Wie AI inzet, stuurt data op reis. Elke prompt en elk geüpload document wordt ergens verwerkt — en die verwerkingslocatie is een van de factoren die bepalen welk recht op je data van toepassing kan zijn. Veel organisaties kunnen die vraag niet met zekerheid beantwoorden voor elke tool die ze gebruiken.
Dataresidentie helpt die vraag scherp te krijgen. In dit stuk lees je wat het begrip inhoudt, waarom het bij AI extra aandacht verdient, en hoe je er grip op krijgt zonder je AI-ambities af te remmen.
Wat is dataresidentie?
Dataresidentie verwijst in essentie naar de geografische locatie waar je gegevens worden opgeslagen en beheerd (bron: Solix Technologies). Het gaat dus in de eerste plaats om waar je data staat — een gegeven dat meeweegt in de vraag welk recht relevant is.
Belangrijk om te weten: de fysieke locatie is niet het hele verhaal. De AVG kan bijvoorbeeld ook van toepassing zijn op verwerking buiten de EU, en opslag binnen de EU sluit niet automatisch uit dat buitenlandse wetgeving via de leverancier of diens moederbedrijf een rol speelt. Raadpleeg voor de precieze reikwijdte de AVG zelf — met name de bepalingen over territoriale werking en internationale doorgifte — en de richtsnoeren van de EDPB.
Dataresidentie wordt wel omschreven als de garantie dat je data binnen een specifieke jurisdictie blijft, en is volgens branchepublicaties uitgegroeid van compliance-detail tot een breder strategisch thema (bron: Atthis AI).
Vier begrippen die je uit elkaar moet houden
- Dataresidentie: waar je data fysiek wordt opgeslagen.
- Verwerkingslocatie: waar de daadwerkelijke verwerking (zoals AI-inferentie) plaatsvindt — dit kan afwijken van de opslaglocatie.
- Internationale doorgifte: het juridische regime dat geldt wanneer persoonsgegevens buiten de EER worden gebracht, geregeld in de AVG.
- Datasoevereiniteit: de bredere vraag naar zeggenschap: welke rechtsorde is van toepassing en wie kan toegang tot je data afdwingen?
Een server kan in de EU staan terwijl de leverancier onder niet-Europese zeggenschap valt. Residentie alleen beantwoordt dan niet alle vragen — je wilt de hele keten kennen.
Waarom AI extra aandacht vraagt
AI-toepassingen zoals chatinterfaces nodigen uit tot vrij tekstgebruik: gebruikers kúnnen er contractconcepten, klantcorrespondentie of persoonsgegevens in plakken, zonder dat een systeem dat vooraf afdwingt of controleert. Dat maakt de datastroom minder voorspelbaar dan bij software met een vaste datastructuur.
Classificatie per document of prompt is technisch en organisatorisch mogelijk — denk aan beleid, DLP-maatregelen en toegangsregels — maar vraagt inrichting en discipline. Grip op dataresidentie is daarom effectiever als combinatie van maatregelen: infrastructuurkeuzes, configuratie, beleid en contractuele afspraken samen.
De risico’s van onduidelijke dataresidentie
Wat kan er misgaan als je niet weet waar je AI-data heen gaat? Drie categorieën risico verdienen aandacht.
Compliance-risico
De AVG stelt eisen aan de doorgifte van persoonsgegevens buiten de EER. Wie niet weet waar de verwerking plaatsvindt, mist een essentieel deel van de informatie die nodig is om naleving aan te tonen — al vraagt aantoonbare naleving méér dan alleen locatiekennis: ook verwerkersovereenkomsten, doorgiftemechanismen en registerplichten spelen mee. Voor sectoren met aanvullende toezichtkaders is het raadzaam de eigen sectorregels en toezichthouder te raadplegen.
Vertrouwensrisico
Als een klant of partner vraagt waar zijn gegevens worden verwerkt, wil je een concreet antwoord kunnen geven. Wie dat antwoord schuldig moet blijven, staat in gesprekken over gegevensbescherming per definitie zwakker dan wie het paraat heeft.
Continuïteitsrisico
Juridische kaders en internationale afspraken kunnen veranderen. Hoe afhankelijker je AI-stack is van infrastructuur en leveranciers buiten je eigen rechtsmacht, hoe minder invloed je hebt op de gevolgen van zulke veranderingen. Grip op residentie is daarmee ook een vorm van risicospreiding.
Een werkbaar raamwerk: drie niveaus van controle
Grip op dataresidentie hoeft geen alles-of-niets-keuze te zijn. Als denkraamwerk — geen algemeen erkende standaard, maar een praktische indeling — onderscheiden we drie niveaus.
Niveau 1: EU-gehoste verwerking
Je AI-verwerking draait op infrastructuur in de EU, bij een aanbieder die onder Europees recht valt. Dat geeft een duidelijker uitgangspositie dan verwerking elders, maar geen automatische garantie: ook subverwerkers, buitenlandse zeggenschap, supporttoegang, logs en back-ups bepalen waar je data feitelijk terechtkomt.
Beoordeel dus de hele keten, niet alleen de locatie van het datacenter of de vestigingsplaats van de leverancier.
