AI-conformiteit in Europa: waar je data veilig verstuurt

Niet alle generatieve AI-platformen zijn gelijk voor het Europese recht. Sommige hosten je data binnen de Unie en sluiten ze standaard uit van training; andere sturen ze naar de Verenigde Staten, waar de CLOUD Act ze kan bereiken, zelfs wanneer ze op een Europese server staan. Sinds 2 augustus 2025 legt de AI Act verplichtingen op aan modelaanbieders, en de AVG regelt nog steeds elke overdracht. Hier lees je waar je data echt naartoe gaat, en hoe je er de controle over houdt.

De vraag die je voor elke prompt stelt. Waar gaat deze data heen, wie kan ze lezen, en wordt ze gebruikt om een model te trainen ? Drie heldere antwoorden volstaan om te beslissen of een platform aanvaardbaar is voor een gevoelig dossier.

---

Wat de AI Act en de AVG echt vragen

De AI Act is Verordening (EU) 2024/1689, van kracht sinds 1 augustus 2024. Ze wordt gefaseerd toegepast: verboden praktijken zijn geband sinds 2 februari 2025, de verplichtingen voor AI-modellen voor algemeen gebruik (aanbieders zoals OpenAI, Google, Anthropic en Mistral) gelden sinds 2 augustus 2025, en de handhavingsbevoegdheden van de Commissie, boetes inbegrepen, treden in werking op 2 augustus 2026. Modellen die vóór augustus 2025 op de markt kwamen, hebben tot 2 augustus 2027 om in orde te zijn.

De AI Act vervangt de AVG niet, ze komt erbovenop. De AVG blijft de basisregel zodra er persoonsgegevens in het spel zijn: elke overdracht buiten de Europese Unie vereist een rechtsgrond en waarborgen, zoals een adequaatheidsbesluit of standaardcontractbepalingen. Concreet: een document met namen naar een tool sturen die het in de Verenigde Staten verwerkt zonder kader, is al een risico op non-conformiteit.

Wie het uit eerste hand wil lezen, vindt in de officiële AI Act-tekst elke verplichting en deadline.

API of lokaal: twee manieren om je data bloot te geven (of niet)

Er zijn twee grote manieren om een model te gebruiken, en hun risicoprofiel verschilt volledig.

De eerste, de API (of het klassieke webgebruik), stuurt je vraag en je bestanden naar de servers van de aanbieder, vaak gehost in de Verenigde Staten, waar de verwerking gebeurt. Handig, krachtig, geen hardware nodig. Maar de data verlaat je infrastructuur, al is het maar even.

De tweede, lokaal, laat het model op je eigen machine draaien. Daar komt ComfyUI in beeld, namelijk een visuele creatieomgeving met knooppunten die je zelf installeert, waarop je de stappen van een beeld- of videopijplijn met elkaar verbindt. Open modellen zoals Flux (Black Forest Labs), Stable Diffusion of de open-weight modellen van Mistral draaien er zonder ooit iets naar buiten te sturen.

Het enige geval waarin data blijft staan. Een model dat lokaal draait, verstuurt niets: geen enkele vraag vertrekt, geen enkele log wordt elders bewaard dan bij jou. Het is de enige absolute garantie op vertrouwelijkheid.

Die keuze bepaalt al de rest. Voor een onschuldig kladwerk volstaat de API ruim. Voor een contract, een medisch dossier of een geclassificeerd document blijft lokaal de veiligste weg.

---

Wat de algemene voorwaarden echt zeggen

We hebben de verwerkingsbeleiden van de meest gebruikte platformen uitgeplozen. De tabel hieronder vat het wezenlijke samen: waar de data wordt gehost, of ze modellen traint, en onder welke jurisdictie de aanbieder valt.

