Veel Europese bedrijven gebruiken dagelijks Amerikaanse diensten: Microsoft 365, Teams, OneDrive, LinkedIn, WhatsApp, cloudopslag en steeds vaker Amerikaanse AI.
Daarbij worden persoonsgegevens niet alleen verwerkt op de computer van de medewerker. Gegevens kunnen ook terechtkomen bij de leverancier, bijvoorbeeld voor opslag, beheer, beveiliging, synchronisatie, analyse of ondersteuning.
Voor gegevens die vanuit Europa naar de Verenigde Staten gaan, bestaat sinds 2023 het EU-US Data Privacy Framework (DPF). Kort gezegd hebben de EU en de VS daarmee geregeld dat persoonsgegevens naar Amerikaanse bedrijven mogen worden gestuurd als die bedrijven zich bij het DPF hebben aangesloten en aan de daarvoor gestelde voorwaarden voldoen. Voor zulke aangesloten bedrijven geldt daardoor een eenvoudiger route om persoonsgegevens vanuit Europa naar de VS te verwerken.
Het DPF bestaat op dit moment nog. Maar sinds een uitspraak van het Amerikaanse Supreme Court - de hoogste federale rechter van de VS - van 29 juni 2026 is een belangrijke waarborg onder druk komen te staan. Het Supreme Court bepaalde dat de president leden van de Federal Trade Commission (FTC) moet kunnen ontslaan. Daarmee is de bescherming die deze toezichthouders juist onafhankelijk van de president moest maken, sterk verminderd.
Dat is belangrijk, omdat Europa er bij het DPF mede van uitging dat er in de VS onafhankelijk toezicht bestaat op bedrijven die onder het systeem vallen. Europese privacytoezichthouders hebben daarom gevraagd opnieuw te beoordelen of het DPF na deze uitspraak nog voldoende bescherming biedt.
Het DPF is dus nog niet vervallen. Wel is een belangrijke voorwaarde waarop het systeem rust veranderd. Naar verwachting zal hierdoor opnieuw discussie en waarschijnlijk ook een nieuwe juridische procedure over het DPF ontstaan.
Wachten op de volgende uitspraak is geen IT-strategie
Voor bedrijven is de belangrijkste vraag daarom niet alleen of het DPF vandaag nog bestaat. De belangrijkere vraag is hoe afhankelijk de organisatie van Amerikaanse bedrijven is wanneer de juridische of politieke omstandigheden opnieuw veranderen.
Die vraag is breder dan privacy. De ontwikkelingen rond het Internationaal Strafhof in Den Haag maken dat duidelijk. Door Amerikaanse sancties kwamen Amerikaanse diensten voor betrokken ICC-functionarissen onder druk te staan. Het Strafhof heeft vervolgens maatregelen genomen om minder afhankelijk te worden van Amerikaanse leveranciers en heeft onder meer Microsoft-software vervangen door het Duitse open-sourceplatform openDesk.
Dat is geen DPF-probleem. De gegevens hoeven daarvoor niet eens naar Amerika te worden gestuurd. Het probleem is eenvoudiger: een Europese organisatie gebruikt een dienst van een Amerikaans bedrijf en dat bedrijf moet zich ook aan Amerikaanse regels en sancties houden.
Dat maakt Amerikaanse technologie niet automatisch onbruikbaar. Het betekent wel dat er naast privacy nog een tweede risico bestaat: afhankelijkheid. Voor onderdelen waarvoor inmiddels goede alternatieven bestaan, is er daarom steeds minder reden om te wachten totdat een juridisch of politiek probleem daadwerkelijk ontstaat.
Niet proberen iedere medewerker de gegevens te laten scheiden
Een veelgenoemde oplossing is om Microsoft, Amerikaanse cloud en Amerikaanse AI gewoon te blijven gebruiken, maar er geen gevoelige of belangrijke gegevens naartoe te sturen. In de praktijk is dat moeilijk uitvoerbaar.
Een medewerker zou dan voortdurend moeten bepalen welke e-mail wel of niet naar een bepaalde dienst mag, welk document persoonsgegevens bevat, welke Teams-bijlage gevoelig is, welke informatie in een AI-prompt mag en wanneer een bestand voldoende is geanonimiseerd. Vervolgens moet het bedrijf dat beleid uitleggen, controleren, loggen en handhaven.
