Sovereign AI: wat er met je document gebeurt als je het aan een AI-assistent geeft

Een wijkverpleegkundige plakt een zorgplan in een AI-chat om het korter te maken. Het resultaat is prima. Alleen staat het zorgplan nu ook op een server waar jij als privacy officer nooit ja tegen hebt gezegd.

Zulke momenten gebeuren elke dag, meestal met goede bedoelingen. Dit stuk legt uit wat er technisch gebeurt als iemand een document aan een AI-assistent geeft. En welke vragen je per dienst stelt om het binnen Europa te houden.

Wat er gebeurt als je op verzenden drukt

Een AI-assistent is meestal een taalmodel dat bij een aanbieder draait. Wat je invoert, gaat daarheen:

1. Je vraag en de tekst die je meestuurt, gaan over het internet naar de aanbieder.
2. Het model verwerkt de tekst op de servers van die aanbieder en schrijft een antwoord.
3. Het antwoord komt terug. Afhankelijk van de voorwaarden bewaart de aanbieder je invoer een tijd, bijvoorbeeld voor misbruikcontrole of om het model te verbeteren.

Bij Amerikaanse aanbieders als OpenAI, Microsoft en Google valt die verwerking onder Amerikaans recht, ook als je een Europese serveroptie kiest. Dat is dezelfde CLOUD Act-vraag uit 2018 die voor mail en opslag geldt.

Wat sovereign AI betekent

Sovereign AI betekent dat de gegevens, het model en de verwerking onder jouw controle blijven. Of onder die van een partij die onder Europees recht valt. In de praktijk is het een schaal, geen ja of nee. Een model op je eigen server is het meest soeverein. Een Europese aanbieder is een stap in die richting.

Wat RAG is: een assistent die uit documenten antwoordt

Veel organisaties willen een assistent die antwoordt op basis van hun eigen protocollen, beleid of handboeken. Dat heet Retrieval-Augmented Generation, afgekort RAG. Het werkt zo:

1. De documenten van de organisatie worden geïndexeerd in een eigen zoekindex.
2. Bij een vraag zoekt het systeem de passages op die ertoe doen.
3. Die passages gaan samen met de vraag naar het taalmodel.
4. Het model schrijft een antwoord op basis van die passages.

Het voordeel voor privacy: niet je hele archief gaat naar het model, alleen de stukjes die nodig zijn voor één vraag. De index zelf blijft bij jou of bij je leverancier.

Welke regels gelden er?

Voor persoonsgegevens geldt de AVG. Doorgifte naar een land buiten de EU vraagt een geldige grondslag, en gezondheidsgegevens zijn bijzondere persoonsgegevens met extra bescherming.

De Europese AI-verordening (Verordening (EU) 2024/1689) is op 1 augustus 2024 in werking getreden en gaat in stappen in. De verboden toepassingen gelden sinds 2 februari 2025. AI die beslist over burgers, bijvoorbeeld bij uitkeringen of vergunningen, geldt als hoog risico en krijgt strenge eisen voor transparantie, menselijk toezicht en documentatie. Een assistent die alleen een tekst samenvat, valt daar in de regel niet onder.

Vijf vragen per AI-dienst

1. Waar draait het model, en waar staat de zoekindex?
2. Onder welk recht valt de aanbieder, en welke sub-verwerkers zijn er?
3. Wordt er op je invoer getraind, en staat dat in het contract?
4. Hoe lang wordt invoer bewaard, en kun je dat uitzetten?
5. Kun je de AI-functies per groep aan of uit zetten?

Hoe het bij Noveu zit

Bij Noveu gebeurt het zoeken bij ons: de zoekindex van de assistent en het omzetten van je vraag naar een zoekvector (bge-m3) draaien op onze eigen infrastructuur in Falkenstein. De tekst laten alle AI-functies sinds 29 augustus 2026 schrijven door Mistral AI, een Frans bedrijf; volgens Mistral staan die gegevens standaard in de EU. Naar Mistral gaan bij de assistent je vraag, tot vijf eerdere beurten, de gevonden passages met hun bronadres en wat de assistent voor je opzoekt, zoals mails, tickets en facturen; bij de mailhulp afzender, onderwerp en tekst van de mail. De generatiestap ligt dus bij een externe partij, en dat zeggen we er ook bij. AI staat standaard uit: Noveu zet AI per organisatie aan. In een organisatie waar AI aanstaat, kunnen alle leden de assistent gebruiken, gasten niet. Een schakelaar waarmee je organisatie AI zelf aan- of uitzet, is er nog niet.

Een eigen taalmodel op eigen GPU's hebben we niet, en de inkoop daarvan is ook niet gepland. Het is een open keuze voor later, geen belofte. Per onderdeel zie je op onze pagina over AI waar het draait en wat de status is.