Op zaterdag 13 juni 2026 schakelde Anthropic zijn twee krachtigste AI-modellen, Fable 5 en Mythos 5, abrupt uit voor al zijn klanten. Niet vanwege een storing, maar op last van de Amerikaanse overheid. Minister van Handel Howard Lutnick bracht de modellen onder exportcontrole en verbood toegang door élke niet-Amerikaan — binnen of buiten de VS, tot en met de eigen niet-Amerikaanse medewerkers van Anthropic. De minder krachtige Claude-modellen bleven beschikbaar, maar het signaal was scherp: een Amerikaanse leverancier kan, op bevel van Washington, van de ene op de andere dag de toegang voor de rest van de wereld dichtdraaien.

Dat is geen hypothetisch CLOUD Act-scenario meer. Dat is een kill switch die daadwerkelijk is omgezet.

Tien dagen eerder, op 3 juni, presenteerde de Europese Commissie haar European Technological Sovereignty Package. Daarin zit de Cloud and AI Development Act (CADA): voor het eerst gaat de EU soevereiniteitseisen vastleggen in bindende wetgeving, inclusief een mechanisme om publieke aanbestedingen richting “soevereine” aanbieders te sturen. Het is de eerste keer dat soevereiniteit van een vrijwillig keurmerk naar een aanbestedingscriterium verschuift.

Dat klinkt overzichtelijk. Tot je je afvraagt: wie bepaalt eigenlijk of een leverancier “soeverein” is? En op basis van welke data?

Precies die vraag was de aanleiding om de Digital Sovereignty Assessment Tool grondig op te schonen in twee rondes. Op 26 mei 2026 herzag ik de vendor-database achter de Heatmap: negen records met onjuiste hoofdkantoor-informatie gecorrigeerd, 27 nieuwe Europese leveranciers toegevoegd, en het datamodel uitgebreid zodat de positie van iedere leverancier expliciet en eerlijk wordt weergegeven. Op 13 juni volgde een tweede, omvangrijke opschoonronde, plus een nieuwe categorie voor Digital Asset Management (DAM). Dat klinkt als een changelog. Maar de correcties zelf vertellen een interessanter verhaal: over wat het label “EU-alternatief” wel en niet betekent — zoals ik eerder beschreef in de context van IAM-procurement, waar dezelfde discipline doorslaggevend is.

Wat er is veranderd

Drie dingen, kort.

Ik heb 27 nieuwe Europese leveranciers toegevoegd: onder andere Didomi, Axeptio en consentmanager.net voor consent-management, Dynatrace en Pandora FMS voor monitoring, Make.com en SeaTable voor low-code, memoQ, Phrase TMS en Wordbee voor vertaling, Trade Republic voor fintech, Aircall voor helpdesk en Nedap Healthcare. Allemaal categorieën waar tot nu toe vooral Amerikaanse namen stonden — vergelijkbaar met het verhaal van de Europese IAM-vendors per categorie (Wallix, Omada, OneWelcome) die buiten de Magic Quadrant blijven hangen.

Ik heb negen leveranciers van land veranderd, omdat het hoofdkantoor verkeerd stond. En ik heb misleidende en dubbele records verwijderd: een tweede Epic-record met EU-label (het echte hoofdkantoor staat in Verona, Wisconsin), een dubbele SumUp- en Directus-entry, en Adyen en Mollie uit de categorie ERP gehaald, het zijn payment processors, geen ERP-systemen.

Op 13 juni volgde een tweede ronde van dezelfde aard: opnieuw records nagelopen, geclassificeerd en gecorrigeerd, en een nieuwe categorie toegevoegd voor Digital Asset Management (DAM). Die laatste is niet willekeurig. DAM-systemen huisvesten merkmateriaal, beeldbanken en media: waardevolle, vaak rechtenintensieve data die in de praktijk standaard in Amerikaanse SaaS belandt, zonder dat iemand zich afvraagt waar die assets juridisch staan. Een categorie die het verdient om apart te worden beoordeeld, met de Europese opties expliciet in beeld.

Het belangrijkste is alleen niet wat er bij kwam of weg ging. Het is wat de correcties blootleggen.

Een hoofdkantoor is geen soevereiniteit

Vier leveranciers stonden als Europees alternatief in de database terwijl ze dat niet zijn: Hologic, Carestream Health, Wrike en WordPress in de self-host-variant. Allemaal verplaatst van EU naar VS. Dit zijn Amerikaanse incumbents, geen Europese alternatieven. Ze waren ooit met de beste bedoelingen ingevoerd, maar hoorden er niet.

Wrike is het scherpste voorbeeld. Het bedrijf presenteert zich als zelfstandige werk-management-tool, maar is in handen van Symphony Industrial, een Amerikaanse eigenaar. En daar zit het punt: voor digitale soevereiniteit telt niet waar het marketingteam zit, maar wie uiteindelijk de zeggenschap heeft. Wie de data kan opvragen. Wie onder welke jurisdictie valt.