Bij duizenden dagelijkse handelingen is dat duur en foutgevoelig.
Begin bij de server en de cloud
Een Europese digitale omgeving begint bij de plek waar gegevens worden opgeslagen en verwerkt.
Een server in Duitsland of Ierland is daarbij niet automatisch voldoende. Wanneer de cloud uiteindelijk eigendom is van een Amerikaans bedrijf en dat bedrijf technisch bij de gegevens kan, blijft de Amerikaanse afhankelijkheid bestaan.
Een sterkere oplossing is daarom: een Europese leverancier en eigenaar, servers in de EER, Europees beheer en back-up, en geen Amerikaanse partij die de gegevens alsnog kan ontsleutelen of beheren. Voor veel bedrijfsapplicaties is dat nu al goed uitvoerbaar.
Linux in plaats van overal Windows
Ook de werkplek zelf kan worden aangepast. Voor normaal kantoorwerk kan Linux inmiddels veel taken van Windows overnemen: browser, e-mail, dossiers, tekstverwerking, spreadsheets en veel bedrijfsapplicaties die via de browser werken.
Daarbij is wel een belangrijk aandachtspunt: Linux is niet automatisch Europees of onafhankelijk van Amerikaanse leveranciers. Sommige Linux-distributies en commerciële ondersteuning zijn verbonden aan Amerikaanse ondernemingen. Red Hat is bijvoorbeeld eigendom van IBM. Bij de keuze voor Linux moet daarom ook worden gekeken naar de leverancier, de eigenaar daarvan, updates, beheer en ondersteuning.
Het voordeel van open source is wel dat een organisatie veel minder afhankelijk hoeft te zijn van één leverancier. De software kan in eigen beheer worden gebruikt en onderhouden en er kan zo nodig naar een andere dienstverlener worden overgestapt.
Een bedrijf hoeft bovendien niet direct iedere Windowscomputer te verwijderen. Een praktische oplossing kan zijn:
Linux als normale werkplek en Windows alleen nog voor programma's die echt niet anders kunnen.
Zo wordt Microsoft geen volledig verbod, maar een gecontroleerde uitzondering.
LibreOffice en openDesk in plaats van Microsoft 365
Voor Word, Excel en PowerPoint bestaat met LibreOffice al lange tijd een volwassen open-sourcealternatief. Voor organisaties die meer nodig hebben dan alleen documenten wordt openDesk interessanter.
Met openDesk kunnen verschillende onderdelen van de gebruikelijke Microsoft-omgeving worden samengebracht: documenten, bestanden, e-mail, agenda, chat, videobellen en samenwerking. Ook Nextcloud kan worden gebruikt voor bestanden en samenwerking op een eigen of Europese server.
Een mogelijke overgang wordt dan: Windows + Microsoft 365 + Teams + SharePoint + OneDrive naar Linux + LibreOffice/openDesk + Nextcloud + Europese hosting.
Dat zal niet voor ieder bedrijf zonder problemen gaan. Vooral zware Excel-modellen, macro's, Power BI en oude bedrijfssoftware kunnen een obstakel vormen. Maar voor normale kantoorautomatisering is een Europese werkomgeving inmiddels veel realistischer dan enkele jaren geleden.
Wat kan een bedrijf nu al vervangen door Europese alternatieven?
Voor een groot deel van de normale bedrijfsomgeving bestaan inmiddels bruikbare alternatieven. De haalbaarheid verschilt per onderdeel.
