EU-soeverein AI-platform.

Wat 'EU Sovereign' werkelijk betekent

EU-soevereine AI is meer dan 'EU-regio' bij Amerikaanse cloudaanbieders. Echte EU-soevereiniteit vereist vier lagen: ten eerste een EU-bedrijf als provider (een rechtspersoon naar EU-recht, geen Amerikaanse dochter), ten tweede EU-hostinginfrastructuur (servers in een EU-lidstaat, geen Amerikaanse cloudregio), ten derde LLM-verwerking in de EU (inferentie op EU-servers, contractueel gegarandeerd, geen training op klantdata), ten vierde een volledige verwerkersovereenkomst volgens AVG art. 28 met een transparante lijst van subverwerkers. Bij Amerikaanse hyperscalers is punt één al lastig, de moederconcerns vallen onder Amerikaans recht, bijvoorbeeld de CLOUD Act. 'EU-regio' verschuift alleen de serverlocatie, niet de rechtssoevereiniteit.

Schrems II + AVG art. 28, de juridische realiteit in 2026

Het Schrems II-arrest van het Europese Hof van Justitie uit 2020 heeft het Privacy Shield ten val gebracht en eist voor doorgiften naar derde landen een gelijkwaardig beschermingsniveau. Het Europees Comité voor gegevensbescherming heeft in zijn aanbevelingen 01/2020 beschreven hoe aanvullende maatregelen eruit kunnen zien. Sinds juli 2023 geldt voor gecertificeerde Amerikaanse aanbieders het adequaatheidsbesluit voor het EU-US Data Privacy Framework, het Gerecht van de EU heeft het in september 2025 bevestigd. Doorgiften aan zulke aanbieders zijn daarmee toegestaan, maar hangen af van een besluit dat politiek en juridisch omstreden is. Wie vanaf het begin in de EU verwerkt, heeft die grondslag niet nodig: geen doorgifte naar derde landen, geen transfer impact assessment voor dit deel.

AI Act art. 50, transparantieplicht vanaf 02-08-2026

Artikel 50 van de EU-AI-verordening 2024/1689 verplicht aanbieders vanaf 02-08-2026 tot disclosure bij AI-interacties in het eindklantcontact. Mensen moeten uiterlijk bij het eerste contact duidelijk te horen krijgen dat ze met een AI interacteren. Hoe dat gebeurt, laat de verordening open, gebruikelijk zijn een melding aan de telefoon, een zichtbare vermelding in de chat en een vermelding in de tekst van een e-mail. Overtredingen kunnen boetes tot € 15 mln. of 3% van de wereldwijde jaaromzet met zich meebrengen. Bij rinqo is de melding af fabriek ingesteld, in de chat en per e-mail vast, aan de telefoon in de vooraf ingestelde begroeting.

rinqo's volledig EU-stack in detail

Hosting: servers in Duitsland bij een Duitse aanbieder, verwerkersovereenkomst volgens AVG art. 28. App, API, database, vectordatabase, wachtrij en spraakdienst draaien daar allemaal. Back-ups staan versleuteld in de EU. Telefonie: een aanbieder gevestigd in Ierland. Taalmodel: AI-modellen met contractueel vastgelegde EU-gegevensverwerking (geen training op klantdata), daarbij een Europese uitwijkaanbieder die bij een storing overneemt. Spraakherkenning: een aanbieder met verwerking in Frankrijk, met verwerkersovereenkomst. Spraakuitvoer: een Duitse aanbieder, verwerking in de EU. De categorieën staan op /security, de lijst van subverwerkers met namen in het dashboard.

Wanneer EU-soeverein verplicht is, en wanneer niet

Wettelijk voorgeschreven is een EU-aanbieder niet: de AVG staat doorgiften naar derde landen toe onder de voorwaarden van hoofdstuk V, bijvoorbeeld met een adequaatheidsbesluit of standaardcontractbepalingen. Bijzonder zinvol is verwerking in de EU daar waar gegevens extra beschermd zijn: gezondheidsgegevens, cliëntgeheimen, financiële gegevens, alles wat onder een beroepsgeheim valt. Bij rinqo geldt voor deze gebieden daarnaast: voor gezondheidsgegevens sluit je vóór de start een aanvullende overeenkomst af, voor beroepsgeheimen geldt sectie 10 van de verwerkersovereenkomst. Minder kritisch zijn toepassingen zonder persoonsgegevens, zoals anonieme FAQ-bots op marketingpagina's.

