Stel die vraag eens hardop in je eigen bedrijf: waar staat onze data eigenlijk? Negen van de tien keer krijg je een schouderophalen terug, of het antwoord "in de cloud". Dat laatste klinkt geruststellend, maar zegt in feite niets. De cloud is geen plek, het is gewoon een computer van iemand anders, ergens op de wereld.
En dat "ergens" doet ertoe. Niet uit principe, maar heel praktisch. Data die in de EU staat valt onder de AVG. Data die bij een Amerikaanse partij staat, kan onder Amerikaanse wetgeving vallen ook al staat de server fysiek in Frankfurt of Amsterdam. Dat verschil merk je meestal pas op het moment dat het te laat is: bij een datalek, een overname van je leverancier, of een simpele controle die je net niet kunt doorstaan.
Het venijnige zit in de aanname. De meeste ondernemers gaan ervan uit dat hun leverancier dit wel geregeld heeft. Soms klopt dat. Vaak weet de leverancier het zelf ook niet precies, of hangt het antwoord af van een onderaannemer waar jij nog nooit van hebt gehoord. Elke SaaS-tool die je gebruikt, elke AI-koppeling die je bouwt, voegt weer een schakel toe aan een keten die je niet meer kunt overzien.
Gelukkig is dit geen ingewikkeld probleem om te tackelen, het is vooral een kwestie van vragen stellen. Elke serieuze leverancier kan je vertellen in welk land je data staat, wie er toegang toe heeft en welke onderaannemers erbij betrokken zijn. Staat dat niet helder in de verwerkersovereenkomst, dan is dat zelf al een antwoord.
Begin klein: pak je drie belangrijkste software-leveranciers erbij en vraag simpelweg waar je data fysiek staat. Je zult versteld staan hoe vaak die vraag nog nooit gesteld is, en hoeveel duidelijkheid één simpel mailtje al oplevert.
