Op onze eigen site stond tot voor kort dat we geen Amerikaanse rekencentra gebruiken. Dat klopte niet.

Niet omdat we logen, maar omdat we die zin hadden opgeschreven vanuit één product en hem daarna op de hele site lieten staan. Ondertussen loopt inloggen bij ons via Google en Microsoft, draait een van onze tools op Gemini, en meet onze eigen website met Google Analytics. Allemaal Amerikaans.

Die zin is eraf. Er staat nu iets dat wel klopt.

Waarom dit zo vaak misgaat

"Wij hosten in de EU" is meestal waar en meestal onvolledig. Er zitten namelijk vier verschillende lagen in een AI-tool, en ze kunnen alle vier ergens anders staan.

De server waarop de applicatie draait. Dit is wat mensen bedoelen met hosting. Vaak inderdaad Frankfurt of Amsterdam.

De database. Meestal bij dezelfde partij, maar niet altijd. Controleer het los.

Het AI-model. Hier wordt het interessant. Een Europees eindpunt van een Amerikaanse aanbieder is iets anders dan een Europese aanbieder. En sommige modellen zijn helemaal niet in Europa beschikbaar.

Alles eromheen. Inloggen, mail versturen, statistiek, foutmeldingen. Dit is de laag die iedereen vergeet, en het is precies de laag waar de meeste Amerikaanse diensten zitten.

Wie zegt dat er geen Amerikaanse dienst in zit, heeft meestal niet goed genoeg gekeken.

Vier vragen aan je leverancier

1. Geef me de lijst van sub-verwerkers. Niet "we hosten in de EU", maar een tabel: welke dienst, waarvoor, waar gevestigd, welke gegevens gaan erdoorheen. Kan de leverancier die niet binnen een dag leveren, dan bestaat hij niet.

2. Welk model precies, bij welke aanbieder, op welk eindpunt. "Wij gebruiken AI" is geen antwoord. "Mistral, Frankrijk" wel. "Anthropic via het Europese eindpunt" ook.

3. Wordt er op mijn data getraind? Bij de meeste zakelijke API's niet, maar het staat in de voorwaarden en niet in de verkooppraatjes. Laat het aanwijzen.

4. Hoe lang wordt wat bewaard, en wat gebeurt er als ik stop? Per categorie. Agendagegevens, gespreksverslagen, logbestanden, facturen. Bij ons is dat respectievelijk negentig dagen, zolang je account loopt, negentig dagen en zeven jaar, want dat laatste moet van de belastingdienst.

Wat een eerlijk antwoord eruitziet

Niet: "alles blijft in Europa."

Wel: "je inhoud staat in Frankfurt en de AI komt uit Frankrijk. Inloggen loopt via Google of Microsoft, want dat wil je zelf. Onze website meet met Google Analytics, en dat pas nadat je op accepteren hebt geklikt. Dat zijn Amerikaanse diensten, hier staat welke gegevens erlangs gaan."

Dat tweede antwoord is langer en minder glad. Het is ook het enige antwoord dat je bij een audit overeind houdt.

Waarom wij dit opschrijven

Omdat we het zelf fout hadden. En omdat de AVG geen perfectie eist maar wel transparantie: je mag Amerikaanse diensten gebruiken, mits je erover bent.

Onze eigen lijst staat op Waar staat jouw data. Negen regels, per dienst wat het doet en waar het staat. Als je bij je huidige leverancier zo'n lijst opvraagt en je krijgt hem niet, weet je genoeg.