Snel bouwen met AI, zonder AVG- of soevereiniteitsrisico

Met Lovable bouw je in een paar dagen een klantportaal waarvoor je vroeger maanden nodig had. Klanten loggen in, bekijken hun dossiers en uploaden documenten. Het ziet er professioneel uit en het werkt.

Maar zo'n portaal roept vragen op die in dat tempo makkelijk ondersneeuwen. Waar worden de documenten opgeslagen? Wie kan ze lezen? En stuurt de AI-functie die samenvattingen maakt die dossiers naar een server buiten Europa?

Dat is niemand te verwijten. Het is precies wat er gebeurt als bouwen ineens tien keer sneller gaat: de vragen die vroeger vanzelf aan bod kwamen tijdens een lang ontwikkeltraject, worden overgeslagen. Twee van die vragen zijn in Europa extra belangrijk: voldoet het aan de AVG, en wie heeft uiteindelijk zeggenschap over de data?

Snelheid is geen probleem, overslaan wel

We zijn groot voorstander van bouwen met AI. Wij gebruiken dagelijks Lovable, Claude en OpenAI, en het verschil met traditioneel ontwikkelen is enorm. Maar een platform dat veilig is, maakt jouw applicatie nog niet veilig. Lovable levert een solide basis met certificeringen als SOC 2 Type II en ISO 27001. Wat je erop bouwt, blijft jouw verantwoordelijkheid.

De AVG noemt dat privacy by design: bescherming van persoonsgegevens moet in het ontwerp van de software zitten, niet erachteraan geplakt worden.

Waar het in de praktijk misgaat

In de applicaties die wij doorlichten, zien we steeds dezelfde patronen terug:

• Tabellen die voor iedereen leesbaar zijn, omdat toegangsregels in de database ontbreken of te ruim staan.
• Rechten die alleen in de interface bestaan. De knop is verborgen, maar de functie erachter is gewoon aan te roepen.
• Meer gegevens dan nodig, en niemand die weet hoe lang ze bewaard blijven.
• AI-functies die volledige dossiers meesturen, terwijl een samenvatting van drie velden genoeg was.
• Geen verwerkersovereenkomst, omdat het project op een abonnement draait dat er geen biedt.

Op onze pagina over AVG en GDPR lopen we deze punten uitgebreid door: van verwerkersovereenkomsten en beveiliging tot dataminimalisatie, AI-training en de rechten van betrokkenen. Inclusief een checklist om je eigen applicatie langs te leggen.

Een server in Europa is niet genoeg

De tweede vraag is minder bekend, maar wordt steeds vaker gesteld door klanten, toezichthouders en aanbestedende diensten. Je data staat in een Europees datacenter. Prima. Maar wie beheert dat datacenter?

Is dat een Amerikaans bedrijf, dan kan de Amerikaanse CLOUD Act het verplichten om gegevens te overhandigen, ook als die in Frankfurt of Amsterdam staan. Locatie en zeggenschap zijn twee verschillende dingen. Het eerste heet data residency, het tweede datasoevereiniteit.

Voor een interne planningstool is dat waarschijnlijk geen reden om je architectuur om te gooien. Voor een zorgaanbieder, een advocatenkantoor of een bedrijf met waardevolle kennis ligt dat anders. Daar wil je bewust kiezen waar de gegevens staan, wie de sleutels heeft en waar de AI-modellen draaien.

Op onze pagina over datasoevereiniteit leggen we het verschil uit, bespreken we de CLOUD Act en Schrems II, en laten we zien welke Europese alternatieven er zijn, zoals Scaleway, Hetzner en Mistral.

Het beste van twee werelden

Het goede nieuws: je hoeft niet te kiezen tussen snelheid en zekerheid. Een aanpak die we vaak gebruiken is hybride. De interface bouwen we snel met Lovable. De gevoelige gegevens en de logica die ermee werkt, plaatsen we waar dat nodig is: in een goed afgeschermde Europese regio, of volledig bij een Europese aanbieder.

Zo houd je de snelheid van moderne tools, en kun je bij een audit, een aanbesteding of een kritische klant precies uitleggen waar de data staat en wie erbij kan.

Begin met drie vragen

Wil je weten hoe jouw applicatie ervoor staat? Begin met deze drie vragen:

1. Welke persoonsgegevens verwerkt mijn applicatie, en zijn ze allemaal nodig?
2. Wie kan ze zien, en wordt dat op de server afgedwongen?
3. Welke externe diensten, waaronder AI, krijgen die gegevens te zien, en onder welke wet vallen ze?

Weet je het antwoord niet zeker, dan is dat geen ramp. Het is wel het moment om er even goed naar te kijken. In onze Lovable security review toetsen we beveiliging, AVG en AI Act in één keer, en vertellen we in begrijpelijke taal wat er moet gebeuren.

Dit artikel is geen juridisch advies. Voor juridische vragen raden we een privacyjurist of je functionaris gegevensbescherming aan.