Een EU-regio van een Amerikaanse cloud
De gegevens staan in Frankfurt of Dublin.
Onder de US CLOUD Act blijft de aanbieder verplicht om af te geven wat hij bewaart. De locatie helpt niet, de eigenaar wel.
Europese AI governance software
Europese AI governance software: niet waar het bedrijf zit, maar waar je gegevens blijven.
Europese AI governance software is software voor het beheersen van AI-gebruik die in Europa wordt gemaakt en gehost. Dat is een begin, geen antwoord. De vragen die ertoe doen: waar worden gegevens verwerkt en door wie, wat wordt er opgeslagen, worden prompts bewaard, worden individuele medewerkers gevolgd, hoe wordt AI-gebruik gemeten en hoe komt beleid bij mensen terecht. BeeSensible beantwoordt ze zo: verwerking op eigen servers bij Scaleway in Amsterdam en Hetzner in Duitsland, Europese bedrijven zonder Amerikaans moederbedrijf, tekst in werkgeheugen en meteen gewist, cijfers zonder gebruikers-id, en een besluit per tool dat wordt getoond, niet afgedwongen.
app.beesensible.eu/analytics
Detecties in de tijdAfgelopen 30 dagen
12.438+18% t.o.v. de vorige periode
Detecties per platform
78% aangepast
8.124
81% aangepast
3.210
74% aangepast
812
Meest aangetroffen gegevens
4.212
2.930
1.486
1.104
612
GevoeligZeer gevoelig
Het probleem
"In de EU" zegt elke aanbieder. Het onderscheid zit een laag dieper.
Een Europese regio van een Amerikaanse cloud is ook "in de EU". Wie AI governance software kiest om gegevens in Europa te houden, moet daarom verder vragen: van wie zijn de machines, welk recht geldt er, en wat blijft er eigenlijk staan.
Een EU-regio is geen Europees bedrijf
De US CLOUD Act verplicht aanbieders die onder Amerikaans recht vallen om gegevens af te geven, ook uit Europese datacenters. Een Europese regio verandert daar niets aan; een Europese eigenaar wel.
Governance-software bouwt zelf een dossier op
Veel tools in deze categorie redeneren vanuit zicht en ingrijpen, en slaan daarvoor op wat medewerkers typen. Zo ontstaat een tweede kopie van precies de gegevens die je wilde beschermen.
Meten wordt volgen
Een overzicht per medewerker is in veel Europese landen een medezeggenschapsvraag en altijd een AVG-vraag. Toch is dat overzicht in veel tools het uitgangspunt.
Inkoopvragen
Wat je elke Europese aanbieder zou moeten vragen.
Niet of het bedrijf Europees is, maar wat er met de gegevens gebeurt. Elke rij is een eis die je aan een aanbieder kunt stellen, met daarbij wat BeeSensible antwoordt en waar de grens ligt.
