AI-tools met EU- of NL-hosting: wat er is en waar je op let

Dataresidentie komt in bijna elk rol- en sectoroverzicht van deze directory terug als waarschuwing — denk aan de AVG, aan Amerikaanse subverwerkers en aan onduidelijkheid over wie er bij je data kan. Dit overzicht is de ingang die die waarschuwing beantwoordt: welke soorten AI-tools met EU- of Nederlandse hosting bestaan er, en waar let je op als je er een kiest; categorieën en voorbeelden gecontroleerd op 2026-08-07.

Binnen de structuur van deze directory neemt deze pagina een specifieke plek in op de ecosysteemkaart van AI-tools. Waar functionele overzichten indelen op basis van wat een product doet (zoals tekstgeneratie, code-assistentie of analyse), vormt dit overzicht een overkoepelende ingang voor de randvoorwaarde van datalocatie en infrastructuur. Het helpt organisaties bij het doorlopen van het keuzepad voor AI-software wanneer datasoevereiniteit een harde eis is.

Om overlap met bestaande pagina's te voorkomen, is de afbakening helder: voor een inventarisatie van specifieke Nederlandse marktpartijen en hun profiel verwijzen we naar het overzicht van Nederlandse AI-bedrijven. Wanneer data absoluut de eigen organisatie niet mag verlaten en u lokale runtime-software overweegt, raadpleegt u de pagina over lokale LLM-tools. En voor platforms die gericht zijn op auditability, beleidsafdwinging en nalevingsrapportages verwijzen we naar de zusterpagina over AI-governance- en compliance-platforms. Deze pagina bundelt de criteria, productcategorieën en grensgevallen rondom hosting binnen de Europese Unie en Nederland.

Waarom hostinglocatie ertoe doet

In de praktijk van software-selectie wordt hostinglocatie vaak gelijkgesteld aan compliance. Hoewel het opslaan en verwerken van gegevens op Europees of Nederlands grondgebied een cruciale stap is, vereist een grondige analyse een verfijnder beeld van wat datalocatie wel en niet oplost.

Het verwerken van persoonsgegevens of gevoelige bedrijfsdata via kunstmatige intelligentie brengt specifieke verplichtingen met zich mee onder de Algemene Verordening Gegevensbescherming (AVG). Wanneer data naar servers buiten de Europese Economische Ruimte (EER) wordt verzonden, is er sprake van doorgifte aan een derde land. Dit vereist een juridische grondslag, zoals een adequaatheidsbesluit of het afsluiten van Standard Contractual Clauses (SCC's), gecombineerd met een Data Transfer Impact Assessment (DTIA). Het kiezen van een hostinglocatie binnen de EU vereenvoudigt dit vraagstuk aanzienlijk doordat de data fysiek binnen het rechtsgebied van de AVG blijft. Om de concrete AVG-verplichtingen bij de implementatie van AI-systemen stap voor stap af te vinken, kunt u gebruikmaken van de AVG-privacy-checklist voor AI.

Het is echter een veelvoorkomende misvatting dat hosting binnen de EU alle privacy- en beveiligingsrisico's automatisch wegneemt. Fysieke datalocatie garandeert drie zaken niet per definitie:

• Toegangsrechten en sleutelbeheer: Een server die fysiek in Frankfurt of Amsterdam staat, kan beheerd worden door een entiteit waarvan medewerkers buiten de EU toegang hebben tot de niet-geëncripteerde data of de encryptiesleutels.
• Gebruik van trainingsdata: Waar de server staat, zegt niets over de contractuele voorwaarden. Een leverancier kan uw gegevens op Europese bodem verwerken, maar alsnog de ingevoerde prompts en documenten gebruiken om modellen door te trainen.
• Bevoegdheden van buitenlandse overheden: Als een Europese hostingvoorziening valt onder de dochteronderneming van een Amerikaanse organisatie, kan de Amerikaanse CLOUD Act ertoe leiden dat Amerikaanse opsporingsdiensten toegang vorderen tot data die op Europees grondgebied staat opgeslagen.

