Waarom de bekentenis van Microsoft ook Vlaamse bedrijven, overheden en organisaties raakt
Datasoevereiniteit in de cloud: data in een Europees datacenter is geen garantie
Een verklaring van Microsoft voor de Franse Senaat heeft het debat over digitale soevereiniteit binnen de EU opnieuw op scherp gezet. Anton Carniaux, directeur publieke en juridische zaken bij Microsoft Frankrijk, verklaarde onder ede dat Microsoft niet absoluut kan garanderen dat gegevens van Franse burgers nooit aan de Amerikaanse overheid zouden worden overgemaakt zonder expliciete toestemming van de Franse overheid. Tegelijk benadrukte Microsoft dat zoiets volgens haar nog niet is gebeurd voor Europese bedrijven of publieke instellingen, en dat zulke verzoeken slechts in uitzonderlijke en juridisch afgebakende omstandigheden aan de orde zouden zijn.
De kern van de discussie is dus niet dat Amerikaanse overheden vrij en onbeperkt toegang zouden hebben tot Europese cloudgegevens. Dat zou een te eenvoudige voorstelling zijn. De echte problematiek is subtieler, maar veel belangrijker: zelfs wanneer gegevens fysiek in Europa worden opgeslagen, kan een Amerikaanse cloudleverancier onder bepaalde omstandigheden toch onder Amerikaanse wetgeving vallen. Dat doorprikt de populaire gedachte dat “data in een Europees datacenter” automatisch gelijkstaat aan volledige Europese controle.
Voor Vlaamse kmo’s, bedrijven, lokale besturen, scholen, zorginstellingen en publieke organisaties is dit geen abstract geopolitiek debat. Zij gebruiken massaal Microsoft 365, Azure, Teams, SharePoint, OneDrive, Dynamics, Power Platform, Google Workspace, AWS, Salesforce, ServiceNow of andere internationale cloudplatformen. In veel organisaties zijn deze toepassingen de digitale ruggengraat geworden. E-mail, personeelsdossiers, financiële rapporten, subsidieaanvragen, bestuursdocumenten, klantgegevens, medische documenten, juridische adviezen, projectdossiers en steeds vaker ook AI-toepassingen draaien in cloudomgevingen waarvan de juridische controle complexer is dan de gebruiker vaak vermoedt.
De uitspraak van Microsoft is daarom geen detail. Ze legt een structurele onzekerheid bloot: wie garandeert uiteindelijk dat Europese bedrijfs- en overheidsdata uitsluitend onder Europese controle blijven? En wat betekent “controle” nog wanneer data, applicaties, identiteiten, beveiliging, logging en artificiële intelligentie allemaal in dezelfde internationale cloudomgeving samenkomen?
Dataresidentie is geen datasoevereiniteit
Een eerste cruciaal onderscheid is dat tussen dataresidentie en datasoevereiniteit. Dataresidentie gaat over de fysieke of geografische locatie van gegevens: staan ze op servers in Ierland, Nederland, Frankrijk, Duitsland of België? Datasoevereiniteit gaat verder. Het gaat over de vraag wie uiteindelijk juridische, technische en operationele controle heeft over die gegevens.
Microsoft heeft de voorbije jaren fors ingezet op het concept van de EU Data Boundary. Volgens Microsoft is dit een geografisch afgebakende zone waarbinnen het bedrijf zich ertoe verbindt om klantgegevens en persoonsgegevens voor zakelijke clouddiensten zoals Azure, Microsoft 365, Dynamics 365 en Power Platform op te slaan en te verwerken. Microsoft vermeldt daarbij wel dat deze verbintenissen onderworpen zijn aan beperkte omstandigheden waarin bepaalde gegevens toch buiten die EU Data Boundary kunnen worden overgedragen.
