EU-gehoste AI-tools in 2026, welke leveranciers echt binnen de EU draaien

EU-gehoste AI-tools zijn in 2026 voor Nederlandse organisaties geen luxe meer maar een concrete voorwaarde onder de AVG, de AI-Verordening en de sectorale toezichtkaders. Deze gids beschrijft wat "EU-gehost" precies betekent (en waarom "GDPR-compliant" iets anders is), welke leveranciers in 2026 daadwerkelijk binnen de EU-jurisdictie draaien, en waar je op let bij de selectie voor een Nederlandse organisatie.

Voor de bredere selectie van AI-tools binnen het MKB is er de gids beste AI-tools voor MKB in 2026. Voor de technische governance laag boven op EU-gehoste tools is er wat een EU-gehoste LLM-proxy is. Voor de operationele controles die je zelf moet inrichten bovenop de tool-keuze is er AI governance voor MKB. Deze pagina concentreert zich op de vraag: bij welke concrete leveranciers blijven data en verwerking binnen de EU en hoe controleer je dat.

Waarom "EU-gehost" iets anders is dan "GDPR-compliant"

Elke Amerikaanse AI-provider vertelt tegenwoordig dat hij de AVG naleeft. Dat is juridisch een marketing-uitspraak, geen jurisdictie-claim. Het verschil dat er in de praktijk toe doet is niet of de leverancier zorgvuldig met data omgaat, maar waar de data zich fysiek bevindt tijdens verwerking en welke overheid daar rechtsmacht over heeft.

Het Schrems II-arrest van het Hof van Justitie van de EU (Zaak C-311/18) verklaarde het EU-VS Privacy Shield ongeldig, precies omdat Amerikaanse inlichtingendiensten data van Amerikaanse bedrijven kunnen opeisen ook wanneer die aan Europese klanten toebehoort. Het EU-VS Data Privacy Framework dat daarna kwam heeft een basis voor veel doorgiften hersteld, maar heeft de onderliggende spanning niet weggenomen. De Autoriteit Persoonsgegevens beschouwt AI-verwerkingen die buiten de EU plaatsvinden nog steeds als doorgiften waar een aparte transferbasis voor nodig is onder Hoofdstuk V van Verordening (EU) 2016/679 (AVG).

Voor Nederlandse organisaties betekent dit dat "GDPR-compliant" op de leverancierspagina onvoldoende is als bewijs. De vraag die je moet stellen is drieledig: draaien de servers voor deze workflow fysiek in de EU, welke subverwerkers zitten in de keten en waar zitten die, en welke overheid heeft juridische toegang tot de infrastructuur. Alleen als alle drie antwoorden binnen de EU blijven, spreek je van een EU-gehoste AI-tool.

Wat maakt een AI-tool echt EU-gehost in 2026?

Vier kenmerken samen bepalen of een AI-tool voor een Nederlandse organisatie kwalificeert als EU-gehost.

Regio-selectie op inference-niveau. De AI-inference (het draaien van het model op je prompt) vindt plaats in een datacenter binnen de EU (Frankfurt, Parijs, Amsterdam, Dublin, Stockholm). Niet in een "EU-regio" die technisch buiten de EU zit zoals Londen na de Brexit of Zurich.

Opslag van prompt- en outputdata binnen de EU. Zelfs als de inference in Frankfurt draait, kan de logging naar een S3-bucket in de VS gaan. Voor echt EU-gehost moet ook de opslag binnen de EU blijven. Leveranciers beschrijven dit meestal in een "data residency"- of "regio-configuratie"-document.

Subverwerkersketen volledig binnen de EU of met adequate waarborg. Als je AI-leverancier een Amerikaanse cloud-hyperscaler gebruikt (AWS, Azure, GCP), moet die specifieke regio EU zijn en moet de subverwerkersovereenkomst de standaardcontractbepalingen (SCC's) van de Europese Commissie bevatten waar nodig. De actuele subverwerkerslijst (Sub-processor list) moet openbaar en up-to-date zijn.

