Lange tijd werden technologische beslissingen beoordeeld aan de hand van een vertrouwde reeks vragen: Is het sneller? Is het goedkoper? Kan het opschalen? Maakt het het team productiever?
Die vragen zijn nog steeds belangrijk. Ze zijn niet langer voldoende.
Wanneer een organisatie afhankelijk is van externe infrastructuur, platforms en in toenemende mate ook van externe AI-modellen, komt eerst een moeilijkere vraag: wat gebeurt er als de voorwaarden veranderen? Wat gebeurt er als toegang duurder wordt, beperkter wordt, politiek gevoelig wordt, of lastig uit te leggen is aan een toezichthouder, raad van bestuur of klant?
Dat is de soevereiniteitsvraag in IT en AI.
Het gaat niet alleen om waar data zich bevindt. Het gaat om controle in bredere zin: wie kan het systeem inspecteren, onderbreken, toegang afdwingen, de regels veranderen of het moeilijk maken om te vertrekken. Het gaat ook om verantwoordelijkheid. Als er iets misgaat, wie blijft er dan verantwoordelijk?
Er bestaat geen eenduidige wereldwijde definitie van digitale soevereiniteit. Verschillende rechtsgebieden leggen de nadruk op verschillende aspecten: juridische reikwijdte, afhankelijkheid van infrastructuur, datacontrole, operationele veerkracht, concentratie van aanbieders en, steeds vaker, controle over de AI-modellaag. De rode draad is praktisch, niet ideologisch.
Soevereiniteit is het vermogen om betekenisvolle controle te behouden over de digitale capaciteiten waarvan een organisatie het meest afhankelijk is.
Dat betekent niet dat elk land of elk bedrijf alles zelf moet bouwen. Het betekent dat je weet waar afhankelijkheid aanvaardbaar is, waar die gevaarlijk is, en welke controle intern moet blijven of contractueel afdwingbaar moet zijn.
Soevereiniteit is geen zelfvoorziening
Soevereiniteit wordt vaak verward met zelfvoorziening of dataresidentie. Geen van beide dekt het volledige probleem.
Een bedrijf kan zijn data in het juiste rechtsgebied opslaan en toch kwetsbaar blijven als het omliggende platform moeilijk te verlaten is, de aanbieder onderworpen blijft aan buitenlandse juridische eisen, of de AI-systemen die in kritieke workflows zijn ingebed niet door de klant kunnen worden geaudit of beïnvloed.
AI maakt dit onderscheid urgenter. Een model is niet zomaar nog een softwarecomponent. Het kan bepalen hoe een organisatie schrijft, zoekt, classificeert, klanten ondersteunt, informatie analyseert en beslissingen neemt. Zodra dat gebeurt, verschuift de afhankelijkheid omhoog in de stack. De vraag is dan niet langer alleen waar een machine draait. Het is wie de intelligentie binnen het werk vormgeeft.
De meeste organisaties herkennen dit uit alledaagse operationele situaties. Een leverancier past zijn prijsstelling aan en een levensvatbare use case wordt plotseling duur. Een modelupdate verandert de output en interne workflows moeten opnieuw worden gekalibreerd. Juridische of compliance-teams stellen eenvoudige vragen over gegevensverwerking en krijgen vage antwoorden. Inkoop ontdekt dat een zogenaamd flexibele architectuur kostbaar en traag zou zijn om te vervangen.
Een geopolitieke crisis is daarvoor niet nodig. Gewone afhankelijkheid is al genoeg.
Een wereldwijd debat in een andere juridische taal
Het vraagstuk is wereldwijd, ook waar de terminologie anders is.
In de Verenigde Staten wordt die zorg vaak verwoord in termen van federale autorisatie en nationaleveiligheidscontroles, in plaats van met de term digitale soevereiniteit. FedRAMP biedt een gestandaardiseerde aanpak voor het beoordelen, autoriseren en continu monitoren van cloudservices die door federale instanties worden gebruikt. Instanties blijven verantwoordelijk voor hun workloads nadat die naar de cloud zijn verplaatst, en defensieomgevingen stellen aanvullende eisen.