Dat onderscheid is cruciaal. Een Vlaamse gemeente kan bijvoorbeeld een contract hebben waarin staat dat haar Microsoft 365-data in de EU worden opgeslagen. Toch zegt dat nog niet alles over supporttoegang, metadata, logbestanden, telemetrie, beheersrechten, encryptiesleutels, onderaannemers, incidentrespons of wettelijke verzoeken van buitenlandse autoriteiten. De vraag is dus niet alleen: “Waar staan onze data?” De vraag wordt: “Wie kan er juridisch, technisch of operationeel aan, onder welke voorwaarden, en kunnen wij dat controleren, auditen of blokkeren?”
Voor veel organisaties is dat een ongemakkelijke vaststelling. Jarenlang werd cloudadoptie vooral verkocht op basis van efficiëntie, schaalbaarheid, veiligheid en kostprijs. De onderliggende soevereiniteitsvraag bleef vaak beperkt tot een vakje in een verwerkersovereenkomst: “EU hosting: ja.” Vandaag blijkt dat onvoldoende.
Dataresidentie blijft belangrijk, maar is slechts één laag. Echte datasoevereiniteit vereist ook controle over identiteit en toegangsbeheer, versleuteling, sleutelbeheer, logging, contractuele auditrechten, onderaannemers, technische afhankelijkheden, data-export en exitmogelijkheden. Zonder die bredere benadering blijft datasoevereiniteit grotendeels een contractuele belofte, geen operationele realiteit.
De juridische spanning: GDPR, CLOUD Act en buitenlandse toegang
De juridische kern van het probleem ligt in de spanning tussen Europese databescherming en extraterritoriale buitenlandse wetgeving. De Amerikaanse CLOUD Act bepaalt dat aanbieders van elektronische communicatiediensten of remote computing services gegevens moeten bewaren, back-uppen of bekendmaken wanneer die gegevens onder hun bezit, bewaring of controle vallen, ongeacht of de gegevens zich binnen of buiten de Verenigde Staten bevinden.
Dat betekent niet dat elk verzoek automatisch wordt ingewilligd. Er bestaan procedures, waarborgen, betwistingsmogelijkheden en juridische drempels. Maar het betekent wel dat de locatie van de server niet noodzakelijk beslissend is. De juridische band met de aanbieder kan minstens even belangrijk zijn als de fysieke locatie van de gegevens.
Aan Europese zijde speelt de GDPR. De Europese Commissie nam in 2023 een adequaatheidsbesluit aan voor het EU-US Data Privacy Framework, waardoor persoonsgegevens onder voorwaarden kunnen worden doorgegeven aan deelnemende Amerikaanse organisaties.
[Bron: Europese Commissie](https://ec.europa.eu/commission/presscorner/detail/en/ip_23_3721)
Dat kader biedt juridische basis voor veel trans-Atlantische gegevensstromen, maar neemt niet alle strategische onzekerheid weg. Organisaties moeten nog altijd aantonen dat internationale doorgiften, buitenlandse toegang en verwerkingen door leveranciers passen binnen de GDPR, hun contractuele afspraken en passende technische en organisatorische maatregelen.
De European Data Protection Board wijst er in zijn aanbevelingen over internationale doorgiften op dat aanvullende maatregelen zoals encryptie, pseudonimisering en organisatorische waarborgen werkelijk effectief moeten zijn om het Europese beschermingsniveau te vrijwaren. Vooral wanneer een cloudprovider gegevens in leesbare vorm moet verwerken of zelf over de sleutels beschikt, volstaat klassieke opslag- en transportversleuteling niet altijd als sluitend antwoord.
[Bron: EDPB Recommendations 01/2020](https://www.edpb.europa.eu/system/files/2021-06/edpb_recommendations_202001vo.2.0_supplementarymeasurestransferstools_en.pdf)
Daaruit volgt een harde conclusie: juridische clausules alleen lossen het probleem niet op. Technische architectuur, sleutelbeheer, toegangscontrole, logging, contractuele auditrechten, incidentprocedures en exitmogelijkheden worden minstens even belangrijk als de verwerkersovereenkomst zelf.
