Cloud Act en AVG: waarom “hosting in Europa” niet genoeg is

U vraagt een leverancier waar uw gegevens naartoe gaan. Het antwoord klinkt geruststellend: “Onze servers staan in Europa.” Dat lijkt volledig, maar het is slechts de helft van het antwoord. De serverlocatie zegt waar de gegevens staan. Ze zegt niets over wie openbaarmaking juridisch kan afdwingen. Sinds 2018 maakt een Amerikaanse wet die tweede vraag beslissend voor uw risico, terwijl bijna geen enkele leverancier er uit zichzelf antwoord op geeft.

Deze gids legt uit wat de Cloud Act zegt, op wie hij werkelijk van toepassing is, waarom het Data Privacy Framework hem niet neutraliseert en hoe u controleert of een SaaS- of AI-tool in de praktijk buiten Amerikaanse rechtsmacht valt.

Wat de Cloud Act werkelijk zegt

De Cloud Act, voluit de Clarifying Lawful Overseas Use of Data Act, werd op 23 maart 2018 ondertekend als onderdeel van de Consolidated Appropriations Act. De wet kwam niet uit het niets: ze beslechtte een zaak die het Amerikaanse Hooggerechtshof toen behandelde.

Die zaak begon in december 2013, toen Microsoft een bevel kreeg op grond van de Stored Communications Act voor e-mails die in een datacenter in Dublin stonden. Microsoft weigerde en stelde dat een Amerikaans bevel geen gegevens in Ierland kon bereiken. De zaak kwam in februari 2018 bij het Hooggerechtshof. Voor het uitspraak kon doen nam het Congres de Cloud Act aan en werd de zaak zonder voorwerp verklaard.

De wijziging past in één bepaling. De Stored Communications Act verplicht een leverancier voortaan inhoud en gegevens in zijn bezit, bewaring of controle te bewaren, te back-uppen of openbaar te maken, “ongeacht of de communicatie, het bestand of andere informatie zich binnen of buiten de Verenigde Staten bevindt”.

Wie er werkelijk onder valt

De Cloud Act richt zich niet simpelweg op “Amerikaanse bedrijven”. Hij geldt voor elke leverancier die onder Amerikaanse rechtsmacht valt, een bredere categorie dan Europese kopers vaak denken:

• Een Amerikaans bedrijf, ongeacht waar de infrastructuur staat.
• Een Europese dochter van een Amerikaanse moeder. De toets is controle: als de Amerikaanse moeder haar Europese entiteit controleert, worden de gegevens daar doorgaans als onder controle van de moeder beschouwd en kan een Amerikaans bevel ze bereiken. Een GmbH of SAS oprichten bouwt op zichzelf geen muur.
• Een niet-Amerikaans bedrijf met voldoende aanwezigheid in de VS om onder Amerikaanse rechtsmacht te vallen.

De praktische consequentie is ongemakkelijk maar eenvoudig: uw blootstelling wordt bepaald door de juridische nationaliteit van het bedrijf dat de dienst exploiteert en van de groep die het controleert. De serverlocatie is in vergelijking een detail.

Dit is geen abstracte cloudcontractvraag. Het geldt voor ieder onderdeel van uw stack: CRM, notitie-app, AI-assistent en de dicteertool waarin u uw bestanden inspreekt. Vooral dat laatste wordt vaak over het hoofd gezien, terwijl gedicteerde audio vaak het vertrouwelijkste product van een professional op een dag is.

Geen theoretisch risico: Microsoft voor de Franse Senaat

In juni 2025 verklaarde de juridisch directeur van Microsoft France onder ede voor een onderzoekscommissie van de Franse Senaat dat hij niet kon garanderen dat gegevens van Franse burgers nooit zonder toestemming van Frankrijk aan Amerikaanse autoriteiten zouden worden overhandigd.

Dat kwam van een hyperscaler met grote Europese datacenters en een eigen aanbod rond digitale soevereiniteit. Het was geen bewering van een concurrent, maar het antwoord van de leverancier zelf, onder ede. Voor organisaties met vertrouwelijke dossiers zegt zo'n verklaring meer dan honderd marketingpagina's over Europese hosting.

Het Data Privacy Framework beantwoordt een andere vraag

Wanneer u een Amerikaanse leverancier naar doorgifte vraagt, verwijst die meestal naar het Data Privacy Framework (DPF), het adequaatheidsbesluit dat de Europese Commissie op 10 juli 2023 aannam. Een Amerikaans bedrijf certificeert zichzelf en kan dan persoonsgegevens uit de EU ontvangen. Op papier is die overdracht rechtmatig.

Ten eerste is dit het derde kader van zijn soort en zijn de vorige twee vernietigd. Safe Harbor werd in 2015 ongeldig verklaard en Privacy Shield in 2020, beide omdat Amerikaans toezicht Europeanen geen bescherming bood die wezenlijk gelijkwaardig was aan EU-recht. Het DPF overleefde een eerste uitdaging, maar een hoger beroep is nog hangende. Vertrouwelijkheid bouwen op een mechanisme dat al tweemaal is vernietigd, is een gok en geen garantie.

