Een privacy officer krijgt van de directie de vraag om "een Europees alternatief voor ChatGPT" te zoeken. Op het lijstje dat ze vindt, staan Vibe van Mistral, Lumo van Proton en Euria van Infomaniak. Alle drie noemen zichzelf Europees. Bij het nalezen blijkt dat het woord bij elke tool iets anders betekent.
Dezelfde week vraagt een teamleider of ChatGPT inmiddels niet ook Europees is. OpenAI bewaart gegevens toch in Europa?
Beide vragen draaien om hetzelfde woord, en het antwoord hangt af van welk deel van "Europees" je bedoelt.
#Wat een Europese AI-chatbot wel en niet voor je regelt
Bij een AI-chatbot kan Europees op drie dingen slaan: waar de aanbieder is gevestigd, waar je gesprekken en bestanden worden opgeslagen, en waar het taalmodel vandaan komt. Die drie vallen niet altijd samen, en ze beantwoorden elk een andere vraag.
De vestiging bepaalt welk recht op de aanbieder van toepassing is, en dus welke overheid gegevens kan opvragen. De opslag bepaalt waar die gegevens fysiek staan. Het model bepaalt wie je prompt verwerkt, als dat model niet bij de aanbieder zelf draait.
Wat geen van de drie regelt: of de tool op je invoer traint, welk abonnement je organisatie nodig heeft en wat een medewerker in het tekstvak zet. Daarvoor kijk je per tool naar de instellingen en de voorwaarden, net als bij een Amerikaanse tool.
#Wat Europees betekent bij Vibe, Lumo, Euria en ChatGPT
De bronnen staan in de secties hieronder, gecontroleerd op 11 november 2026.
#Waar de aanbieder zit, bepaalt welk recht geldt
De Amerikaanse CLOUD Act verplicht een aanbieder die onder Amerikaans recht valt om gegevens die hij in bezit of beheer heeft, af te geven als de Amerikaanse overheid daarom vraagt, "regardless of whether such communication, record, or other information is located within or outside of the United States" (gecontroleerd op 11 november 2026). De plek van de server doet er voor die verplichting niet toe. De vestiging van het bedrijf wel.
Daarom is Mistral voor jurisdictie een sterkere keuze dan een Amerikaanse aanbieder met een Europees datacenter. Mistral is een Frans bedrijf, en volgens het helpcentrum van Mistral (gecontroleerd op 11 november 2026) staan gegevens standaard in de EU. Er zijn uitzonderingen: wie bewust het Amerikaanse API-adres gebruikt, laat gegevens in de VS opslaan, en afhankelijk van de functie kunnen gegevens tijdelijk naar subverwerkers buiten de EU gaan. Wat dat in de praktijk betekent, staat in Mistral Vibe is Europees, maar dat lost niet op wat je erin plakt.
Waarom die jurisdictievraag zo zwaar weegt, en hoe ze botst met artikel 48 van de AVG, lees je in Digitale soevereiniteit begint in het promptveld.
#Gegevens in Europa bij een Amerikaanse aanbieder
De teamleider heeft gelijk dat ChatGPT gegevens in Europa kan bewaren. Volgens OpenAI (gecontroleerd op 11 november 2026) kan een nieuwe werkomgeving van ChatGPT Enterprise of ChatGPT Edu ervoor kiezen om klantinhoud in Europa op te slaan: gesprekken, prompts, geüploade bestanden en eigen GPT's. Sinds januari 2026 kunnen in aanmerking komende Enterprise- en Edu-klanten ook de verwerking door het model in Europa laten plaatsvinden. OpenAI noemt daarbij alleen nieuwe werkomgevingen, en ChatGPT Business staat niet in de lijst.
Dat is een echte verbetering voor wie gegevens niet buiten Europa wil laten opslaan. Het maakt ChatGPT geen Europese tool. OpenAI blijft een Amerikaans bedrijf, en de CLOUD Act kijkt naar wie de gegevens in beheer heeft, niet naar waar ze staan.
Voor de AVG is doorgifte naar zo'n aanbieder wel geregeld als hij deelneemt aan het EU-US Data Privacy Framework. Dat is een juridische basis voor doorgifte. Het neemt de mogelijkheid van een Amerikaans bevel niet weg.
#Zwitserland is Europees, maar geen EU
Proton schrijft op de privacypagina van Lumo (gecontroleerd op 11 november 2026) dat Lumo "built and based in Europe" is. Dat klopt: Proton is een Zwitsers bedrijf. Infomaniak, de maker van Euria, is dat ook, en schrijft in zijn uitleg over Euria (gecontroleerd op 11 november 2026) dat de verwerking alleen in Zwitserland plaatsvindt, op eigen servers.
