Rapport: ‘soevereine’ cloud van Amerikaanse hyperscalers is juridisch niet soeverein

Europese organisaties die kiezen voor een ‘soevereine’ clouddienst van AWS, Microsoft of Google krijgen daarmee wel meer controle over de locatie van hun data, maar zijn volgens de Nederlandse cloudaanbieder Leafcloud nog niet verlost van Amerikaanse wetgeving. In een nieuw rapport stelt het Amsterdamse bedrijf dat er een fundamenteel verschil bestaat tussen dataresidentie, operationele controle en juridische soevereiniteit. Vooral dat laatste ontbreekt volgens Leafcloud bij de onderzochte Amerikaanse hyperscalers.

De term “sovereign cloud” duikt steeds vaker op in het aanbod van grote cloudleveranciers. Europese organisaties willen zekerheid dat hun data binnen Europa blijft, dat Europese medewerkers de infrastructuur beheren en dat zij controle houden over de toegang tot hun gegevens. AWS, Microsoft en Google hebben daarom de afgelopen jaren verschillende Europese cloudomgevingen en aanvullende soevereiniteitsopties ontwikkeld.

Maar volgens Leafcloud wordt onder de noemer soevereiniteit een aantal verschillende zaken op één hoop gegooid. In het rapport “The Sovereignty Gap” maakt de Nederlandse cloudleverancier daarom onderscheid tussen drie vragen: waar bevinden de data zich, wie beheert de infrastructuur en onder welk recht kan een leverancier worden gedwongen gegevens af te staan?

De conclusie van Leafcloud is duidelijk. De onderzochte diensten kunnen volgens het bedrijf garanderen dat data in Europa worden opgeslagen en bieden in verschillende mate aanvullende operationele controles. Maar volledige juridische soevereiniteit kunnen de drie Amerikaanse aanbieders volgens het rapport niet bieden.

Server of datacenter in Europa is niet automatisch Europees

De kern van het probleem is volgens Leafcloud de Amerikaanse Cloud Act. Die wet maakt het onder bepaalde omstandigheden mogelijk dat Amerikaanse autoriteiten gegevens opvragen bij bedrijven die onder Amerikaanse jurisdictie vallen, ook wanneer die gegevens buiten de Verenigde Staten zijn opgeslagen.

Daarmee is de fysieke locatie van een server niet automatisch bepalend voor de juridische positie van de gegevens. Volgens Leafcloud moet daarom niet alleen worden gekeken naar de plaats waar de servers staan, maar ook naar eigendom en zeggenschap over de onderneming die de clouddienst levert.

Europese afhankelijkheid blijft groot

De discussie krijgt extra gewicht doordat AWS, Microsoft en Google samen het grootste deel van de Europese markt voor cloudinfrastructuur in handen hebben. Daardoor is het voor veel organisaties in de praktijk moeilijk om volledig buiten het ecosysteem van Amerikaanse technologiebedrijven te opereren.

Tegelijkertijd groeit het belang van digitale soevereiniteit binnen de Europese politiek. De Europese Commissie presenteerde op 3 juni 2026 haar voorstel voor de Cloud and AI Development Act, kortweg CADA. Die wet moet niet alleen investeringen in Europese cloud- en AI-infrastructuur stimuleren, maar ook een Europees raamwerk introduceren waarmee de mate van cloudsoevereiniteit kan worden beoordeeld.

Interessant is dat ook de Commissie verschillende niveaus van soevereiniteit onderscheidt. Het laagste niveau vereist vooral dat gegevens binnen de Europese Unie worden verwerkt en opgeslagen. Hogere niveaus stellen steeds strengere eisen aan onafhankelijkheid van derde landen, eigendom, controle over de leverancier en uiteindelijk ook de softwareketen. Op het hoogste niveau mag volgens het voorstel geen sprake zijn van inmenging door een derde land.

Voor veel alledaagse cloudtoepassingen hoeft die juridische discussie niet direct een doorslaggevende rol te spelen. Dat verandert wanneer organisaties gevoelige gegevens verwerken, bijvoorbeeld binnen overheden, de zorg, defensie, energie, financiële dienstverlening of andere vitale infrastructuur. Juist daarom wil Leafcloud dat organisaties kritischer kijken naar het woord ‘soeverein’. Een aanbieder die Europese dataresidentie garandeert, levert daarmee volgens het bedrijf niet noodzakelijk een juridisch soevereine cloud.

Het rapport van Leafcloud is vanzelfsprekend niet afkomstig van een onafhankelijke toezichthouder. Leafcloud is zelf een Europese cloudleverancier en heeft daarmee een commercieel belang in de discussie over Europese alternatieven voor Amerikaanse hyperscalers. Dat maakt het extra belangrijk om onderscheid te maken tussen de conclusies van het bedrijf en vaststaande juridische feiten.

De centrale vraag die het rapport opwerpt, is echter breder dan de positie van één leverancier: wat mag een CIO, IT-manager of overheidsorganisatie precies verwachten wanneer een clouddienst als ‘soeverein’ wordt verkocht? Alleen bepalen dat data in Amsterdam, Frankfurt of Parijs moeten blijven, is daarvoor mogelijk niet voldoende. Wie echt grip wil krijgen op digitale soevereiniteit zal ook naar eigendom, operationele zeggenschap en vooral naar de toepasselijke wetgeving moeten kijken.