Datasoevereiniteit: waarom cloud-PII-tools tekortschieten
Bijgewerkt voor 2026
Tussen 2011 en 2025 groeide het aantal landen met privacywetten van 76 naar meer dan 120. Jurisdicties groeien niet naar elkaar toe. Ze drijven uit elkaar. Elke nieuwe wet voegt lokale regels toe bovenop de wereldwijde basis. Cloudtools met centrale servers kunnen dat nauwelijks bijbenen.
De AVG stelde een ondergrens voor privacy in de EU. Doorgifte buiten de EU vereist een adequaatheidsbesluit of een geldige waarborg. Maar de AVG is een ondergrens, geen bovengrens. Regels voor gezondheidszorg, banken en de publieke sector gaan verder. In sommige gevallen maken ze cloudverwerking onmogelijk.
Duitsland: SGB V en gezondheidsdossiers
Het Duitse Sozialgesetzbuch V (SGB V) regelt de wettelijke ziektekostenverzekering. Het beperkt hoe patiëntendossiers worden behandeld. Gezondheidsbestanden die onder SGB V vallen, moeten in systemen onder Duitse controle blijven. Die regel verhindert dat Amerikaanse clouddiensten — zelfs in de EU gehoste — bij de strengst beschermde patiëntbestanden komen.
HHS OCR incasseerde in 2024 meer dan $100 miljoen aan HIPAA-boetes. Dat was een recordjaar. De Duitse en de Amerikaanse ontwikkeling wijzen dezelfde kant op. Gezondheidsdossiers hebben de sterkste beveiliging nodig, en zwakke beveiliging lokt boetes uit.
Zwitserland: bankgeheim en FINMA
Het Zwitserse bankgeheim valt onder artikel 47 van de Zwitserse bankenwet. Dit is strafrecht, geen burgerlijk recht. Het delen van klantgegevens zonder toestemming — ook met een cloudleverancier tijdens de verwerking — kan een strafbaar feit zijn.
De uitbestedingsregels van FINMA vereisen goedkeuring en toestemming van de klant voordat een derde partij Zwitserse bankgegevens ontvangt. Lokale verwerking neemt het probleem weg. Als gegevens de eigen systemen van de bank nooit verlaten, is geen goedkeuring voor doorgifte nodig.
Het patroon van lokale verwerking
De LocalLLaMA-community heeft vastgelegd waarom bedrijven voor lokale AI kiezen: "Als finetuning persoonlijke of gevoelige informatie omvat, voorkomt lokaal werken ingewikkeld juridisch werk." Dezelfde logica geldt voor anonimisering. Verwerk gegevens lokaal en u slaat een hele categorie juridische analyse over.
Tools die op Tauri 2.0 en Rust zijn gebouwd, kunnen met netwerkmonitors worden gecontroleerd. Een beveiligingsteam kan bevestigen dat tijdens een run geen enkele aanroep de machine verlaat. Dat bewijs is belangrijk voor gereguleerde sectoren. Een privacybelofte van een SaaS-aanbieder kan niet op dezelfde manier worden gecontroleerd. Lees onze gids over HIPAA-conformiteit in de cloud om te zien hoe lokale verwerking audits in de zorg ondersteunt.
Waarom de versnippering zal doorgaan
Meer dan 120 landen met privacywetten is geen stabiele toestand. Er komen meer wetten bij. De kloof tussen de AVG-basis en de sectorregels wordt groter, niet kleiner. Tools die bestanden naar een centrale server sturen, ondervinden meer wrijving naarmate elke nieuwe wet lokale beperkingen toevoegt.
Local-first-tools draaien dit model om. De software draait waar de bestanden staan. Er beweegt niets over een netwerk. Conformiteit wordt een eigenschap van het ontwerp, geen belofte in een contract. Voor teams in Duitsland, Zwitserland en andere strenge markten neemt die verschuiving een hele categorie risico weg. Zie onze gids voor wereldwijde privacyconformiteit voor een bredere kijk op eisen in meerdere jurisdicties.
Wanneer deze aanpak grenzen kent
Gegevens op machines onder lokale controle houden neemt het probleem van de goedkeuring voor doorgifte weg dat SGB V en het Zwitserse bankgeheim veroorzaken — het argument over de locatie van de gegevens klopt. Maar controle over de locatie is slechts één onderdeel van conformiteit, en er blijven grenzen die het waard zijn helder te benoemen.
Controle over de locatie is geen detectiekwaliteit. Een bestand on-premises verwerken bewijst dat het de jurisdictie nooit heeft verlaten. Het zegt niets over de vraag of de tool de persoonsgegevens erin correct heeft herkend. Een lokaal uitgevoerde run die een identificator mist, levert een document op dat voldoet aan de eisen voor de locatie van de gegevens en toch blootstaat. Wetgeving over datasoevereiniteit regelt waar gegevens worden verwerkt; ze verlaagt de lat niet voor hoe goed ze worden geanonimiseerd. Beide vragen hebben een eigen antwoord nodig, en een netwerkmonitor die nul uitgaand verkeer bevestigt, bevestigt niet dat de uitvoer schoon is.
Meegeleverde modellen raken verouderd zonder bewuste updates. De verifieerbaarheid die lokale verwerking betrouwbaar maakt — er verlaat niets de machine — betekent ook dat het detectiemodel met de installatie wordt meegeleverd en zichzelf niet verbetert. Nieuwe identificatorformaten, nieuwe nationale id-systemen en veranderende dossierindelingen worden pas herkend nadat het model bewust is bijgewerkt. Een air-gapped installatie die nooit wordt ververst, loopt langzaam achter op de gegevens die ze te zien krijgt. Plan een updateritme in plaats van aan te nemen dat de eerste installatie actueel blijft.
De tool ondersteunt conformiteit; ze vormt die niet. SGB V, de uitbestedingsregels van FINMA en artikel 47 leggen verplichtingen op aan de instelling, niet aan de software. Lokale verwerking neemt één specifiek doorgifterisico weg, maar toestemmingsregistraties, toegangsbeheer, bewaarbeleid en een gedocumenteerde rechtsgrond blijven de verantwoordelijkheid van de verwerkingsverantwoordelijke. Een toezichthouder controleert de volledige houding van de organisatie, niet één ontwerpkeuze. Beschouw een local-first-architectuur als één geverifieerde maatregel binnen een compliance-programma en houd menselijke controle en juridische goedkeuring erbij.