Claude-data in de EU houden: wat kan wel en wat kan (nog) niet

“Blijft onze data dan wel in Europa?” Het is een van de eerste vragen die we krijgen zodra een directie serieus over Claude nadenkt. Het eerlijke antwoord is dat Claude-data standaard niet in de EU blijft. EU-dataresidentie kan wel, en voor een flink deel van de bedrijven is het strikt genomen niet verplicht. Hieronder staan de opties zoals ze er op 2 oktober 2026 voorstaan.

Wat lost dataresidentie wel en niet op?

Dataresidentie betekent dat je data binnen een bepaald gebied wordt verwerkt en opgeslagen, in dit geval de EU. Dat is iets anders dan AVG-compliance. De AVG (GDPR) verbiedt verwerking in de VS niet. Hij eist dat doorgifte juridisch is afgedekt, bijvoorbeeld met de Standard Contractual Clauses (SCC’s) van de Europese Commissie. Die zitten in de verwerkersovereenkomst van Anthropic. Hoe die keten in elkaar zit, staat in onze AVG-gids voor het MKB.

Waarom zou je dan toch EU-dataresidentie willen? De redenen die we in de praktijk tegenkomen: klanten die het contractueel eisen (zeker enterprise-klanten en overheden), sectoren met eigen regels bovenop de AVG, en de eigen afweging dat je niet afhankelijk wilt zijn van de juridische discussie rond trans-Atlantische doorgifte.

Kan EU-dataresidentie rechtstreeks bij Anthropic?

Nee, op dit moment niet. Wie Claude via het eigen platform van Anthropic gebruikt (de API, Claude for Work of Claude Code met een API-sleutel), krijgt geen EU-dataresidentie.

Anthropic maakt onderscheid tussen opslag en verwerking. Over opslag is Anthropic kort: data wordt opgeslagen in de VS. Op de API is “us” de enige beschikbare opslagregio voor een workspace. De verwerking (inference) kan standaard plaatsvinden in de VS, Europa, Azië en Australië. Je kunt die beperken tot de VS: op de API met de instelling inference_geo, en op Enterprise-abonnementen met verbruiksafrekening met de optie US-only inference. Een instelling voor alleen de EU bestaat niet.

De DPA met SCC’s dekt de doorgifte juridisch af. Wie een EU-garantie nodig heeft, kiest een route via een cloudprovider.

Welke Claude EU-opties zijn er?

Route	EU-optie	Wie verwerkt je data?	Status 2 oktober 2026
Anthropic API / Claude for Work	Geen. Opslag in de VS, verwerking wereldwijd of alleen VS	Anthropic, met DPA en SCC’s	Juridisch afgedekt, geen EU-residentie
AWS Bedrock	EU-regio’s en EU cross-region inference	AWS. Anthropic heeft geen toegang	Beschikbaar
Google Vertex AI	Multi-regio-endpoint “eu” en regionale endpoints zoals europe-west1	Google Cloud	Beschikbaar
Microsoft Foundry	Geen EU-datazone voor Claude	Anthropic, op Azure of op eigen infrastructuur	Europa “coming soon”
Lokaal open-source model	Je eigen server	Jijzelf (geen Claude)	Beschikbaar

AWS Bedrock. Claude-modellen zijn beschikbaar in meerdere Europese AWS-regio’s. Welke modellen in welke regio draaien, verschilt per model en staat in de AWS-documentatie. Nieuwere modellen gebruik je meestal via geografische cross-region inference met een EU-profiel. Volgens AWS blijven verzoeken dan binnen de AWS-regio’s van die geografie. AWS schrijft ook dat modelaanbieders geen toegang hebben tot prompts en antwoorden. Eén kanttekening: bij Claude Fable 5 en 5.1 bewaart AWS al het verkeer tot 30 dagen voor misbruikdetectie. Die data blijft bij AWS. Voor regionale endpoints geldt volgens Anthropic een toeslag van 10% ten opzichte van globale endpoints.