Rechtsmacht van de moederonderneming. Ook een EU-gehoste dienst van een Amerikaans bedrijf blijft juridisch onderhevig aan de CLOUD Act, waarmee Amerikaanse autoriteiten data kunnen opeisen ongeacht opslaglocatie. Voor extreem gevoelige toepassingen (defensie, staatsveiligheid, klantvertrouwelijkheid onder tuchtrecht) is een leverancier met EU-moederonderneming veiliger dan een Amerikaanse SaaS met EU-tenant. Voor de meeste toepassingen binnen het MKB is een grote Amerikaanse leverancier met EU-tenant een verdedigbare keuze mits de contractuele waarborgen op orde zijn.

Wie EU-gehoste AI-tools selecteert zonder deze vier punten expliciet te checken, koopt op merkclaim en niet op werkelijkheid.

Categorieën EU-gehoste AI-tools in 2026

De markt valt uiteen in drie categorieën die elk hun eigen sterke en zwakke punten hebben.

Categorie 1: EU-native LLM-leveranciers. Bedrijven met moederonderneming en primaire infrastructuur binnen de EU. Voorbeelden zijn Mistral AI (Frans, modellen draaien in Parijs) en Aleph Alpha (Duits, modellen in Heidelberg). Sterke punten: geen CLOUD Act-blootstelling, korte communicatielijnen bij compliance vragen, taalmodellen die van huis uit met Europese talen zijn getraind. Zwakke punten: kleinere modellen dan de Amerikaanse frontier (Mistral Large is competitief maar niet altijd aan GPT-5-niveau), minder eco-systeem-integratie.

Categorie 2: Amerikaanse leveranciers met EU-datazone. OpenAI biedt een EU data residency-optie voor ChatGPT Enterprise en Team, Anthropic biedt Claude via AWS Frankfurt met contracthouderschap in Ierland, Microsoft draait Azure OpenAI Service in Zweden of West-Europa, Google draait Gemini in België of Frankfurt. Sterke punten: frontier-modellen (GPT-5, Claude 4.7, Gemini 2.5), breed eco-systeem, bekend bij medewerkers. Zwakke punten: CLOUD Act-risico (juridische toegang door VS-autoriteiten mogelijk), langere reactietijden bij Nederlandstalige compliance vragen, EU-datazone is vaak alleen op enterprise-tarieven.

Categorie 3: Governance-lagen boven op AI-tools. Proxies of gateways die tussen je bestaande AI-tools en de leveranciers zitten en de jurisdictie-regels centraal afdwingen. Voorbeelden: Ciralgo (Nederlands, EU-gehost) en internationale open-source-oplossingen die zelf in de EU worden uitgerold. Sterke punten: één centrale controle-punt voor meerdere providers, kostenattributie per team, audit-log per verzoek, redactie van persoonsgegevens vóór verzending naar de LLM. Zwakke punten: extra laag om te beheren, kosten bovenop de LLM-abonnementen.

Voor de meeste Nederlandse organisaties is een combinatie realistisch: één of twee LLM-providers uit categorie 1 of 2 (afhankelijk van budget en modelvereisten), met een governance laag uit categorie 3 die de EU-jurisdictie centraal afdwingt en de audit-logs verzamelt die de AI-Verordening voorschrijft.

Praktische checklist voor selectie van EU-gehoste AI-tools

Voordat je een AI-tool aanschaft of uitrolt, ga deze acht vragen langs bij de leverancier.

1. Waar draait de inference voor deze workflow? Vraag om een concrete datacenter-locatie, niet "de EU-regio".
2. Waar wordt de prompt- en outputdata opgeslagen? Retentie en locatie moeten expliciet in het contract staan.
3. Wie zijn de subverwerkers en waar zitten die? De actuele subverwerkerslijst moet openbaar zijn.
4. Is de moederonderneming Amerikaans, en zo ja, welke contractuele waarborg dekt de CLOUD Act? Standaardcontractbepalingen (SCC's) 2021/914 als minimum.
5. Kun je EU-only afdwingen op configuratieniveau? Sommige leveranciers laten je bijvoorbeeld GPT-5 alleen in Ierland routeren, andere niet.
6. Welke logs krijg je? Voor de AI-Verordening (artikel 12) heb je per-verzoek audit-records nodig, niet dag- of week-aggregaten.
7. Hoe worden kosten geattribueerd? Als je alleen één maandfactuur zonder uitsplitsing krijgt, kun je later niet sturen.
8. Wat gebeurt er bij faillissement of overname? Data-portabiliteit en overdracht moeten in de verwerkersovereenkomst staan.