Digitale soevereiniteit: waarom de serverlocatie een directiekwestie werd

Digitale soevereiniteit betekent: jij bepaalt wie volgens welk recht toegang heeft tot je bedrijfsdata. Jarenlang was dat een onderwerp voor de IT-afdeling. De Amerikaanse CLOUD Act heeft er een directiekwestie van gemaakt: Amerikaanse autoriteiten kunnen Amerikaanse aanbieders verplichten data af te geven, ongeacht waar de servers staan. Een datacenter in Frankfurt beschermt dus niet als de contractpartner een Amerikaans concern is. Daarom beslist tegenwoordig de directie over de serverlocatie, niet langer alleen de IT. In de praktijk bestaat digitale soevereiniteit uit drie criteria. Ten eerste EU-servers: je data wordt verwerkt en opgeslagen op servers in de EU. Ten tweede een EU-contractpartner: je wederpartij in de verwerkersovereenkomst valt onder Europees recht, niet onder de CLOUD Act. Ten derde exit-mogelijkheid: je kunt je data exporteren en van aanbieder wisselen zonder dat je bedrijf stilvalt. Ontbreekt een van de drie criteria, dan blijft de soevereiniteit onvolledig, hoe goed de marketing ook klinkt. Voor AI-systemen weegt dat dubbel zwaar, omdat telefoongesprekken, chats en e-mails met klantdata door het systeem lopen. Vraag daarom elke aanbieder naar precies deze drie punten. Bij rinqo zien de antwoorden er zo uit: servers in Duitsland in datacenters met ISO 27001-certificaat, verwerkersovereenkomst conform art. 28 AVG, taalmodelverwerking contractueel vastgelegd binnen de EU. Je data wordt niet gebruikt voor modeltraining. De complete stack is gedocumenteerd, elke component met aanbieder en regio.

• EU-servers: verwerking en opslag op servers in de EU
• EU-contractpartner: de wederpartij in de verwerkersovereenkomst valt onder Europees recht, niet onder de CLOUD Act
• Exit-mogelijkheid: data exporteerbaar, wisselen van aanbieder zonder bedrijfsstilstand

Lokale AI vs. Europese cloud: de realistische keuze voor het mkb

Voor de meeste mkb-bedrijven is de Europese cloud de haalbare route naar AVG-conforme AI. Lokale AI, dus eigen taalmodellen op eigen hardware, is de maximale vorm van controle: geen data die het pand verlaat, geen externe contractpartner, geen kwestie van doorgifte naar derde landen. Eerlijk gezegd heeft die controle een prijs. Krachtige taalmodellen vragen GPU-servers, waarvan je de aanschaf en stroomkosten zelf draagt. Daar komen beheer, monitoring, modelupdates, beveiligingspatches en personeel bij dat dit alles blijvend verantwoordt. Een telefoonagent vraagt bovendien realtimebeheer en een telefoniekoppeling; dat is continubedrijf, geen weekendproject. Lokale AI loont daarom vooral voor bedrijven met een eigen IT-team en bijzondere eisen. De Europese cloud levert de soevereiniteitsvoordelen zonder die beheerlast: EU-servers, een EU-contractpartner, verwerkersovereenkomst conform art. 28 AVG, en de aanbieder draagt beheer en updates. rinqo heeft bewust voor deze route gekozen. De servers staan in Duitsland, in datacenters met ISO 27001-certificaat. De taalmodelverwerking loopt contractueel vastgelegd binnen de EU, zonder training op jouw data. Een Europese uitwijkaanbieder neemt het over bij een storing. Bij het inrichten begeleiden we je, in de chat en per e-mail werken de agenten in 17+ talen, aan de telefoon in je hoofdtaal en in het Engels. De nuchtere rekensom: volledige controle tegenover calculeerbaar beheer. Voor telefoon, chat en e-mail in de dagelijkse mkb-praktijk wint bijna altijd de cloud.