We gebruiken steeds meer AI binnen bedrijven en mogen ook steeds meer projecten uitvoeren voor onze klanten met betrekking tot AI. Voor analyses, documenten, automatisering en inmiddels ook voor het ontwikkelen van complete softwareapplicaties.
Maar waar blijft al die informatie eigenlijk?
Veel medewerkers gebruiken ChatGPT, Claude, Copilot, Gemini of andere AI-tools via een eigen account. Ze uploaden documenten, delen bedrijfsinformatie en laten AI meekijken in broncode (zie Shadow AI). Vaak zonder dat iemand binnen de organisatie precies weet welke informatie wordt gedeeld.
Dat vind ik een vreemde ontwikkeling. Want, ook gedreven door de overheid, investeren we als bedrijven behoorlijk in IT-security, ISO 27001, toegangsbeheer en de bescherming van onze bedrijfsgegevens. Overigens geheel terecht.
En vervolgens geven we een AI-model toegang tot informatie die we normaal gesproken zorgvuldig afschermen?
Hoe organiseren we de controle?
Daarom hebben wij bij WorldEmp en WorldEmp AI Solutions ervoor gekozen om onze AI-modellen zoveel mogelijk vanuit onze eigen Microsoft Azure-omgeving te gebruiken, via AI Foundry. Ook voor softwareontwikkeling.
Niet omdat we zo’n enorme fan zijn van Microsoft. Integendeel. Ik zou veel liever met een volledig Europees alternatief werken. Maar zolang dat alternatief onvoldoende volwassen is, vinden wij Microsoft van de grote techbedrijven nog altijd de minst kwade keuze.
Het voordeel is dat we zelf veel meer kunnen bepalen. Welke modellen gebruiken we? Wie krijgt toegang? Waar worden gegevens verwerkt? Wat mogen AI-agents wel en niet doen? En vooral: hoe zorgen we ervoor dat AI onderdeel wordt van ons bestaande security- en compliancebeleid, in plaats van een uitzondering daarop?
Natuurlijk maakt Azure ons niet automatisch compliant. Ook daar moeten we kritisch blijven op configuratie, dataverwerking en de modellen die we kiezen.
Maar we kunnen de controle wel veel beter organiseren.
Je data staat in Europa. Maar is dat voldoende?
Het is vrij eenvoudig om te zeggen dat bedrijfsgegevens veilig zijn zolang ze op Europese servers staan.
Was het maar zo eenvoudig.
Er is een verschil tussen waar je data wordt opgeslagen, waar deze wordt verwerkt en wie er juridisch toegang toe kan krijgen. Vooral dat laatste wordt vaak vergeten.
Een Amerikaanse cloudprovider met datacenters in Nederland blijft onderdeel van een Amerikaans concern. En daarmee verdwijnt de discussie over de Amerikaanse CLOUD Act niet.
Deze wet maakt het onder bepaalde juridische voorwaarden mogelijk dat Amerikaanse autoriteiten gegevens opvragen bij Amerikaanse cloudproviders, ook wanneer die gegevens in Europa zijn opgeslagen.
Dat betekent niet dat de Amerikaanse overheid onbeperkt toegang heeft tot onze bedrijfsgegevens. Er gelden juridische voorwaarden en er zijn mogelijkheden om verzoeken aan te vechten. Maar het betekent wel dat Europese dataopslag op zichzelf geen garantie biedt voor Europese datasoevereiniteit.
De vraag is dus niet alleen waar je data staat, maar ook onder wiens juridische controle de dienstverlener valt en wie daadwerkelijk toegang heeft tot je gegevens.
Waar worden je gegevens door AI verwerkt?
Met AI wordt dit nog interessanter.
Je kunt je bedrijfsgegevens netjes opslaan in een Europees datacenter, terwijl de verwerking door een AI-model ergens anders plaatsvindt, bijvoorbeeld buiten Europa. Dat is afhankelijk van de gekozen configuratie.
Binnen Microsoft Azure AI Foundry kunnen we bewust kiezen voor deployments waarbij de verwerking binnen de EU plaatsvindt, voor zover het betreffende model en de dienst dit ondersteunen. Maar dat controleren we dus per model.
Europese datasoevereiniteit
Europa heeft hier een serieus probleem. We hebben veel regelgeving ontwikkeld, maar zijn voor de uitvoering nog altijd sterk afhankelijk van Amerikaanse technologie.
Dat is eigenlijk vreemd.
We willen Europese digitale soevereiniteit, maar beschikken nog niet over de technologische infrastructuur om dit op grote schaal te realiseren.
Bij WorldEmp en WorldEmp AI Solutions kiezen we voorlopig voor Microsoft. Niet uit enthousiasme voor Amerikaanse Big Tech, maar omdat de Europese alternatieven voor onze toepassingen op dit moment nog onvoldoende bieden.
We volgen de Europese ontwikkelingen dan ook nauwlettend.
Want als we in Europa écht digitaal soeverein willen worden, moeten we ook zorgen dat we de technologie zelf kunnen leveren. En persoonlijk vind ik dat nog belangrijker dan het hebben van onze eigen grote taalmodellen (LLM’s).
AI verantwoord gebruiken vraagt meer denkwerk
AI gebruiken is eenvoudig geworden. Maar AI verantwoord gebruiken vraagt wat meer denkwerk.
Het gaat niet alleen om welke AI-modellen we gebruiken, maar ook om waar onze gegevens blijven, wie er toegang toe heeft en hoe we de controle daarover organiseren.