Banken, verzekeraars en vermogensbeheerders kiezen steeds vaker alleen kunstmatige intelligentie die in Europa wordt gehost. Dat blijkt uit nieuw sectoronderzoek dat deze maand is gedeeld. De hoofreden is juridische zekerheid onder de AVG en de Europese AI-verordening. Instellingen zoeken daarom naar leveranciers met datacenters in de EU en strikte garanties over gegevensverwerking.
Europese hosting wordt norm
Veel financiële teams stellen Europese dataopslag als harde eis bij de inkoop van algoritmen en datamodellen. Dit geldt vooral voor toepassingen als klantcontact, risicoanalyse en fraudeopsporing. Dataresidentie betekent dat gegevens in een gekozen regio blijven en daar worden verwerkt. Zo blijft controle en toezicht binnen het Europese rechtsgebied.
Na rechtszaken over internationale datastromen, zoals Schrems II, willen instellingen minder afhankelijk zijn van overdrachten naar de VS. Juridische onzekerheid kost tijd en geld, vooral bij audits en toezicht. Europese hosting vermindert dat risico en maakt toetsing door compliance-teams eenvoudiger. Ook helpt het bij uniforme rapportage richting de interne audit en toezichthouders.
Inkoopvoorwaarden veranderen daarom zichtbaar. Steeds meer tenders vragen om EU-datacenters, Europese subverwerkers en contracten met duidelijke auditrechten. Dat vergroot de vraag naar Europese cloud- en AI-diensten, ook bij bestaande leveranciers.
AVG en AI-verordening sturen keuzes
De AVG verplicht organisaties om persoonsgegevens te beschermen met passende waarborgen. Dataminimalisatie en versleuteling zijn vaste eisen, zeker bij modellen die klantdata verwerken. Europese hosting maakt het eenvoudiger om te laten zien dat overdrachten naar derde landen zijn beperkt. Dat scheelt werk bij Data Protection Impact Assessments (DPIA’s).
De Europese AI-verordening (AI Act) legt extra plichten op voor hoogrisico-toepassingen, zoals kredietbeoordeling en werving. Denk aan risicobeheer, documentatie, logging en transparantie over trainingsdata. Veel van deze plichten gaan op het moment van schrijven gefaseerd gelden richting 2026. Europese verwerking helpt om auditors en toezichthouders sneller toegang te geven tot bewijs en logs.
Voor generatieve systemen komt daar nog iets bij. Organisaties willen controle over wat een model opslaat, leert en deelt. Europese hosting met heldere uitschakeling van modeltraining op klantdata is daarbij een belangrijke voorwaarde.
Dataminimalisatie betekent: verwerk niet meer persoonsgegevens dan nodig is voor het doel, en bewaar ze niet langer dan nodig.
Aanbieders spelen op soevereiniteit
Grote cloudaanbieders passen hun diensten aan voor Europese eisen. Microsoft biedt voor Azure OpenAI een EU Data Boundary en opties om prompts niet op te slaan. Google Cloud levert Sovereign Controls for Europe voor Vertex AI en Workspace. AWS werkt aan de European Sovereign Cloud met strengere lokalisatie en sleutelbeheer.
Europese spelers winnen daardoor zichtbaarheid. Mistral AI levert modellen die standaard in de EU draaien en ondersteunt on-premises inzet. Aleph Alpha biedt controleerbare AI met uitlegfuncties en Europese hosting. OVHcloud, T-Systems en Scaleway profileren zich met soevereine infrastructuur en sleutelbeheer door de klant.
Ook traditionele softwarebedrijven bewegen mee. SAP en Salesforce bieden EU-varianten met strengere datagrenzen. Voor veel financiële instellingen is “customer managed key”-versleuteling nu een minimum. Daarmee houden zij de sleutels en dus de toegang tot gevoelige data zelf in handen.
Operationele impact in de sector
Banken en verzekeraars scherpen hun governance aan rond modellen. Ze voegen eisen toe aan leveranciersbeheer, zoals Europese subverwerkers en onafhankelijke audits. Ook richten zij processen in voor prompt-logging, toegangsbeheer en bewaartermijnen. Dit maakt gebruik van generatieve systemen beter controleerbaar.
Technisch gezien groeit de vraag naar hybride inzet. Sommige workloads draaien in een EU-cloud, andere on-premises in een eigen datacenter. Open-modellen zoals Llama 3 en Mistral 7B worden lokaal ingezet voor gevoelige taken. Zo blijven klantdata binnen de organisatie en zijn latency en kosten beter voorspelbaar.
Compliance-teams werken nauwer samen met IT en business. DPIA’s, modelkaarten en testprotocollen worden vroeg in projecten opgesteld. Dit versnelt implementatie en vermindert herwerk bij controles door interne audit of toezichthouders zoals DNB, EBA en EIOPA.
Knelpunten en keuzes blijven
Europese hosting kan duurder zijn en soms minder functies bieden dan wereldwijde varianten. Niet elke leverancier ondersteunt meteen alle regio’s, sleutelopties of loggingeisen. Prestaties kunnen variëren, bijvoorbeeld bij zeer grote modellen of piekbelasting. Organisaties moeten daarom zorgvuldig benchmarken op kosten, latency en kwaliteit.
Vendor lock-in is een tweede zorg. Proprietaire API’s en unieke veiligheidsfuncties maken overstappen lastig. Steeds vaker eisen inkopers open standaarden, exportmogelijkheden en duidelijke exit-clausules. Dat beperkt risico’s bij wijzigend beleid of prijsstelling.
Tot slot speelt certificering een rol. Het Europese cloudkeurmerk EUCS en sectorrichtlijnen kunnen selectie versimpelen, maar zijn op het moment van schrijven nog in ontwikkeling. Tot die tijd wegen instellingen zelf de combinatie van juridische waarborgen, technische maatregelen en prestatie-eisen af.