Europese AI-spierkracht: de zes-capaciteiten-kaart

Om de paar maanden vraagt iemand wanneer Europa "zijn eigen OpenAI" gaat bouwen. Dat is de verkeerde maatstaf, en er de spieren op trainen is de verkeerde work-out.

Een general-purpose model bouwen om de VS op hun eigen terrein te verslaan, kost kapitaal, levert krantenkoppen op, en laat de meeste bedrijven nog steeds de onderdelen huren die er echt toe doen: de chips, de standaardtools, de gewoontes die hun teams aanleren op andermans stack. Ondertussen zit de echte kloof ergens veel minder glamoureus. Niet "wie bouwt het grootste model" maar "welke capaciteiten kan een organisatie dit jaar daadwerkelijk versterken."

Dat is spierkracht, geen ambitie. Spierkracht is specifiek, testbaar, en laag voor laag opgebouwd. Hier is een kaart van zes van die lagen, wat er op elke laag goed uitziet, en waar je zelf bouwt versus inkoopt.

Waarom "we gebruiken de EU-regio" niet de eindstreep is

De meeste soevereiniteitsgesprekken stoppen bij geografie. Staat de server in de EU? Mooi. Nodig. Niet voldoende.

Data leeft niet op één plek. Het leeft in een graaf: het bronbestand, de kopie doorgestuurd per e-mail, het fragment geplakt in een ticket, het stukje dat in een vector-index zit, de export die iemand maakte "even om te testen." AI volgt die graaf, niet je organogram. Als ergens in die graaf een knooppunt buiten jouw grens ligt op het moment van inferentie, ben je op dat moment de soevereiniteit kwijt, ook al is het originele bestand nooit een grens overgestoken.

Er is een scherpere juridische reden waarom dit meer is dan netjes huishouden. Onder de Amerikaanse CLOUD Act kan een in de VS gevestigde leverancier verplicht worden data vrij te geven die in zijn bezit, beheer of controle is, ongeacht waar die data fysiek is opgeslagen, ook binnen een EU-datacenter. De European Data Protection Board en de European Data Protection Supervisor zeiden dit met zoveel woorden in een gezamenlijke reactie: jurisdictie volgt de leverancier, niet de server. Een regiovinkje op een contract verandert niet aan wie de leverancier verantwoording moet afleggen.

Dat is het verschil tussen een beleidszin en een loodgietersfeit. "We gebruiken de EU-regio" is beleid. Weten welk pad je gevoelige data allemaal kan afleggen tussen een prompt en een antwoord, en wie onderweg toegang kan afdwingen, is loodgieterswerk. Zes capaciteiten maken van dat loodgieterswerk iets wat je daadwerkelijk kunt beheren.

De zes capaciteiten

1. Beheerste inferentie. Je workloads draaien waar jouw regels gelden, niet alleen waar je bestanden toevallig slapen. Bouw dit zelf als inferentie dagelijks gereguleerde of concurrentiegevoelige data raakt. Koop het in (bij een leverancier die de verwerkingslocatie kan noemen, niet alleen de opslagregio) als de workload weinig gevoelig en hoogvolume is.

2. Databegrenzingen. Rechten, kopieën en retrievalpaden die je end-to-end kunt controleren. Dit is zelden puur zelf bouwen of inkopen. De meeste bedrijven moeten de retrieval-infrastructuur inkopen en de grenzenkaart zelf bouwen, want niemand buiten het bedrijf weet waar de kopieën eigenlijk staan.

3. Verwisselbare modellen. Geen enkele API wordt de ruggengraat van het bedrijf. Bouw de abstractielaag waarmee je van leverancier kunt wisselen. Jezelf vastleggen in de SDK van één model voelt efficiënt in maand één en wordt duur in jaar twee, zodra prijzen, beleid of mogelijkheden onder je veranderen.

4. Operator-geletterdheid. Iemand in het team kan de keten van prompt tot antwoord uitleggen zonder de leverancier te bellen. Dit is bijna altijd zelf bouwen, geen inkoop. Geletterdheid wordt niet meegeleverd in een contract. Het is de ene capaciteit die leveranciers je niet kunnen verkopen, omdat hij in de hoofden van je eigen mensen zit.

5. Veilig experimenteren. Een plek om AI te testen zonder het volledig te verbieden of standaard data te laten lekken. Koop de sandbox-tooling in. Bouw de interne toestemming om hem te gebruiken, wat meer een governancebeslissing is dan een technische.

6. Inkoophefboom. Contracten die vragen wat er gebeurt als iemand een prompt typt, niet alleen waar de bestanden liggen. Dit is zelf bouwen, en het is goedkoop. Het kost een herschreven RFP-sjabloon, geen nieuw systeem.

Geen van deze zes hoeft volledig intern gebouwd te worden. Alle zes moeten wel goed genoeg begrepen worden zodat "we zouden soevereiner moeten zijn" verandert in zes beantwoordbare hiaten in plaats van één vage ambitie.

Wat contracten daadwerkelijk op spierkracht bouwt in plaats van op hoop

De meeste AI-RFP's stellen nog steeds de makkelijke vraag: waar staat de data opgeslagen? De betere stellen de vraag wat er gebeurt als iemand een prompt typt. Acht clausules maken van vage soevereiniteitstaal iets afdwingbaars: verwerkingslocatie (niet alleen opslagregio), openheid over subverwerkers voor elke stap tussen je data en het antwoord, een retrievalgrens die zoekopdrachten beperkt tot binnen je eigen omgeving, rechten om van model te wisselen, regels voor logbewaring over wie prompt- en retrievallogs mag zien, een exitplan met echte exportformaten en termijnen, een menselijke controle voordat impactvolle output verstuurd wordt, en een expliciet verbod om je data te gebruiken om gedeelde modellen te trainen.

