Flex Routing staat standaard aan voor nieuwe Microsoft 365-tenants in de EU en EFTA die na 25 maart 2026 zijn aangemaakt. Voor bestaande tenants rolt Microsoft de instelling gefaseerd uit — check je Message Center voor de exacte timing van jouw tenant. Het resultaat: Copilot-verzoeken mogen bij drukte buiten de EU Data Boundary worden verwerkt.
Voor organisaties die onder de AVG, ISO 27001, NIS2 of DORA opereren is dit relevant. Niet omdat het per definitie onveilig is, maar omdat je er bewust voor moet kiezen — en Microsoft die keuze standaard op "aan" zet.
Wat is Flex Routing?
Flex Routing geeft Microsoft toestemming om de LLM-inferentie (het genereren van Copilot-antwoorden) tijdelijk buiten de EU te laten plaatsvinden wanneer er piekbelasting is in Europese datacenters. Inferentie kan dan plaatsvinden in de Verenigde Staten, Canada of Australië.
Wat Microsoft garandeert:
- Data at rest blijft in de EU Data Boundary
- Data is versleuteld tijdens transport en in rust
- Alleen beperkt gepseudonimiseerd materiaal kan buiten de EU worden opgeslagen, voor beveiligings- en operationele doeleinden
Wat het in de praktijk betekent: als je een Copilot-prompt stuurt op een druk moment, kan de inferentie in een datacenter buiten de EU plaatsvinden. Je krijgt hetzelfde antwoord, maar de verwerking heeft even de EU verlaten.
Welke producten zijn geraakt?
Flex Routing geldt niet alleen voor Microsoft 365 Copilot. Het is van toepassing op:
- Microsoft 365 Copilot en Copilot Chat
- Copilot in Dynamics 365
- Power Platform en Copilot Studio
De instelling wordt op twee plekken beheerd: het Microsoft 365 Admin Center (voor M365 Copilot en Copilot Chat) en het Power Platform Admin Center (voor Dynamics 365, Power Platform en Copilot Studio). De Power Platform-instelling volgt automatisch de M365-instelling, tenzij je daar een strengere keuze hebt gemaakt.
Let op: tenants met multi-geo capabilities zien de Flex Routing-instelling niet, ook al zit de tenant in de EU/EFTA.
Niet zeker welke Copilot-licentie je organisatie gebruikt? Bekijk onze Copilot functievergelijking voor een overzicht van de verschillen tussen Copilot Chat, Business en Microsoft 365 Copilot.
Compliance-impact
AVG / GDPR
Flex Routing opereert onder Microsofts Data Protection Addendum (DPA) en Standard Contractual Clauses (SCC). Juridisch is de verwerking buiten de EU daarmee gedekt. Maar voor organisaties die als beleid hanteren dat data de EU niet verlaat — bijvoorbeeld in de zorg, overheid of financiële sector — is een bewuste keuze nodig.
ISO 27001
Als je in je Verklaring van Toepasselijkheid (VvT) hebt opgenomen dat clouddata binnen de EU blijft, wijzigt Flex Routing die situatie. Dit vereist op zijn minst een risicoanalyse en mogelijk een update van je VvT.
NIS2 en DORA
Organisaties die onder NIS2 of DORA vallen moeten kunnen aantonen dat ze weten waar data wordt verwerkt en dat ze daar bewust mee instemmen. Een instelling die zonder jouw actie wordt geactiveerd past niet in dat plaatje.
Hoe zet je Flex Routing uit?
Het uitzetten kost minder dan een minuut:
- Log in op het Microsoft 365 Admin Center met de AI Administrator-rol
- Navigeer naar Copilot > Settings > Flexible inferencing during peak load periods
- Selecteer Do not allow flex routing
Gebruik je ook Dynamics 365 of Power Platform? De instelling in het Power Platform Admin Center volgt automatisch de M365-instelling, tenzij deze restrictiever is ingesteld. Als je Flex Routing uitzet in M365 admin center, wordt het automatisch ook uitgeschakeld in Power Platform en is die instelling daar niet meer configureerbaar.
Ons advies
Bij Universal Cloud hanteren we een eenvoudig uitgangspunt: je moet weten wat er met je data gebeurt en daar bewust mee instemmen. Een instelling die stilzwijgend wordt geactiveerd en toestaat dat data de EU verlaat, past daar niet bij.
Ons advies is niet per se om Flex Routing uit te zetten — maar wel om er een bewuste keuze van te maken. De afweging is concreet: Flex Routing aan betekent dat Copilot bij piekbelasting iets sneller kan reageren, maar je accepteert dat data tijdelijk de EU verlaat. Flex Routing uit betekent mogelijk iets langzamere responstijden op drukke momenten, maar je data blijft binnen de EU Data Boundary.
Kies je voor "aan" en is je organisatie ISO 27001-gecertificeerd, dan moet je dit kunnen verantwoorden in je risicoanalyse, VvT en verwerkersregister. Kies je voor "uit", dan is die administratieve last er niet. Bespreek het met je CISO of privacyverantwoordelijke, en leg de beslissing vast. Hoe je ook kiest: als je het bewust hebt afgewogen en gedocumenteerd, zit je goed.
Wil je sparren over wat Flex Routing betekent voor jouw specifieke situatie? Neem contact op — we helpen je graag met een snelle check van je tenant-instellingen. Heb je ook behoefte aan structureel compliance-advies rondom Microsoft 365 en informatiebeveiliging? Kijk dan bij uComply — ons complianceplatform voor ISO 27001, AVG en NIS2.
Lees de officiële Microsoft-documentatie over Flex Routing: Flex routing (EU and EFTA) — Microsoft Learn.
