Digitale soevereiniteit: Begin bij de businesscase en maak bewuste keuzes
Digitale soevereiniteit staat hoog op de agenda van organisaties. Het kent echter vele vormen en gradaties, waardoor de invulling voor iedere organisatie anders kan zijn. Daarom begint een doordachte aanpak met een heldere businesscase, schrijft Noah Phillips van Unit4.
De Amerikaanse overname van DigiD gaat niet door, maar de schrik zit er goed in. Het debat rond digitale soevereiniteit is actueler dan ooit. En dat is niet alleen in Nederland: Duitsland stuurt aan op GAIA-X, de Franse overheid neemt afscheid van Zoom, Teams en Microsoft en het Internationaal Strafhof is overgestapt van Microsoft Office naar open source.
Niet elke organisatie heeft volledige digitale soevereiniteit nodig. Welke keuze verstandig is, hangt af van de risico’s, datagevoeligheid en de afhankelijkheden van leveranciers.
Soorten soevereiniteit
Soevereiniteit kent drie verschillende dimensies: data, cloud en AI. Datasoevereiniteit betreft waar data staat, wie er toegang toe heeft en welke jurisdictie geldt. Cloudsoevereiniteit draait om wie de infrastructuur en de afhankelijkheden van dienstverleners beheert. AI-soevereiniteit gaat over hoe AI-systemen worden getraind, beheerd en gecontroleerd. Waar komt de trainingsdata vandaan en wie heeft er toegang tot gevoelige gegevens en prompts?
Voor Europese organisaties betekent kiezen voor een ‘soevereine IT-architectuur’ vooral overstappen naar een Europees technologieplatform, waarbij zowel de technologie als de opgeslagen data volledig onder de jurisdictie van een Europese natie valt. Op die manier blijft klantdata beschermd tegen inmenging van andere landen.
De businesscase voor verandering
Voordat een organisatie technologische soevereiniteit tot prioriteit maakt, is het belangrijk om de vraag te stellen: Is technologische soevereiniteit daadwerkelijk het juiste antwoord voor jouw organisatie? Wat is de businesscase? Deze vraag kan je opsplitsen in een aantal deelvragen:
Hoe reëel is het risico?
Hoe groot is het risico dat buitenlandse overheden of veranderende wet- en regelgeving invloed krijgen op jouw toegang tot data of technologieplatforms? Er zijn weinig bekende gevallen waarin buitenlandse overheden toegang hebben geëist, laat staan verkregen, tot data die in Europa is opgeslagen. Het directe risico op ongewenste toegang is dus klein.
Aan de andere kant geeft de afhankelijkheid van technologieplatforms van leveranciers die onder buitenlandse wetgeving vallen wel reden tot zorg. Want waar een individueel dataverzoek van een buitenlandse overheid zeldzaam is, kan een sanctie of beleidswijziging in één klap de toegang tot een heel platform raken, zoals de Amerikaanse sancties tegen het Internationaal Strafhof vorig jaar lieten zien.
Wat win je?
Naast meer controle over data en minder afhankelijkheid, zijn er ook voordelen voor je reputatie. Er is een groeiende wil onder overheden en organisaties om de Europese technologiesector te versterken. Door voor lokale leveranciers te kiezen, laat jouw organisatie zien dat ze Europese groei ondersteunt.
Is alle data even belangrijk?
Bepaalde data is gevoeliger en bedrijfskritischer dan andere. Door daar onderscheid tussen te maken, kun je ervoor kiezen die gevoeligere informatie lokaal op te slaan. Zo zorg je ervoor dat deze specifieke data niet wordt blootgesteld aan de jurisdictie van een ander land.
Weet je waar je data is geweest?
AI-tools worden tegenwoordig getraind met data van allerlei locaties. Dat is niet altijd direct transparant of duidelijk. Bij het beoordelen van AI-soevereiniteit moet je vaststellen waar zowel de data als de modellen die deze verwerken vandaan komen – en daarmee onder welke jurisdictie ze vallen.
Hoe beschermen jij en je leveranciers jouw data?
Kijk niet alleen naar je eigen maatregelen, maar ook naar de praktische, technische en juridische waarborgen van je technologieleveranciers. Bieden deze je voldoende zekerheid om te vertrouwen op een technologieplatform dat niet soeverein is?
Wat verlies je?
Als laatste heeft digitale soevereiniteit natuurlijk een prijs. Wereldwijde leveranciers domineren de cloudmarkt dankzij de breedte en diepte van hun aanbod. Een lokaal alternatief kan minder beschikbaarheid en weerbaarheid betekenen, of afhankelijker zijn van verouderde systemen. Kan jouw organisatie die verantwoordelijkheid aan, of lokale partners vinden die hiervoor ondersteuning bieden?
Kijk verder dan de hype
Digitale soevereiniteit is actueel en niet zonder reden. Toch is het belangrijk om keuzes te baseren op wat écht relevant is voor je organisatie, je medewerkers en je klanten. Een doordacht model gebaseerd op risiconiveaus is vaak realistischer dan volledige soevereiniteit.
Over de auteur: Noah Phillips is Assistant General Counsel, DPO en AI Lead bij Unit4.