Microsoft 365 Copilot: sterke enterprise-garanties, maar geen absolute geheimhouding
Een bijzonder aandachtspunt in dit debat is Microsoft 365 Copilot. Voor veel Vlaamse organisaties wordt Copilot immers niet ervaren als een externe AI-tool, maar als een geïntegreerd onderdeel van de vertrouwde Microsoft 365-omgeving. Dat maakt de risico-inschatting moeilijker. Werknemers gebruiken Copilot in Word, Outlook, Teams, Excel, PowerPoint, SharePoint en OneDrive, vaak op basis van documenten en communicatie die al jarenlang in de organisatie aanwezig zijn. Daardoor ontstaat de indruk dat het gebruik van Copilot automatisch even veilig en vertrouwelijk is als het gebruik van klassieke Microsoft 365-diensten.
Die indruk is deels terecht, maar niet volledig. Microsoft geeft voor Microsoft 365 Copilot en Copilot Chat met enterprise data protection duidelijke garanties. Volgens Microsoft worden prompts, antwoorden en gegevens die via Microsoft Graph worden geraadpleegd niet gebruikt om foundation models te trainen. Microsoft stelt ook dat Copilot werkt op basis van de gebruikerscontext en de bestaande Microsoft 365-rechtenstructuur.
[Bron: Microsoft Learn - Enterprise data protection](https://learn.microsoft.com/en-us/microsoft-365/copilot/enterprise-data-protection)
Dat is een belangrijk verschil met publieke AI-chatbots of consumentendiensten waarbij gebruikers soms vrijwillig bedrijfsinformatie invoeren zonder duidelijke enterprise-afspraken.
Toch lost dit de soevereiniteitsvraag niet volledig op. Er is een belangrijk verschil tussen “niet gebruiken voor modeltraining” en “geen verwerking door Microsoft”. Copilot moet prompts, documenten, e-mails, chats en andere contextgegevens verwerken om een antwoord te genereren. De organisatie moet dus niet alleen vragen of Microsoft de gegevens gebruikt om AI-modellen te trainen, maar ook waar de verwerking plaatsvindt, welke loggegevens ontstaan, wie er toegang toe kan krijgen, hoe lang interacties worden bewaard, en welke functies of instellingen gegevens buiten de EU kunnen brengen.
Dat laatste is geen louter theoretische nuance. Microsoft documenteert voor Europese en EFTA-klanten het concept van flex routing. Wanneer flex routing is ingeschakeld, kan LLM-inferencing tijdens piekbelasting buiten de EU Data Boundary plaatsvinden, onder meer in de Verenigde Staten, Canada of Australië. Microsoft vermeldt daarbij dat gegevens versleuteld blijven tijdens transport en opslag, en dat data at rest binnen de EU Data Boundary blijven, behoudens beperkte pseudonieme gegevens voor beveiligings- en operationele doeleinden.
[Bron: Microsoft Learn - Copilot flex routing](https://learn.microsoft.com/en-us/microsoft-365/copilot/copilot-flex-routing)
Microsoft vermeldt bovendien dat Copilot-prompts, antwoorden en grounding data bij flex routing buiten de EU Data Boundary kunnen worden verwerkt voor AI-inferencing.
[Bron: Microsoft Learn - Ongoing partial transfers](https://learn.microsoft.com/en-us/privacy/eudb/eu-data-boundary-ongoing-partial-transfers)
Voor Vlaamse organisaties ontstaat daardoor een belangrijke onduidelijkheid. De vraag is niet alleen of Microsoft 365 Copilot “veilig” is. De juiste vraag is veel concreter: welke Copilot-variant wordt gebruikt, welke licentievoorwaarden gelden, welke tenantinstellingen staan actief, is flex routing toegestaan, welke data worden via Microsoft Graph ontsloten, welke externe connectors zijn gekoppeld, en welke classificatie hebben de documenten waarop Copilot antwoorden baseert?