Onderdeel | Mogelijke route | Praktische haalbaarheid |
|---|---|---|
Server/cloud | Europese provider zonder Amerikaanse moeder; EER-hosting, back-up en beheer | Hoog |
Windows | Linux als standaardwerkplek; Windows alleen waar applicaties het vereisen | Middel/hoog |
Microsoft Office | LibreOffice | Hoog voor standaardgebruik |
Microsoft 365/SharePoint/Teams | openDesk, Nextcloud en Collabora | Middel/hoog |
Bestandsopslag | Zelf gehoste Nextcloud op Europese infrastructuur | Hoog |
E-mail/agenda | Europese provider of eigen Europese mailomgeving | Hoog |
Interne chat/video | openDesk, Nextcloud Talk of andere self-hosted oplossing | Hoog |
AI | Mistral op eigen/private Europese infrastructuur | Steeds beter; niet voor iedere frontier-taak gelijkwaardig |
Back-up/logging | Tweede onafhankelijke EER-provider | Hoog |
Ongewenste datastromen | Firewall/proxy met toegestane bestemmingen en centrale logging | Hoog |
Europese aanbieders spelen hier inmiddels op in
Deze omschakeling hoeft niet meer door ieder bedrijf zelf van nul af aan te worden gebouwd. Europese aanbieders maken van digitale soevereiniteit inmiddels een concreet product. Nextcloud heeft migratiepaden vanaf Microsoft 365, Google Workspace en Zoom en werkt met partners die migratie, inrichting en beheer uitvoeren. Sinds september 2026 heeft ook openDesk een partnerprogramma waarmee Europese cloud- en IT-dienstverleners openDesk Enterprise als SaaS, managed service of on-premises oplossing kunnen aanbieden.
Ook de productkant wordt snel volwassener. Euro-Office is sinds juni 2026 als stabiele versie beschikbaar en is in september ook als desktoptoepassing binnen Nextcloud Hub uitgebracht. Europese cloudbedrijven zoals OVHcloud bieden soevereine infrastructuur, terwijl Mistral de Europese of private AI-laag kan leveren.
Dat betekent dat een bedrijf niet hoeft te wachten tot het DPF eventueel vervalt. Overstappen kan nu al, gefaseerd: eerst hosting en back-up, daarna bestanden, kantoorsoftware, e-mail en samenwerking, vervolgens AI en ten slotte de lastige uitzonderingen. Voor een middelgrote organisatie blijft dat een migratieproject, maar het is niet meer nodig om zelf een volledig alternatief ecosysteem te ontwerpen en te beheren.
WhatsApp laat zien hoe Amerikaanse leveranciers het probleem zelf kunnen verkleinen
Amerikaanse leveranciers proberen ondertussen ook hun positie in Europa te behouden. Niet iedere maatregel die zij nemen is alleen juridisch papierwerk.
Een goed voorbeeld is WhatsApp. Persoonlijke WhatsApp-berichten en gesprekken zijn standaard end-to-end versleuteld. De sleutel waarmee het bericht gelezen kan worden bevindt zich bij de gebruikers. Volgens WhatsApp kan ook WhatsApp zelf de inhoud niet lezen.
Dat is een sterke technische maatregel. Als WhatsApp zelf de inhoud niet kan ontsleutelen, kan het bedrijf die leesbare inhoud ook niet eenvoudig aan een overheid overhandigen.
Maar het probleem is daarmee niet volledig opgelost. WhatsApp verwerkt daarnaast bijvoorbeeld accountgegevens, apparaat- en verbindingsgegevens en andere technische informatie. De inhoud is dus sterk beschermd, maar niet ieder persoonsgegeven rond WhatsApp verdwijnt daarmee.
Microsoft kiest vooral voor Europese opslag
Microsoft volgt een andere route. Met de EU Data Boundary probeert Microsoft steeds meer gegevens van Europese klanten binnen Europa op te slaan en te verwerken. Dat is een duidelijke verbetering.
Maar er blijven uitzonderingen bestaan waarbij bepaalde gegevens buiten de Europese grens worden verwerkt of waarbij een Amerikaanse partij technisch betrokken blijft. Daarmee blijft een belangrijk verschil bestaan tussen: de gegevens staan in Europa en de Amerikaanse leverancier kan de gegevens technisch niet lezen.
Die twee worden in discussies over cloud vaak door elkaar gehaald. Een Europese serverlocatie vermindert het risico. Echte end-to-end-encryptie waarbij de leverancier de sleutel niet heeft, kan bepaalde toegang technisch onmogelijk maken. Dat is veel sterker.
LinkedIn en andere platforms zijn moeilijker te vervangen
Voor een tekstverwerker bestaat een alternatief. Voor LinkedIn ligt dat anders. LinkedIn heeft een groot internationaal netwerk van werkgevers, werknemers en zakelijke contacten. Een technisch Europees alternatief zonder dat netwerk heeft niet dezelfde waarde.