Niveau 2: lokale verwerking
Voor gevoelige workloads kun je modellen lokaal draaien — op eigen hardware, binnen je eigen netwerk. Dat kan de datastroom naar externe partijen sterk beperken, mits ook updates, telemetrie, logging en support daadwerkelijk lokaal blijven. Controleer die randvoorwaarden expliciet.
Of een lokaal model volstaat, hangt af van de taak, de taal, je hardware en je kwaliteitseisen. Test dat tegen je eigen use-cases in plaats van het aan te nemen.
Niveau 3: expliciete uitzonderingen
Soms wil je een specifiek extern model voor een specifieke taak. Het verschil tussen grip en gemakzucht zit in de vorm: is dat een stilzwijgende standaard, of een zichtbare keuze per gesprek of per taak?
Cortex37 is ontworpen volgens dit principe: externe (Amerikaanse) providers zijn een expliciete opt-in per gesprek, geen verborgen standaard. Zoals bij elke leverancier geldt: verifieer in de productdocumentatie hoe dat principe is afgebakend — ook voor logging, embeddings, back-ups en subverwerkers.
Dataresidentie en RAG: volg de datastroom per stap
Organisaties die AI-toepassingen bouwen op eigen documenten via retrieval-augmented generation (RAG) doen er goed aan de datastromen per stap te bekijken. De precieze stromen zijn architectuurafhankelijk, maar in een gangbare RAG-opzet raakt je data drie plekken.
De opslag: documenten worden doorgaans in segmenten geïndexeerd en als embeddings met metadata opgeslagen in een vectordatabase. Staat die database buiten de EU, dan staat daar een doorzoekbare representatie van je kennisbank — niet de brondocumenten zelf, maar wel afgeleide en vaak herleidbare informatie.
De embedding-stap: het omzetten van tekst naar vectoren gebeurt door een model. Draait dat model bij een externe partij en verwerk je al je documenten via die dienst, dan passeert dat materiaal die partij. Lokale voorverwerking of filtering kan die stroom beperken.
De generatie: in een gangbare implementatie worden bij elke vraag relevante documentfragmenten meegestuurd naar het taalmodel. Waar die fragmenten heengaan, hangt af van het model zélf, maar ook van gateways, logging, caching en subverwerkers in de keten.
Wie RAG serieus inzet, moet dus per stap weten waar verwerking plaatsvindt. Een EU-gehoste chatinterface zegt op zichzelf weinig over de residentie van embedding, opslag en generatie.
Hoe je dataresidentie beoordeelt bij een AI-leverancier
Deze vragen helpen om door marketingtaal heen te prikken:
- Waar draait de inferentie? Niet alleen de opslag, maar de daadwerkelijke modelverwerking. Vraag naar concrete locaties, niet naar “regio’s”.
- Onder welke jurisdictie en zeggenschap valt de leverancier? Een EU-datacenter van een niet-EU-entiteit is een andere situatie dan een EU-leverancier — en ook een moederbedrijf elders kan relevant zijn.
- Worden prompts en documenten bewaard, en waar? Vraag naar retentiebeleid én naar de locatie van logs en back-ups.
- Wordt mijn data gebruikt voor modeltraining? En zo nee: staat dat contractueel vast?
- Welke subverwerkers zijn er? Vraag om de subverwerkerslijst en om onderliggende contracten of auditrapporten — een vlot antwoord alleen is geen bewijs.
- Kan ik uitzonderingen zelf beheren? Als externe modellen beschikbaar zijn, wil je per taak of per gesprek kunnen kiezen.
- Wat gebeurt er bij vertrek? Kun je je data en indexen volledig exporteren en laten wissen?
Beoordeel de antwoorden op verifieerbaarheid: documentatie, architectuurschema’s en contracten wegen zwaarder dan toezeggingen in een salesgesprek.
Kwaliteit en residentie: geen automatische tegenstelling
Grip op dataresidentie hoeft niet ten koste te gaan van AI-kwaliteit — maar dat is geen automatisme in de andere richting. EU-hosting of lokale verwerking garandeert op zichzelf geen goede resultaten, net zomin als het grootste model dat doet.
De juiste vraag is niet “welk model is het grootst?” maar “welk model doet deze taak goed genoeg, binnen mijn randvoorwaarden?” Voor taken als samenvatten, herschrijven of intern zoeken kan een efficiënter model volstaan — maar toets dat aan je eigen kwaliteitseisen, per taak en per taal.
Zo bekeken is dataresidentie geen rem op je AI-strategie, maar een ontwerpprincipe dat je dwingt tot scherpere keuzes.
Begin hier: breng je huidige AI-datastromen in kaart
De eerste stap is een inventarisatie van elke AI-tool die in je organisatie wordt gebruikt — inclusief informeel geadopteerde tools. Hoeveel tijd dat kost, hangt af van je omvang en het aantal tools; voor complexere situaties kan juridische of technische expertise nodig zijn.
Beantwoord per tool drie vragen: welke data gaat erin, waar wordt die verwerkt, en onder welke jurisdictie en zeggenschap valt de leverancier? Met dat overzicht kun je bewust kiezen: welke workloads lokaal moeten, welke EU-gehost kunnen, en waar een expliciete, gedocumenteerde uitzondering verdedigbaar is. Dataresidentie begint niet bij nieuwe technologie, maar bij weten waar je nu staat.