Geen verwerker, geen doorgifte: de AVG-route die niemand je verkoopt

De sterkste AVG-maatregel die je dit jaar kunt nemen, staat in geen enkele verwerkersovereenkomst. Hij bestaat eruit dat je er geen nodig hebt.

Bijna een derde van alle pc's die in 2025 wereldwijd verkocht werden, was volgens Gartner een AI-pc: 77,8 miljoen stuks met een NPU aan boord die een taalmodel lokaal kan draaien. Die hardware staat inmiddels bij je op kantoor, of komt binnen bij de volgende vervangingsronde. En toch is de kans klein dat één van je softwareleveranciers je iets verkoopt dat er gebruik van maakt.

Mijn stelling is deze: draait het model op het apparaat zelf en gaat er niets naar buiten, dan is er geen verwerker, geen doorgifte en dus geen dataresidency-discussie. On-device AI is in de eerste plaats een juridische route, geen kostentruc. En precies daarom staat hij in vrijwel geen enkele offerte.

Geen ontvanger, geen doorgifte

Begin bij de vraag hoe een doorgifte juridisch ontstaat, want daar zit de opening. De Europese privacytoezichthouders hanteren drie cumulatieve criteria. De exporteur valt onder de AVG. De exporteur stelt persoonsgegevens beschikbaar aan een andere verwerkingsverantwoordelijke of verwerker. En die ontvanger zit in een derde land. Zijn ze alle drie vervuld, dan geldt hoofdstuk V van de AVG, met adequaatheidsbesluiten en modelcontracten. Ontbreekt er één, dan is er geen doorgifte en is hoofdstuk V niet van toepassing.

Let op dat tweede criterium, want daar draait het om. Het gaat over een ontvanger. Draait een taalmodel volledig op de laptop of de telefoon van je medewerker en verlaat de prompt het apparaat niet, dan is er niemand die de gegevens ontvangt. Geen importeur, dus geen doorgifte. En ook geen verwerker, want een verwerker is een partij die namens jou verwerkt. Software die jij zelf draait is gereedschap, geen partij.

Maak het concreet. Een accountantskantoor dat inkomende facturen laat uitlezen, een zorgpraktijk die verslagen laat samenvatten, een makelaar die woningteksten laat herschrijven: in alle drie zit een prompt vol persoonsgegevens. Gaat die prompt naar een Amerikaanse API, dan heb je een verwerker, een verwerkersovereenkomst, een grondslag voor de doorgifte en een gesprek over toegang door buitenlandse overheden. Draait hetzelfde model op de machine van de medewerker, dan blijft van dat rijtje alleen de grondslag over. Niet omdat de regels soepeler zijn, maar omdat er minder gebeurt.

Dat is een fundamenteel ander antwoord dan de markt gewend is te geven. De gangbare route loopt via de vraag waar de server staat, en die vraag heeft geen sluitend antwoord: de Amerikaanse CLOUD Act hangt de jurisdictie aan het bedrijf dat de sleutels beheert, niet aan de postcode van het datacenter. Binnen dat probleem kun je eindeloos verhuizen. Je kunt er ook uit stappen.

De tweede vraag verdampt op dezelfde manier. Zodra je persoonsgegevens deelt met een externe modelaanbieder, is dat een verwerker en heb je een verwerkersovereenkomst nodig. Deel je niets, dan valt er niets te regelen. Dat is geen besparing op papierwerk. Het haalt een hele risicoklasse weg in plaats van hem te beheersen.

De technische bezwaren zijn ingehaald

Twee jaar geleden liep dit gesprek dood op de vraag of een lokaal model wel iets nuttigs kon. Die vraag hebben de leveranciers zelf beantwoord.

Apple geeft ontwikkelaars sinds september 2025 rechtstreeks toegang tot een on-device model van 3 miljard parameters, met inferentie die niets kost en die offline werkt, en stelt daarbij dat prompts en resultaten het apparaat niet verlaten. Microsoft levert een lokaal taalmodel mee in de Windows App SDK dat op de NPU van een Copilot+ pc draait, en sinds dit jaar ook op een gewone GPU met genoeg videogeheugen. En de ondergrens zakt hard: een redeneermodel van 27 miljard parameters teruggebracht tot 4 GB op een iPhone was een jaar eerder nog ondenkbaar.

Je zit ook niet vast aan de grote namen. Een open-weight model op een eigen machine doet samenvatten, herschrijven, classificeren en uitlezen prima, en welk open-weight model bij welke bedrijfsgrootte en welke taak past is inmiddels een kwestie van vergelijken, niet van pionieren.

De hardware volgt wel langzamer dan gehoopt. Gartner schoof in februari 2026 de verwachte 50 procent marktpenetratie van AI-pc's door naar 2028, omdat duurdere geheugenchips de prijzen opdrijven. Dat verandert de richting niet, alleen het tempo. En voor het werk waar het hier om gaat heb je vaak helemaal geen nieuwe machine nodig: een moderne laptop met genoeg geheugen draait een klein model zonder morren.