Daar komt een tweede praktisch risico bij: Copilot maakt bestaande toegangsrechten plots veel krachtiger. Waar een werknemer vroeger zelf documenten moest zoeken, combineren en interpreteren, kan Copilot informatie uit verschillende bronnen samenvatten en met elkaar verbinden. Daardoor worden fout ingestelde SharePoint-sites, te ruime Teams-rechten, oude projectmappen, gedeelde HR-documenten of vergeten vertrouwelijke bestanden plots veel zichtbaarder. Het probleem is dan niet noodzakelijk dat Microsoft de data misbruikt, maar dat de organisatie zelf haar interne rechtenstructuur onvoldoende beheerst.
De conclusie is dus genuanceerd. Microsoft 365 Copilot Enterprise biedt aanzienlijk sterkere bescherming dan publieke AI-tools. Voor vertrouwelijke bedrijfsgegevens is dat een belangrijk verschil. Maar het is geen absolute garantie op geheimhouding en evenmin een volledige oplossing voor datasoevereiniteit. Organisaties die Copilot willen gebruiken, moeten vooraf hun informatiearchitectuur, toegangsrechten, DLP-beleid, classificaties, auditlogs, bewaartermijnen, tenantinstellingen en contractuele afspraken op orde brengen. Pas dan kan Copilot veilig en verantwoord worden ingezet.
Waarom dit Vlaamse kmo’s, bedrijven en overheden rechtstreeks raakt
Voor Vlaamse kmo’s lijkt dit op het eerste gezicht misschien een probleem voor grote overheden, defensie, banken of ziekenhuizen. Dat is te beperkt gedacht. Ook kleinere organisaties verwerken gevoelige of strategische gegevens. Denk aan klantendatabanken, offertes, intellectuele eigendom, HR-dossiers, looninformatie, medische attesten, bouwplannen, juridische documenten, ondernemingsstrategieën en communicatie met advocaten of accountants.
Voor een kmo kan een soevereiniteitsrisico zich vertalen in concurrentieel risico. Als commerciële documenten, R&D-informatie of overnamedossiers in internationale cloudsystemen staan, moet de onderneming weten welke garanties bestaan rond toegang, export, logging en bewaartermijnen. De kans op een buitenlands overheidsverzoek is in de praktijk wellicht klein, maar risicobeheer gaat niet alleen over waarschijnlijkheid. Het gaat ook over impact.
Voor Vlaamse overheden is de gevoeligheid nog groter. Gemeenten, de ingekantelde OCMW’s, politiezones, intercommunales, onderwijsinstellingen en agentschappen verwerken gegevens van burgers. Dat gaat niet alleen om namen en adressen, maar ook om sociale dossiers, ruimtelijke ordening, handhaving, vergunningen, klachten, bestuursdocumenten, personeelsinformatie en soms veiligheidsgevoelige informatie. De overheid heeft bovendien een voorbeeldfunctie. Zij moet niet alleen efficiënt werken, maar ook aantoonbaar controle houden over publieke data.
Ook instellingen in zorg, onderwijs, welzijn en cultuur worden geraakt. Zij beschikken vaak niet over grote IT-afdelingen, maar gebruiken wel complexe cloudplatformen. De combinatie van beperkte middelen, gevoelige gegevens en toenemende digitale afhankelijkheid maakt hen kwetsbaar. Niet omdat cloud per definitie onveilig is, maar omdat de governance rond cloudgebruik vaak onvoldoende volwassen is.
Daar komt bij dat de afhankelijkheid structureel is geworden. Veel organisaties gebruiken Microsoft 365 niet langer alleen voor e-mail en documenten, maar ook voor identiteitsbeheer, samenwerking, telefonie, procesautomatisering, rapportering, opslag, archivering, compliance en AI-assistentie. Hoe meer processen in één ecosysteem worden geconcentreerd, hoe moeilijker het wordt om later nog fundamenteel van koers te veranderen.
De theoretische gevolgen: controle, legitimiteit en autonomie
Theoretisch raakt deze problematiek aan drie fundamentele vragen: controle, legitimiteit en autonomie.
