BLOG – Een soeverein datacenter: op de slides van een presentatie voor de board klinkt het bemoedigend. De onderliggende basis houdt zeker steek. De plaats waar data bewaard en verwerkt wordt, is voor veel sectoren immers een vereiste. Maar toch zijn residentie en soevereiniteit niet hetzelfde. De kloof tussen beide concepten blijft voor veel organisaties een valkuil.
Volgens Gartner bedragen investeringen in soevereine cloud wereldwijd 80 miljard dollar in 2026. Dat is een jaar-op-jaar toename van 35,6 procent. In alle sectoren steken organisaties veel budget in het hosten van infrastructuur binnen de eigen grenzen. Wetgevers verplichten het en inkoopteams scoren er goede punten mee. Maar toch blijkt uit het 2026 Thales Data Threat Report dat slechts 47 procent van de data in de cloud versleuteld is. Dat cijfer is het voorbije jaar gedaald, niet gestegen.
Terwijl de investeringen in geografische locatie toenemen, blijven investeringen in controle achter. Dat is de reden waarom soevereiniteitsstrategieën falen.
Residentie is geen soevereiniteit
Beide termen worden vaak door elkaar gebruikt. Die misvatting is een van de meest hardnekkige problemen in de manier waarop organisaties data-governance aanpakken. Dataresidentie heeft te maken met de locatie waar data bewaard en verwerkt moet worden. Datasoevereiniteit verwijst naar controle. Het bepaalt wie ultiem de juridische en operationele autoriteit over de data heeft: wie toegang heeft tot de data, gegevens kan verplaatsen, openbaarmaking kan afdwingen, of de macht heeft om privileges aan te passen.
Een organisatie kan perfect voldoen aan de verwachtingen op het gebied van residentie, maar de boot ingaan als het over soevereiniteit gaat. Het meest duidelijke voorbeeld is de US Cloud Act die Amerikaanse autoriteiten de mogelijkheid geeft om bedrijven uit de VS te verplichten gegevens openbaar te maken, om het even waar in de wereld die data opgeslagen is. Een organisatie die in Frankfurt workloads host en samenwerkt met een leverancier die onder deze wetgeving valt, kan dus niet garanderen dat alle gegevens onder Europese soevereine controle vallen. De server mag dan wel lokaal zijn, de jurisdictie is dat niet.
Hetzelfde principe is op subtiele wijze van toepassing in iedere complexe omgeving. Platformen die extern gehost worden, identiteitssystemen die onder controle vallen van een vreemde partij, processen die derde partijen toegang geven tot gevoelige omgevingen, … Al deze situaties leiden tot een afhankelijkheid waar organisaties geen controle over hebben. Hoe lokaal de infrastructuur ook is, de controle gaat nietsvermoedend verloren.
Problemen ontstaan pas onder druk
Een locatiegerichte soevereiniteitsstrategie ziet er doorgaans wel goed uit. De problemen worden enkel onder druk zichtbaar. Denk aan een audit. Auditeurs zijn niet geïnteresseerd in de plaats van de infrastructuur. Ze willen gedocumenteerd bewijs zien van wie toegang had tot systemen en wat er wanneer is veranderd, en onder welke autorisatie. Volgens IBM’s 2025 Cost of a Data Breach Report gebeurt 97 procent van de ai-verwante inbreuken in bedrijven die geen goede toegangscontrole hebben. Dit heeft rechtstreeks te maken governance, niet met infrastructuur.
Hetzelfde zien we bij de herstelprocessen na een incident. Organisaties moeten na een aanval niet alleen snel kunnen handelen, maar ze moeten ook de governance-controles behouden. Een herstelprocedure die de toegangscontroles omzeilt of afhankelijk is van een externe tussenkomst, zal de bedrijfsvoering wel herstellen maar tevens de soevereiniteit ondermijnen.
Tot slot is commerciële druk een derde factor die de spanning vergroot en onvoldoende aandacht krijgt. Technologieproviders evolueren, prijsmodellen verschuiven en de strategische prioriteiten veranderen. Organisaties die echte soevereiniteit nastreven, hebben keuzevrijheid wanneer iets gebeurt. Maar als het bedrijfsmodel sterk verankerd is met een enkele leverancier, dan ontdekken organisaties al gauw dat ze minder bewegingsruimte hebben dan ze aanvankelijk dachten.
