Hoe behoud je grip op data en regie over innovatie in een wereld van cloudafhankelijkheid en AI?
Overheidsorganisaties zijn enthousiast over de mogelijkheden van technologie. Tegelijk vragen ze zich af of ze klaar zijn om die technologie ook echt te beheersen. Digitale soevereiniteit en innovatie met AI domineren de agenda. En achter beide thema’s schuilt dezelfde fundamentele uitdaging: hoe behoud je controle over iets wat sneller beweegt dan je organisatie? Experts van iQibt delen drie inzichten die overheden helpen bij het navigeren door dit spanningsveld.
Inzicht 1: Soevereiniteit is geen schakelaar
De term ‘digitale soevereiniteit’ gonst al een tijdje binnen de publieke sector. En terecht. Maar wat het precies betekent, verschilt enorm per organisatie, per context en per gesprekspartner. Veel organisaties zien soevereiniteit als een binaire keuze: je hebt het of je hebt het niet. Dat is te kort door de bocht.
Soevereiniteit is geen schakelaar die je omzet van afhankelijk naar onafhankelijk. Het is een samenspel van verschillende dimensies en vraagstukken die je bewust moet kennen en moet afwegen tegen de risico’s. En die uitkomst pakt voor elke organisatie anders uit.
Juridische dimensie: Onder welke wetgeving vallen jouw leveranciers?
Een eerste dimensie is de juridische positie van de partijen waarmee je samenwerkt. Vallen jouw leveranciers onder Europese wetgeving? Of zijn het dochterondernemingen van Amerikaanse bedrijven waarop de US Cloud Act van 2018 van toepassing is?
Die wet geeft Amerikaanse autoriteiten het recht om data op te vragen bij in de VS gevestigde bedrijven, ongeacht waar die data fysiek is opgeslagen. Voor overheidsorganisaties die werken met gevoelige of vertrouwelijke informatie is dit een serieuze afweging.
Personele dimensie: Wie heeft er eigenlijk toegang tot jouw data en systemen?
Een tweede, minder vaak besproken dimensie, is de vraag wie er feitelijk toegang heeft tot jouw systemen en data. In een wereld waarin ICT steeds vaker als clouddienst wordt afgenomen, werkt het beheer en onderhoud van die systemen op afstand.
De vraag is: zijn die medewerkers die het beheer doen gescreend? Beschikken ze over een Verklaring Omtrent Gedrag? Hebben ze een veiligheidsmachtiging op het niveau dat jouw organisatie vereist? Voor veel overheidsorganisaties zijn dit vragen die ze tot voor kort niet structureel stelden.
Dimensie van dataopslag: Waar staat je data opgeslagen en hoe is deze beveiligd?
Een derde dimensie is de opslag van jouw data. Enkele vragen die daarbij relevant zijn: In welk datacenter staat jouw data? In welk land, onder welke fysieke beveiligingsnormen? En hoe wordt die data digitaal afgeschermd in een omgeving waar meerdere klanten van dezelfde infrastructuur gebruikmaken?
Multi-tenancy vraagt om robuuste isolatie – niet alleen technisch, maar ook organisatorisch en contractueel. Dit is de meest tastbare vorm van soevereiniteit.
Doelmatig soeverein: Wat is de juiste maat voor jouw organisatie?
De belangrijkste, en ook de meest verfrissende les: houd je rust. De soevereiniteitseisen voor een gemeente zijn fundamenteel anders dan die voor Defensie of een organisatie in het veiligheidsdomein. Wie als gemeente precies dezelfde maatregelen treft als de AIVD, geeft maatschappelijk geld uit zonder dat daar een goede reden voor bestaat.
Doelmatig soeverein zijn betekent: weten welke afhankelijkheden voor jóuw organisatie, jóuw data en jóuw publieke taak daadwerkelijk risico vormen, en daar gericht op sturen. Niet meer, niet minder. Dat is geen zwakte. Dat is bestuurlijke volwassenheid.
Inzicht 2: De controle zit onder de oppervlakte
De mogelijkheden van kunstmatige intelligentie zijn immens. Slimmere dienstverlening, geautomatiseerde analyses, AI-agents die repetitieve taken overnemen. Onder al die mogelijkheden zit ook een essentiële vraag. Niet zozeer óf en wanneer AI die taken gaat overnemen. De belangrijkste vraag is hoe je dit op een manier doet waarbij je de controle behoudt.
Voor de toepassing van AI nemen we de bekende ijsberg als metafoor. De top, het stuk dat boven het water uitsteekt, zijn de innovaties die direct zichtbaar en merkbaar zijn: een AI-assistent die beleidsdocumenten samenvat, een chatbot die burgers helpt bij aanvragen of een dashboard dat financiële afwijkingen in real time signaleert. Dit zijn de toepassingen waar bestuurders enthousiast over worden en die medewerkers direct ervaren als tijdswinst.
Maar het grootste gedeelte van die ijsberg bevindt zich onder water, en dat is precies het deel dat bepaalt of de top stabiel blijft. De ICT-architectuur, de datakwaliteit, de governancestructuur, de beveiligingslagen en de integratielogica: samen vormen zij de bodem waarop je bouwt.
