De prompt ís de data
Iedereen aanvaardt dat klantgegevens niet in een buitenlandse jurisdictie horen te staan. Vrijwel niemand past dezelfde regel toe op de prompts die naar een AI-model gaan, terwijl de prompt, en de context die wordt opgehaald om die te beantwoorden, vaak de klantgegevens zíjn. Soevereine AI die prompts naar een buitenlandse GPU verscheept, is niet soeverein. Het is een datadoorgifte met betere marketing.
Onderdeel van de pijlerreeks Soevereine AI, uitgelegd.
We steken enorme moeite in de vraag waar data staat, residency, versleuteling, sleutelbeheer. Vervolgens bouwen we een AI-functie in die het gevoeligste record in het systeem pakt, het in een prompt verpakt, en het naar een model stuurt dat ergens anders draait. De residencyperimeter die is gebouwd, heeft een gat precies in de vorm van een API-aanroep.
Deze post voert het technische betoog dat AI-inferentie een gegevensverwerkende gebeurtenis is die op soevereine bodem moet plaatsvinden, en dat dit geen luxe is maar een gevolg van hoe modellen werkelijk werken. Het is de tegenhanger van ons strategische stuk over AI-lock-in.
Een prompt is een datadoorgifte
Begin met het voor de hand liggende dat makkelijk vergeten wordt. Bij een aanroep naar een extern model gaat de prompt mee én alle context die is opgehaald om het antwoord te funderen, het supportticket, de patiëntnotitie, de contractclausule. Bevat die inhoud persoonsgegevens of vertrouwelijke gegevens, dan is de API-aanroep een doorgifte van die gegevens naar waar het model ook draait, beheerst door de jurisdictie van die aanbieder.
En eenmaal daar is het lot ervan uit handen. Commerciële aanbieders bewaren API-invoer doorgaans een periode (vaak circa 30 dagen voor misbruikmonitoring), zelfs onder voorwaarden die beloven "we don't train on your data", er wordt niet getraind op klantdata, en bewaren betekent dat het afgedwongen kan worden. Eind 2025 gelastte een Amerikaanse rechter een grote AI-aanbieder om 20 miljoen gesprekslogs van gebruikers te bewaren en over te leggen in een rechtszaak; de aanbieder wierp tegen dat "more than 99.99%", meer dan 99,99%, ervan niets met de zaak te maken had, en legde ze alsnog over (OpenAI; Bloomberg Law). De les gaat niet over één bedrijf; ze is structureel. Prompts zijn bewaarbare, opvraagbare data, beheerst door het rechtsstelsel van de plek waar het model draait.
De Europese toezichthouders zien het net zo. Advies 28/2024 van het Europees Comité voor gegevensbescherming houdt in dat een AI-model alleen als anoniem kan gelden als de kans dat persoonsgegevens worden onttrokken "either directly or through queries", hetzij rechtstreeks, hetzij via bevragingen, verwaarloosbaar is (EDPB). Met andere woorden: het bevragingsoppervlak is zelf een gereguleerd verwerkingsoppervlak. Inferentie is geen veilige zone.
De embedding is een vingerafdruk van de tekst
Hier zit het deel dat de meesten verkeerd hebben, en het is de kern van het hele betoog. Er bestaat een geruststellend geloof dat embeddings, de vectoren die worden berekend om retrieval en RAG aan te drijven, "gewoon getallen" zijn, geanonimiseerd, overal veilig te berekenen. Dat zijn ze niet.
Een embedding is een lossy maar herleidbare vingerafdruk van de brontekst. Peer-reviewed onderzoek (Morris et al., EMNLP 2023) bouwde een methode, vec2text, die 92% van korte tekstinvoer exact herstelt uit alleen de embeddings, en die, in hun woorden, "can recover important personal information (full names) from a dataset of clinical notes": belangrijke persoonlijke informatie (volledige namen) kan herstellen uit een dataset met klinische notities (ACL Anthology). De reden is een basaal informatietheoretisch feit dat de auteurs rechtstreeks aanhalen: een functie "cannot add information to an input, [it] can only sustain or decrease" it, kan geen informatie aan een invoer toevoegen, alleen behouden of verminderen (The Gradient). De embedding is een compressie van de tekst, en compressies laten zich decomprimeren.
Twee eerlijke kanttekeningen, want overdrijven zou het punt ondergraven. Het cijfer van 92% geldt voor korte teksten, ruwweg zin- of chunklengte. Een heel lang document herstellen uit één vector van vaste omvang is moeilijker en, voorbij een zekere lengte, onmogelijk. Maar let op wat die uitzondering is: RAG-systemen slaan het corpus op als precies zulke korte chunks. De eenheid die schoon inverteert, is de eenheid waar vectordatabases vol mee zitten. En de aanvallen worden goedkoper, onderzoek uit 2025 demonstreerde zero-shot embedding-inversie waarvoor geen modelspecifieke training nodig is (ZSInvert, 2025). "We sturen alleen embeddings naar de buitenlandse GPU, niet de ruwe tekst" is dus niet de waarborg die het lijkt. Embeddings in het buitenland berekenen exfiltreert de bron door reductie.
Daarom: inferentie en embeddings moeten regionaal
Leg de twee helften naast elkaar. De prompt is een datadoorgifte. De embedding is een herleidbare kopie. Wie er dus serieus over is data binnen een jurisdictie te houden, moet aanvaarden dat het model dat ze verwerkt, voor zowel inferentie als embedding, in die jurisdictie moet draaien. Er is geen slimme omweg, want wat de grens overgaat is de data, in promptvorm of in vectorvorm.
