Het debat over soevereine AI spelt zich af in een context waarin datasoevereiniteit, regelgeving en cloudtransformatie hoog op de agenda staan. Toch beginnen gesprekken over soevereine AI vaak nog met één vraag: waar bevinden de data zich? Als data binnen een bepaalde landsgrens of cloudregio blijven, gaat men er al snel van uit dat de controle verzekerd is. Dat is begrijpelijk, maar het vertelt niet het hele verhaal.
Locatie doet ertoe. In Nederland en de rest van Europa kunnen gereguleerde sectoren niet om de vereisten rond dataresidentie heen. Maar soevereiniteit uitsluitend geografisch benaderen, legt nieuwe beperkingen op terwijl AI-toepassingen steeds meer verspreid worden uitgevoerd.
In de praktijk moeten organisaties AI kunnen inzetten waar dat het beste past: een AI-model ontwikkelen en trainen in de cloud, het vervolgens gebruiken in een andere omgeving, terwijl de meest gevoelige bedrijfsdata veilig binnen de eigen organisatie blijven. Soevereiniteit gaat dan over gecontroleerde keuzes: waar data worden opgeslagen, waar rekenkracht wordt ingezet en welke data tussen die omgevingen mogen bewegen, zonder dat governance of controle verloren gaat.
Van dataresidentie naar gecontroleerde mobiliteit
Echte soevereiniteit veronderstelt dat organisaties hun data op een doordachte manier kunnen verplaatsen. Zo kan een bedrijf een model op één locatie trainen, de inferentie uitvoeren dicht bij de eigen activiteiten en tegelijk de meest strategische datasets onder strikte lokale controle houden.
Maar verplaatsbaarheid is niet vanzelfsprekend. Zodra data en toepassingen afhankelijk zijn van specifieke clouddiensten, kan het moeilijk, soms zelfs onmogelijk, worden om ze te verplaatsen. Mobiliteit mag dus geen loze belofte zijn: ze moet vanaf het ontwerp ingebouwd én aantoonbaar zijn.
Zonder die mogelijkheid wordt soevereiniteit al snel een andere vorm van beperking. Data die niet veilig kunnen worden verplaatst, remmen innovatie af. Architecturen die uitsluitend zijn opgezet om te voldoen aan vereisten rond dataresidentie, kunnen tekortschieten zodra de noden van de organisatie veranderen, er nieuwe regelgeving bijkomt of de prestatievereisten verschuiven.
De meest bruikbare aanpak is flexibiliteit onder controle. Organisaties moeten kunnen bepalen waar een specifieke workload draait, op basis van prestaties, kosten, risico’s en compliance. Tegelijk moeten ze een coherent overzicht behouden van de data, het model en de beslissingen die worden genomen.
Dat is ook een van de redenen waarom we in heel Europa steeds meer neocloudproviders zien opkomen. Deze platformen zijn specifiek gebouwd voor AI-toepassingen en processen, en vertrekken van een ander uitgangspunt dan traditionele cloudarchitecturen: organisaties hebben toegang nodig tot geavanceerde AI-infrastructuur zonder de controle te verliezen over waar hun data zich bevinden en hoe die worden verplaatst. De richting van de dataoverdracht is daarbij niet essentieel. Soms wordt het model naar de data gebracht; soms wordt alleen de werkdataset in de buurt van GPU’s gecachet. Wat nooit mag gebeuren, is dat er een aparte, ongecontroleerde kopie van de data ontstaat.
De volgende technologische lock-in vermijden
In het huidige debat over soevereiniteit schuilt ook een minder zichtbaar risico. In hun streven om te voldoen aan vereisten rond dataresidentie en controle, vervangen sommige architecturen gewoon de ene afhankelijkheid door de andere. Ik noem dat de ‘kopiebelasting’: elk nieuw gebruikspunt kan een eigen kopie van de data vereisen, met extra opslagkosten, lifecyclebeheer en governance-uitdagingen tot gevolg. Op petabyteschaal weegt dat multiplicatoreffect veel zwaarder door dan de prijs per eenheid.
We hebben dat patroon eerder gezien. VMware was onder meer aantrekkelijk omdat het bedrijven een gemeenschappelijke platformlaag bood. Toen het bedrijfsmodel veranderde, ontdekten veel organisaties dat het moeilijker dan verwacht was om zich daarvan los te maken. Een grootschalige AI-omgeving die vastzit in het native opslagformaat van één leverancier, brengt een gelijkaardig risico mee; maar met veel grotere datavolumes.
Soevereiniteit moet de mogelijkheden vergroten, niet verkleinen. De cruciale vraag is niet of een architectuur vandaag compliant is. Het gaat erom dat je een toezichthouder kunt aantonen dat een productiedataset daadwerkelijk kan worden verplaatst, hoe snel dat kan gebeuren en welke impact dat op de bedrijfsvoering heeft.
Dat vraagt om een consistente datalaag over alle omgevingen heen: dezelfde aanpak voor governance, bescherming en beheer, ongeacht of data on-premises staan, in een soevereine cloud worden bewaard of tussen verschillende omgevingen worden verplaatst.
Wat operationele soevereiniteit vraagt
Organisaties die soevereine AI ernstig nemen, moeten vier zaken op orde hebben:
- Aantoonbare controle over waar gevoelige data zich bevinden en hoe ze worden beschermd;
- De mogelijkheid om data en AI-toepassingen en -processen te verplaatsen zonder governance of zichtbaarheid in het gedrang te brengen;
- Architecturen die de compliance-uitdagingen van vandaag oplossen zonder de technologische lock-in van morgen te creëren;
- De mogelijkheid om activiteiten te herstellen vanuit een onveranderlijke en geïsoleerde kopie. Object storage biedt op zich geen bescherming tegen ransomware. Recente grootschalige aanvallen in de retailsector hebben duidelijk gemaakt hoe hoog de kost van die lacune kan oplopen.
Voor financiële instellingen volstaan verklaringen niet langer. Sinds de Europese verordening over digitale operationele weerbaarheid (DORA) in januari 2025 van kracht werd, verwachten toezichthouders bewijs dat een financiële instelling haar activiteiten kan herstellen vanuit een geïsoleerde kopie én indien nodig van leverancier kan veranderen. Een exitstrategie die alleen op papier bestaat, is niet voldoende.
Wanneer al die elementen samenkomen, versterkt soevereiniteit zowel het vertrouwen van toezichthouders als de wendbaarheid van de organisatie. Ontbreekt er één, dan betaalt de organisatie daar vroeg of laat de prijs voor: minder keuzevrijheid, hogere operationele kosten of een tragere reactie op verandering. AI maakt het steeds moeilijker om die afwegingen te negeren. AI-toepassingen en -processen die vroeger in één omgeving draaiden, strekken zich vandaag uit over meerdere locaties en vertrouwensdomeinen.
Soevereiniteit moet flexibiliteit onder controle bieden, en mag niet neerkomen op louter een punt op de kaart.
Dit is een ingezonden bijdrage van NetApp. Via deze link vind je meer informatie over de mogelijkheden van het bedrijf.