hebben een zichtbaar disclosurebanner nodig, AI-e-mails een standaardmelding. Overtredingen kunnen boetes tot € 15 mln. of 3% van de wereldwijde jaaromzet met zich meebrengen. Bij Amerikaanse aanbieders ligt de compliance-implementatie aan de koperszijde, je moet in elke workflow de disclosuremelding inbouwen. rinqo doet dat automatisch in alle kanalen.

rinqo's volledig EU-stack in detail

Hosting: Hetzner Online GmbH, Falkenstein en Nürnberg, een Duitse verwerkersovereenkomst volgens AVG art. 28. App + API + database + vectordatabase + queue + voice-service allemaal op Hetzner-hardware. Voice-pipeline: zelf beheerd op Hetzner-hardware, telefonie via EU-datacenters (Dublin en Frankfurt). LLM: AI-modellen met contractueel gegarandeerde gegevensverwerking in de EU (geen training op klantdata), een puur Europese uitwijk-aanbieder als opt-in failover (sub-verwerker pas bij geactiveerde optie). STT: spraakherkenning in een EU-setup met verwerkersovereenkomst; spraakherkenning op eigen servers in Duitsland als uitbouwfase. TTS: een Duitse spraaksynthese-aanbieder, gehost in de EU, koppeling via API. De volledige lijst van sub-verwerkers is gedocumenteerd op /security.

Wanneer EU-soeverein verplicht is, en wanneer niet

Verplicht: praktijken met patiëntgegevens, kantoren met cliëntgesprekken, banken/verzekeraars met financiële gegevens, alle branches met een beroepsgeheim (belastingadvies, notariaat, medische beroepen), openbaar bestuur. Sterk aanbevolen: alle DACH-mkb-bedrijven met medewerkersgegevens in AI-workflows. Optioneel: puur productgerelateerde toepassingen zonder persoonsgegevens (bijv. anonieme FAQ-bots op marketingpagina's). Wie dit filter niet duidelijk bedient, riskeert bezwaren van de privacytoezichthouder en boetes onder de EU AI Act en de AVG.

Digitale soevereiniteit: waarom de serverlocatie een directiekwestie werd

Digitale soevereiniteit betekent: jij bepaalt wie volgens welk recht toegang heeft tot je bedrijfsdata. Jarenlang was dat een onderwerp voor de IT-afdeling. De Amerikaanse CLOUD Act heeft er een directiekwestie van gemaakt: Amerikaanse autoriteiten kunnen Amerikaanse aanbieders verplichten data af te geven, ongeacht waar de servers staan. Een datacenter in Frankfurt beschermt dus niet als de contractpartner een Amerikaans concern is. Daarom beslist tegenwoordig de directie over de serverlocatie, niet langer alleen de IT. In de praktijk bestaat digitale soevereiniteit uit drie criteria. Ten eerste EU-servers: je data wordt verwerkt en opgeslagen op servers in de EU. Ten tweede een EU-contractpartner: je wederpartij in de verwerkersovereenkomst valt onder Europees recht, niet onder de CLOUD Act. Ten derde exit-mogelijkheid: je kunt je data exporteren en van aanbieder wisselen zonder dat je bedrijf stilvalt. Ontbreekt een van de drie criteria, dan blijft de soevereiniteit onvolledig, hoe goed de marketing ook klinkt. Voor AI-systemen weegt dat dubbel zwaar, omdat telefoongesprekken, chats en e-mails met klantdata door het systeem lopen. Vraag daarom elke aanbieder naar precies deze drie punten. Bij rinqo zien de antwoorden er zo uit: hosting bij Hetzner in Falkenstein en Neurenberg (ISO 27001:2022), verwerkersovereenkomst conform art. 28 AVG, taalmodelverwerking contractueel gegarandeerd binnen de EU. Je data wordt niet gebruikt voor modeltraining. De complete stack is gedocumenteerd, elke component met aanbieder en regio.

• EU-servers: verwerking en opslag op servers in de EU
• EU-contractpartner: de wederpartij in de verwerkersovereenkomst valt onder Europees recht, niet onder de CLOUD Act
• Exit-mogelijkheid: data exporteerbaar, wisselen van aanbieder zonder bedrijfsstilstand

Lokale AI vs. Europese cloud: de realistische keuze voor het mkb

Voor de meeste mkb-bedrijven is de Europese cloud de haalbare route naar AVG-conforme AI. Lokale AI, dus eigen taalmodellen op eigen hardware, is de maximale vorm van controle: geen data die het pand verlaat, geen externe contractpartner, geen kwestie van doorgifte naar derde landen. Eerlijk gezegd heeft die controle een prijs. Krachtige taalmodellen vragen GPU-servers, waarvan je de aanschaf en stroomkosten zelf draagt. Daar komen beheer, monitoring, modelupdates, beveiligingspatches en personeel bij dat dit alles blijvend verantwoordt. Een telefoonagent vraagt bovendien realtimebeheer en een telefoniekoppeling; dat is continubedrijf, geen weekendproject. Lokale AI loont daarom vooral voor bedrijven met een eigen IT-team en bijzondere eisen. De Europese cloud levert de soevereiniteitsvoordelen zonder die beheerlast: EU-servers, een EU-contractpartner, verwerkersovereenkomst conform art. 28 AVG, en de aanbieder draagt beheer en updates. rinqo heeft bewust voor deze route gekozen. Gehost wordt bij Hetzner in Falkenstein en Neurenberg (ISO 27001:2022). De taalmodelverwerking loopt contractueel gegarandeerd binnen de EU, zonder training op jouw data. Een puur Europese uitwijk-aanbieder staat klaar als opt-in failover. De setup verloopt door ons, meerdere agenten (telefoon, chat, e-mail, persoonlijke assistent, marketingagent) werken in 17+ talen. De nuchtere rekensom: volledige controle tegenover calculeerbaar beheer. Voor telefoon, chat en e-mail in de dagelijkse mkb-praktijk wint bijna altijd de cloud.