Microsoft gaf in 2025 de data van twee bedrijven in de EU aan Amerikaanse opsporingsdiensten. Voor Europese bedrijven betekent dit een risico op ongeautoriseerde toegang tot gegevens, waarschuwt Lindstead.
De CLOUD Act kan Amerikaanse cloudproviders verplichten om klantgegevens af te staan aan Amerikaanse autoriteiten, ongeacht of die data in de VS of elders opgeslagen zijn. Lindstead ontdekte in cijfers die Microsoft halfjaarlijks publiceert dat het cloudbedrijf in 2025 twee keer inging op een verzoek om data van Europese bedrijven te delen met Amerikaanse autoriteiten.
Zeldzaam, maar niet onmogelijk
De praktijk toont aan dat dit zeldzaam voorkomt, maar niet onmogelijk is, zoals Microsoft ook zelf toegeeft. Microsoft rapporteert dat het in de periode van H1 2024 tot H2 2025 in totaal veertien niet-Amerikaanse ondernemingsklanten met data buiten de VS had waarbij inhoud naar Amerikaanse wetshandhaving ging. Twee daarvan bevonden zich in de EU. In H2 2025 alleen al ging inhoud van twee EU-gelokaliseerde klanten naar Amerikaanse autoriteiten.
Van alle wetshandhavingsverzoeken aan Microsoft voor ondernemingsklanten werd in ongeveer vier van de tien gevallen gegevens vrijgegeven. In H2 2025 gingen 31 van de 45 inhoudsopenbaringen naar Amerikaanse instanties. Hoewel de frequentie laag is, kan één geval met gevoelige klantgegevens al leiden tot een GDPR-schending.
AI vergroot de hoeveelheid data
Met AI verhoogt dit risico. Amerikaanse AI-API’s houden misbruiklogs standaard tot dertig dagen bij en slaan bestanden, vectorstores en fijnafstemmingsgegevens op totdat deze worden verwijderd. Embeddings zijn niet anoniem: onderzoekers konden 92 procent van 32-token inputs exact uit hun embeddings herstellen. Zelfs met EU-dataresidentie kunnen account- en systeemgegevens buiten de regio worden verwerkt.
Verwijderingsinstellingen kunnen door Amerikaanse rechters worden opgeheven. In mei 2025 beval een Amerikaanse rechter OpenAI om outputlogs te bewaren die anders zouden worden verwijderd voor de zaak van de New York Times. Dit toont aan dat data die een provider bezit, bereikbaar is voor Amerikaanse autoriteiten.
Wat kunnen organisaties doen?
Lindstead wil bedrijven niet aansporen om alle Amerikaanse technologie prompt buiten te gooien, maar wel bewust maken van risico’s. Organisaties moeten elke AI-gegevensstroom in kaart brengen en aangeven welke operator en eigenaar betrokken zijn. Gevoelige gegevens, klantbestanden en handelsgeheimen horen op EU-gecontroleerde systemen thuis. Algemene concepten kunnen op Amerikaanse diensten blijven.
Voor gevoelige werklasten zijn EU-gecontroleerde opstellingen essentieel: open-weight modellen op Europese GPU-clouds of eigen hardware. Het documenteren van deze beoordeling in de DPIA en transferimpactanalyse is cruciaal voor GDPR-naleving.
De CLOUD Act creëert een juridisch dilemma: Amerikaanse providers moeten zich houden aan Amerikaanse wet, terwijl Europese organisaties zich aan GDPR moeten houden. Alleen EU-gecontroleerde operators of eigen hardware verwijdert deze route volledig. Voor organisaties met gevoelige gegevens is dit onderscheid niet langer theoretisch, maar een praktische verplichting.