Ten tweede neutraliseert het DPF de Cloud Act niet. Het DPF maakt de commerciële doorgifte van gegevens naar de VS rechtmatig. De Cloud Act gaat over toegang door Amerikaanse autoriteiten tot gegevens die een leverancier al bezit. Een leverancier kan volledig DPF-gecertificeerd zijn en toch een geldig Amerikaans bevel krijgen. Rechtmatigheid van de doorgifte beschermt u niet tegen toegang.

De andere bevoegdheid: FISA Section 702

De Cloud Act is niet de enige route. Section 702 van de Foreign Intelligence Surveillance Act kan Amerikaanse inlichtingendiensten elektronische communicatieproviders verplichten communicatie van niet-Amerikaanse personen buiten de VS te verstrekken. Juist de ontoereikende waarborgen rond dit toezicht waren aanleiding voor het Hof van Justitie om Privacy Shield in Schrems II te vernietigen.

Section 702 verkeert in 2026 in wetgevende onzekerheid, maar dat verandert operationeel niets voor een Europese klant: bestaande certificeringen van de FISA-rechtbank blijven gelden. Ervan uitgaan dat deze bevoegdheid vanzelf verdwijnt, is geen strategie.

Wat soevereiniteit werkelijk betekent: vier controles

“Soeverein” is een marketingwoord geworden. Controleer het in deze volgorde:

1. Wie bezit de uitgever? Zoek de onderneming op in het nationale register: rechtsvorm, zetel, kapitaal en vooral een Amerikaanse moeder of gecontroleerde groep.
2. Wie beheert de subverwerkers en waar? Vraag de lijst op en lees welke bedrijven het model, de database, authenticatie en betalingen uitvoeren. Eén Amerikaanse schakel kan gegevens weer binnen bereik brengen.
3. Inhoud tegenover metadata. Een leverancier kan documenten in Frankrijk verwerken en accountgegevens, e-mail, authenticatie en facturatie via Amerikaanse SaaS-providers sturen. Vraag expliciet om die scheidslijn.
4. Wat staat er werkelijk in het contract? Een verwerkersovereenkomst op grond van artikel 28 AVG moet subverwerkers noemen, hun verwerkingslocatie vermelden en wijzigingen aankondigen.

De specifieke valkuil bij AI-tools

Een Europese leverancier kan de applicatie op Europese infrastructuur hosten en toch elk document naar de VS sturen. Dat gebeurt bij de modelaanroep. Als de intelligentie van OpenAI, Anthropic, Google of een Amerikaanse cloud komt, verlaat uw inhoud de Europese perimeter zodra het product nuttig wordt. De Europese hosting is echt, maar bevat dan alleen de interface, niet de inhoud.

Bij spraakdicteren is dit bijna de standaard. Veel tools transcriberen via een Amerikaanse speech-to-text-API. De gedicteerde audio gaat dan rechtstreeks binnen het bereik van die wetgeving.

Zes vragen die u iedere leverancier schriftelijk stelt

1. Welke rechtspersoon publiceert de dienst en wordt hij gecontroleerd door een niet-Europese moeder?
2. Waar en door welke bedrijven wordt mijn inhoud verwerkt? Vraag om namen, niet alleen “in Europa”.
3. Welke AI-modellen gebruikt u en wie beheert ze?
4. Welke gegevens zijn inhoud en welke accountmetadata, en worden ze verschillend verwerkt?
5. Valt u of een subverwerker onder de Cloud Act of een andere extraterritoriale wet?
6. Levert u een artikel 28-verwerkersovereenkomst met subverwerkers en wijzigingsmeldingen?

De antwoorden moeten schriftelijk en zonder omwegen komen. Als dat niet gebeurt, hebt u feitelijk al een antwoord. Voor de AVG-kant leest u ook onze gids over spraakdicteren en de AVG en het artikel over de AI Act.

Waar Fast Dictate staat

Fast Dictate beantwoordt deze zes vragen op één pagina. De uitgever is een Franse onderneming, Synapse Crew SAS, zonder Amerikaanse moeder. Met het Pro-abonnement blijven audio en transcripties in Frankrijk op ISO/IEC 27001:2022-gecertificeerde infrastructuur. Ook de modellen draaien op Franse infrastructuur, zonder Amerikaanse AI-API voor uw inhoud. Audio wordt op ieder abonnement direct na transcriptie verwijderd en nooit gebruikt om modellen te trainen.

De eerlijke nuance betreft metadata: technische accountgegevens, e-mailadres, authenticatie en abonnementsstatus gebruiken internationale subverwerkers onder standaardcontractbepalingen. Geen gedicteerde inhoud gaat daar doorheen. De volledige uitsplitsing staat op de pagina Beveiliging; de DPA is beschikbaar voor Pro-klanten.

Veelgestelde vragen