Hetzelfde geldt deels voor Facebook en Instagram als die platforms voor marketing worden gebruikt.
Daarom zal een volledige overstap niet overal mogelijk zijn. Maar er is een groot verschil tussen LinkedIn gebruiken als extern communicatie- of marketingkanaal en de eigen interne bedrijfsprocessen, documenten en persoonsgegevens afhankelijk maken van Amerikaanse platformbedrijven.
Het eerste kan zakelijk noodzakelijk zijn. Het tweede is vaak een keuze.
AI hoort direct bij deze omschakeling
AI moet vanaf het begin worden meegenomen. Het wordt onderdeel van e-mail, documenten, klantcontact, interne zoekmachines en bedrijfsprocessen.
De duidelijkste Europese kandidaat is momenteel het Franse Mistral. Mistral kan niet alleen als gewone online AI worden gebruikt. Het kan ook in een private omgeving worden ingezet, waardoor een bedrijf een Mistral-model binnen zijn eigen Europese infrastructuur kan laten draaien.
Dat maakt een omgeving mogelijk waarin de medewerker de bedrijfs-AI gebruikt, het Mistral-model op Europese infrastructuur draait en de eigen documenten op Europese servers blijven. De bedrijfsdocumenten hoeven dan niet naar een Amerikaanse AI-leverancier.
Voor maximale controle is een private of self-hosted Mistral-omgeving sterker dan alleen een gewone online AI-dienst.
Mistral kan voor veel normaal bedrijfswerk al worden gebruikt: samenvatten, documenten doorzoeken, teksten maken, classificeren en interne kennis toegankelijk maken. Voor de zwaarste AI-taken zijn de beste Amerikaanse modellen nog niet volledig vervangbaar.
Dat hoeft geen bezwaar te zijn tegen de omschakeling. Mistral kan de normale bedrijfs-AI worden. Amerikaanse AI blijft dan alleen beschikbaar voor taken waarvoor daadwerkelijk een betere oplossing nodig is.
Uiteindelijk moet techniek het beleid afdwingen
Alleen andere software kiezen is niet voldoende. Ook een Linuxcomputer kan via een website, browserextensie, AI-plugin of externe analysetool gegevens naar een Amerikaans bedrijf sturen.
Daarom hoort bij een Europese bedrijfsomgeving ook controle op het uitgaande internetverkeer. Een bedrijf kan technisch regelen dat alleen goedgekeurde diensten bereikbaar zijn, ongewenste cloudopslag wordt geblokkeerd, onbekende AI-sites niet bereikbaar zijn, browserextensies centraal worden beheerd, nieuwe externe verbindingen zichtbaar worden en back-ups alleen naar aangewezen Europese systemen gaan.
Dan hoeft niet iedere medewerker bij iedere handeling opnieuw te bepalen of iets wel of niet mag. De techniek voorkomt de ongewenste gegevensstroom.
Niet Amerikaans-vrij, maar minder afhankelijk
Het doel hoeft niet te zijn dat morgen iedere Amerikaanse dienst uit het bedrijf verdwijnt. Dat is voor veel organisaties niet realistisch.
Maar het tegenovergestelde is evenmin nodig: Microsoft, Amerikaanse cloud en Amerikaanse AI blijven gebruiken voor alles omdat volledige vervanging nog niet mogelijk is.
Voor servers, opslag, documenten, e-mail, samenwerking en een groeiend deel van AI zijn inmiddels Europese oplossingen beschikbaar.
De logische route is daarom: Europese infrastructuur als basis, Linux en Europese kantoorsoftware waar dat kan, Mistral als normale bedrijfs-AI en Amerikaanse diensten alleen behouden waar daarvoor nog een duidelijke zakelijke reden bestaat.
De ontwikkelingen rond het DPF en het Internationaal Strafhof geven daar verschillende redenen voor, maar leiden tot dezelfde praktische vraag: waarom afhankelijk blijven van een Amerikaanse leverancier als een bruikbaar Europees alternatief inmiddels beschikbaar is?
