Ik dacht dat ik mijn afhankelijkheden wel kende. Mijn beelden maak ik op mijn eigen laptop, mijn dictaat gaat nergens heen, en de artikelen op deze site staan als platte tekstbestanden in een repository die ik ook offline heb. Dat voelt als grip.
Vanochtend keek ik naar een webinar waarin twee mensen een matrix lieten zien met drie vragen per onderdeel. Bij de eerste twee knikte ik mee. Bij de derde bleef ik hangen, en toen ik hem voor mezelf ging invullen bleek mijn antwoord op de belangrijkste rij minder geruststellend dan ik dacht.
Residentie is niet hetzelfde als soevereiniteit
De aanleiding die de sprekers kozen is een hoorzitting in de Franse Senaat, 10 juni 2025. Anton Carniaux, directeur publieke en juridische zaken bij Microsoft France, kreeg onder ede de vraag of hij kon garanderen dat gegevens van Franse burgers nooit zonder toestemming van de Franse autoriteiten naar de Verenigde Staten zouden gaan. Zijn antwoord: “Non, je ne peux pas le garantir.”
De data stond in Europa. Dat was nooit het punt. De Amerikaanse CLOUD Act geldt voor het bedrijf, niet voor de vloer waar de schijf op staat.
Daar zit het verschil dat het hele stuk draagt. Residentie beantwoordt de vraag waar iets staat. Soevereiniteit gaat over wie de onderdelen beheert die eromheen zitten, en over wat er overblijft als een van die onderdelen van eigenaar wisselt, van voorwaarden verandert of ophoudt te bestaan.
De sprekers noemden soevereiniteit een draaiknop, geen schakelaar. Je bent het niet wel of niet. Je bent het in zekere mate, en per onderdeel verschillend. Ik schreef eerder over waarom het gesprek over digitale soevereiniteit zo moeizaam verloopt, en achteraf denk ik dat dit een deel van de verklaring is: aan tafel zit de een een schakelaar te bespreken en de ander een knop.
De matrix
Ze leggen drie lagen naast vijf componenten. De lagen zijn data, operationeel en technologisch. De componenten zijn modelaanbieder, cloud en chips, orchestratie, vector store en clientsystemen.
Per vakje stel je drie vragen:
- Wie bezit het?
- Wiens wetten gelden ervoor?
- Wat gebeurt er als het verdwijnt?
De eerste twee vragen kan iedereen beantwoorden. Ze staan meestal al ergens in een inkoopdocument. De derde is een andere soort vraag, want die vraagt niet naar een feit maar naar een plan, en het antwoord is vaak dat er geen plan is.
Mijn eigen stack, eerlijk ingevuld
Ik heb de rijen langsgelopen voor sparkone.nl. Niet als oefening op papier, maar omdat ik benieuwd was of mijn gevoel van grip standhield.
| Onderdeel | Wie bezit het | Wat als het verdwijnt |
|---|---|---|
| Taalmodel (Anthropic) | VS | Artikelen blijven staan, werkwijze valt stil |
| Beeldmodel (lokaal, MLX) | Ik, op eigen hardware | Alleen weg als mijn laptop weg is |
| Hosting (Cloudflare Pages) | VS | Site is statisch, verhuist in een middag |
| Scheduler (Cloudflare Worker) | VS | Publiceren wordt handwerk |
| Media (Cloudflare R2) | VS | Beelden staan ook in de repo |
| Socials (Blotato) | VS | Teksten staan in de repo, planning niet |
| Code (GitHub) | Microsoft, VS | Git is gedistribueerd, ik heb alles lokaal |
| Vector store | Heb ik niet | Niet van toepassing |
Twee dingen vielen me op.
Het eerste is dat één rij helemaal leeg blijft. Ik heb geen vector store, en dat betekent dat een raamwerk dat voor bedrijfsstacks is ontworpen bij mij een component overhoudt. Een lege rij hoort dat te doen: laten zien dat je iets níet hebt, in plaats van dat je vergeten bent ernaar te kijken.
