Jij merkt het vast ook: de digitale afhankelijkheden van je organisatie worden steeds voelbaarder. Een pittige mix van geopolitieke spanningen, Europese regelgeving en de snelle ontwikkeling van AI is hier de oorzaak van.
Wat moet je als organisatie op dit moment met digitale soevereiniteit? Hoe ontwikkelt de Europese markt zich, waar zitten de grootste risico’s en welke stappen kun je als organisatie nu zetten?
Ik bespreek deze vragen met Jos, soevereiniteitsexpert en CISO bij OGD.
Waarom digitale soevereiniteit een steeds belangrijker thema is
Jos, waarom wordt digitale soevereiniteit de laatste tijd alleen maar actueler?
“Afhankelijkheid is op zichzelf niet te vermijden. Maar het wordt een strategisch thema zodra die afhankelijkheid een kwetsbaarheid of risico oplevert. Heb je geen eenvoudig te bereiken of goede alternatieven, geen grip op voorwaarden of beschikbaarheid? Of raakt een verandering bij een leverancier direct je primaire processen of zelfs de continuïteit van de organisatie? Dan heb je geen gewone leveranciersrelatie meer, maar een strategische kwetsbaarheid.
Geopolitieke ontwikkelingen vertalen zich naar een vergroot bewustzijn van de risico’s, en er wordt steeds meer gebruik gemaakt van deze kwetsbaarheden. Toegang tot bijvoorbeeld grondstoffen en brandstoffen zijn een bekend geopolitiek drukmiddel. De toegang tot IT, communicatie-technologie, AI en encryptie worden dat ook steeds meer.”
Zou alles in je ict-landschap daarom het liefst Nederlands of Europees moeten zijn?
“Nee. Dat denken mensen wel vaak; digitale soevereiniteit wordt veel verward met de labels ‘Europees’ of ‘Nederlands’. Maar soevereiniteit gaat over de mate waarin je zelf kunt beschikken en besluiten. Over dat je precies weet waar je kritieke data en diensten staan, onder welke rechtsmacht ze vallen en welke controle je er zelf op houdt. Dat je niet gechanteerd kunt worden met je afhankelijkheden. De belangrijkste maatregel is daarom zorgen dat je een sterk alternatief hebt wanneer omstandigheden veranderen.
Daarnaast zegt de vestigingsplaats van een dienst of provider alleen niet voldoende. Je moet kijken naar eigendom, rechtsmacht, onderaannemers, beheer, data-portabiliteit en de mogelijkheid om de dienst te verlaten. Een Europese leverancier kan nog steeds afhankelijk zijn van niet-Europese technologie.”
Soevereiniteit en AI: afhankelijkheid van modellen
Eerder ging soevereiniteit vooral veel over clouddiensten. Maar hoe zit het met AI-gebruik?
“De afhankelijkheid van AI-modellen is nu een heel belangrijk thema binnen soevereiniteit. Want als je AI wilt gebruiken kom je als organisatie in de praktijk al snel uit bij modellen uit de Verenigde Staten of China. Dit komt door een gebrek aan concurrerende Europese producten. Denk aan OpenAI of Antrophic uit de VS, of open-weightmodellen uit China.
Maar aan die buitenlandse modellen kleven best wat nadelen. Bij gesloten Amerikaanse modellen ben je afhankelijk van hun prijsmodel, voorwaarden en beschikbaarheid. Bij Chinese open-weightmodellen kun je een al getraind model naar eigen wens verfijnen en op eigen rekenkracht laten draaien. Maar daar horen weer andere geopolitieke en technologische afwegingen en nadelen bij. Deze modellen blijken bijvoorbeeld soms een politieke bias te hebben of onvoorspelbaar, en mogelijk ongewenst, gedrag te vertonen.
Daarnaast komt ook weer hier de geopolitieke dimensie om de hoek kijken. De VS maken hun ‘frontier’ producten niet beschikbaar voor Europese bedrijven, en ook China heeft beperkingen aangekondigd op de beschikbaarheid van open-weightmodellen. Dit betekent dat Europa het risico loopt om de nieuwste AI-modellen niet te kunnen gebruiken, tenzij het een andere geschikte leverancier vindt buiten China en de VS. Hiermee is Europa dus chantabel, en afhankelijk van beleid en keuzes van anderen.”
Welke risico’s moeten organisaties bij dit soort AI-modellen beoordelen?
“Kijk goed waar je data wordt verwerkt en opgeslagen. Kan jouw data gebruikt worden om nieuwe modellen te trainen? Dat is een probleem als je fundamenteel onderzoek doet, of intellectueel eigendom ontwikkelt: jouw unieke kennis kan ineens in de volgende generatie modellen zijn opgenomen. Beoordeel wie de voorwaarden kan wijzigen, hoe eenvoudig je kunt overstappen, welke modellen voor Europa beschikbaar zijn en wat uitval of een prijswijziging betekent voor je processen.
Zoek een model uit dat bij jouw organisatie past. Modellen worden getraind met bepaalde data, en de bias van de trainingsdata zit voor altijd in het product. Voor eenvoudige toepassingen is dat helemaal geen issue, maar als een model complexe besluitvorming moet ondersteunen is volledige transparantie van essentieel belang. En dat inzicht is niet eenvoudig te verkrijgen.”
Biedt Europa interessante AI-modellen?
“Europa heeft alternatieven, waaronder het Franse Mistral. Maar de achterstand in schaal, toegang tot data en kapitaal is groot in Europa ten opzichte van de VS en China. Ook in Nederland zijn er enkele veelbelovende startups, maar met hele specifieke toepassingen die waarschijnlijk niet zo breed toepasbaar zijn als we gewend zijn van OpenAI en Anthropic.