Google Vertex AI. Google Cloud biedt drie soorten endpoints: globaal, multi-regio en regionaal. Het multi-regio-endpoint “eu” verdeelt verkeer over regio’s binnen de Europese Unie. Regionale endpoints zoals europe-west1 zijn er volgens de documentatie van Anthropic voor Claude Sonnet 4.6 en ouder; nieuwere modellen gebruiken het globale of het multi-regio-endpoint. Ook hier geldt 10% toeslag op regionale en multi-regio-endpoints. De omgang met data valt onder de voorwaarden van Google Cloud.

Microsoft Foundry. Claude is er beschikbaar in twee deploymenttypes: Global Standard en US Data Zone Standard. Microsoft vermeldt Data Zone Standard voor Europa als niet beschikbaar. Je kunt wel een Global Standard-deployment aanmaken in de Azure-regio Sweden Central, maar bij Global Standard kan de verwerking in elke regio plaatsvinden waar het model draait. Anthropic noemt Foundry voor Europa “coming soon”. Let ook op de hostingoptie. Bij “Hosted on Anthropic” draait het model op infrastructuur van Anthropic. Bij “Hosted on Azure” blijven prompts en antwoorden binnen Azure, met uitzondering van gebruiksgegevens en content die de veiligheidssystemen markeren.

Als zelfs EU-cloud niet genoeg is

Soms is de eis strenger: de data mag het eigen netwerk niet uit. Denk aan advocatenkantoren met dossiers onder verschoningsrecht, zorgdata, of klanten die het contractueel vastleggen.

Het model zelf draait altijd bij Anthropic of bij een cloudprovider. De architectuur kan wel zo worden ingericht dat de gevoelige data lokaal blijft. Bij een rapportage-engine voor een MSP bouwden we dat: de data (148 tabellen, 1,55 miljoen rijen) staat in een lokale DuckDB-database en verlaat de eigen server niet. Dat privacy-ontwerp trok twee prospects over de streep die eerder waren afgehaakt op het cloudvraagstuk, en bespaarde als bijvangst 1.200 euro per jaar aan BI-licenties.

Voor taken waar je een taalmodel op gevoelige data nodig hebt, kun je naast Claude een lokaal open-source model draaien. In de praktijk is de verdeling meestal: Claude voor het denkwerk op niet-gevoelige data, lokale verwerking voor de rest.

Toegang inrichten weegt net zo zwaar als locatie

Waar je data staat is één vraag, wie erbij kan is de andere. Bij een rapportage-agent voor een MSP richtten we de toegang in via Azure AD met de OAuth on-behalf-of flow. Klanten loggen in met hun bestaande bedrijfsaccount en de agent toont uitsluitend de data van de ingelogde klant. Een goede verwerkingslocatie met slordige toegangsrechten levert alsnog een risico op een datalek op.

Hoe kies je?

Deze vragen beslissen het in de praktijk:

1. Wat eisen je klanten contractueel? Accepteren ze een DPA met SCC’s, dan volstaat het Anthropic-platform. Eisen ze EU-verwerking, kies dan Bedrock of Vertex AI en vraag dit vooraf na.
2. Welke cloud gebruik je al? Zit je op AWS, kies dan Bedrock, en op Google Cloud Vertex AI. Gebruik je geen van beide, begin dan bij de Anthropic API met DPA en stap over zodra het nodig is.
3. Welke data gaat er doorheen? Interne documenten en code: het Anthropic-platform volstaat. Persoonsgegevens van klanten: overweeg een EU-endpoint. Data die je netwerk niet uit mag: houd die lokaal.

Dit vraagstuk speelt ook bij andere AI-aanbieders, zoals ChatGPT van OpenAI en Microsoft Copilot.

Deze afweging maken we standaard in de eerste week van een Claude-implementatie, samen met de verwerkersovereenkomst en de data-afspraken. Meer achtergrond staat in het compliance-overzicht.