Je wilt AI inzetten op je kantoor, maar de gegevens van cliënten en klanten mogen niet zomaar de deur uit. Europese AI bestaat, in twee vormen: modellen van Europese bedrijven, en modellen van elke herkomst die draaien op servers in Europa. Dit artikel legt in gewone woorden uit welke opties je hebt, wat de wet van je vraagt en welke vragen je een leverancier stelt voordat je tekent.
Is er een Europese AI?
Ja. Het woord Europese AI dekt alleen twee verschillende dingen, en het helpt om ze uit elkaar te houden.
Het eerste is AI van een Europees bedrijf, zoals Mistral uit Frankrijk. Het tweede is AI van elke herkomst die draait op servers in Europa: bij een Europese hoster (een bedrijf dat servers verhuurt) of op een machine op je eigen kantoor. Voor je privacy is het tweede vaak belangrijker dan het eerste. Wat telt is waar de gegevens staan, wie erbij kan en wie je aanspreekt als het misgaat.
Een Europese naam is dus geen garantie. Een Amerikaans model op een Europese server, met goede afspraken, kan beter beschermen dan een Europese app zonder verwerkersovereenkomst. Omgekeerd geldt ook: de grootste modellen komen op dit moment vooral uit de Verenigde Staten. Voor sommige taken wil je ze naast een Europees model leggen om het verschil te zien. Dat los je op met een proef, niet met een mening.
Wil je weten hoe dat er voor een kantoor uitziet, lees dan hoe wij AI die binnen Europa draait inrichten. Werk je op een advocatenkantoor? Dan staat in ons artikel over AVG-compliant AI voor advocatenkantoren wat daar extra bij komt.
Wat je wilt horen: 'Je gegevens staan in Europa, bij dit bedrijf, en dit is de getekende overeenkomst.' Een zwak antwoord is: 'Het is een Europese app.'
Europese AI apps en bedrijven: wat kun je kiezen?
Eerst een onderscheid dat veel verwarring wegneemt. Een model is de motor die de tekst maakt. Een app is het scherm waarin jij of je team typt. Dezelfde motor kan in meerdere apps zitten, en één app kan meerdere motoren gebruiken. Als je naar een Europese AI app zoekt, vraag je dus twee dingen: van wie is de app, en welk model zit eronder en waar draait dat?
Europese AI bedrijven zijn er in drie soorten. Er zijn bedrijven die zelf modellen bouwen. Er zijn aanbieders die een chatomgeving voor kantoren leveren. En er zijn hosters en bureaus die een model voor je neerzetten op Europese servers en het inrichten voor jouw werk. Welke van de drie past, hangt af van hoeveel je zelf wilt beheren.
Europese AI Mistral: wat is het en wat kun je ermee?
Mistral is een Frans bedrijf dat taalmodellen maakt en daarnaast een eigen chatapp aanbiedt. Een deel van zijn modellen is zo vrijgegeven dat je ze op je eigen server kunt draaien. In vaktaal heet dit een open model. Dat betekent dat je het niet bij Mistral hoeft af te nemen: een hoster of je eigen IT-partner kan het voor je draaien, zodat je gegevens nooit bij Mistral terechtkomen.
Dat is de reden dat Mistral vaak valt in gesprekken over een Europees alternatief voor ChatGPT. Let wel op: de app van een bedrijf en het model op je eigen server zijn niet hetzelfde product. Ze hebben andere voorwaarden en een andere gegevensstroom. Vraag dus altijd welke van de twee je krijgt.
Wat is de beste Europese AI voor jouw kantoor?
Een eerlijk antwoord: dat weet niemand zonder jouw werk te zien. De beste Europese AI is de optie die jouw dagelijkse taken goed genoeg doet, binnen jouw regels voor vertrouwelijkheid. Een ranglijst helpt daar weinig bij.
Doe daarom een proef van een halve dag. Kies tien echte taken, bijvoorbeeld een stuk samenvatten, een conceptbrief schrijven of een klantmail beantwoorden. Laat twee of drie opties dezelfde taken doen met geanonimiseerde stukken. Laat twee collega's de uitkomsten beoordelen zonder te weten welke optie welke tekst maakte.