Het is belangrijk om hierbij ook het onderscheid te maken met de Europese AI-verordening (AI Act). De AI Act reguleert voornamelijk de risicocategorieën van AI-toepassingen, transparantieverplichtingen en de kwaliteitseisen voor data en governance. De AI Act stelt over het algemeen geen directe verplichting tot hosting op EU-grondgebied, tenzij dit voortvloeit uit specifieke eisen voor hoog-risicosystemen of nationale veiligheids- en overheidsrichtlijnen. Voor achtergrondinformatie over de regelgeving rondom AI-risicocategorieën en transparantieverplichtingen leest u de uitleg over de EU AI Act. Wie meer wil lezen over de geopolitieke context van Europese afhankelijkheid in de technologiesector, kan terecht bij de analyse over AI en digitale soevereiniteit in Europa.

Dit overzicht dient als centraal referentiepunt voor de dataresidentiewaarschuwingen die in de rolspecifieke pagina's van deze directory worden genoemd. Het biedt de kaders om leveranciersclaims over "Europese hosting" op waarde te schatten.

Waar het aanbod ligt: categorieën van EU- en NL-gehoste AI-tools

Het landschap van AI-voorzieningen met een Europese of Nederlandse datalocatie is divers. Hieronder worden de zes voornaamste categorieën beschreven. Elk product dat genoemd wordt, dient uitsluitend als voorbeeld om de categorie te illustreren en geldt uitdrukkelijk niet als aanbeveling.

Nederlandse AI-bedrijven en gespecialiseerde aanbieders

Nederlandse AI-aanbieders bouwen applicaties en gespecialiseerde modellen die van origine zijn ontworpen om te voldoen aan de strengste AVG-eisen en lokale wetgeving. Deze partijen maken doorgaans gebruik van datacenters in Nederland of West-Europa en hebben hun juridische entiteit volledig in Nederland ingeschreven.

• Kenmerken: Directe contracten onder Nederlands recht, Nederlandstalige ondersteuning en transparante afspraken over verwerkingslocaties. Dit is een klasse waar zowel SaaS-applicaties voor specifieke sectoren (zoals recruitment, recht of zorg) als maatwerkoplossingen onder vallen.
• Voorbeelden: Textkernel (gespecialiseerd in recruitment-AI met Europese datacenteropties) en Slimmer AI (ontwikkelaar van AI-software voor financiële naleving en procesautomatisering met West-Europese hosting).
• Locatie-optie: EU/NL-gehoste varianten zijn standaard aanwezig. Om te zien welke Nederlandse spelers er actief zijn, verwijzen we naar de gids over Nederlandse AI-bedrijven.

EU-cloudproviders en regionale regio-opties

Infrastructuuraanbieders die fysiek en juridisch verankerd zijn in de Europese Unie bieden sovereign cloud-diensten en AI-infrastructuur (zoals GPU-clusters en hosted inference API's) aan. Daarnaast bieden grote internationale hyperscalers Europese "regio-opties" aan.

• Kenmerken: Pure EU-providers vallen onder de jurisdictie van EU-lidstaten en worden niet geraakt door extraterritoriale wetgeving van derde landen. Bij globale hyperscalers is de data fysiek binnen de EU opgeslagen, maar blijft de juridische moederentiteit een aandachtspunt. Om inzicht te krijgen in de fysieke datacentercapaciteit, energie-impact en regionale aanwezigheid van AI-infrastructuur in Nederland, leest u de analyse over datacenters en AI in Nederland.
• Voorbeelden: Hetzner (Duitse cloudprovider met infrastructuur in Duitsland en Finland) en Scaleway (Franse cloudprovider met toegewijde GPU-clusters en AI-hosting op Europees grondgebied).
• Locatie-optie: Volledig gehost op EU-grondgebied met EU-rechtsentiteiten.

Zelf hosten op eigen hardware

Voor organisaties met de hoogste privacy- en veiligheidseisen vormt het draaien van AI-modellen op eigen fysieke servers of in een private colocatie-datacenter de harde grens. Hierbij gaat geen enkele byte aan data naar een externe leverancier.

• Kenmerken: Maximale controle over data, netwerkverkeer, encryptie en toegangsbeheer. Het vereist wel substantiële investeringen in hardware (GPU's), koeling, stroom en gespecialiseerd personeel voor beheer en onderhoud.
• Voorbeelden: Inzet van open-source inference-executables op eigen NVIDIA DGX-systemen of lokale Linux-servers uitgerust met hoogwaardige consumenten- of enterprise-GPU's.
• Locatie-optie: Lokaal draaiende variant op eigen locatie of in een dedicated Nederlands datacenter. Zie hiervoor ook de gids over lokale LLM-tools.