Zwitserland is geen lid van de EU en de AVG geldt er niet als wet. Voor jouw organisatie is dat minder ingrijpend dan het klinkt. De Europese Commissie heeft vastgesteld dat Zwitserland een passend beschermingsniveau biedt (gecontroleerd op 11 november 2026), zodat je persoonsgegevens naar een Zwitserse aanbieder mag doorgeven zonder extra doorgiftemechanisme. En voor een Zwitserse aanbieder zonder Amerikaans moederbedrijf geldt de afgifteplicht van de CLOUD Act niet.
Schrijft je eigen beleid "alleen aanbieders in de EU" voor, dan vallen Lumo en Euria daar letterlijk buiten. Bedoelt het beleid "geen doorgifte zonder passend beschermingsniveau", dan niet. Het loont om dat verschil in je beleid uit te schrijven voordat iemand een Zwitserse tool aanvraagt.
#Het model kan van een heel andere plek komen
Een Europese chatbot draait niet altijd op een Europees model. Lumo gebruikt volgens Proton op dit moment onder meer Qwen 3.5 en GLM 5.3. Qwen wordt ontwikkeld door Alibaba Cloud (gecontroleerd op 11 november 2026). Proton schrijft daarbij dat de modellen alleen draaien op servers die Proton beheert. Je prompt gaat dan niet naar de maker van het model: het model is gedownload software die Proton zelf draait.
Dat onderscheid is waar het om gaat. Draait het model bij de aanbieder zelf, dan telt voor je gegevens vooral de vestiging van die aanbieder. Stuurt een Europese tool je prompt door naar het model van een andere partij, bijvoorbeeld via de API van een Amerikaanse aanbieder, dan is die partij een subverwerker en reist je prompt mee naar haar jurisdictie. Een Europese schil om een Amerikaans model is dus voor de opslag Europees en voor de verwerking niet.
Je ziet het verschil niet aan de website van de tool. Je ziet het in de lijst met subverwerkers en in de verwerkersovereenkomst.
#Wat Europees niet regelt
Training hangt niet af van de vestiging. Vibe van Mistral gebruikt invoer en antwoorden standaard voor training (gecontroleerd op 11 november 2026); alleen Enterprise-klanten zijn standaard afgemeld. Proton schrijft dat Lumo gesprekken niet gebruikt om modellen te trainen, en Infomaniak dat Euria gegenereerde inhoud niet voor training gebruikt. Drie Europese tools, drie verschillende antwoorden, en bij Vibe hangt het antwoord ook nog af van het abonnement. Hoe dat bij de grote Amerikaanse tools zit, staat in ChatGPT Business, Plus of gratis.
De AVG blijft gelden, wie de aanbieder ook is. Wie een klantdossier in een chatbot plakt, verwerkt persoonsgegevens en heeft een rechtsgrond, dataminimalisatie en voor zakelijk gebruik een verwerkersovereenkomst nodig. Een Europese aanbieder maakt de doorgifte eenvoudiger. Hij maakt een BSN in een prompt niet minder gevoelig.
En dan is er de medewerker. Een tool die is goedgekeurd omdat hij Europees is, voelt veilig, en juist daardoor wordt er makkelijker in geplakt. Bij Vibe kan de jurisdictie dan kloppen terwijl de inhoud van de prompt dat niet doet.
- Waar is de aanbieder gevestigd, en heeft hij een Amerikaans moederbedrijf of een Amerikaanse vestiging? Dat bepaalt of de CLOUD Act op de aanbieder van toepassing is.
- Waar staan de gegevens, en welke uitzonderingen noemt de aanbieder? Een ander API-adres of subverwerkers buiten de EU.
- Op welk model draait de tool, en wie draait dat model? De aanbieder zelf, of een partij in een ander land.
- Traint de tool op invoer, in het abonnement dat jullie gebruiken? En wie kan het uitzetten: de medewerker of de beheerder.
- Is er een verwerkersovereenkomst voor zakelijk gebruik? Zonder die afspraak hoort er geen klantgegeven in.
De antwoorden horen bij een besluit, niet bij een indruk. In het AI-register van BeeSensible staan per AI-tool uit de catalogus het land van de leverancier, de hostingregio, de modelleverancier en of de tool op invoer traint. Elke tool begint op Nog geen besluit; de organisatie kiest zelf Toegestaan, Beperkt toegestaan of Niet toegestaan, en kan bij Beperkt toegestaan een voorwaarde vastleggen, zoals "alleen via Enterprise". Opent een medewerker de tool, dan staat die voorwaarde in de melding in de browser. Wat er daarna in het tekstvak gebeurt, is een ander moment: een naam of IBAN in een prompt krijgt een markering voordat het bericht weg is, in Vibe van Mistral net zo goed als in ChatGPT. Hoe je die besluiten tot een lijst maakt die medewerkers kunnen gebruiken, staat in Hoe maak je een lijst van goedgekeurde AI-tools?, en voor privacy officers die dit inrichten is er AI-governance voor privacy officers.
Europees is een goed argument bij zo'n besluit, en voor jurisdictie vaak het sterkste. Het is één regel in het dossier, naast training, abonnement en wat er in de prompt mag.
