De tijd dringt voor digitale soevereiniteit

Twee maanden geleden was ik met het marketingteam op bezoek bij Leaseweb. Als marketeer kende ik de term datasoevereiniteit wel. Maar pas daar begreep ik wat het écht betekent. Het opende mijn ogen. Ik denk nu veel beter na over wat ik bijvoorbeeld online plaats. In mijn werk, maar zeker ook privé.

Van handig naar blind afhankelijk

Bijna elk bedrijf werkt dagelijks met Amerikaanse software. Denk aan systemen voor klantbeheer, handige AI-tools en e-mailprogramma's. Dat is logisch. De software werkt fijn en is makkelijk te gebruiken. Maar we worden er wel steeds afhankelijker van. En daar zit precies het probleem.

Mijn bezoek aan Leaseweb zette me aan het denken. Echte datasoevereiniteit betekent namelijk dat een organisatie zélf bepaalt waar data leeft, wie er toegang toe heeft en welke wetgeving geldt, ongeacht leveranciers of politieke verschuivingen.

Veel mensen denken ten onrechte dat hun data veilig is zodra de server fysiek in Europa staat. Amerikaanse bedrijven moeten zich echter altijd houden aan de Amerikaanse wet, zoals de US CLOUD Act. Ook als hun computers in Amsterdam of Frankfurt staan. De Amerikaanse overheid mag in sommige situaties gewoon in die gegevens kijken. Lemontree benadrukt dat de rechtsmacht van het moederbedrijf altijd leidend blijft. Echte soevereiniteit vraagt daarom om systemen die vanaf de basis Europees zijn ingericht, met eigen encryptiesleutels en sluitende contracten. Helemaal zelfstandig zijn lukt bijna niemand. Maar voor 99,9% onafhankelijk worden? Dat kan wél door bewust te kiezen voor partijen die volledig onder Europese wetgeving vallen.

Het voorbeeld van Odido: hoe het dus níét moet

Een goed voorbeeld van hoe we onze kritische blik verliezen, is telecombedrijf Odido.

Odido wilde vernieuwen. Daarom besloten ze om al hun belangrijke IT-systemen en klantgegevens te verhuizen naar AWS. Dat is de clouddienst van het Amerikaanse bedrijf Amazon. Deskundigen op het gebied van privacy schrokken hier enorm van. En dat is volkomen terecht.

Odido is een groot bedrijf. Miljoenen Nederlanders bellen en internetten via hun netwerk. Als zo'n bedrijf de controle over de gegevens weggeeft, word je erg kwetsbaar. In mijn ogen is dit precies hoe het niet moet. Er is alleen gekeken naar wat snel en modern is. Niemand dacht na over de risico's op de lange termijn. Klanten verwachten dat een groot telecombedrijf voorzichtig met hun gegevens omgaat. Odido laat zien dat marketingpraatjes het hier wellicht wonnen van veiligheid.

Het is geen feestje van de IT-afdeling

Nu praten vooral de IT-collega's over dit onderwerp. Dat is logisch, maar niet terecht. Juist marketeers gebruiken de meeste losse tools. We gebruiken ze voor nieuwsbrieven, advertenties, online vragenlijsten en social media.

Vaak doen we dat zonder na te denken over deze vragen:

• Waar worden de gegevens precies opgeslagen?
• Wie kan er allemaal bij?
• Wat gebeurt er met de gegevens van onze klanten?
• En willen we wel zo afhankelijk zijn van één partij?

Je hoeft echt niet morgen al te stoppen met alle Amerikaanse software. Dat kan vaak ook helemaal niet. Maar bewust worden van het probleem is wel de eerste stap. Uit expertise rondom digitale soevereiniteit blijkt dat dit vraagt om een realistische, risicogebaseerde aanpak. We moeten niet alleen vallen voor innovatie en functionaliteit, maar juist kijken naar controle, continuïteit en het aantoonbaar borgen van onze eigen data.

Waarom dit onderwerp steeds belangrijker wordt

De discussie over digitale zelfstandigheid is inmiddels een serieus onderwerp in de politiek. De Algemene Rekenkamer was kort geleden erg streng voor de Nederlandse overheid. Heel veel overheidsdiensten gebruiken namelijk Amerikaanse cloudbedrijven.

Het gaat dan niet alleen om het opslaan van bestanden. Het gaat ook over e-mail, agenda's, documenten en chatprogramma's. Een heel groot deel van onze overheid en onze bedrijven draait op technologie uit het buitenland. Dit botst steeds vaker met Europese wetgeving zoals de AVG en de NIS2-richtlijn, die strenge eisen stellen aan cybersecurity en de controle over toeleveringsketens.

De impact van AI en wetgeving

En dan is er nog AI. Steeds meer medewerkers gebruiken AI-tools om teksten te schrijven of documenten samen te vatten. Vaak gebeurt dat zonder dat er duidelijke regels voor zijn binnen het bedrijf. Veel van deze AI-programma's sturen de gegevens naar landen buiten Europa, waar ze soms worden gebruikt om het computermodel slimmer te maken. Hierdoor kan geheime bedrijfsinformatie zomaar in buitenlandse handen vallen.

Dit raakt inmiddels ook direct de wetgeving. De Europese AI-wetgevingsdeadline van 2 augustus 2026 nadert al snel. Vanaf dat moment handhaaft de EU de AI Act strikt, zonder ruimte voor uitstel. Bedrijven moeten scherp in kaart brengen welke AI-systemen ze gebruiken en welke risico's daaraan kleven. Wie tools inzet voor bijvoorbeeld personeelsselectie of klantbeoordelingen, krijgt te maken met de zwaarste documentatie-eisen en risicobeheersing. Het niet op orde hebben van deze zaken kan leiden tot miljoenenboetes.

Begin klein, maar begin wel

Digitale zelfstandigheid en compliant zijn met de nieuwe wetgeving betekent niet dat je morgen alles moet omgooien. Dat is niet haalbaar. Maar je kunt vandaag wel beginnen met kleine stappen:

• Maak een inventarisatie
  Welke software en AI-tools gebruiken we nu eigenlijk allemaal binnen de organisatie?
• Kijk kritisch naar de toekomst
  Moeten we voor die nieuwe tool wel weer kiezen voor een Amerikaanse reus? Of is er een goed Europees alternatief dat data uitsluitend binnen de Europese Economische Ruimte verwerkt?
• Stel betere vragen
  Vraag aan softwareleveranciers waar de data precies naartoe gaat, wie er toegang toe heeft en of zij sluitende garanties kunnen bieden die passen binnen de Europese regels.

Dit doe je niet alleen omdat het moet van de wetgever. Je doet het omdat je een verantwoordelijkheid hebt naar je klanten. Zij vertrouwen erop dat hun gegevens bij jou in veilige handen zijn.

Ben jij klaar voor de toekomst?

De echte vraag is daarom niet: werkt onze software vandaag nog lekker makkelijk? De echte vraag is: ben je klaar voor de toekomst, of heb je de sleutels van je bedrijf al weggegeven?

Digitale zelfstandigheid is geen project voor later. Het is iets waar je vandaag mee moet beginnen. Stap voor stap. Wat zet jij morgen nog online?