Een bedrijf kan vandaag perfect zeggen dat zijn data in Europa staat en tegelijk bijna volledig draaien op technologie waar het zelf weinig invloed op heeft.
Microsoft 365 voor e-mail en samenwerking. Azure of AWS voor infrastructuur. Een Amerikaans CRM. Securitysoftware van nog een andere leverancier. AI-diensten die via hetzelfde cloudplatform worden aangeboden.
Daar hoeft op zich niets verkeerd aan te zijn. Veel van die platformen zijn goed, schaalbaar en professioneel beheerd. Ze beschikken over kennis en beveiligingscapaciteit die een middelgrote Belgische onderneming moeilijk zelf kan evenaren.
Toch wordt er in Europa steeds vaker over digitale soevereiniteit gesproken. Dat klinkt snel alsof bedrijven straks alles Europees moeten inkopen of zelf moeten bouwen. Voor de meeste organisaties zou dat onrealistisch zijn en in sommige gevallen zelfs een stap achteruit.
De nuttigere vraag is veel eenvoudiger:
Hoeveel controle hebben we nog over onze IT wanneer er iets verandert?
Dat kan een prijsverhoging zijn, een wijziging in voorwaarden, een storing, nieuwe regelgeving of gewoon de beslissing om van leverancier te veranderen.
Een datacenter in Europa is niet hetzelfde als Europese controle
De Europese Commissie maakte dit onderscheid in 2026 opvallend concreet. In het kader van de nieuwe Europese aanpak rond technologische soevereiniteit stelde ze ook de Cloud and AI Development Act voor.
Daarin wordt cloud- en AI-soevereiniteit niet als één ja-of-nee-vraag behandeld, maar als een reeks assurance levels. Op het eerste niveau gaat het er bijvoorbeeld om dat data binnen de Europese Unie wordt verwerkt en opgeslagen. Hogere niveaus kijken ook naar onafhankelijkheid van derde landen, controle over de softwareketen en uiteindelijk zelfs eigendom en zeggenschap vanuit de EU.
Dat verschil doet ertoe.
Data kan fysiek in Frankfurt, Parijs of Brussel staan terwijl de technologie, software-updates, contracten en strategische beslissingen nog altijd door een bedrijf buiten Europa worden bepaald.
Dat maakt de oplossing niet automatisch slecht. Het maakt alleen duidelijk dat data residency en digitale soevereiniteit niet hetzelfde zijn.
Voor veel bedrijven is precies dat onderscheid nuttiger dan een simpele vraag als: "Staat onze data in Europa?"
Vendor lock-in sluipt binnen
Vendor lock-in ontstaat zelden door één slechte beslissing.
Bijna niemand gaat rond de tafel zitten met het plan om over vijf jaar zo moeilijk mogelijk van leverancier te kunnen veranderen. Het tegenovergestelde gebeurt.
Een organisatie kiest een goede managed database. Daarna een identity-oplossing die daar perfect mee integreert. Een monitoringdienst. Een data platform. Serverless functies. Security tooling. Een paar AI-services.
Iedere keuze afzonderlijk is logisch.
Na een paar jaar blijken al die logische beslissingen samen één grote architectuurkeuze te zijn geworden.
De omgeving werkt misschien uitstekend, maar veranderen wordt plots veel moeilijker dan iemand bij de start had verwacht.
Dat is de praktische kant van cloud lock-in. Niet noodzakelijk een slechte keuze, wel een keuze die steeds duurder wordt om terug te draaien.
Europa ziet dit ook als marktprobleem
In juni 2026 stelde de Europese Commissie voorlopig vast dat Amazon Web Services en Microsoft Azure mogelijk als gatekeepers onder de Digital Markets Act moeten worden aangewezen.
De Commissie verwees daarbij expliciet naar hun langdurig sterke marktpositie, grote ecosystemen, hoge switching costs en lock-in-effecten. Ook het groeiende aanbod rond AI speelt mee, omdat cloudkeuzes en AI-keuzes steeds vaker in elkaar grijpen.
Dat maakt het debat interessanter dan "Amerikaanse cloud versus Europese cloud".
De echte vraag wordt:
Kan een bedrijf nog daadwerkelijk kiezen, of bestaat die keuze vooral op papier?
Dat is voor een CIO of IT-manager relevanter dan de nationaliteit van een logo.
Overstappen wordt makkelijker
De Europese Data Act bevat specifieke regels voor cloud en andere dataverwerkingsdiensten. Providers moeten technische obstakels voor switching verminderen en klanten beter ondersteunen wanneer ze willen overstappen of meerdere diensten naast elkaar gebruiken.
Vanaf 12 januari 2027 verdwijnen bovendien switching charges, waaronder bepaalde kosten voor data-egress die nodig zijn om van provider te veranderen.
Dat helpt. Maar het lost het grootste probleem niet volledig op.
Data meenemen is namelijk niet hetzelfde als een omgeving meenemen.
Een database exporteren kan relatief eenvoudig zijn. De applicaties, policies, scripts, identities en processen die eromheen gegroeid zijn, verhuizen niet automatisch mee.
Een export is nog geen exitstrategie
Stel dat een bedrijf vandaag sterk op Azure leunt en morgen naar een andere cloud wil. De bestanden en databases zijn waarschijnlijk te exporteren. De echte migratiekost zit vaak in alles wat daar rond gebouwd is.
Denk bijvoorbeeld aan:
- Identity en toegang: Entra ID-integraties, rollen, policies en serviceaccounts.
- Platformdiensten: Azure Functions, monitoring, security tooling en AI-services.
- Operations: deployment pipelines, automatisering, runbooks, logging en herstelprocedures.
- Kennis: de ervaring van het team met precies die architectuur en tooling.
