Op de onafhankelijke ranglijst van Artificial Analysis zijn in oktober 2026 de drie best scorende open modellen allemaal Chinees: MiMo-V2.6-Pro van Xiaomi, GLM-5.3 van Zhipu en Kimi K3 van Moonshot AI. Veel Nederlandse bedrijven hebben intussen een beleidsregel die zegt "geen DeepSeek". Die regel gooit vier heel verschillende situaties op één hoop.
Chinese AI-modellen zijn taalmodellen van Chinese makers zoals DeepSeek, Alibaba (Qwen), Moonshot AI (Kimi), Zhipu (GLM) en MiniMax. Het zakelijke risico ervan hangt vrijwel helemaal af van de route waarlangs je ze gebruikt: de app van de maker, de API van de maker, een Europese hostingpartij, of de open gewichten op je eigen server. De eerste route is voor bedrijfsdata niet te verdedigen. De laatste is juridisch niet anders dan elk ander open model, met twee eigen aandachtspunten.
Welke route kies je voor een Chinees AI-model?
De route voor een Chinees AI-model bepaalt waar je data heen gaat, welk recht erop van toepassing is en wie er bij kan. Dit is het overzicht dat wij bij klanten gebruiken.
| Route | Waar je data heen gaat | Recht en toegang | Ons oordeel |
|---|---|---|---|
| App of webchat van DeepSeek | Opslag in China, gebruik voor training (met opt-out) | Chinees recht, rechter in Hangzhou | Niet voor bedrijfsdata |
| API van DeepSeek | Persoonsgegevens volgens hetzelfde privacybeleid, dus China | Chinees recht, rechter in Hangzhou | Niet voor persoonsgegevens of vertrouwelijke data |
| API van Alibaba (Qwen) in Frankfurt | Opslag in de EU; verwerking in de EU alleen als je dat expliciet kiest | Chinees moederbedrijf | Alleen met de EU-instelling, en niet voor gevoelige data |
| Europese hostingpartij | Blijft bij de host in de EU, maker heeft geen toegang | Europees recht | Vergelijkbaar met elk ander gehost model |
| Gewichten op eigen hardware | Verlaat je omgeving niet | Jouw eigen beheer | Verantwoord, met aandacht voor gedrag van het model en de modelbestanden |
De app en de API van DeepSeek
Het privacybeleid van DeepSeek, bijgewerkt op 10 februari 2026, is daar duidelijk over: "we directly collect, process and store your Personal Data in People's Republic of China". Het beleid noemt het trainen van de eigen modellen als doel. Inmiddels is er een EU-vertegenwoordiger en een recht om training op je gegevens uit te zetten. Dat verandert niets aan de plek van opslag.
De voorwaarden van het API-platform, van kracht sinds 29 april 2026, kiezen voor het recht van de Volksrepubliek en de rechtbank in Hangzhou, en verwijzen voor persoonsgegevens naar datzelfde privacybeleid. Een aparte afspraak over training op API-invoer of bewaartermijnen staat er niet in.
Waarom de plek van opslag ertoe doet: artikel 7 van de Chinese Nationale Inlichtingenwet verplicht "all organizations and citizens" om mee te werken met inlichtingenwerk. Een Chinees bedrijf kan een verzoek van de staat niet weigeren. Dat geldt voor elke route waarbij de data bij een Chinese partij ligt.
De API van Alibaba in Frankfurt
Alibaba Cloud biedt Qwen-modellen aan vanuit onder meer Frankfurt, en de documentatie zegt dat opgeslagen data in de gekozen regio blijft. Er zit een addertje onder het gras. In Frankfurt kies je per werkruimte tussen "Global (any available node, including Chinese mainland and overseas)" en "EU (inference within the region)". Laat je de standaard staan, dan kan de verwerking zelf in China plaatsvinden. Alibaba schrijft dat het klantdata niet gebruikt om modellen te trainen. Het moederbedrijf blijft Chinees.