Het tweede is ongemakkelijker. Bij bijna elke rij is mijn antwoord op de derde vraag “dat komt goed, want het staat ook ergens anders”. Behalve bij de eerste. Als Anthropic morgen verdwijnt, blijft alles staan wat ik ooit gepubliceerd heb, en dat is precies het punt: wat wegvalt is niet mijn werk maar mijn manier van werken. De uitvoer is draagbaar, het proces niet. Dat is een ander soort afhankelijkheid dan de vraag waar mijn bestanden staan, en het is de enige rij waar ik geen tweede optie klaar heb liggen.
Voor het beeldwerk ligt het omgekeerd. Dat draait op mijn eigen laptop, en daar is de risicovraag niet juridisch maar fysiek. Geen leverancier kan dat afnemen. Een kapotte schijf wel.
Wat ik ervan meeneem naar het werk
De vijf governance-poorten die ze daarna lieten zien (zien, beperken, onderbreken, beoordelen, herstellen) zijn een tweede raamwerk, en dat verdient een eigen stuk. Eén onderdeel wil ik hier wel noemen, omdat het de derde vraag concreet maakt: een beslissingslog per agent-actie, met velden voor actor, invoer, actie, resultaat en escalatiecriterium.
Dat log is niet interessant om wat erin staat. Het is interessant omdat je zonder log de vraag “wat als dit verdwijnt” niet eens kúnt beantwoorden voor het werk dat je hebt uitbesteed. Je weet dan niet wat er gedaan is, dus je weet ook niet wat je zou missen.
Het escalatieveld in dat log is waar de grens komt te liggen tussen wat de agent zelf afhandelt en wat langs een mens moet. Bij mij is die grens geen bedrag maar een handeling. Publiceren doe ik zelf, plannen laat ik automatiseren, en dat staat hard in mijn projectinstructies.
De kanttekening
De draaiknop is een verbetering, en tegelijk is hij een uitnodiging. Zolang soevereiniteit een schakelaar was, moest je uitleggen waarom je hem uit liet staan. Nu het een knop is, kun je hem laag zetten en dat een bewuste keuze noemen. Die woorden kwamen in het webinar meermaals langs, en ze zijn waar, maar ze zijn ook precies de formulering waarmee je een afweging kunt afsluiten die je eigenlijk nooit gemaakt hebt.
De aansprakelijkheid schuift niet mee met de afhankelijkheid. Ze lieten dat zien aan een uitspraak tegen een luchtvaartmaatschappij wiens chatbot een kortingsregeling verzon, en dat is het onderwerp van deel twee. Voor mij vertaalt het zich naar iets kleiners maar niet naar iets anders: onder alles wat hier staat, staat mijn naam, ook bij de zinnen waar een model aan heeft meegeholpen. Dat is geen gedeelde verantwoordelijkheid.
En dan het ongemakkelijkste. Dit raamwerk kwam uit een leverancierswebinar, en dat is te merken aan waar het eindigt. Wie de matrix invult komt uit bij een lijst zwakke plekken, en de logische volgende stap is iets kopen dat ze afdekt. Het raamwerk is daarmee niet onwaar, maar het is wel ontworpen door iemand met een belang bij de conclusie. De derde vraag stel je juist zo weinig omdat het antwoord ongemakkelijk is, en een partij die je helpt hem te stellen verkoopt meestal ook het antwoord.
Wat ik zelf doe
Ik ga de matrix niet omzetten in beleid. Wat ik wel doe is de derde vraag toevoegen aan het moment waarop ik een nieuw stuk gereedschap in mijn werk laat: niet alleen wat het kost en waar het draait, maar wat er van mijn werkwijze overblijft als het er niet meer is.