Daarom begint een cloud exit strategy veel eerder dan op de dag dat iemand beslist om weg te gaan.
Een bedrijf hoeft geen volledig migratieproject klaar te hebben liggen. Het moet wel begrijpen welke onderdelen portable zijn, welke bewust platformgebonden zijn en welke afhankelijkheden op termijn moeilijk of duur worden om te vervangen.
Multicloud is geen gratis verzekering
Een logische reactie is dan: "Dan gebruiken we gewoon meerdere clouds."
Dat kan verstandig zijn, zeker wanneer daar een concrete reden voor bestaat zoals resilience, regelgeving of een specifieke workload.
Maar multicloud lost lock-in niet automatisch op. Het brengt zelf nieuwe kosten en complexiteit mee: extra expertise, meerdere securitymodellen, meer monitoring, meer contracten, meer integraties en soms dubbele tooling.
En als een organisatie uit angst voor lock-in alleen de meest generieke diensten gebruikt, kan ze net de voordelen missen waarvoor ze ooit naar cloud verhuisd is.
Portabiliteit heeft dus ook een prijs.
Het doel is niet dat iedere workload morgen op drie platformen kan draaien. Het doel is dat een organisatie begrijpt waar ze bewust afhankelijkheid aanvaardt en waarom.
Niet iedere lock-in is slecht
Afhankelijkheid van een leverancier is niet automatisch een fout.
Een platform kan tien jaar lang veel meer waarde opleveren dan de kost van een eventuele migratie op het einde. Snelheid, integratie, security en productiviteit zijn ook economische voordelen.
De fout zit eerder in doen alsof er geen afhankelijkheid bestaat.
Als een bedrijf bewust voor een platform kiest omdat de voordelen groter zijn dan het risico, is dat een verdedigbare architectuurkeuze. Als niemand meer weet hoe diep de afhankelijkheid zit, is het iets anders.
Soevereiniteit is ook continuïteit
Je hoeft dit onderwerp niet geopolitiek te maken om het relevant te vinden.
Voor een Belgische onderneming gaat het uiteindelijk ook over gewone business continuity. Welke diensten vallen stil als een cruciale leverancier niet beschikbaar is? Welke data en configuratie kunnen we zelf herstellen? En hebben we voldoende kennis en alternatieven wanneer prijzen, voorwaarden of regelgeving sterk veranderen?
Dat zijn geen abstracte beleidsvragen. Ze raken rechtstreeks aan risico, continuïteit en onderhandelingspositie.
AI maakt de afhankelijkheid mogelijk nog dieper
AI maakt die discussie tastbaarder, omdat de afhankelijkheid zelden alleen in het gekozen model zit.
Een moderne RAG-oplossing kan tegelijk steunen op documentopslag, een embeddingservice, vector search, identity, monitoring, security en een agentframework van dezelfde cloudprovider. Voor een developmentteam is dat aantrekkelijk: veel onderdelen werken meteen samen en een eerste toepassing kan snel gebouwd worden.
Maar elk extra geïntegreerd onderdeel verhoogt ook de kleefkracht van het platform.
Embeddings kunnen opnieuw worden berekend en data kan naar een andere vector database worden verhuisd. Daarmee zijn de retrievallogica, toegangsregels, evaluaties, observability en integraties nog niet mee. Hoe meer van die onderdelen op één ecosysteem steunen, hoe groter het migratieproject wordt.
Het model dat vandaag gekozen wordt, kan volgend jaar alweer vervangen zijn. De architectuur errond blijft vaak veel langer bestaan.
Daardoor kan een AI-toepassing die vandaag op enkele weken gebouwd wordt ongemerkt een architectuurkeuze worden die jaren meegaat.
Dat hoeft niet verkeerd te zijn. Maar je ziet het beter terwijl je bouwt dan vijf jaar later.
Volledig onafhankelijk hoeft niet
Voor bijna iedere moderne organisatie is volledige technologische onafhankelijkheid onrealistisch. Dat hoeft ook geen doel te zijn.
De nuttigere vraag is:
Welke afhankelijkheden accepteren we bewust, en welke zouden ons later kunnen blokkeren?
Daar hoort niet alleen IT aan tafel. Ook security, procurement, finance, legal en management hebben er belang bij.
Drie vragen voor het volgende IT-overleg
- Welke systemen zijn voor ons zo kritisch dat een overstap vandaag langer dan een jaar zou duren?
- Waar kiezen we bewust voor platformafhankelijkheid omdat de businesswaarde groter is dan het risico, en waar is die afhankelijkheid gewoon gegroeid zonder dat iemand er nog bij stilstaat?
- Wat kunnen we werkelijk doen als prijzen, voorwaarden, beschikbaarheid of regelgeving rond onze belangrijkste leverancier plots veranderen?
Digitale soevereiniteit betekent niet dat alles van jezelf moet zijn. Een Europese locatie voor data kan deel van de oplossing zijn, maar echte controle gaat verder.
Je hebt pas echt keuze wanneer je weet waar je afhankelijk bent, waarom je dat aanvaardt en wat je doet als je ooit moet bewegen.
Bronnen en verder lezen
- European Commission, Strengthening Europe's Tech Sovereignty (3 juni 2026): https://digital-strategy.ec.europa.eu/en/policies/eu-tech-sovereignty
- European Commission, Cloud and AI Development Act: https://digital-strategy.ec.europa.eu/en/policies/cloud-and-ai-development-act
- European Commission, Preliminary position on AWS and Microsoft Azure under the Digital Markets Act (25 juni 2026): https://digital-markets-act.ec.europa.eu/commission-reaches-preliminary-position-amazons-and-microsofts-market-leading-cloud-services-should-2026-06-25_en
- European Commission, Data Act explained: https://digital-strategy.ec.europa.eu/en/factpages/data-act-explained