Digitale soevereiniteit gaat over wie juridisch zeggenschap heeft over data, niet over waar die data fysiek staat. Veel organisaties gaan ervan uit dat ze veilig zitten zodra de cloudleverancier een datacenter in Frankfurt of Amsterdam heeft. Die aanname klopt niet automatisch: een Europees datacenter van een Amerikaans bedrijf valt nog steeds onder Amerikaans recht. De fysieke locatie van de server zegt niets over welke overheid via de leverancier toegang kan claimen.
De Cloud Act reikt over de Amerikaanse grens heen
De Amerikaanse Cloud Act verplicht Amerikaanse bedrijven om data af te geven aan Amerikaanse autoriteiten, ook als die data op servers buiten de Verenigde Staten staat. Werkt een Europese organisatie met Microsoft, Google of Amazon, dan valt die via het Amerikaanse moederbedrijf onder deze wet. Het maakt daarbij niet uit of het datacenter in Ierland of Duitsland staat.
Dit botst direct met de AVG. De AVG vereist dat persoonsgegevens beschermd zijn tegen ongeautoriseerde toegang door derde landen, en de Cloud Act is precies zo'n toegangsroute, wettelijk verankerd in Amerikaans recht. Dat spanningsveld bestaat al jaren en is nog niet structureel opgelost.
Safe Harbor en Privacy Shield sneuvelden allebei bij het Hof
De EU en de VS hebben dit probleem al drie keer geprobeerd op te lossen. Eerst met Safe Harbor, vervolgens met Privacy Shield. Beide regelingen zijn door het Europese Hof van Justitie ongeldig verklaard, telkens na een klacht van privacyactivist Max Schrems. De reden was steeds dezelfde: Amerikaanse surveillancewetgeving biedt onvoldoende garanties voor Europese burgers, ongeacht wat er op papier is afgesproken.
De huidige opvolger, het Data Privacy Framework, doorstond in 2025 zijn eerste juridische toets bij het Europese Gerecht. Critici, onder wie Schrems zelf, hebben aangegeven dat verdere procedures volgen. De zorg blijft hetzelfde: het raamwerk leunt op Amerikaanse uitvoeringsbesluiten die zonder nieuwe wetgeving weer kunnen worden teruggedraaid. Veel juristen houden serieus rekening met een derde ronde voor het Hof, soms al aangeduid als "Schrems III".
De juridische onzekerheid ligt bij de gebruiker van cloud-AI
Zolang dit onzeker blijft, is elke organisatie die Amerikaanse cloud-AI gebruikt voor vertrouwelijke data afhankelijk van de uitkomst van een rechtszaak die ze niet zelf voert. Verandert het raamwerk, dan kan een overstap naar een andere oplossing op korte termijn nodig zijn, vaak met aanzienlijke kosten voor migratie en herinrichting.
Daar komt de EU AI Act bovenop. Deze wet wordt gefaseerd van kracht en stelt eigen eisen aan AI-systemen, los van de AVG. Voor sommige toepassingen, vooral in gereguleerde sectoren, gelden inmiddels strengere classificatie-eisen voor wat als "hoog risico" geldt.
Twee routes uit de afhankelijkheid
De eerste route is een Europese aanbieder kiezen die volledig buiten het Amerikaanse rechtsgebied valt, zowel qua eigendom als qua infrastructuur. Dat is soeverein op papier, maar in de praktijk lastig te garanderen omdat veel Europese clouddiensten nog steeds Amerikaanse hardware of onderliggende diensten gebruiken.
De tweede route is dat de data het pand nooit verlaat. Zonder cloudleverancier is er geen discussie over jurisdictie en geen rechtszaak in Luxemburg om af te wachten. Dit is het uitgangspunt van KennisKluis: een eigen mini-computer met AI-chip en softwaresuite die volledig op locatie draait. De vraag onder welk recht de cloudleverancier valt, vervalt daarmee.
Geen juridisch advies
Dit artikel geeft algemene achtergrondinformatie en is geen juridisch advies. Bij twijfel over een specifieke situatie onder de Cloud Act of de AVG is een gespecialiseerde jurist de aangewezen route.