Een Europese hostingpartij
Een Europese hostingpartij draait de open gewichten van Chinese modellen op eigen infrastructuur, zonder dat de maker iets ziet. Het Franse Scaleway biedt onder meer DeepSeek V4.1 Flash, GLM-5.3 en Qwen3.8-27B aan en schrijft in zijn privacydocumentatie: "Your data is not accessible to the creators of the underlying large language models". Juridisch is dat dezelfde situatie als een open model van Mistral of Google bij dezelfde host. Hoe je zo'n partij beoordeelt, staat in een soevereine cloud kiezen.
Wat zeggen de Nederlandse toezichthouders over DeepSeek?
De Nederlandse toezichthouders hebben gewaarschuwd voor de app van DeepSeek, niet voor het zelf draaien van de gewichten. Dat onderscheid wordt in beleid vaak gemist.
De Autoriteit Persoonsgegevens waarschuwde op 3 februari 2025 gebruikers van de app om "heel voorzichtig en terughoudend" te zijn, startte een breder onderzoek naar doorgifte van persoonsgegevens naar China, en schreef dat er "vergelijkbare zorgen" zijn voor het gebruik van het onderliggende model. De AP voegde een zin toe die voor werkgevers telt: wie gegevens van anderen uploadt, is aansprakelijk voor die onrechtmatige doorgifte. Een medewerker die een klantdossier in de app plakt, maakt het bedrijf aansprakelijk.
Rijksambtenaren mogen DeepSeek niet gebruiken. Dat is geen nieuw verbod, maar volgt uit het beleid uit 2023, op advies van de AIVD, tegen apps uit landen met een offensief cyberprogramma tegen Nederland. China staat in die lijst. In Duitsland meldde de Berlijnse toezichthouder in juni 2025 de app bij Apple en Google als illegale inhoud, omdat de doorgifte naar China in strijd is met de AVG.
De duidelijkste overheidstekst over de route komt uit Tsjechië. Het nationale cyberbureau NÚKIB waarschuwde in juli 2025 tegen DeepSeek-producten in vitale systemen, maar zonderde uitdrukkelijk uit de open modellen die "lokálně" worden ingezet zonder mogelijkheid om met de servers van DeepSeek te communiceren. Een Nederlandse of Europese regel die bedrijven verbiedt Chinese open gewichten zelf te draaien, hebben we niet gevonden.
Zit de censuur in de gewichten?
Ja, de censuur van Chinese AI-modellen zit in de gewichten zelf, ook als je ze op eigen hardware draait. Het Amerikaanse Center for AI Standards and Innovation (CAISI) van NIST testte DeepSeek-modellen die het zelf van Hugging Face had gedownload en op eigen servers draaide, zonder de API van DeepSeek. De conclusie: "CCP censorship is built directly into DeepSeek models".
De cijfers zijn genuanceerder dan de kop. Op Engelstalige vragen herhaalde DeepSeek V3.1 in 5 procent van de gevallen een standpunt van de Chinese Communistische Partij, tegen 2 procent voor de Amerikaanse vergelijkingsmodellen. R1-0528 kwam op 16 procent. In het Chinees lagen alle cijfers hoger. Bij Kimi K2 Thinking vond CAISI zware censuur in het Chinees, maar was het model in het Engels relatief ongecensureerd. Houd er rekening mee dat het rapport van de Amerikaanse overheid komt, met een eigen politieke boodschap.
Voor de meeste bedrijfstaken doet dit er niet toe. Een factuur uitlezen of een Nederlandse klantvraag beantwoorden raakt geen gevoelig onderwerp. Het telt wel bij marktonderzoek over China, bij teksten over geopolitiek of mensenrechten, en bij elke toepassing waar een medewerker het model als naslagwerk gebruikt. Neem in die gevallen gevoelige vragen op in je testset, zoals we beschrijven in AI-benchmarks beoordelen.
Welke beveiligingsrisico's hebben open gewichten?
Open gewichten hebben twee beveiligingsrisico's die bij een gehoste dienst bij de aanbieder liggen: het model zelf laat zich makkelijker misleiden, en de modelbestanden kunnen kwaadaardige code bevatten.
