Op 20 oktober kondigde Microsoft in Parijs een flinke uitbreiding aan van de Microsoft Sovereign Cloud. De opvallendste nieuwigheid: een Europese partner gaat toezicht houden wanneer Microsoft-engineers op afstand inloggen op de productiesystemen van Europese klanten. Dat is een stap richting meer transparantie. Maar voor organisaties die serieus werk maken van datasoevereiniteit blijft een kernvraag overeind: wie heeft uiteindelijk de regie over uw systemen en sleutels?
Wat Microsoft precies aankondigt
De uitbreiding bestaat uit een aantal onderdelen die samen meer controle moeten geven aan Europese klanten:
- Data Guardian: voor klanten in de EU en EFTA keurt een vertrouwde Europese partner de externe logins van Microsoft-engineers op productiesystemen goed en kijkt mee. Dit komt bovenop bestaande maatregelen zoals Just-in-Time Access en Customer Lockbox.
- Production Touch Ledger: een manipulatiebestendig logboek dat vastlegt welke technische handelingen op productiesystemen zijn uitgevoerd. Dit wordt gefaseerd uitgerold.
- Eigen encryptiesleutels: klanten kunnen de hoofdsleutel voor versleuteling op eigen hardware bewaren, via extern sleutelbeheer met Azure Managed HSM.
- Offline AI en ontwikkeltools: Foundry Local en GitHub Enterprise Local, die volledig offline op Azure Local kunnen draaien, worden naar verwachting half november algemeen beschikbaar.
Microsoft werkt hierbij samen met 29 partners, waaronder het Franse Bleu en het Duitse Delos Cloud. Een deel van het pakket, zoals het Sovereign Control Panel, zit nog in de aankondigings- of previewfase.
Datasoevereiniteit: waar Data Guardian wél helpt
Voor organisaties die diep in het Microsoft-ecosysteem zitten, zijn deze maatregelen een zinvolle verbetering. Een controleerbaar logboek van beheerderstoegang helpt bij de verantwoordingsplicht onder de AVG en bij de eisen rond leveranciersrisico die de Cyberbeveiligingswet (NIS2) stelt. U kunt achteraf aantonen wie wanneer toegang had, in plaats van dat alleen op vertrouwen te moeten aannemen.
Ook de mogelijkheid om eigen encryptiesleutels op eigen hardware te bewaren is waardevol. Wie de sleutel beheert, bepaalt in principe wie de data kan lezen. Gebruikt uw organisatie Azure of Microsoft 365 voor gevoelige gegevens, dan is het verstandig om met uw IT-partner te bekijken welke van deze opties u kunt inschakelen.
Beheerderstoegang en jurisdictie: wat het niet oplost
Tegelijk wijzen analisten erop dat technische maatregelen de juridische en geopolitieke afhankelijkheid niet volledig wegnemen. Microsoft blijft een Amerikaans bedrijf dat onder Amerikaanse wetgeving valt, zoals de CLOUD Act. Toezicht door een Europese partner maakt toegang zichtbaar en controleerbaar, maar het platform zelf blijft in handen van de leverancier.
Daarnaast zijn er een paar praktische kanttekeningen:
- Data Guardian geldt voor gekwalificeerde toegang tot systemen die binnen de scope vallen, niet automatisch voor elk denkbaar toegangspad.
- Bij de eerste aankondiging in 2025 ging het nog over toezicht door in Europa gevestigd personeel; nu is sprake van een vertrouwde Europese partner. Lees de actuele contractvoorwaarden dus goed na.
- Meer controlelagen rond een platform vergroten de transparantie, maar maken een overstap later niet eenvoudiger. Een doordachte exitstrategie blijft nodig.
Europese cloud alternatieven: zelf de regie houden
De aankondiging laat vooral zien dat datasoevereiniteit inmiddels een serieus inkoopcriterium is. Gebruik dat moment om uw eigen situatie door te lichten. Vier vragen helpen daarbij:
- Welke data is echt gevoelig? Denk aan cliëntdossiers, patiëntgegevens, financiële administratie of persoonsgegevens van burgers. En welke daarvan belanden nu, bewust of onbewust, in AI-tools als ChatGPT of Copilot?
- Wie heeft beheerderstoegang, onder welke jurisdictie, en kunt u dat zelf controleren?
- Waar staan de encryptiesleutels en wie kan ze in noodsituaties gebruiken?
- Kunt u vertrekken zonder hoge kosten of gegevensverlies?
Voor de meest kritische gegevens kan het verstandig zijn een stap verder te gaan dan extra toezicht: de infrastructuur zelf in eigen beheer nemen. Met open source software zoals Nextcloud en zakelijke infrastructuur zoals Certified Nodes houdt uw organisatie zelf de sleutels én het beheer. Door meerdere nodes als cluster in te zetten, realiseert u bovendien High Availability: uw diensten blijven beschikbaar, ook als één node uitvalt. Lees meer over wat nodes zijn en hoe ze werken, of bekijk ons overzicht van privacy-vriendelijke alternatieven.
Hetzelfde geldt voor AI. Dat Microsoft met Foundry Local offline AI gaat aanbieden, laat zien hoe groot de vraag is naar AI die gevoelige gegevens niet naar de cloud stuurt. Dat kan ook buiten een groot cloudplatform om: met lokale AI draait het taalmodel op hardware die van uw organisatie zelf is, en krijgt elke medewerker alleen antwoorden uit documenten waar die zelf toegang toe heeft. Zo’n oplossing schaalt van een klein mkb-kantoor of praktijk tot een gedeelde AI-voorziening voor een gemeente of regionaal samenwerkingsverband. Een voorbeeld is OwnBrain, lokale AI op eigen bedrijfsgegevens, dat in het project SOLID onder meer met een gemeente in de praktijk wordt getest.
Een volledige overstap hoeft niet in één keer. Veel organisaties kiezen voor een hybride aanpak: de gewone kantoorautomatisering blijft voorlopig waar die is, terwijl de gevoeligste gegevens en processen stapsgewijs naar eigen, Europese infrastructuur verhuizen. Zo bouwt u controle op zonder de bedrijfsvoering te verstoren.
Bronnen: Microsoft – Advancing digital sovereignty with greater control and choice (20 oktober 2026); The Next Web – Microsoft adds EU access oversight and offline AI to its sovereign cloud.
Dit artikel is met behulp van AI opgezet en gegenereerd, en als voorstel voorgelegd aan een menselijke redacteur die het heeft beoordeeld voordat het werd geplaatst.