Controle betekent dat een organisatie niet alleen eigenaar zegt te zijn van haar data, maar ook feitelijk kan bepalen wie toegang krijgt, hoe lang gegevens worden bewaard, waar ze worden verwerkt en onder welke voorwaarden ze worden gedeeld. In klassieke on-premiseomgevingen was die controle tastbaarder, al waren die systemen niet noodzakelijk veiliger. In de cloud wordt controle verdeeld over contracten, dashboards, identiteiten, API’s, beheerdersrollen, datacenters, supportteams, AI-modellen en onderaannemers.
Legitimiteit is vooral voor overheden belangrijk. Burgers moeten erop kunnen vertrouwen dat hun gegevens niet alleen efficiënt, maar ook democratisch controleerbaar worden verwerkt. Wanneer een lokaal bestuur gevoelige burgerdata opslaat bij een leverancier die mogelijk onder buitenlandse wetgeving valt, ontstaat een legitimiteitsvraag. Niet omdat er automatisch misbruik is, maar omdat de verantwoordingsketen onduidelijker wordt.
Autonomie ten slotte gaat over de mogelijkheid om zelf keuzes te blijven maken. Organisaties die volledig afhankelijk worden van één ecosysteem, verliezen onderhandelingsmacht. Dat geldt technisch, financieel en juridisch. Wie al zijn documenten, processen, workflows, identiteiten, AI-toepassingen en archieven in één cloudomgeving heeft ondergebracht, kan niet zomaar migreren wanneer de juridische of geopolitieke context verandert.
Die theoretische gevolgen worden versterkt door de opkomst van generatieve AI. Waar cloud vroeger vooral opslag en verwerking bood, gaat AI actief informatie interpreteren, combineren, samenvatten en hergebruiken. Daardoor verschuift de vraag van “waar staan onze documenten?” naar “welke systemen kunnen onze kennis lezen, verbinden en er nieuwe output uit genereren?” Dat is een fundamenteel andere vorm van afhankelijkheid.
De praktische gevolgen: van cloudinventaris tot exitstrategie
In de praktijk betekent dit dat Vlaamse organisaties hun cloudgebruik veel scherper moeten documenteren. Een eenvoudige lijst van softwarelicenties volstaat niet meer. Er is nood aan een actueel register van cloudtoepassingen, verwerkte gegevenscategorieën, leveranciers, subverwerkers, datalocaties, toegangsmechanismen, bewaartermijnen, koppelingen, AI-functies en exitmogelijkheden.
Bij nieuwe aanbestedingen en contracten moeten organisaties verder gaan dan prijs en functionaliteit. Ze moeten vragen stellen over dataresidentie, supporttoegang, logging, encryptie, sleutelbeheer, contractuele betwistingsplicht bij buitenlandse verzoeken, kennisgeving aan de klant, auditrechten, onderaannemers, incidentmelding, back-ups, portabiliteit en exitkosten. Voor publieke organisaties hoort dit thuis in bestekken en informatieveiligheidsadviezen. Voor kmo’s hoort het thuis in leveranciersbeoordeling en contractmanagement.
Een tweede praktisch gevolg is dat gegevensclassificatie noodzakelijk wordt. Niet alle gegevens vereisen hetzelfde beschermingsniveau. Publieke website-informatie, algemene projectdocumenten, personeelsdossiers, medische gegevens, juridische adviezen en strategische bestuursdocumenten mogen niet op dezelfde manier worden behandeld. Organisaties moeten bepalen welke gegevens zonder groot risico in standaardcloudomgevingen kunnen worden verwerkt en welke gegevens bijkomende maatregelen vereisen.
Een derde gevolg is dat toegangsbeheer belangrijker wordt dan ooit. Zeker bij Microsoft 365 Copilot is dat cruciaal. Copilot respecteert in principe bestaande rechten, maar als die rechten te ruim staan, wordt de fout niet kleiner maar groter. Organisaties moeten dus SharePoint-sites, Teams-omgevingen, gedeelde mappen, gastgebruikers, oude projectgroepen en externe delingen grondig opschonen vooraleer ze Copilot breed uitrollen.