Open-source en open-weight modellen voor eigen beheer

In plaats van gesloten API's te gebruiken, kunnen organisaties open-weights modellen downloaden en deze zelf onderbrengen op een Europese cloudinfrastructuur naar keuze of op eigen hardware.

• Kenmerken: Volledige vrijheid in de keuze van de hostingprovider. Het model zelf is een set parameters; waar de verwerking plaatsvindt bepaalt u zelf. Hierdoor combineert u state-of-the-art AI-capaciteiten met strikte dataresidentie. Raadpleeg het overzicht van open-source modellen voor beschikbare gewichten die uitgerold kunnen worden.
• Voorbeelden: Modellen uit de Mistral-familie (ontwikkeld door het Franse Mistral AI) en de Llama-reeks van Meta, uitgerold binnen een afgeschermde Europese Virtual Private Cloud (VPC).
• Locatie-optie: Volledige flexibiliteit om als EU/NL-gehoste of lokale variant te draaien. Om de linguïstische prestaties van Europese en lokale modellen in de Nederlandse taal objectief te vergelijken, raadpleegt u de benchmark voor Nederlands testen.

Governance- en compliance-platforms met EU-opslag

Dit betreft de categorie software die het gebruik van AI binnen organisaties monitort, anonimiseert, filtert en audit. Deze platforms fungeren als een tussenlaag (proxy) tussen de eindgebruiker en het AI-model.

• Kenmerken: De opslag van auditlogs, prompts, gebruikersidentiteiten en nalevingsrapportages vindt plaats binnen de EU. Veel van deze platforms kunnen persoonsgegevens automatisch verwijderen voordat het verzoek naar een underlying model wordt gestuurd.
• Voorbeelden: Credo AI (platform voor AI-governance met opties voor Europese data-opslag) en Private AI (oplossing voor het lokaal of in de EU detecteren en anonimiseren van gevoelige gegevens in gegevensstromen).
• Locatie-optie: Beschikbaar als EU-gehoste SaaS of als installatiewijze binnen de eigen netwerkgrens. Een compleet beeld van deze categorie vindt u op de pagina over AI-governance-platforms.

Gespecialiseerde privacyvriendelijke AI-diensten

Hieronder vallen SaaS-oplossingen en API-wrappers die expliciet zijn ontworpen rondom het uitgangspunt van privacy-by-design en gegevensminimale verwerking.

• Kenmerken: Garanties dat ingevoerde data niet wordt gebruikt voor modeltraining, gecombineerde anonimiseringstechnieken, en verwerking die gegarandeerd binnen EU-datacenters plaatsvindt.
• Voorbeelden: Mistral La Plateforme (API-diensten gehost binnen Europese datacenters) en Aleph Alpha (Duitse AI-aanbieder met focus op transparantie en hosting in Europese datacenters).
• Locatie-optie: Standaard geleverd als EU-gehoste dienst. Om te ontdekken hoe u privacyverhogende technieken en anonimiseringslagen toepast bij het gebruik van generatieve AI, raadpleegt u het artikel over privacyvriendelijk AI-gebruik.

Waar je op let bij EU- of NL-hosting: toetsingscriteria

Het beoordelen van een AI-leverancier op het gebied van datalocatie vereist meer dan het stellen van de vraag "staat de server in Europa?". Om te voorkomen dat u voor verrassingen komt te staan, dient u de onderstaande specifieke toetsingscriteria mee te nemen in de due diligence.

1. Feitelijke opslag versus hoofdkantoor

Scheid de locatie van de server af van de vestigingsplaats van het moederbedrijf. Een aanbieder kan een datacenter in Eemshaven of Frankfurt gebruiken, maar als de maatschappelijke zetel in de Verenigde Staten staat, geldt de Amerikaanse wetgeving voor gegevensopvraging nog steeds. Controleer in het privacybeleid en de Algemene Voorwaarden welk rechtstelsel van toepassing is op de overeenkomst en welke entiteit de contractpartij is.

2. Subverwerkers en de verwerkingsketen

Een AI-tool maakt zelden gebruik van slechts één server. Veel SaaS-toepassingen sturen specifieke taken door naar externe microdiensten — bijvoorbeeld voor spraak-naar-tekst-omzetting, vector-embeddings of inhoudsmoderatie. Vraag een volledige lijst op van alle subverwerkers. Controleer per subverwerker:

• Waar de verwerking en opslag fysiek plaatsvinden.
• Of er sprake is van doorgifte buiten de EER door een van de subverwerkers.
• Of u vooraf melding krijgt wanneer er een nieuwe subverwerker aan de keten wordt toegevoegd (met het recht om bezwaar te maken).