Daarom heb ik een nieuw veld toegevoegd dat de ultieme moedermaatschappij vastlegt. Niet de naam op de website, maar de partij bovenaan de eigendomsketen. Dat is geen detail. Het verschil tussen “Europees bedrijf” en “Europees merk in Amerikaanse handen” is precies het verschil dat de CLOUD Act relevant maakt.

Hoe relevant, bleek vorig jaar. In mei 2025 werd het Microsoft-account van de hoofdaanklager van het Internationaal Strafhof geblokkeerd nadat de regering-Trump sancties had opgelegd. En in een hoorzitting van de Franse Senaat op 10 juni 2025 antwoordde de juridisch directeur van Microsoft France op de vraag of hij onder ede kon garanderen dat data van Franse burgers nooit zonder toestemming aan Amerikaanse autoriteiten zou worden overgedragen: nee, dat kon hij niet garanderen. Niet omdat het al gebeurd was, maar omdat de juridische mogelijkheid bestaat. Dat is geen academische kwestie. Dat is het hele punt.

En met het Anthropic-besluit van 13 juni is die mogelijkheid geen mogelijkheid meer, maar een feit. Een Amerikaanse aanbieder is door zijn eigen overheid gedwongen om een dienst voor de hele wereld buiten de VS uit te zetten: niet op basis van wat een klant deed, maar op basis van waar die klant zit. Dat is precies het risico dat een soevereiniteitsbeoordeling hoort te vangen: niet “werkt deze leverancier goed?”, maar “wie kan deze leverancier opdragen mij af te sluiten, en op welke grond?”. Een vraag die je niet kunt beantwoorden als je classificatie blijft hangen bij het adres op de website.

Open source is niet automatisch soeverein

De tweede les zit in de open-source-records. Er bestaat een hardnekkig misverstand dat “open source” gelijkstaat aan “soeverein”. Dat klopt niet, en de database liet dat te makkelijk doorglippen.

RustDesk, Logseq en Synology Drive stonden te gunstig geclassificeerd. RustDesk wordt ontwikkeld in China, Logseq in Singapore, Synology in Taiwan. Open source betekent dat je de code kunt inzien en zelf draaien, niet dat de standaard-hosting of het ontwikkelland buiten beeld blijven. Deze tools zijn soeverein wanneer je ze zelf host of lokaal gebruikt. Niet per definitie daarbuiten. Ik heb ze gecorrigeerd naar het werkelijke land van de ontwikkelaar, met die nuance erbij.

Directus is een ander geval: open source op papier, maar onder een BSL-licentie en met een Amerikaanse oorsprong. Bitrix24 stond als schoon Europees record, terwijl de juridische entiteit op Cyprus zit en de oorsprong Russisch is. Nu expliciet vermeld. Wire (Zwitserland) en SumUp (Verenigd Koninkrijk, ná Brexit) zijn opnieuw geclassificeerd.

Geen van deze tools is “slecht”. Het punt is dat soevereiniteit afhangt van hóé je iets gebruikt, niet alleen van het feit dat de broncode openligt. Een changelog die dat verzwijgt, geeft een vals gevoel van veiligheid.

Soevereiniteit is een spectrum, geen vinkje

De grootste verandering zit niet in een los record, maar in het datamodel. Ik heb drie metadata-velden toegevoegd die elke leverancier dwingen om kleur te bekennen.

Het eerste is de al genoemde ultieme moedermaatschappij. Het tweede is de soevereiniteitsmodus: draait een leverancier vendor-hosted in de EU, is het self-host, open-source-distributed, of vendor-hosted buiten de EU? Dat zijn vier wezenlijk verschillende risicoprofielen, en ze verdienen geen gedeeld groen vinkje. Het derde veld is een scherpere geografische classificatie: EU-27, EEA, EFTA of EU-adjacent. Want “Europa” is geen blok. Zwitserland zit in de EFTA, niet in de EU; ik heb 57 Zwitserse leveranciers als zodanig gemarkeerd, 29 Noorse en IJslandse als EEA, en vier Oekraïense als EU-adjacent. Dat zijn verschillende juridische werelden, en dat hoort de tool te laten zien.

Om te voorkomen dat dezelfde fouten terugsluipen, draaien er nu negen invariant-tests in de pijplijn: geen EU-leverancier zonder ingevulde soevereiniteitsmodus, geen dubbele records binnen dezelfde categorie, geen niet-versleutelde websites. De governance van de data is daarmee zelf onderdeel van de tool geworden. Dat is geen luxe. Een instrument dat soevereiniteit beoordeelt, kan zich geen sloppy eigen administratie veroorloven.

Waarom dit nu telt

Tot voor kort was de soevereiniteits-classificatie van een leverancier vooral een interessante indicatie. Met de Cloud and AI Development Act wordt het iets anders. CADA introduceert een raamwerk met meerdere soevereiniteitsniveaus en koppelt dat aan aanbestedingen. Op het moment dat een label bepaalt of een leverancier mag meedingen naar een overheidsopdracht, is de kwaliteit van de data achter dat label geen academische kwestie meer. Dan is een fout record een verkeerde inkoopbeslissing.