Op het eerste punt mat CAISI dat agents op basis van DeepSeek R1-0528 gemiddeld twaalf keer zo vaak kwaadaardige instructies opvolgden als de Amerikaanse frontier-modellen. Maar het open Amerikaanse model gpt-oss deed het op phishing-mails net zo slecht: 48 procent voor beide. Het rapport merkt zelf op dat cloudaanbieders vaak extra filters op in- en uitvoer zetten. Het risico zit dus deels in "open gewichten zonder filters", niet alleen in "Chinees". Bij een agent met toegang tot je systemen bouw je die filters zelf, zoals we uitwerken in AI-agents beveiligen tegen prompt injection.
Op het tweede punt: een modelbestand in het oude pickle-formaat kan bij het laden willekeurige code uitvoeren. Hugging Face waarschuwt daar zelf voor. JFrog vond in 2024 ongeveer honderd kwaadaardige modellen op het platform, en ReversingLabs vond er in 2025 twee die de scanner van Hugging Face niet als onveilig markeerde. Daarnaast leveren sommige modellen eigen Python-code mee die je met trust_remote_code uitvoert; in oktober 2026 geldt dat onder meer voor Kimi K3 en DeepSeek V4.1 Flash. Onze werkregels:
- download alleen uit de officiële repository van de maker
- laad alleen
.safetensors-bestanden, nooit pickle - zet de versie vast op een specifieke commit
- lees meegeleverde code voordat je
trust_remote_codeaanzet, of gebruik een inference-server die het model zonder die code ondersteunt
Tijdwinst
Bespaar 5 uur per week op handmatig beoordelen van AI-tools en modellen die afdelingen zelf willen inzetten
Welke licenties gelden voor Chinese open modellen?
De licenties van Chinese open modellen lopen in 2026 sterk uiteen, en de trend is strenger. DeepSeek V4 en V4.1 staan onder de gewone MIT-licentie, de Qwen-modellen van 27 miljard parameters onder Apache 2.0, en GLM-5 tot en met 5.2 onder MIT. Dat zijn de ruimste licenties die er zijn.
Daarnaast zijn er eigen licenties met drempels. Kimi K3 en de nieuwere Qwen-modellen vragen een aparte overeenkomst als je het model als dienst aan anderen aanbiedt, en een naamsvermelding boven 100 miljoen gebruikers of 20 miljoen dollar maandomzet. Intern gebruik is uitgezonderd. MiniMax gaat het verst: voor MiniMax M2.7 is elk commercieel gebruik zonder voorafgaande schriftelijke toestemming verboden. Een volledige vergelijking met de Amerikaanse en Europese modellen staat in open-weight licenties vergelijken.
Hoe schrijf je een beleid voor Chinese AI-modellen?
Een beleid voor Chinese AI-modellen beschrijft per route wat mag, in plaats van een merknaam te verbieden. Een verbod op "DeepSeek" blokkeert de veilige route en laat de onveilige routes van andere makers open.
Wij adviseren vier regels. Apps en webchats van Chinese makers zijn op werkapparatuur niet toegestaan, net als bij andere niet-goedgekeurde AI-tools; zie ons stuk over een shadow-AI-beleid. API's van Chinese makers zijn niet toegestaan voor persoonsgegevens of vertrouwelijke informatie. Open gewichten zijn toegestaan bij een Europese host of op eigen hardware, na een test op de eigen taken en een controle van de licentie. En voor elke agent met schrijfrechten gelden extra filters, ongeacht de herkomst van het model.
Daarmee wordt de vraag weer wat ze hoort te zijn: welk model doet deze taak het best, binnen de grenzen van je eigen omgeving. Hoe Chinese modellen zich tot de rest van het open veld verhouden, staat in open-weight modellen tegenover frontier, en de gids lokale AI voor bedrijven beschrijft de volledige route van modelkeuze tot beheer. Wil je een open model, Chinees of niet, veilig in eigen beheer laten draaien? Dat doen we binnen lokale AI.