3. Doorgifteclausules en uitzonderingen

Wanneer een leverancier aangeeft dat data in de EU staat, controleer dan de uitzonderingsclausules in de verwerkersovereenkomst (DPA). Soms geldt de EU-hosting uitsluitend voor data-at-rest (opgeslagen gegevens), terwijl telemetrie, foutlogs, systeemdiagnostiek of back-ups alsnog naar servers buiten de EU worden verzonden. Let er ook op welke doorgiftemechanismen (zoals het EU-US Data Privacy Framework of Standard Contractual Clauses) als terugvaloptie zijn opgenomen.

4. Dataretentie en verwijderingstermijnen

Onderzoek hoe lang invoergegevens (prompts) en uitvoergegevens (gegenereerde teksten of bestanden) bewaard blijven op de servers van de aanbieder. Vaste vragen daarbij zijn:

• Is er sprake van een 'zero data retention' (ZDR) beleid, waarbij verzoeken direct na het genereren van de respons uit het geheugen worden gewist?
• Indien data wel wordt bewaard voor misbruikdetectie (trust & safety), hoe lang duurt deze bewaartermijn (bijvoorbeeld 30 dagen) en waar staan die specifieke retentiedatabases?
• Hoe worden back-ups en logbestanden geschoond bij een verzoek tot verwijdering?

Om te beoordelen hoe u afspraken over het bewaren en wissen van gegevens contractueel verankert bij uw leverancier, leest u het advies over dataretentie bij AI-leveranciers.

5. Dataportabiliteit en exit-strategie

Wanneer u besluit om over te stappen van een EU-gehoste AI-dienst naar een andere voorziening, moet de gehoste data eenvoudig geëxporteerd kunnen worden. Controleer of de leverancier open standaarden ondersteunt, welke kosten er worden gevraagd voor datatransfers (egress fees) en binnen welke termijn de leverancier gegarandeerd al uw gegevens op al zijn systemen vernietigt na contractbeëindiging. Om te begrijpen hoe u een leverancier grondig doorlicht op financieel, organisatorisch en technisch vlak voordat u een contract ondertekent, raadpleegt u het overzicht over due diligence bij AI-leveranciers.

6. Aantoonbare certificeringen en auditrapporten

Slecht geformuleerde claims over "beveiliging volgens de hoogste standaarden" hebben geen juridische waarde. Eis aantoonbare en actuele certificeringen op. De belangrijkste certificeringen voor hosting op Europees grondgebied zijn:

7. Ondersteuning, taal en tijdzone

Bij incidenten, datalekken of beveiligingsvragen is het van belang dat de supportafdeling bereikbaar is binnen Europese kantooruren en communicatie in het Nederlands of Engels kan afhandelen. Dit voorkomt vertragingen bij verplichte datalekmeldingen aan de Autoriteit Persoonsgegevens (die binnen 72 uur moeten plaatsvinden).

8. Kostenmodellen en de "EU-premie"

Het aanbieden van dedicated infrastructuur op Europees grondgebied brengt voor leveranciers vaak hogere operationele kosten met zich mee dan grootschalige mondiale uitrol. Het is belangrijk om rekening te houden met de volgende kostenstructuren:

• Per-token / Per-verzoek model: Veelal gebruikt bij cloud-API's. Lokale of EU-specifieke endpoints hanteren soms een toeslag ten opzichte van de standaard (VS-gehoste) endpoints.
• Per-seat / Licentiemodel: Vaste prijs per gebruiker per maand. Controleer of de "EU Data Boundary" een optie is die alleen in de duurdere Enterprise-tier beschikbaar is.
• Self-hosted / Compute-cost model: Geen licentiekosten per verzoek, maar wel doorlopende kosten voor de GPU-infrastructuur, energie en beheer. Hierbij verschuift de kostenstructuur van operationele variabelen naar vaste infrastructuurkosten.

De grensgevallen: nuances in de praktijk

Niet elke oplossing laat zich eenvoudig indelen als "100% EU" of "100% buitenlands". In de praktijk komen organisaties drie specifieke grensgevallen tegen die extra aandacht vragen.