En de Nederlandse context beweegt mee. Het kabinet stelde op 18 december 2025 de visie “Digitale autonomie en soevereiniteit van de overheid” vast, met als lijn “open waar mogelijk, beschermen waar nodig”. Vier gemeenten testen samen met de VNG een open-source werkplek. De vraag “is deze leverancier soeverein?” wordt de komende jaren vaker en met hogere inzet gesteld. Dan kun je maar beter een eerlijk antwoord hebben.

Slot

Een changelog opschonen is zelden spannend werk. Maar de correcties van 26 mei laten precies zien waar het in dit dossier misgaat: we behandelen soevereiniteit als een binair vinkje, terwijl het een spectrum is van eigendom, jurisdictie, hosting en gebruik. Een hoofdkantoor in Amsterdam zegt weinig als de eigenaar in Delaware zit. Open source zegt weinig als de standaard-hosting buiten je controle valt.

De Heatmap is na deze ronde niet “klaar”, zo’n database is nooit af. Maar hij is wel eerlijker geworden. En naarmate de EU soevereiniteit van een keurmerk naar een aanbestedingscriterium tilt, is eerlijke data het minste wat je van zo’n instrument mag verwachten.

Werk je aan een leverancierskeuze waar soevereiniteit een rol speelt? Dan helpt het meestal om er eerst nuchter naar te kijken voordat je een label accepteert dat niet klopt. De Digital Sovereignty Assessment Tool is vrij te gebruiken; meer stukken in dit domein vind je op de Digital Sovereignty & EU hub. Voor de rest ben ik bereikbaar via het contactblok op de homepage.

Veelgestelde vragen over de Digitale Soevereiniteit Heatmap

Wat is de Digital Sovereignty Assessment Tool precies?

Een onafhankelijke, vrij te gebruiken tool die organisaties helpt hun software- en cloudkeuzes te beoordelen tegen Europese criteria voor digitale soevereiniteit. De tool brengt afhankelijkheden en risico’s in kaart rond data, infrastructuur en leveranciers, en wijst Europese alternatieven aan. De site is niet geaffilieerd met de genoemde leveranciers en er kunnen geen rechten aan de classificaties worden ontleend.

Wat is er in mei en juni 2026 veranderd?

In twee rondes. Op 26 mei zijn negen leveranciers met een onjuist hoofdkantoor gecorrigeerd, 27 nieuwe Europese leveranciers toegevoegd en is het datamodel uitgebreid met drie velden: ultieme moedermaatschappij, soevereiniteitsmodus en een scherpere EU-classificatie (EU-27, EEA, EFTA, EU-adjacent). Daarnaast zijn misleidende en dubbele records verwijderd. Op 13 juni volgde een tweede, omvangrijke opschoonronde en is er een nieuwe categorie toegevoegd voor Digital Asset Management (DAM).

Waarom een aparte categorie voor Digital Asset Management?

Omdat DAM-systemen merkmateriaal, beeldbanken en media bevatten — rechtenintensieve, waardevolle data die in de praktijk vaak standaard in Amerikaanse SaaS staat, zonder dat de juridische locatie ervan een bewuste keuze is. Door DAM als eigen categorie te beoordelen, komen de Europese opties expliciet in beeld.

Waarom is een Europees hoofdkantoor niet genoeg?

Omdat soevereiniteit afhangt van wie uiteindelijk zeggenschap heeft, onder welke jurisdictie de eigenaar valt en waar de data staat — niet van waar het merk gevestigd is. Een Europees merk in Amerikaanse handen valt alsnog onder bijvoorbeeld de CLOUD Act. Daarom legt de tool nu de ultieme moedermaatschappij vast.

Is open source automatisch soeverein?

Nee. Open source betekent dat je de code kunt inzien en zelf draaien. Soevereiniteit hangt af van hóé je het gebruikt: zelf gehost of lokaal is iets anders dan een door de leverancier gehoste variant in een ander land. Tools als RustDesk, Logseq en Synology Drive zijn daarom gecorrigeerd naar het werkelijke ontwikkelland, met die nuance erbij.

Wat is de soevereiniteitsmodus?

Een veld dat onderscheid maakt tussen vier situaties: vendor-hosted in de EU, self-host, open-source-distributed, en vendor-hosted buiten de EU. Het zijn vier verschillende risicoprofielen die geen gedeeld “groen” verdienen.

Wat betekent de Cloud and AI Development Act (CADA) hiervoor?

CADA, onderdeel van het EU-pakket van 3 juni 2026, legt soevereiniteitseisen voor het eerst vast in bindende wetgeving en koppelt ze aan publieke aanbestedingen. Daarmee wordt de kwaliteit van soevereiniteits-data direct relevant voor inkoopbeslissingen.

Bronnen

Ric van Westhreenen

Ric van Westhreenen

Programma Manager gespecialiseerd in IAM, digitale werkplek en digitale transformatie. Pragmatisch, hands-on, getting things done.

Verbind op LinkedIn →
Certificeringen
 Certified AI Governance Professional IAPP · Verifieer op DiplomaSafe →