Niemand heeft alle acht nodig op dag één. De verschuiving die telt, is stoppen met "EU-regio beschikbaar" accepteren als het hele antwoord op een soevereiniteitsvraag.

Waar Europa al sterk is, en waar het nog dun is

Een eerlijke kaart is beter dan paniek en beter dan opschepperij, en operators plannen beter vanuit eerlijkheid dan vanuit een van beide uitersten.

Sterk: regelgeving en vertrouwenskaders. De EU AI Act stelt verwachtingen waar kopers naar kunnen verwijzen, ook als de eigen termijnen verschuiven. De Digital Omnibus, overeengekomen in mei 2026, schoof de zwaarste (Annex III) verplichtingen door naar december 2027, en dat uitstel is op zich nuttige informatie: het vertelt je welke verplichtingen dichtbij genoeg zijn om nu al voor te plannen, en welke meer speelruimte hebben.

Sterk: domeinexpertise binnen gereguleerde sectoren. Finance, zorg, publieke sector en industrie weten al hoe ze onder beperkingen moeten draaien, wat het grootste deel is van wat soevereine AI eigenlijk vraagt.

Sterk: adoptie van open-weight modellen. Teams kunnen vandaag al krachtige modellen draaien zonder te wachten op een nationale kampioen.

Dun: inferentiecapaciteit op schaal. Pilots zijn makkelijk. Aanhoudende belasting over een heel bedrijf is een ander probleem, en het is er een dat de meeste organisaties nog niet hebben opgelost.

Dun: standaard toolgewoontes. De meeste teams leren hun workflows nog steeds op stacks die ergens anders zijn vormgegeven, en gewoontes veranderen trager dan infrastructuur.

Dun: inkoopreflexen. "EU-regio" kopen en aannemen dat de rest vanzelf volgt, is in veel leveranciersbeoordelingen nog steeds de standaard.

Het punt van de dunne plekken benoemen is geen pessimisme. Het is allocatie. Bouw voort op wat al sterk is, en ga er niet van uit dat de dunne plekken zichzelf oplossen omdat de keynote goed was.

Federatie wint het van centralisatie

De terugkerende Europese fout is wachten op één zwaartepunt: één nationale kampioen, één megacloud, één model gebouwd om het hele continent te draaien. Dat patroon past bij markten met één dominante binnenlandse stack. Het past slecht bij Europa, omdat geen twee EU-bedrijven hetzelfde risicoprofiel, dezelfde toezichthouder of hetzelfde startpunt delen.

Europa's echte kracht is federatie. Gedeelde standaarden. Onderling uitwisselbare onderdelen. Operators die soevereiniteit lokaal kunnen samenstellen zonder toestemming te vragen aan één poortwachter. Nationale initiatieven wijzen die kant al op, zodra ze specifiek genoeg zijn om nuttig te zijn. De Nederlandse overheid zegde 200 miljoen euro toe aan een AI-fabriek in Groningen, concrete infrastructuur in plaats van een dia over ambitie. Het Nationaal AI Deltaplan gaat verder en beveelt aan een eigen Staatssecretaris voor AI aan te stellen, en benoemt daarmee een probleem dat de meeste landen nog niet eens als eigenaarschap hebben ingekaderd: zonder eigen capaciteit stromen waarde en controle standaard naar het buitenland.

Lees nationale plannen als spiegels, niet als mandaten. De vraag die ertoe doet, is niet of het plan van jouw land goed is. Het is welk hiaat in dat plan het hiaat van jouw bedrijf wordt zodra adoptie voorbij de pilotfase komt.

De scorekaart halverwege het jaar

Zes maanden in 2026 praat Europa meer over soevereiniteit dan in januari. Dat is echte vooruitgang, en het is niet hetzelfde als capaciteit.

Drie signalen zie je bij teams die daadwerkelijk shippen: ze kunnen precies benoemen waar inferentie draait voor hun meest gevoelige workflows, ze hebben minstens één productiegebruik dat nooit klant- of medewerkersdata naar een publieke tool stuurt, en inkoop en IT gebruiken hetzelfde vocabulaire voor verwerking, retrieval, logs en exit.

Drie signalen zie je bij teams die nog vastzitten in het dia-stadium: er is een beleid maar geen veilig alternatief dat mensen daadwerkelijk verkiezen boven shadow AI, "we gebruiken de EU-regio" is het hele antwoord en niemand kan het retrievalpad tekenen, of het plan is wachten op de nationale strategie terwijl concurrenten al draaien op infrastructuur die ze zelf beheersen.

Vocabulaire is geen capaciteit. Capaciteit is wat er nog staat zodra de nieuwscyclus doorschuift naar het volgende onderwerp.

Bouw de spierkracht, niet het monument

Stop met vragen wie de schoonheidswedstrijd van de foundation models wint. Begin met vragen welke van deze zes capaciteiten je organisatie dit jaar kan versterken: inferentie die je beheerst, grenzen die je kunt controleren, modellen die je kunt wisselen, mensen die de keten kunnen uitleggen, een veilige plek om te testen, en contracten die de juiste vraag stellen.

Ik heb dit uitgewerkt tot een uitgebreider werkblad, met bouw-versus-koop-richtlijnen op elk van de zes lagen en een zelfscoreversie van de scorekaart halverwege het jaar, in de nieuwsbrief van deze week. Je kunt het hier gratis ophalen.

Welke van de zes capaciteiten is vandaag het sterkst in jouw organisatie, en welke is nog vooral een dia? Ik hoor het graag. Mijn DMs staan open.