Zonder een goed fundament kun je wel een AI-tool uitrollen, maar heb je geen grip op wat die tool doet met je data, hoe je de uitkomsten verantwoordt of hoe je de boel weer kunt afschakelen als er iets misgaat.
De hamvraag: Waar hou je als overheidsinstantie rekening mee wanneer het gaat over een goede fundering en welke onderwerpen en vraagstukken liggen daaraan ten grondslag?
Transparantie en verantwoording
Overheidsorganisaties zijn gehouden aan wetgeving, beleid en democratische verantwoording. Dat betekent dat besluiten die mede door AI worden ondersteund, achteraf uitlegbaar moeten zijn. Niet alleen intern, maar ook aan de Rekenkamer, aan de politiek en uiteindelijk aan de burger.
Hoe documenteer je de rol van een algoritme in een beslissing op een manier die over vijf jaar nog navolgbaar is? Dat is een vraag die veel organisaties nu nog onvoldoende hebben beantwoord. En die vraag stellen op het moment dat je al midden in een implementatie zit, is te laat.
Risico’s die je nog niet kent
Technologische innovatie gaat snel, en de risico’s komen soms van een kant waar je niet op rekende. AI-plug-ins in browsers die data toegankelijk maken voor partijen die helemaal niet in de beveiligde keten horen. AI-agents die met elkaar in interactie gaan en daarbij onbedoeld grote hoeveelheden data verwerken of budgetten overschrijden zonder dat een mens daar toezicht op hield.
Niemand weet precies welke nieuwe mogelijkheden er over twaalf maanden beschikbaar zijn, laat staan welke nieuwe risico’s daarmee gepaard gaan.
Dat vraagt om een andere benadering van risicomanagement. Niet reageren op risico’s die al bekend zijn, maar een architectuur en governance inrichten die ook de onbekende risico’s van morgen kan opvangen. Zodat die top van de ijsberg stabiel blijft.
Inzicht 3: Wie minder beheert, heeft meer controle
Een inzicht dat relevant is voor zowel soevereiniteits- als AI-vraagstukken, is de waarde van consolidatie. Minder systemen betekent minder complexiteit en minder complexiteit maakt beheersing fundamenteel eenvoudiger.
Elk koppelpunt tussen twee systemen is een potentieel risico. Een plek waar data kan lekken. Waar governanceregels niet worden doorgevoerd. Waar een update bij het ene systeem onverwachte effecten heeft bij het andere.
Meer systemen betekent meer van die risicopunten, meer integraties om te beheren, meer disciplines om in het gareel te krijgen. En meer kans dat ergens in die keten iets misgaat, wat je pas ontdekt als het te laat is.
Eén waarheid, minder fouten
Organisaties die dit goed aanpakken, kiezen bewust voor minder systemen, die meer doen. Ze vragen meer van minder. En dat betaalt zich op meerdere manieren terug. Niet alleen in lagere beheerskosten en minder integratieproblemen, maar ook in de kwaliteit van data zelf.
Wie data op meerdere plekken bijhoudt, creëert vroeg of laat tegenstrijdige informatie. Eén centrale databron betekent één waarheid waarop iedereen kan sturen, minder fouten door dubbele registratie en een fundament dat je kunt vertrouwen als je er AI op loslaat.
Centrale governance als ruggengraat
Wat organisaties die dit goed doen gemeen hebben, is dat ze datagovernance niet per systeem regelen maar centraal. SAP heeft dit principe vertaald naar een architectuurbeslissing door een centrale laag voor datagovernance te introduceren die overkoepelend werkt voor alle individuele applicaties.
Toegang, gebruik, auditlogging en beveiligingscontroles worden op één plek gemanaged, maar zijn van toepassing op de gehele omgeving. Dat is een krachtig antwoord op zowel de soevereiniteitsvraag als de beheersbehoefte rondom AI: je hoeft niet elk systeem afzonderlijk te optimaliseren, omdat de spelregels al op een hoger niveau zijn vastgelegd.
Dit is geen productadvies. We zeggen niet dat de SAP-aanpak de enige aanpak is. Het is een architectuurfilosofie die zich in de praktijk heeft bewezen, ook in de complexe financiële ketens van de publieke sector. De principes zijn universeel: schaalbaar, transparant en beheersbaar. Elke organisatie die op een verantwoorde manier wil innoveren, doet er goed aan zichzelf af te vragen of haar huidige landschap die drie principes ondersteunt.
Tot slot: Investeren in het fundament onder innovatie
We zien dat de overheidssector volwassener nadenkt over technologie dan een paar jaar geleden. Het gaat niet meer over ‘of we iets met AI moeten’, maar over hoe je het verantwoord inricht. Niet meer over ‘cloud ja of nee’, maar over welke afhankelijkheden voor jóuw organisatie daadwerkelijk risico vormen.
Dat zijn exact de juiste vragen. Want organisaties die nu investeren in het fundament onder hun innovatie, staan over drie jaar een stuk sterker dan degenen die alleen de top van de ijsberg hebben opgebouwd. De ijsberg zelf vraagt om aandacht. Niet als rem op innovatie, maar als voorwaarde om het vol te houden.
En dat is precies waar het bij de overheid om gaat: niet het snelst een huis bouwen, maar het meest solide huis bouwen. Op de juiste bodem.