Wat je wilt horen: 'Hier is een testomgeving waarmee je dit zelf kunt uitproberen.' Een zwak antwoord is een demo met alleen de voorbeelden die de leverancier zelf koos.
Europese AI verordening en wetgeving: wat geldt voor jou?
Met de Europese AI verordening wordt de AI Act bedoeld. Dat is een Europese wet die AI per toepassing indeelt in een risiconiveau. Hoe hoger het niveau, hoe meer eisen er gelden. Het gaat dus om wat je met AI doet, niet om welk merk je gebruikt.
Een toepassing die concepten van interne teksten maakt, valt meestal in een lager niveau dan een toepassing die meebeslist over mensen, bijvoorbeeld bij werving of kredietwaardigheid. Welke plichten bij welk niveau horen, laat je per toepassing bepalen. Schrijf voor jezelf op wat het systeem doet en wie de uitkomst controleert. Daarmee kun je later aantonen dat je erover hebt nagedacht.
Naast de AI Act geldt voor Europese AI wetgeving in de praktijk vooral de AVG. Zodra een leverancier namens jou persoonsgegevens verwerkt, hoort daar een verwerkersovereenkomst bij. Jij blijft verantwoordelijk voor die gegevens, ook als een ander ze verwerkt. Voor advocaten, accountants en zorgverleners komt daar het beroepsgeheim bij: een fout is dan geen technisch incident maar een kwestie van vertrouwen en aansprakelijkheid.
Wat je wilt horen: 'Hier is de verwerkersovereenkomst, hier staat welke gegevens we verwerken, en dit is het risiconiveau van deze toepassing.' Weigert een aanbieder een verwerkersovereenkomst te tekenen, dan is dat het einde van het gesprek.
ChatGPT Team privacy: wat regelt het wel en niet?
Een zakelijk abonnement is iets anders dan een gratis privéaccount. Je krijgt beheer over wie een account heeft, en aanbieders geven doorgaans aan dat zakelijke gegevens niet worden gebruikt om modellen te trainen. Lees dat zelf na in de actuele voorwaarden, want ze veranderen.
Toch lost een abonnement drie dingen niet vanzelf op. Ten eerste: waar de gegevens staan en welke afspraken daarover gelden. Sommige aanbieders bieden opslag in Europa aan, maar vraag wat dat precies dekt. Ten tweede: onder welk recht de aanbieder valt. Een Amerikaans bedrijf kan onder Amerikaanse wetten verplicht worden gegevens te verstrekken, ook als de server in Europa staat. Ten derde, en dit is het grootste risico: wat je medewerkers erin zetten.
Het derde punt is vaak de zwakke plek. Als er geen goedgekeurde omgeving is, gebruiken medewerkers hun privéaccount. In vaktaal heet dit schaduw-AI. Je lost het op door één goedgekeurde omgeving aan te bieden en op één A4 vast te leggen wat erin mag en wat niet.
Wat je wilt horen: 'Welke gegevens gaan precies naar de aanbieder, waar worden ze bewaard, hoe lang, en wie bij ons beheert de accounts?'
Lokale AI: drie manieren om je data in Europa te houden
Lokale AI is AI die draait op een machine die jij of een Europese partij beheert, in plaats van bij een grote internetdienst. Dit raakt direct aan AI en AVG: hoe minder partijen je gegevens zien, hoe kleiner het risico. Er zijn drie routes, van weinig naar veel eigen beheer.
- Een Europese dienst gebruiken. Een Europese aanbieder levert de omgeving en tekent een verwerkersovereenkomst. Dit is de snelste route en kost de minste inspanning om te beheren.
- Een model laten draaien bij een Europese hoster. Het model staat op servers die voor jouw kantoor zijn ingericht. Jij bepaalt welk model er draait en wie erbij kan.
- Een eigen machine op kantoor. Je houdt de meeste controle, maar je moet zorgen voor updates, back-ups en beveiliging, of dat bij een IT-partner neerleggen.
Een bedrijf in de medische sector koos voor een privé-AI waarbij patiëntgegevens nooit bij het model komen en elke rol (administratie, support, klant) alleen ziet wat bij die rol hoort. Dat kan op een server bij een Europese hoster of op een eigen machine op kantoor, met dezelfde software. Ze begonnen met een pilot van een paar weken met een meetrapport, en besloten daarna pas over het vervolg.