Dit is de zin waarover de meeste verhalen over "soevereine AI" struikelen: ze zetten een regioslot op de database en sturen de prompt vervolgens naar een centrale GPU-boerderij ergens anders. Dat ondermijnt het hele ontwerp. Regionale inferentie is geen premiumfunctie om erop te schroeven; het is de dragende eis. Het kost werkelijk iets, inferentiecapaciteit wordt per regio gedupliceerd in plaats van wereldwijd gebundeld, en we benoemen dat liever eerlijk dan het weg te wuiven. De prompt ís de data; gratis bestaat niet.
| De bewering | Waarom die faalt |
|---|---|
| "We sturen alleen geanonimiseerde embeddings" | Embeddings zijn inverteerbaar, circa 92% van korte tekst wordt hersteld, inclusief namen |
| "De aanbieder traint niet op onze data" | Bewaartermijnen gelden nog steeds, en bewaarde data kan worden afgedwongen |
| "Onze data staat in een EU-regio" | ...maar de inferentie draait elders, de prompt gaat nog steeds de grens over |
| "Het is maar een API-aanroep" | Een API-aanroep met persoonsgegevens is een gereguleerde doorgifte (EDPB 28/2024) |
Hoe de Soveryne Cloud Foundation de prompt thuishoudt
We bouwden de Soveryne Cloud Foundation rond precies deze randvoorwaarde, en daarom stelt het platform het onomwonden: AI- en LLM-inferentie draaien op EU-soevereine infrastructuur, zodat de intelligentie beschikbaar is zonder data naar een buitenlandse cloud te sturen. Zowel inferentie als embedding gebeurt in de regio, op infrastructuur die we zelf beheren, zodat de prompt, de opgehaalde context en de vectoren de gekozen jurisdictie nooit verlaten. Gecombineerd met regiovergrendelde tenancy en sleutels in EU-handen zit de AI-functie binnen de residencyperimeter in plaats van er een gat in te slaan.
Het is ook waarom Counsel is ontworpen zoals het is ontworpen: het antwoordt uit de eigen documenten, gefundeerd en met bronvermelding, op soevereine infrastructuur, en blijft, zoals we elders behandelen, weg van elk afzonderlijk buitenlands model. Voor de strengste eisen biedt de Soveryne-laag toegewijde GPU's voor AI-inferentie in de eigen omgeving. Hetzelfde principe, helemaal naar beneden: als de data thuis moet blijven, dan ook het model dat haar leest.
Veelgestelde vragen
Is het sturen van een prompt naar een AI-model een datadoorgifte? Ja. Bevat de prompt of de context die wordt opgehaald om die te beantwoorden persoonsgegevens of vertrouwelijke gegevens, dan draagt het aanroepen van een extern model die gegevens over naar waar het model draait, beheerst door de jurisdictie van die aanbieder, en onderworpen aan diens bewaartermijnen en rechtsgang.
Zijn embeddings persoonsgegevens? Dat kunnen ze zijn. Onderzoek laat zien dat tekstembeddings te inverteren zijn om de bron te herstellen, rond 92% van korte teksten exact, inclusief persoonlijke details zoals namen. Een embedding is een herleidbare vingerafdruk van de tekst, geen geanonimiseerd token.
Waarom moet AI-inferentie in de regio draaien? Omdat de prompt en de embedding de data zíjn. Een regioslot op de database terwijl de inferentie elders draait, stuurt de gevoelige inhoud nog steeds over de grens. Soevereine AI vereist regionale inferentie en embedding.
Kost regionale inferentie niet meer? Ja, inferentiecapaciteit wordt per regio gedupliceerd in plaats van wereldwijd gebundeld. Dat is de eerlijke afweging. Maar het is de enige manier om de data binnen de jurisdictie te houden, want de prompt ís de data.
Als de data thuis moet blijven, dan ook het model dat haar leest. Bekijk EU-soevereine inferentie die prompts en embeddings binnen de jurisdictie houdt: verken de Soveryne Cloud Foundation en Counsel.
Bronnen
- Morris et al., Text Embeddings Reveal (Almost) As Much As Text, EMNLP 2023, https://aclanthology.org/2023.emnlp-main.765/
- Jack Morris, "Do text embeddings perfectly encode text?", The Gradient (2024), https://thegradient.pub/text-embedding-inversion/
- Zhang, Morris, Shmatikov, Universal Zero-shot Embedding Inversion (2025), https://arxiv.org/abs/2504.00147
- EDPB, Opinion 28/2024 on AI models and personal data, https://www.edpb.europa.eu/system/files/2024-12/edpb_opinion_202428_ai-models_en.pdf
- OpenAI, "Fighting the New York Times' invasion of user privacy" (2025), https://openai.com/index/fighting-nyt-user-privacy-invasion/
- Bloomberg Law, OpenAI ordered to turn over 20M ChatGPT logs (2025), https://news.bloomberglaw.com/ip-law/openai-must-turn-over-20-million-chatgpt-logs-judge-affirms
- OpenAI, Enterprise privacy (retention terms), https://openai.com/enterprise-privacy/
In de begeleidende post is betoogd dat de echte soevereiniteitstoets is of weggaan mogelijk is. Dit is het antwoord van de ingenieur op de voor de hand liggende vervolgvraag: hoe wordt een systeem zo gebouwd dat vertrekken een gerepeteerde handeling is in plaats van een gijzelingsonderhandeling, inclusief vertrekken bij ons?
Lees het volgende deel
Europa deed er vijftien jaar over om afhankelijk te worden van een handvol buitenlandse cloudaanbieders. Het is nu op weg hetzelfde te doen met AI, alleen sneller, en één laag dieper. Het goede nieuws: deze keer zien we het aankomen.
Lees het bijbehorende artikel