Neem geen genoegen met vage antwoorden. Als een leverancier niet binnen twee werkdagen een schriftelijk antwoord geeft op deze acht vragen, is de leverancier waarschijnlijk niet klaar voor Nederlandse enterprise-inzet.

Sectorspecifieke overwegingen bij EU-gehoste AI-tools

Voor sommige beroepsgroepen zijn de eisen aan EU-hosting strenger dan het AVG-basisniveau.

Zorg. Onder NEN 7510 en de sectorale kaders van Z-CERT is EU-hosting vrijwel altijd het minimum voor AI-tools die patiëntgegevens verwerken. Voor specifieke context zie AI in de zorg en NEN 7510 en AI informatiebeveiliging in de zorg.

Accountancy. Onder artikel 27 Wta (vertrouwelijkheidsplicht) en de gezamenlijke NBA-NOREA-leidraad is een Amerikaanse SaaS zonder EU-tenant vrijwel altijd een ontoelaatbare keuze. Zie AI voor accountants voor de tuchtrechtelijke context.

Advocatuur. Onder de NOvA-verordeningen op geheimhouding zit AI-inzet in klantendossiers standaard onder de zwaarste variant. Zie AI voor advocaten.

Publieke sector. Voor overheidsopdrachten en semi-publieke instellingen kan de BIO (Baseline Informatiebeveiliging Overheid) of het ISOR-toetsingskader Nederlandse hosting voorschrijven, niet slechts EU-hosting. Check dit expliciet in je aanbestedingsdocumenten.

Voor het bouw-MKB, retail-MKB en zakelijke dienstverlening zonder sectorspecifieke regelgeving is EU-hosting via een Amerikaanse leverancier met EU-tenant plus SCC's doorgaans een verdedigbare keuze.

Ciralgo als governance laag voor EU-gehoste AI-tools

Ciralgo is een EU-gehoste governance laag die tussen je bestaande AI-tools en de leveranciers zit. De infrastructuur draait binnen de EU en de klantcontracten lopen via een Nederlandse rechtspersoon. Voor Nederlandse organisaties die meerdere AI-providers gebruiken (typisch: OpenAI voor tekst, Anthropic voor code, Mistral voor kostenbewuste taken) betekent dat één centraal punt waar je de EU-jurisdictie afdwingt, ongeacht welke frontier-modellen je medewerkers uiteindelijk aanroepen.

Concreet biedt Ciralgo drie dingen: geforceerde EU-regio per workflow (verzoeken die de regel schenden worden geweigerd), audit-log per verzoek die voldoet aan artikel 12 van de AI-Verordening, en automatische kostenattributie per team of klantdossier. Ciralgo is geen model-provider zelf, maar een controle-laag boven op de tools die je al gebruikt. Wie geen tweede provider gebruikt en alleen ChatGPT Enterprise afneemt met EU-data-zone, heeft Ciralgo niet nodig. Zodra er twee of meer providers in gebruik zijn of zodra je audit-logs voor de AI-Verordening moet kunnen overleggen, wordt de proxy-laag een efficiëntere oplossing dan per-provider governance opzetten.

Voor prijsopbouw zie Ciralgo pricing, voor de technische uitleg zie wat een EU-gehoste LLM-proxy is, en voor de brede context binnen het MKB zie AI binnen het MKB in Nederland.

Talk to Ciralgo, EU-gehost en operationeel geleverd

Als de vraag "welke EU-gehoste AI-tools werken écht voor onze organisatie" op de agenda staat, is een gesprek van 20 minuten met iemand die de markt op EU-hosting criteria zelf beoordeelt sneller dan een RFP-ronde. Ciralgo bouwt de EU-gehoste governance laag zelf en adviseert op welke onderliggende AI-tools eronder passen. We adviseren niet alleen, we leveren de werkende oplossing mee. Plan een gesprek via de contactpagina, we reageren binnen één werkdag.