Wat je wilt horen: 'Hoe regelen we per rol wie welke dossiers kan raadplegen, en wat kost het om later van route te wisselen?'
Een voorbeeld uit de praktijk: twee kantoren
Het volgende is een voorbeeld met aannames, geen resultaat van een klant.
Stel: een advocatenkantoor met twaalf medewerkers. Iedereen besteedt gemiddeld drie uur per week aan het samenvatten van stukken en het schrijven van eerste concepten. Dat zijn zesendertig uur per week. Het kantoor kiest een Europese omgeving met een verwerkersovereenkomst, en begint met vier weken. In week één kiest het drie taken en legt het vast welke stukken er wel en niet in mogen. In week twee test het met geanonimiseerde, afgesloten dossiers. In week drie werken twee collega's met echte dossiers in de afgeschermde omgeving. In week vier meet het de tijd en beslist het over uitbreiding.
Wat verandert er? De eerste versie van een concept komt van het systeem, de jurist controleert en past aan. De verantwoordelijkheid blijft bij de jurist: het systeem kan een uitspraak of een wetsartikel verkeerd weergeven, dus elke verwijzing wordt nagelopen. Het beroepsgeheim is afgedekt omdat de gegevens binnen de afgesproken omgeving blijven.
Een tweede scenario: een zorgpraktijk met twintig medewerkers. Stel dat een behandelaar per dag acht verslagen schrijft van elk tien minuten. Dat is tachtig minuten. Als het systeem een concept maakt dat de behandelaar alleen nalooopt en we dat op vijf minuten schatten, blijft er veertig minuten per dag over. De rolverdeling bepaalt de inrichting: de administratie ziet de planning, de behandelaar ziet het eigen dossier, en niemand ziet meer dan nodig is.
Ook een financiële dienstverlener laat zien hoe dit eruit kan zien. Die zette de eigen kennis (podcasts, webinars, brochures, veelgestelde vragen) in een kennisbank op Europese infrastructuur. Artikelen worden daarmee in de eigen toon geschreven en gaan als concept naar een redacteur: van een dag schrijven naar een uur redigeren.
Wat je kunt doen: schrijf voor je eigen kantoor op hoeveel uur per week er naar samenvatten en concepten gaat. Zonder dat getal kun je een offerte niet beoordelen.
Samenvatting om te bewaren en wanneer het niet loont
Neem deze tabel mee naar je volgende gesprek met een leverancier.
| Vraag | Goed antwoord | Zwak antwoord |
|---|---|---|
| Waar staan de gegevens? | Een genoemde locatie in Europa, schriftelijk vastgelegd | 'Ergens in de cloud' |
| Is er een verwerkersovereenkomst? | Ja, je krijgt hem vooraf | 'Dat regelen we later' |
| Wordt er getraind op onze gegevens? | Nee, en dat staat in de voorwaarden | 'Normaal gesproken niet' |
| Wie ziet welke dossiers? | Rechten per rol, vastgelegd | Iedereen ziet alles |
| Welk risiconiveau heeft de toepassing? | Benoemd en onderbouwd | Geen idee |
| Wat als we stoppen? | Gegevens worden teruggegeven en verwijderd | Geen afspraak |
Wanneer het niet loont
Niet elk kantoor heeft een eigen Europese inrichting nodig. Gebruik je AI alleen voor teksten zonder persoonsgegevens, dan volstaat een zakelijk abonnement met duidelijke regels. Een eigen machine op kantoor voor twee of drie gebruikers is meestal te veel beheer voor te weinig winst. Ook geldt: kleinere modellen op eigen servers maken sneller fouten dan de grootste modellen, en geen enkel systeem vervangt het oordeel van een jurist, arts of accountant. En zijn je cijfers of dossiers verspreid over meerdere systemen, dan komt eerst het op orde brengen daarvan, en pas daarna AI.
Je volgende stap
Begin met de tabel hierboven en met het getal van je eigen kantoor. Wil je dat samen doen en bekijken wat voor jouw team past, plan dan een gesprek via een offerteaanvraag.