Hoe krijg je controle?
Betekenisvolle soevereiniteit verkrijg je via een aantal operationele disciplines die niets te maken hebben met postcode. Autoriteit en toegangscontrole – wie kan systemen beheren, veranderingen goedkeuren en acties controleren – zijn essentieel. Rolgebaseerde toegang, least privilege, MFA en scheiding van taken vormen geen nieuwe concepten.
Cryptografische controle is even belangrijk en vaak niet goed begrepen. Encryptie zonder controle over de sleutel is geen soevereiniteit. Het verschuift de controle naar de persoon die de sleutels in handen heeft. De vraag is niet óf data versleuteld is, maar wie de sleutels bezit en hoe toegang beheerd wordt. En wat gebeurt er met die controle als de relatie met een provider verandert?
Operationele onafhankelijkheid is ook op dagelijkse basis van belang. Kan de organisatie patchen, problemen oplossen, monitoren en herstellen zonder een beroep te moeten doen op een externe dienst die ze niet beheert? Hier schiet het concept van een soeverein datacenter vaak tekort. Niet omdat de faciliteit niet voldoet, maar omdat het operationele model afhankelijkheden creëert.
En tot slot: omkeerbaarheid. Vrijheid betekent dat je in staat bent om van richting te veranderen zonder grootschalige disruptie. Je hoeft geen plannen te maken om iedere leverancier te verlaten, maar wel zeker zijn dat de mogelijkheid bestaat.
AI verhoogt de inzet
De roep om ai-governance klinkt luider dan ooit. Zeker nu de EU AI Act verplichtingen oplegt voor heel risicovolle systemen, stellen wetgevers vragen die verder gaan de plaats waar trainingsdata bewaard wordt.
Wie controleert het gewicht van het model? Wie kan inference-prompts zien? Welke telemetrie gaat terug naar de provider en onder welke voorwaarden? Voor gevoelige ai-workloads (dossiers in healthcare, financiële beslissingen, biometrische data, burgerdiensten) moet de perimeter van soevereiniteit uitbreiden naar de volledige omgeving, en niet alleen onderliggende data.
Om die reden versnelt ai de gesprekken over soevereiniteit. Dezelfde controles die bepalend zijn voor echte datasoevereiniteit, autoriteit, het beheer van encryptiesleutels, operationele onafhankelijkheid en aantoonbare governance, zijn precies de elementen waar toezichthouders naar vragen wanneer risicovolle ai-systemen onder de loep worden genomen.
De auteur is svp EMEA bij Nutanix. Hij schrijft deze opinie op persoonlijke titel.
Voetbal is simpel, maar simpel voetballen niet.
Erger nog is het in de automatisering waar consultants zo graag ingewikkeld doen.
Daarom weer een verhaal over verschil tussen residentie en soevereiniteit.
“Een locatiegerichte soevereiniteitsstrategie ziet er doorgaans wel goed uit” enzo 😛
Als je het niet begrijpt kun je het altijd nog aan aan een Palestijn vragen.
En dan heb je nog toegangscontroles.
Die mag je niet omzeilen.
Nou moe.
“Tot slot is commerciële druk een derde factor die de spanning vergroot en onvoldoende aandacht krijgt.”
Vendor lock-in mag dus ook nie-meer.
Je moet er maar net aan denken.
Het groeit ons allemaal boven het hoofd.
Was al ingewikkeld AI versnelt dat ook nogges.
Voorheen was ICT iets voor de nerds.
De wereldvreemde idioot in de hoek met zn computer, niemand weet wattie nou dee.
Nu moeten beslissers zelf ook een idee hebben waar data blijft en wie daarbij kan op welke manier.
Encryption in rest, in flight. Availability, durability. En garantie tot de deur. Zo krijgt end-point een extra betekenis.
Al dat denken aan al die synchronisatie, conversies en afhankelijkheden.
Tis net een cloud he.
En nog juridische gevolgen ook.
Allemaal net zo onbegrijpelijk als een senior vice president die in computable op persoonlijke titel schrijft.