Een grote Nederlandse overheidsdienst stapt over van een Europees AI-model naar Microsoft Copilot. De minister zegt dat het veilig is, maar parlementairen stellen vragen over soevereiniteit en controle. Als zelfs publieke instellingen worstelen met die afweging, is de kans groot dat jouw bedrijf dezelfde vragen nog niet gesteld heeft aan de eigen AI-leverancier. Dat is geen verwijt, het is een kans. Want wie nu de juiste vragen stelt, voorkomt morgen aansprakelijkheid, dataverlies of een contract dat je niet meer kunt verlaten.
Het Nederlandse Uitvoeringsinstituut Werknemersverzekeringen (UWV) stopte eerder dit jaar met de tijdelijke pilot rond het Europese Mistral Le Chat en zet een nieuwe pilot voort met Microsoft Copilot Chat. Computable meldt dat die keuze past binnen de bestaande Microsoft-omgeving van UWV, met betere beheermogelijkheden die beter aansluiten op de interne eisen van de organisatie. Minister Vijlbrief stelde dat de pilot past binnen rijksbrede kaders voor verantwoord gebruik van generatieve AI (kunstmatige intelligentie) en dat die voldoet aan de geldende veiligheidseisen. Enkele Kamerleden uitten echter zorgen over digitale soevereiniteit, lees: de vraag wie eigenlijk de controle heeft over overheidsgevoelige data als die verwerkt wordt door een niet-Europese aanbieder.
Dit is geen klein detail. Een publieke instelling met gevoelige data over miljoenen burgers kiest bewust voor een Amerikaans platform en aanvaardt daarmee een bepaald risicoprofiel. De ministeriele geruststelling is begrijpelijk, maar de technische en contractuele details achter die garanties zijn niet publiek beschikbaar. Dat is precies de onzekerheid die jij als bedrijfsleider of CFO ook kent: een leverancier belooft veiligheid, maar wat staat er eigenlijk in het contract?
Wanneer grote publieke spelers niet-Europese AI-aanbieders normaliseren, verschuiven ook de marktverwachtingen voor kmo’s. Leveranciers gebruiken dat momentum: ‘Als UWV het gebruikt, zal het wel veilig zijn.’ Dat is geen garantie, dat is een verkoopargument.
Een concreet technisch risico dat vaak over het hoofd gezien wordt: zogenaamde ‘flex routing’. Dat betekent dat je data tijdelijk buiten de EU verwerkt kan worden, ook als je een Europese opslaglocatie hebt afgesproken. Hands-on ICT wijst erop dat dit ook bij Microsoft Copilot kan voorkomen, en dat je dat actief moet mitigeren via technische instellingen en contractafspraken.
Daarnaast geldt de EU AI Act (Europese wet voor kunstmatige intelligentie) ook voor jouw bedrijf zodra je AI-tools inzet die persoonsgegevens verwerken. Die wet vraagt onder meer dat je weet welk AI-systeem je gebruikt, hoe het werkt en wie verantwoordelijk is als het misloopt. Zonder schriftelijke garanties van je leverancier sta je als kmo alleen als er iets fout gaat.
De tabel hieronder vergelijkt drie veelgebruikte AI-aanbieders op de punten die er voor jou het meest toe doen. De gegevens zijn gebaseerd op beschikbare publieke documentatie en geven een indicatie, geen absolute zekerheid:
| Leverancier | Datalokalisatie EU | Auditrechten & exitclausule |
|---|---|---|
| Microsoft Copilot | Azure EU-regio’s (NL, FR, IE) – flex routing mogelijk | Logs & compliance-rapportages beschikbaar; volledige data-overdracht bij exit |
| Mistral AI | EU-regio’s, niet expliciet bevestigd | Geen schriftelijke auditrechten bevestigd; geen exitclausule vermeld |
| Google AI | EU-regio’s (IE, NL) | Beperkte auditrechten; data-overdracht bij exit mogelijk |
Beloftes over veiligheid en compliance zijn pas iets waard als ze zwart op wit staan. Stel deze zes vragen schriftelijk aan elke AI-leverancier voordat je een contract tekent of verlengt:
Een leverancier die op een of meer van deze vragen geen schriftelijk antwoord geeft, is een risico. Dat geldt voor Microsoft, Mistral, Google en elk ander AI-platform. Bij Clear IT bekijken we dit soort contractvragen soms samen met klanten die een AI-tool willen invoeren, precies omdat de details hier het verschil maken.
De keuze van UWV voor Microsoft Copilot is geen groen licht voor kmo’s om onbezonnen hetzelfde te doen. Het is een signaal dat de markt beweegt en dat de contractuele spelregels mee moeten. Neem de zes vragen hierboven, stuur ze naar je huidige of toekomstige AI-leverancier en vraag schriftelijke antwoorden. Plan daarna een moment in om bestaande contracten te toetsen voor je de AI-uitrol verder zet. Wie dat nu doet, heeft morgen minder kopzorgen.
Technisch gezien wel, maar niet zonder voorbereiding. Je hebt een zakelijke Microsoft 365-licentie nodig om de dataverwerkingsgaranties (Data Protection Addendum) te activeren. Gebruik je Copilot via een persoonlijke of gratis account, dan gelden die garanties niet.
De EU AI Act is de Europese wet die regels stelt voor het gebruik van kunstmatige intelligentie. Die geldt ook voor kmo’s zodra je AI-tools inzet die persoonsgegevens verwerken. Concreet betekent dat: je moet weten welk systeem je gebruikt, medewerkers moeten getraind zijn en je moet menselijk toezicht kunnen aantonen.
Vendor lock-in betekent dat je zo afhankelijk bent van één leverancier dat overstappen praktisch onmogelijk wordt, door technische of contractuele drempels. Je voorkomt het door bij aanvang te vragen naar expliciete exitclausules: kan je data volledig terugkrijgen, in welk formaat en binnen welke termijn?
Niet automatisch. Vestigingsland zegt iets over juridisch kader, maar de werkelijke risico’s zitten in de contractuele en technische details. Stel dezelfde zes vragen aan een Europese aanbieder als aan een Amerikaanse, en laat je niet overtuigen door marketingclaims over ‘soevereiniteit’ zonder schriftelijke onderbouwing.