Veelgestelde vragen over EU-gehoste AI-tools

Zijn EU-gehoste AI-tools duurder dan Amerikaanse alternatieven?

Op het niveau van de LLM-inference is het prijsverschil klein: Mistral Large en Aleph Alpha zitten binnen 10-20% van Amerikaanse frontier-modellen. Op het niveau van de EU-datazone bij Amerikaanse leveranciers betaal je vaak een enterprise-toeslag (typisch 30-100% meer per gebruiker per maand vergeleken met een consumer-account). Voor Nederlandse organisaties die niet compliant kunnen zijn zonder EU-hosting is dat geen keuze maar een baseline.

Is ChatGPT Enterprise met EU-data-zone genoeg voor Nederlandse organisaties?

Voor veel middelgrote organisaties zonder sectorspecifieke aanvullende eisen: ja, mits de verwerkersovereenkomst is ondertekend, de subverwerkerslijst is verifieerd en de data-residency-configuratie is aangezet. Voor zorg, accountancy, advocatuur en overheid geldt een strenger regime waarin de CLOUD Act-blootstelling extra risico is.

Wat als een AI-leverancier zegt "wij hosten in de EU" maar geen datacenter noemt?

Vraag om een schriftelijke bevestiging met een concrete regio (Frankfurt, Parijs, Amsterdam, Dublin, Stockholm) en het datacenter-adres van de onderliggende cloud-hyperscaler. Als de leverancier dat niet kan geven, is de "EU-hosting" waarschijnlijk marketing zonder onderliggende infrastructuur-garantie.

Werken open-source LLM's zoals Llama beter voor EU-hosting?

Open-source modellen die je zelf host binnen de EU (via een EU-cloud of on-premises) geven de sterkste jurisdictie-controle omdat er geen leverancier tussen zit. Nadeel: je bent zelf verantwoordelijk voor de operationele kant (schaalbaarheid, updates, security). Voor de meeste organisaties in het MKB is dit niet realistisch zonder een engineering-team. Voor grotere organisaties met eigen platform-team is het een serieuze optie.

Hoe verhouden EU-gehoste AI-tools zich tot de AI-Verordening?

De AI-Verordening (EU) 2024/1689 schrijft geen specifieke hosting-locatie voor, maar wel logging (artikel 12), transparantie (artikel 13) en menselijk toezicht (artikel 14). EU-hosting maakt het aantoonbaar-onder-controle-hebben van deze verplichtingen substantieel eenvoudiger omdat de handhavingsautoriteiten (in Nederland de Autoriteit Persoonsgegevens en sectorale toezichthouders) directe rechtsmacht hebben over de infrastructuur.

Wat is het praktische verschil tussen "EU-hosting" en "EU-data-residency"?

EU-hosting betekent dat de infrastructuur fysiek in de EU staat. EU-data-residency betekent dat de data-opslag in de EU is, maar de verwerking (inference) kan elders plaatsvinden. Voor AI-tools is EU-hosting de striktere eis omdat elke prompt tijdens verwerking kortstondig door de servergeheugen loopt. Vraag altijd expliciet naar EU-hosting, niet alleen EU-data-residency.

Verder lezen

• Wat is een EU-gehoste LLM-proxy?
• Beste AI-tools voor MKB in 2026
• AI governance voor MKB: 30-dagen setup framework
• AI binnen het MKB in Nederland: complete gids
• AI voor accountants: wat de NBA-regels toestaan
• AI informatiebeveiliging in de zorg
• Small language models in 2026: when SLMs beat frontier LLMs
• Fine-tuning under EU jurisdiction: cost, privacy and routing decisions
• AI energieverbruik en CSRD-rapportage voor Nederlandse organisaties
• Ciralgo pricing voor Nederlandse teams

Laatst herzien: 8 september 2026. Deze pagina wordt halfjaarlijks getoetst tegen wijzigingen in EU-cloudbeleid en handhavingspraktijk van de Autoriteit Persoonsgegevens.