| Eis | Waarom je het vraagt | BeeSensible |
|---|---|---|
| Servers van Europese bedrijven | Een Europese regio van een Amerikaanse cloud valt onder de US CLOUD Act. Een Europees bedrijf zonder Amerikaans moederbedrijf niet. | Ja Eigen servers bij Scaleway in Amsterdam (voor 96 procent van het Franse Iliad) en Hetzner in Duitsland (een Duits bedrijf). Geen Amerikaans moederbedrijf. |
| ISO 27001-gecertificeerde hosting | Zegt iets over hoe de infrastructuur wordt beheerd en beveiligd. Vraag door van wie het certificaat is: van de hoster of van de leverancier zelf. | Deels Scaleway en Hetzner zijn ISO/IEC 27001:2022-gecertificeerd. BeeSensible zelf heeft geen certificering. |
| Prompts worden niet bewaard | Een kopie van wat mensen typen is een tweede plek waar gevoelige gegevens kunnen lekken, en een tweede verwerking om te verantwoorden. | Ja Tekst wordt in werkgeheugen verwerkt en meteen gewist. Nooit naar schijf geschreven. |
| Geen externe AI-dienst in de keten | Roept de detectie zelf een Amerikaans model aan, dan is de Europese hosting een omweg. | Ja De detectie draait met eigen modellen op een eigen server bij Hetzner. Er komt geen externe AI-dienst aan te pas. |
| Duidelijk wat er wel wordt bewaard | "Wij slaan niets op" is nooit helemaal waar. Vraag om de velden en de bewaartermijn. | Ja Aantallen, typen, apps, tijdstippen en keuzes. Detectie-, document- en meldinggebeurtenissen hooguit 24 maanden. |
| Geen gebruikers-id in de meting | Een overzicht per medewerker is een AVG-vraag en in veel landen een medezeggenschapsvraag. | Ja De cijfers over AI-gebruik bereiken de servers zonder gebruikers-id. Geen doorklik per persoon; afdelingsinzicht vanaf 5 personen en 7 dagen. |
| AI-gebruik gemeten op organisatieniveau | Je wilt weten welke tools in gebruik zijn en hoeveel gebruik via toegestane tools gaat, niet wie wat deed. | Ja Alleen het domein van de tool, hooguit één keer per dag per apparaat. Het aandeel via toegestane tools heeft een trend. |
| Beleid getoond, niet afgedwongen | Blokkeren verplaatst gebruik naar privételefoons en haalt het zicht weg. | Ja Het besluit per tool verschijnt in de browser met het alternatief voorop. Doorgaan kan altijd. |
| Verwerking op het apparaat zelf | Voor organisaties die getypte tekst helemaal niet naar een server willen sturen. | Deels Via de desktop-app kan de detectie lokaal draaien; de tekst verlaat het apparaat dan niet. Een instelling per organisatie die we op verzoek aanzetten, geen schakelaar in het dashboard. |
| Verwerkersovereenkomst en DPIA | De verantwoordelijkheid blijft bij jou; de aanbieder moet de stukken leveren. | Ja Verwerkersovereenkomst met elke klant, product-DPIA op verzoek. De DPIA voor jouw inzet blijft werk van de organisatie. |
| Blokkeren en afdwingen | Sommige inkopers verwachten het van governance-software. | Nee Bewust niet. De medewerker houdt de hand aan het toetsenbord; het besluit wordt getoond. |
Wat het niet doet
Europees is geen garantie. Dit doet BeeSensible niet.
Wie op zoek is naar Europese software wil vooral geen verrassingen achteraf. Daarom de grens vooraf.
- Geen compliancegarantie. Europese hosting maakt jouw AVG-beoordeling niet overbodig; de cijfers onderbouwen maatregelen, ze certificeren niets.
- Geen certificering van BeeSensible zelf. De hosting is ISO 27001-gecertificeerd, wij niet, en we zeggen alleen wat waar is.
- Geen opslag van prompts, ook niet tijdelijk en ook niet in Europa.
- Geen overzicht per medewerker en geen gebruikers-id in de cijfers over AI-gebruik.
- Geen blokkade, geen omleiding van verkeer, geen proxy.
- Geen besluit namens de organisatie. Alles start op "nog geen besluit".
- Geen andere talen dan Nederlands en Engels in de detectie.
De aanpak
Dezelfde cyclus, met de gegevens waar ze horen.
Zien, beslissen, helpen, onderbouwen. Elke stap verwerkt zo min mogelijk, en wat er wordt verwerkt blijft op servers van Europese bedrijven.
1 Zien
Zien, met alleen het domein
De extensie telt welke AI-tools worden geopend, zonder gebruikers-id en zonder inhoud. Die tellingen staan bij Scaleway in Amsterdam.
2 Beslissen
Beslissen, met de catalogus als advies
865 tools met leverancier, land van verwerking, trainingsbeleid en een risicoscore over zes dimensies. De organisatie kiest de status; niets staat voorgeselecteerd.