Voor de rij die er slecht uitkwam heb ik geen oplossing, en ik ga er ook niet een verzinnen om het stuk netjes af te sluiten. Wat ik wel doe is zorgen dat het onderscheid scherp blijft: mijn uitvoer is draagbaar en dat houd ik zo, want alles staat als markdown in git en niets zit vast in een gesloten formaat. Dat is de helft die ik in de hand heb. De andere helft is mijn eigen werkwijze, en daar ligt geen tweede optie voor klaar.
Veelgestelde vragen
Is dit alleen relevant voor grote organisaties?
Nee, maar de invulling verschilt sterk. Een organisatie vult de matrix in om contractuele en juridische risico’s te vinden. Iemand die alleen werkt vindt vooral gewoontes die aan één leverancier vastzitten. Beide zijn afhankelijkheden, maar je repareert ze op een andere manier.
Wat is het verschil tussen dataresidentie en soevereiniteit?
Residentie zegt waar je gegevens staan of worden verwerkt. Soevereiniteit gaat over wie elk onderdeel in de keten beheert, onder welk rechtsstelsel dat gebeurt, en of je kunt blijven werken als daar iets in verandert. Data in Europa kan onder buitenlandse jurisdictie vallen als het bedrijf dat de dienst levert daar gevestigd is.
Betekent lokaal draaien dat je soeverein bent?
Voor dat onderdeel scoor je hoger, maar het verplaatst de vraag. Een model op je eigen laptop kent geen leveranciersrisico en wel een hardwarerisico. En het model zelf is nog steeds door iemand anders getraind, met data waar jij geen zicht op hebt.
Moet ik hiervoor het hele webinar kijken?
De inhoud begint rond minuut elf; de eerste tien minuten zijn geluidstest. De twee raamwerken zelf zijn toegezegd maar op het moment van schrijven nog niet gedeeld.
Bronnen
- Webinar “Sovereign AI in the enterprise: from data residency to operational control”, Freeday, 20 augustus 2026, met Engelse ondertiteling — linkedin.com/events
- Hoorzitting Franse Senaat, 10 juni 2025, verklaring Anton Carniaux (Microsoft France), geraadpleegd 20 augustus 2026 — theregister.com
- Moffatt tegen Air Canada, British Columbia Civil Resolution Tribunal, geraadpleegd 20 augustus 2026 — bccrt.ca
- Transparantieverplichtingen artikel 50 AI-verordening, van kracht sinds 2 augustus 2026, geraadpleegd 20 augustus 2026 — digital-strategy.ec.europa.eu
- Overname OpenRouter door Stripe, gemeld 16 augustus 2026, geraadpleegd 20 augustus 2026 — techcrunch.com
Gecontroleerd op 20 augustus 2026. Ik heb de uitzending niet als video bekeken maar gelezen: LinkedIn levert er een ondertitelbestand bij, en dat is de bron voor alles wat hier aan de sprekers wordt toegeschreven. Dat bestand is als niet-automatisch gegenereerd gemarkeerd, maar het draagt onmiskenbaar machinale fouten: bedrijfsnamen en persoonsnamen staan er verkeerd in. Namen heb ik daarom apart geverifieerd en niet uit de ondertiteling overgenomen; letterlijke citaten van de sprekers heb ik om dezelfde reden vermeden. De hoorzitting, de zaak tegen Air Canada, de ingangsdatum van artikel 50 en de overname van OpenRouter kloppen alle vier. Eén ding klopt niet: de sprekers zeiden dat de hoog-risico-verplichtingen volgend jaar ingaan, terwijl het Digital Omnibus-pakket die termijn juist naar 2 december 2027 heeft verschoven en artikel 50 bewust buiten dat uitstel is gehouden. De bewering dat 70 procent van de modellen uit de Verenigde Staten komt heb ik niet kunnen controleren: er werd geen bron, meetopzet of definitie bij genoemd, dus dat getal staat hierboven niet.