In het Verenigd Koninkrijk wordt het vraagstuk meestal benaderd vanuit operationele weerbaarheid en systemische afhankelijkheid. De Bank of England, de PRA en de FCA hebben een regime voor Critical Third Parties opgezet, omdat een grote verstoring bij een externe leverancier niet alleen risico kan opleveren voor één instelling, maar voor het bredere financiële systeem.
Canada's cloud control profile voor Protected B-information maakt het verantwoordingsbeginsel expliciet: verantwoordelijkheden kunnen aan cloudproviders worden gedelegeerd, maar die verantwoording verdwijnt niet met de overdracht.
India koppelt vereisten voor datalokalisatie van betalingssysteemgegevens aan de verwachting dat gereguleerde entiteiten verantwoordelijk blijven voor uitbestede IT- en cloudregelingen. Singapore verwelkomt cloudadoptie, maar behandelt die als uitbesteding die moet worden beheerst. Australië, Brazilië en Zuid-Afrika benaderen het vraagstuk op vergelijkbare wijze via operationele weerbaarheid, risico's van dienstverleners, toegang voor toezichthouders, datagovernance en strategische infrastructuur.
Het patroon is duidelijk. Soevereiniteit is geen nichezorg van Europa. Het is een brede reactie op het feit dat digitale afhankelijkheid strategisch is geworden.
Waarom de Europese benadering ertoe doet
Europa heeft het concept verder doorgevoerd dan de meeste rechtsgebieden door het om te zetten in een kader voor inkoop en beoordeling.
Het Cloud Sovereignty Framework van de Europese Commissie beoordeelt sovereign-cloudproviders aan de hand van acht doelstellingen: strategische, juridische en jurisdictionele, data- en AI-, operationele, supply-chain-, technologische, beveiligings- en compliance-, en milieuoverwegingen. Het gebruikt twee complementaire mechanismen:
- Sovereignty Effectiveness Assurance Level (SEAL): een minimaal zekerheidsniveau voor elke doelstelling.
- Overall sovereignty score: een gewogen vergelijking van aanbiedingen die voldoen aan de vereiste SEAL-drempel.
Dat onderscheid is belangrijk. De algehele SEAL wordt bepaald door het laagste relevante niveau dat over de doelstellingen heen is behaald. Een ernstige zwakte op één kritisch punt kan het totale niveau van de aanbieder dus beperken, ongeacht de sterkte elders. De score dient een ander doel: die maakt onderscheid tussen aanbiedingen die de minimale drempel al hebben gehaald.
Niveau is drempellogica; score is vergelijkingslogica.
De richtsnoeren van de Commissie geven de aanbestedende dienst ruimte om de vereiste minimale SEAL voor een aanbesteding vast te stellen en vervolgens gekwalificeerde aanbiedingen via de score te vergelijken. Bij haar aanbesteding voor sovereign cloud in 2026 moesten aanbieders ten minste SEAL-2 behalen. Het kader erkent ook gradaties van soevereiniteit: SEAL-2 wordt geassocieerd met datasoevereiniteit, SEAL-3 met digitale weerbaarheid en SEAL-4 met volledige digitale soevereiniteit.
Het hoogste niveau is bewust veeleisend. De Commissie merkt op dat volledige soevereiniteit in de huidige Europese context moeilijk blijft vanwege aanhoudende afhankelijkheden in toeleveringsketens, met name van hardware en chips. Dat is een nuttige correctie op binair denken. Een dienst kan de soevereiniteitspositie van een organisatie verbeteren zonder te voldoen aan de sterkst denkbare definitie van soevereiniteit.
Daarom is het kader meer dan een checklist. Het dwingt het concept stand te houden in de praktijk van inkoop, engineering, juridische toetsing en institutionele verantwoording.
Waarom dit ook buiten gereguleerde sectoren van belang is
Banken, telecomoperators, defensieorganisaties, zorgstelsels en overheidsinstanties voelen deze druk meestal het eerst, omdat regelgeving zichtbaar maakt wat er op het spel staat. De onderliggende kwetsbaarheid is veel breder.