3 Helpen
Helpen, in werkgeheugen
Een BSN, IBAN of naam krijgt een markering terwijl iemand typt. De tekst gaat naar eigen servers bij Europese aanbieders, wordt in werkgeheugen gecontroleerd en meteen gewist. Of hij blijft op het apparaat, via de desktop-app.
4 Onderbouwen
Onderbouwen, zonder wie
Aantallen, typen, apps en keuzes, gekoppeld aan maatregelen onder de AVG of NIS2. Nooit inhoud, nooit per persoon.
en opnieuw Zo werkt de cyclus
Waarom deze aanpak
Tegenover de andere manieren om gegevens in Europa te houden.
Vier keuzes die organisaties maken als ze gegevens in Europa willen houden, en wat elk mist.
Alles zelf hosten
Een eigen server, eigen beheer.
Kan, maar dan zijn de detectie, de modellen en het onderhoud ook van jou. En het lost de vraag niet op wat er per medewerker wordt vastgelegd.
AI blokkeren op de firewall
Geen verkeer naar AI-domeinen.
Verplaatst het gebruik naar privételefoons. De gegevens gaan mee, alleen het zicht niet.
Niets doen
Vertrouwen dat mensen geen gevoelige gegevens in AI zetten.
Werkt tot de eerste vraag van een klant, toezichthouder of auditor.
Veelgestelde vragen
Wat mensen vragen voordat ze kiezen.
Wat maakt AI governance software Europees?
Niet de vlag op de website. Kijk naar wie de servers bezit, welk recht daarop van toepassing is, wat er wordt opgeslagen en of de detectie een externe AI-dienst aanroept. BeeSensible verwerkt op eigen servers bij Scaleway en Hetzner, Europese bedrijven, bewaart geen getypte tekst en gebruikt geen externe AI-dienst.
Valt BeeSensible onder de US CLOUD Act?
De CLOUD Act richt zich op aanbieders die onder Amerikaans recht vallen. Scaleway is voor 96 procent van het Franse Iliad, Hetzner is een Duits bedrijf, en BeeSensible heeft evenmin een Amerikaans moederbedrijf. Er is dus geen partij in de keten die een Amerikaans bevel moet opvolgen. En er staat geen getypte tekst om af te geven: die wordt in werkgeheugen verwerkt en meteen gewist.
Is BeeSensible ISO 27001-gecertificeerd?
De hosting wel: Scaleway en Hetzner zijn beide ISO/IEC 27001:2022-gecertificeerd. BeeSensible zelf heeft geen certificering. We noemen alleen wat er is.
Kan de detectie ook lokaal op het apparaat draaien?
Ja, via de desktop-app voor macOS en Windows. De tekst verlaat het apparaat dan niet; alleen een detectiegebeurtenis zonder de gevonden waarde gaat naar het dashboard, en alleen als de organisatie dat aan heeft staan. Het is een instelling per organisatie die we op verzoek aanzetten. Cloud en lokaal gebruiken dezelfde detectie en voelen voor de medewerker hetzelfde.
Wat wordt er dan wel bewaard?
Aantallen, typen, apps, tijdstippen en de keuzes van de organisatie. Detectie-, document- en meldinggebeurtenissen blijven hooguit 24 maanden staan. Geen prompts, geen documenten, geen gebruikers-id in de stromen over AI-gebruik.
Werkt het buiten Nederland?
Ja. De detectie herkent Nederlandse en Engelse tekst, de interface is in beide talen beschikbaar en de verwerking is voor elke klant dezelfde. Andere talen worden niet ondersteund.
Verder lezen
Waar gegevens blijven, en wat je daarover mag vragen.
Zie binnen een dag welke AI er draait, zonder je data uit handen te geven.
Veertien dagen gratis, alle modules, geen creditcard. Verwerking bij Europese aanbieders vanaf de eerste minuut, ook tijdens de proefperiode.
14 dagen gratis, geen creditcard. Binnen een uur uitgerold in je organisatie.