Ik raad organisaties aan om Europese opties serieus te onderzoeken, maar niet te denken dat iedere Europese oplossing automatisch voldoende volwassen of passend is.”
Welk soort AI-model kun je als organisatie nu het beste kiezen?
“Zorg dat je bekend bent met de voor- en nadelen van de modellen die voor jou beschikbaar zijn, en kies vervolgens het juiste model voor de juiste taak. Het is niet nodig om voor alle AI-implementaties hetzelfde model te kiezen. Verschillende implementaties komen met verschillende wensen en eisen, zorg dat het gekozen model hierop aansluit.
Denk ook goed na over je afhankelijkheid en wat er gebeurt als het model niet meer beschikbaar is, fundamenteel wijzigt of de prijs significant omhooggaat. Wat doet het bijvoorbeeld met de kosten als de leverancier de kostenstructuur aanpast van 'all you can eat' naar betalen voor tokens?”
Is het een realistisch alternatief om een AI-model op je eigen infrastructuur te laten draaien?
“Voor afgebakende toepassingen kan dat. Open-weightmodellen slijp je fijn naar eigen wens en draaien op je eigen rekenkracht of gehuurde infrastructuur. Dat geeft veel meer controle. Maar zo’n constructie vraagt wel om voldoende capaciteit, grondig onderzoek, expertise en een duidelijke businesscase.”
Soevereiniteit in Europa: positieve ontwikkelingen rond beleid en markt
Zie je ook positieve ontwikkelingen rond soevereiniteit?
“Ja zeker, 100%. Op Europees beleidsniveau is nu veel meer aandacht voor soevereine dienstverlening. Bij aanbestedingen krijgen Europese aanbieders een gelijke kans en in sommige situaties worden niet-soevereine opties uitgesloten. Ook Europese cloud- en securitydienstverlening worden steeds volwassener.”
Kunnen instanties de soevereiniteit van diensten systematisch beoordelen?
“Ja, hier is vanuit de Europese Commissie het Cloud Sovereignity Framework voor geïntroduceerd. Het biedt een methode om met afgewogen criteria een duidelijke score te geven hoe soeverein een oplossing of provider is, bijvoorbeeld op het gebied van jurisdictie, data, technologie en leveranciersketens. Dit geeft bestuurders een concretere basis voor beslissingen.”
Hoe je als organisatie je soevereiniteit nu al kunt vergroten
Er is van alles om rekening mee te houden. Maar waar kun je als organisatie nu al mee beginnen?
“Mijn advies: begin niet met een totale migratie van je IT-landschap. Breng eerst in kaart welke diensten en data binnen jouw organisatie echt kritisch zijn, en waarvoor je geen uitwijkmogelijkheid hebt. Deze risico’s goed kennen is de eerste stap om ze te gaan beheersen. Zo geef je een bestuur of directie ook inzicht in de risico’s en keuzes die gemaakt kunnen worden.
Daarnaast kun je praktisch aan de slag met beperkte soevereiniteits-pilots. Zo test je niet alleen nieuwe technologie, maar ook of je processen, de toegang en het herstel eromheen werken zoals je verwacht.”
Wat is een logische eerste pilot?
“Back-ups zijn vaak een goed begin. Zorg voor een kopie op een Nederlandse of Europese locatie die je onder eigen regie kunt herstellen. Je kunt daarnaast reservekopieën of een beperkte applicatiestack in een Europese cloud onderbrengen.
Je realiseert dan ook direct meerwaarde: je hebt dan back-ups en een kopie ‘op eigen bodem’ voor noodgevallen. Dit geeft je zekerheid en maakt je beter voorbereid op een nachtmerrie-scenario.”
Kun je ook alternatieven voor Microsoft 365 testen?
“Er zijn inmiddels hele geschikte oplossingen die een alternatief zijn voor Microsoft 365. De overstap-pijn is significant kleiner geworden, doordat Europese werkplek- en samenwerkingsoplossingen steeds beter worden.
Een recente voorbeeld dat ik heb mogen testen en waar ik erg van onder de indruk ben is het Duitse OpenDesk, een open-source kantoor- en samenwerkingssoftware-pakket. Alles wat je van Microsoft 365 gewend bent zit erin, en het ziet er nog vergelijkbaar uit ook! Ook MijnBureau, dat door het Rijksbrede programma Beter Samen Werken (OpenBSW) wordt ontwikkeld heeft veel potentie.”
Volgende stappen voor organisaties
Wat zijn de eerste stappen die je nu als organisatie zou moeten nemen?
“Vraag waar je data staan, onder welke rechtsmacht ze vallen en hoe je de dienst en je data kunt meenemen als je wilt vertrekken. Breng daarnaast in kaart wat er gebeurt wanneer de leverancier, een overheid of een cruciale onderaannemer de voorwaarden of beschikbaarheid verandert. En welke alternatieven je dan kunt inzetten.
Bereid een worst-case scenario voor en bespreek dat in je organisatie. Het hebben van inzicht in deze relaties en de mogelijke gevolgen, en het voorbereid hebben van een alternatief scenario maakt je organisatie weerbaar.
En mijn advies is ook: kijk eens waar je zelf, als individu, wat onafhankelijker kunt worden: overweeg een alternatief voor Gmail, kijk naar een andere routeplanner dan Google Maps of Waze, zet thuis je DNS provider om van Google of Cloudflare naar een Europese variant, zoals DNS4EU. Kijk eens naar Fairphone als alternatief voor mobiel. Er zijn ontzettend veel leuke, inspirerende verhalen en initiatieven die van waarde kunnen zijn, als je je erin verdiept.”
Verder lezen?
.png?width=1920&height=1080&name=THUMBNAIL%20(1).png)
-2.png)