Een fabrikant die voor productie-analytics afhankelijk is van één enkele hyperscaler-regio, een softwarebedrijf dat kernfunctionaliteit heeft gebouwd rond één modelprovider, een retailer die leunt op externe identiteitsinfrastructuur, of een universiteit die AI-tools van derden inbedt in onderzoek en administratie: ze staan allemaal voor varianten van hetzelfde probleem.
Een deel van het risico is geopolitiek. Exportcontroles, sancties, ingrepen uit naam van de nationale veiligheid en grensoverschrijdende juridische eisen kunnen dieper in de technologiestack doordringen dan veel organisaties aannamen. Een ander deel is structureel: een klein aantal bedrijven draagt een groot deel van de wereldwijde cloud-, platform-, identiteits- en AI-capaciteit. Hun mogelijkheden zijn vaak uitstekend. Juist daarom kan de afhankelijkheid diep worden.
AI verscherpt dit vraagstuk omdat externe diensten interne capaciteiten worden. Wanneer een model wordt verweven met supportworkflows, het opstellen van teksten, zoeken, compliancebeoordeling of de productervaring, wordt het onderdeel van hoe de organisatie denkt en opereert. Als die laag moeilijk te auditen, te besturen of te vervangen is, is de afhankelijkheid niet langer louter technisch. Dan wordt die bestuurlijk en strategisch.
Wat de soevereiniteitslens zichtbaar maakt
Soevereiniteit is het best te begrijpen als een discipline van oordeelsvorming, niet als een eis van totale onafhankelijkheid.
De nuttige vraag is niet of een organisatie alles onder controle heeft. Dat kunnen er bijna geen. De betere vraag is: welke soevereiniteitsdoelstelling is het zwakst, en waarom?
Is de beperkende factor eigendom en governance? Juridische blootstelling? Controle over data? Operationele afhankelijkheid? Kwetsbaarheid van de toeleveringsketen? Technologische lock-in? Of de AI-laag zelf?
Zodra dat zichtbaar is, wordt de reactie concreet. Sommige organisaties hebben sterkere audit- en exitrechten nodig. Sommige hebben striktere jurisdictiegrenzen nodig voor specifieke data of workloads. Sommige houden geselecteerde functies mogelijk overdraagbaar tussen cloud- of modelproviders, ook als dat extra kosten met zich meebrengt. Andere accepteren mogelijk beheerde afhankelijkheid in minder kritieke domeinen, terwijl ze sterkere controle behouden over systemen die bepalend zijn voor veerkracht, verantwoording of concurrentievoordeel.
Dat is de waarde van de soevereiniteitslens. Die schrijft niet één politieke conclusie voor en eist ook geen dramatische technologische zelfredzaamheid. Ze geeft organisaties een gedisciplineerde manier om hun zwakste relevante doelstelling te identificeren, te begrijpen waarom die zwak is, en te beslissen of die blootstelling aanvaardbaar is.
Die vraag geldt nu voor infrastructuur, data en in toenemende mate ook voor AI.
Bronnen
- Europese Commissie: Sovereign Cloud Framework uitgelegd (2026)
- Europese Commissie: Cloud Sovereignty Framework — Implementatierichtsnoeren (2026)
- Europese Commissie: Commissie bevordert cloudsoevereiniteit via strategische aanbesteding (2026)
- APRA: CPG 230 Beheer van operationeel risico
- U.S. General Services Administration: Cloudbeveiliging
- Bank of England, PRA en FCA: Kritieke derde partijen voor de Britse financiële sector
- Regering van Canada: Beveiligingscontroleprofiel voor cloudgebaseerde GC-diensten
- Reserve Bank of India: Veelgestelde vragen over opslag van betalingssysteemgegevens
- Reserve Bank of India (Commercial Banks – Managing Risks in Outsourcing) Directions, 2025
- Monetary Authority of Singapore: Cloud
- Banco Central do Brasil: Resolução CMN nº 4.893
- Regering van Zuid-Afrika: Nationaal beleid inzake data en cloud (2024)