Waarom je dit niet aangeboden krijgt

Dan nu het ongemakkelijke deel. Dat is geen complot, het is boekhouding.

In 2024 prioriteerde nog maar 2 procent van de softwareleveranciers investeringen in AI-functies rechtstreeks op de pc, en Gartner verwacht dat aandeel eind 2026 op 40 procent. Twee procent. In precies het jaar waarin zowat elke leverancier een AI-knop aan zijn product schroefde, bouwde vrijwel niemand die knop zo dat hij op jouw hardware draait.

Dat is goed te verklaren. Een model dat op jouw apparaat draait, is een model dat de leverancier niet per token kan afrekenen, waarvan hij het gebruik niet meet en waarvan hij de uitkomsten nooit in zijn eigen omgeving ziet. De cloud-API is niet zomaar een technische keuze. Het is de kassa. Wie inferentie weggeeft, geeft zijn meter weg.

Apple is de uitzondering die het patroon bevestigt: dat bedrijf kan inferentie gratis weggeven omdat het aan het apparaat verdient. Zodra een leverancier zijn brood met verbruik verdient, zakt de on-device variant stilletjes naar de onderkant van de roadmap. Niet omdat het niet kan, maar omdat het niet rendeert.

En dan krijg je het alternatief aangeboden dat wél in een abonnement past: zelf hosten. Dat is een echte route en soms de juiste, maar hij lost minder op dan hij belooft. Ook bij een open agent-laag verschuift je afhankelijkheid naar de koppelingen, de orkestratie en je opgebouwde gebruikshistorie. Zelf hosten verplaatst de server. On-device schrapt hem.

Om eerlijk te zijn: het is een architectuurkeuze, geen keurmerk

De sterkste tegenwerping is niet dat het niet werkt. Het is dat "on-device" op een verpakking bijna niets garandeert.

Apple Intelligence handelt lichte taken lokaal af en stuurt zwaardere naar de eigen servers onder de naam Private Cloud Compute; het verzoek dat dan vertrekt bevat de prompt plus het gewenste model en de inferentieparameters. Microsoft raadt ontwikkelaars in de documentatie van zijn lokale model expliciet aan een cloud-fallback in te bouwen, en LoRA-adapters voor dat lokale model moeten in de cloud worden getraind. De hybride vorm is de norm, niet de uitzondering. Wat je koopt is dus zelden de eigenschap die je zoekt. Die dwing je zelf af, en je controleert hem aan het netwerkverkeer, niet aan de folder.

Het tweede bezwaar weegt zwaarder. Het weghalen van de ontvanger haalt de AVG niet weg. De Europese toezichthouders zetten er in diezelfde richtsnoeren bij dat een verwerkingsverantwoordelijke ook zonder doorgifte volledig verantwoordelijk blijft voor zijn verwerkingen, waar die ook plaatsvinden. Grondslag, doelbinding, beveiliging, bewaartermijn en de rechten van betrokkenen blijven onverkort staan. Een laptop die in de trein blijft liggen is nog steeds een datalek. Een apparaat vol lokaal gegenereerde samenvattingen is een nieuwe plek waar persoonsgegevens staan. Wie de route langs grondslag, verwerkersovereenkomst en datalocatie voor generatieve AI al doorliep, schrapt met on-device twee regels en houdt de rest.

En het derde bezwaar: het past niet overal. Een gedeelde kennisbank, zoeken over je hele archief, een auditspoor dat collega's samen opbouwen: dat wil je niet twintig keer los op twintig apparaten. Daar heb je een server nodig, en dan is de vraag alsnog wiens server. Waar het model draait, waar je data rust en wie het geheel draaiend houdt zijn drie losse beslissingen, en on-device beantwoordt er maar één van.

Toch houd ik mijn lijn, juist vanwege dat laatste. Omdat on-device maar één risicoklasse raakt, is het ook de enige route die die klasse volledig afsluit in plaats van hem te beheren. Een verwerkersovereenkomst beheerst een risico. Een adequaatheidsbesluit beheerst een risico, tot een rechter er iets van vindt. Geen ontvanger is geen risico. Voor het werk dat op één apparaat past, en dat is meer werk dan de meeste mensen denken, is dat het schoonste antwoord dat er is.

De derde route

In vrijwel elk gesprek over AI en de AVG liggen twee opties op tafel: een cloudaanbieder met een goede overeenkomst, of zelf hosten. De derde ligt er zelden bij, en dat komt niet doordat hij niet werkt. Hij ligt er niet bij omdat niemand er een abonnement op verkoopt.

Dataresidency is uiteindelijk geen vraag over geografie. Het is een vraag over wie er aan de andere kant van de lijn zit. Je kunt die vraag jarenlang beantwoorden met contracten, certificeringen en een datacenter met een Nederlandse postcode. Je kunt hem ook beantwoorden door te zorgen dat er geen andere kant is.

Dat vraagt wel dat je zelf ontwerpt in plaats van kiest uit een menu, want een menu met deze optie erop bestaat nauwelijks. De sterkste verwerkersovereenkomst blijft namelijk de overeenkomst die je niet hoeft te sluiten.