Een vierde gevolg is dat encryptie en sleutelbeheer strategisch worden. Wanneer de cloudleverancier zelf de sleutels beheert, blijft er een afhankelijkheid bestaan. Voor gevoelige gegevens kan customer-managed key management, bring your own key, hold your own key of client-side encryption relevant worden. Maar ook hier is nuance nodig: sterke encryptie kan functionaliteit beperken, zoekfuncties bemoeilijken, AI-integraties verhinderen en beheer complexer maken.
Een vijfde gevolg is dat exitstrategie opnieuw belangrijk wordt. Veel organisaties hebben wel een cloudcontract, maar geen realistisch exitplan. Kunnen data vlot geëxporteerd worden? In welk formaat? Tegen welke kost? Hoe lang duurt migratie? Welke processen vallen stil? Welke historische logs blijven beschikbaar? Wat gebeurt er met Copilot-interactiegeschiedenis, auditgegevens en AI-gerelateerde metadata? Zonder antwoord op die vragen is datasoevereiniteit grotendeels theoretisch.
De juiste conclusie is niet dat Vlaamse organisaties halsoverkop Microsoft, Google, AWS of andere internationale leveranciers moeten verlaten. Dat is meestal onrealistisch, duur en mogelijk zelfs contraproductief. Hyperscalers bieden vaak sterke beveiliging, hoge beschikbaarheid, geavanceerde compliance-instrumenten en functionaliteiten die lokale alternatieven niet altijd kunnen evenaren.
De juiste conclusie is wel dat organisaties moeten stoppen met naïef cloudgebruik. “We zitten in Europa, dus het is in orde” is geen voldoende strategie. Datasoevereiniteit moet worden behandeld als een bestuursvraagstuk, niet als een zuiver IT-detail.
Voor Vlaamse kmo’s betekent dit: breng kritieke gegevensstromen in kaart, lees verwerkersovereenkomsten grondiger, vraag garanties aan leveranciers, beperk onnodige opslag van gevoelige gegevens, activeer sterke beveiligingsinstellingen en vermijd volledige afhankelijkheid van één ecosysteem waar dat bedrijfskritisch wordt.
Voor grotere bedrijven betekent dit: bouw een formeel cloud risk management framework uit. Combineer juridische analyse, technische architectuur, leveranciersbeheer, security monitoring en businesscontinuïteit. Maak onderscheid tussen gewone workloads, gevoelige workloads en strategische workloads. Overweeg hybride of Europese alternatieven waar de impact van buitenlandse toegang onaanvaardbaar zou zijn.
Voor overheden en publieke instellingen betekent dit: neem digitale soevereiniteit expliciet op in ICT-strategie, informatieveiligheidsbeleid en overheidsopdrachten. Niet elke toepassing moet per se op een volledig Europese stack draaien, maar voor gevoelige burgerdata, beleidsvoorbereiding, handhaving, veiligheid en kritieke dienstverlening moet de lat hoger liggen. Publieke organisaties moeten bovendien kunnen uitleggen waarom een bepaalde cloudkeuze verantwoord is.
De verklaring van Microsoft is dus geen reden voor paniek, maar wel een wake-upcall. Ze toont dat datasoevereiniteit geen marketingterm mag blijven. Ze gaat over macht, controle, afhankelijkheid en vertrouwen. Voor Vlaamse organisaties wordt de uitdaging niet om cloudgebruik terug te draaien, maar om het volwassen te maken. De toekomst ligt niet in blind vertrouwen in grote leveranciers, maar in aantoonbare controle: weten waar data staan, wie eraan kan, welke wetgeving speelt, welke maatregelen bestaan en hoe men kan reageren wanneer de context verandert.
Wie dat vandaag ernstig neemt, bouwt niet alleen betere compliance op. Die bouwt ook digitale weerbaarheid, strategische autonomie en vertrouwen bij klanten, burgers, medewerkers en bestuurders. En dat is precies waar datasoevereiniteit uiteindelijk om draait.