Platform	EU-hosting mogelijk	Traint op je data	Jurisdictie
ChatGPT / API (OpenAI)	Ja, EU-residentie en nulretentie op de API	Neen op de API en Enterprise-plannen	Verenigde Staten
Claude (Anthropic)	Nulretentie mogelijk, API-logs 7 dagen	Neen standaard op commerciële plannen	Verenigde Staten
Gemini / Google AI Studio	Ja, Europese Google Cloud-regio's	Afhankelijk van plan en instellingen	Verenigde Staten
Mistral (Le Chat, API)	Ja, EU-hosting standaard	Neen op betaalde plannen	Europese Unie (Frankrijk)
Midjourney, Suno, Udio	Neen, hosting in de VS	Vaak wel op consumentenplannen	Verenigde Staten
Lokale modellen (Flux, SD, Mistral open-weight op ComfyUI)	Op je eigen machine	Nooit	De jouwe

Een paar punten verdienen het zwart op wit te staan. OpenAI biedt sinds 2025 Europese dataresidentie voor zijn Enterprise-plannen en API, met een nulretentie-optie en, sinds januari 2026, inferentie die in een Europese regio draait. Anthropic gebruikt commerciële data niet om Claude te trainen en biedt nulretentie op de API. Mistral host data standaard in de Europese Unie en sluit betaalde plannen uit van training.

De blinde vlek: de CLOUD Act en de Amerikaanse jurisdictie

Hier is het punt dat veel organisaties missen. Kiezen voor Europese dataresidentie bij een Amerikaanse aanbieder beschermt tegen de technische overdracht, maar niet tegen de jurisdictie. OpenAI, Anthropic en Google blijven bedrijven naar Amerikaans recht en dus onderworpen aan de CLOUD Act: een Amerikaanse autoriteit kan, onder voorwaarden, toegang eisen tot data die deze bedrijven bijhouden, waar ze ook staan.

Slechts twee profielen ontsnappen aan dat bereik: aanbieders met hun hoofdzetel in de Unie, zoals Mistral, en zuivere self-hosting, waar geen enkele derde nog tussenkomt. Voor echt gevoelige data is het dat onderscheid, en niet alleen de locatie van de server, dat de keuze moet sturen.

---

Het geval van een Europese instelling

We hebben voor een Europese instelling gewerkt, in een context waarin de vertrouwelijkheid van burgergegevens niet onderhandelbaar was. De vraag was eenvoudig: welke platformen, welke modellen, zonder ooit een gevoelig document bloot te geven?

Het antwoord bestaat uit drie lagen. Voor alles wat met vertrouwelijke beelden en video te maken heeft, een lokale pijplijn in ComfyUI met Flux of Stable Diffusion: niets verlaat de infrastructuur. Voor de dagelijkse werktekst, een Europese aanbieder zoals Mistral, gehost in de Unie en buiten de CLOUD Act, of een Amerikaanse speler geconfigureerd met EU-residentie, nulretentie en een ondertekende verwerkersovereenkomst. En één niet-onderhandelbare regel: geen enkel vertrouwelijk document in een gratis consumententool, waar data de training kan voeden. Wie verder wil met veilig gebruik van Claude, vindt in onze Claude-masterclass deze instellingen uitgelegd.

Wat we bij AB-Arts onthouden

Databeveiliging is geen vakje om af te vinken aan het eind van een project, het is het vertrekpunt. Voor we een model kiezen, brengen we de stromen in kaart: welke data, waarheen, onder welke jurisdictie. Vaak legt die diagnose bloot dat een handige tool in werkelijkheid een juridisch risico was.

Werk je met gevoelige data en wil je er klaarheid in? Onze AI-conformiteitsaudit vertrekt precies daar, en onze begeleiding bij de integratie van AI-workflows laat je een lokale pijplijn bouwen wanneer de vertrouwelijkheid dat vraagt. Het juiste platform bestaat bijna altijd; het komt erop aan het met kennis van zaken te kiezen. Laten we het over jouw geval hebben.