Grensgeval 1: Een Europees bedrijf dat host in de Verenigde Staten

Een softwarebedrijf is ingeschreven bij de Nederlandse Kamer van Koophandel, heeft een kantoor in Utrecht en een Nederlandstalige helpdesk. Echter, om toegang te krijgen tot de krachtigste GPU-clusters, maakt de ontwikkelaar gebruik van een datacenter in de VS. In dit scenario is het bedrijf weliswaar gebonden aan de AVG, maar vindt er bij elk AI-verzoek een doorgifte van persoonsgegevens plaats naar een derde land. Het feit dat de leverancier Nederlands is, heft de verplichtingen rondom internationale datadoorgifte niet op.

Grensgeval 2: Een Amerikaanse provider met data in een Europese regio

Grote internationale technologiebedrijven bieden de mogelijkheid om gegevens uitsluitend op te slaan binnen datacenters in bijvoorbeeld Amsterdam of Frankfurt (een zogenaamde EU Data Boundary). De data blijft fysiek binnen de EU. Het juridische risico zit hier in het feit dat de moederorganisatie valt onder het rechtssysteem van de VS. Indien een Amerikaanse rechtbank een bevel uitvaardigt onder de CLOUD Act, kan de provider wettelijk verplicht worden om gegevens over te dragen, ongeacht waar de servers staan. Voor organisaties met strenge geheimhoudingsplichten (zoals advocatuur, overheid of financiële instellingen) vormt dit een reëel afwegingspunt.

Grensgeval 3: De lokale LLM op eigen hardware

Het volledig lokaal draaien van een model op eigen apparatuur (zoals een lokale werkplek of een intern serverpark) neemt alle externe doorgifterisico's weg. Er is geen sprake van derden, geen netwerkverkeer naar buiten, en geen afhankelijkheid van verwerkersovereenkomsten. De schaduwzijde van dit grensgeval is de operationele verantwoordelijkheid: de organisatie moet zelf zorgdragen voor de fysieke beveiliging van de hardware, het up-to-date houden van de software, de toegangscontrole en het opvangen van de capaciteitsgrenzen van de lokale GPU's. Bekijk de voor- en nadelen op de gids over lokale LLM-tools en de praktische handleiding over het lokaal draaien van LLM's om te zien wat dit organisatorisch vraagt.

Zo kies je: beslisvragen voor datalocatie

Gebruik onderstaande beslisvragen om zonder externe hulp te bepalen welk type hosting voor uw situatie noodzakelijk is. Beantwoord de vragen in volgorde:

1. Aard van de data: Verwerkt het AI-systeem persoonsgegevens, bedrijfsgeheimen of medische/juridische informatie?
   • Nee: U kunt gebruikmaken van reguliere (mondiale) AI-diensten, mits u afspraken maakt over het niet hergebruiken van data voor modeltraining.
   • Ja: Ga door naar vraag 2.
2. Juridisch kader: Is uw organisatie gebonden aan specifieke geheimhoudingsplichten of de Wvbz/NEN 7510?
   • Ja: Kies voor 'Zelf hosten op eigen hardware' of een 'Nederlandse/EU-provider met toereikende certificering en uitsluitend EU-subverwerkers'.
   • Nee: Ga door naar vraag 3.
3. Extraterritoriale wetgeving: Is risico op gegevensopvraging door overheden van derde landen (zoals de VS CLOUD Act) acceptabel voor uw risicoprofiel?
   • Nee: Kies voor een puur Europese cloudprovider (EU-hoofdkantoor én EU-hosting) of eigen hardware.
   • Ja: Een EU-regio van een internationale hyperscaler met een getekende verwerkersovereenkomst kan volstaan.
4. Interne beheergelegenheid: Beschikt u over de kennis en hardware om AI-modellen in eigen beheer te onderhouden?
   • Ja: Overweeg een open-source model op eigen hardware of dedicated EU-private-cloud.
   • Nee: Kies voor een kant-en-klare EU-SaaS-oplossing of een specialized privacyvriendelijke AI-dienst.

Actualiteit en borging van gegevens

De markt voor AI-software, hostingoplossingen en regionale datacenters ontwikkelt zich snel. Nieuwe datacenters worden geopend, overnames veranderen de rechtsentiteit van leveranciers, en regelgeving rondom internationale datadoorgifte wijzigt regelmatig. Een beoordeling van een leverancier is daardoor een momentopname.

Om de betrouwbaarheid van dit overzicht te waarborgen, geldt de volgende houdbaarheidsverklaring: categorieën en voorbeelden gecontroleerd op 2026-08-07.