Het is niet zo dat deze wetgeving tekortschiet, maar het zijn andere vraagstukken. De AI Act stelt eisen aan verantwoord AI-gebruik, NIS2 aan digitale weerbaarheid en CADA moet helpen om cloud- en AI-soevereiniteit en afhankelijkheden beter inzichtelijk te maken. Daarachter ligt een fundamentelere vraag: kan de overheid haar eigen digitale koers zelf bepalen?
Compliance is nog geen autonomie
Er komen steeds meer regels om digitalisering verantwoord, veilig en inmiddels ook soeverein te organiseren. Sinds 2 augustus is de AI Act grotendeels van toepassing, sinds 15 augustus geldt de Nederlandse Cyberbeveiligingswet en met de voorgestelde Cloud and AI Development Act (CADA) komt daar een Europees kader voor cloud- en AI-soevereiniteit bij. Dat is nodig. Maar voldoen aan deze wetgeving betekent nog niet dat de overheid digitaal in control is, laat staan autonoom.
Zo kan een AI-dienst volledig voldoen aan de AI Act, terwijl de overheid voor die dienst afhankelijk is van één leverancier. De risicoanalyse is uitgevoerd, menselijke controle is geregeld en de leverancier voldoet aan de regels. Op papier is alles op orde. Maar als overstappen over drie jaar praktisch onmogelijk blijkt omdat data moeilijk te migreren zijn, kennis bij de leverancier zit en alternatieven ontbreken, heeft de overheid onvoldoende handelingsvermogen om haar koers te wijzigen.
Hetzelfde geldt voor cybersecurity. Een cloudomgeving kan uitstekend beveiligd zijn en voldoen aan NIS2, terwijl een cruciale publieke dienst volledig afhankelijk is van één leverancier. Cybersecurity beheerst digitale risico’s en vergroot weerbaarheid. Autonomie gaat een stap verder: kunnen we zelf handelen als de omstandigheden veranderen? Een veilige digitale omgeving is dus nog geen autonome digitale omgeving.
Er is een verschuiving van leveranciersmanagement naar afhankelijkheidsmanagement nodig
Met de aanscherping van het Rijkscloudbeleid komt hier wel meer aandacht voor. Rijksorganisaties moeten rekening houden met geopolitieke risico’s en afhankelijkheid van één leverancier en voor publieke clouddiensten een cloudstrategie en exitplan opstellen. Digitale autonomie wordt daarmee concreet: niet alleen weten waar je van afhankelijk bent, maar ook het vermogen behouden om daadwerkelijk van koers te veranderen.
Dat vraagt om een verschuiving van leveranciersmanagement naar afhankelijkheidsmanagement. Niet iedere afhankelijkheid is problematisch. De overheid kan en moet gebruikmaken van marktpartijen. Maar ze moet wel weten welke afhankelijkheden strategisch kritiek zijn en hoeveel handelingsvermogen daar tegenover staat. Kunnen we overstappen? Kunnen we onze data meenemen? Hebben we de kennis zelf? Is er een alternatief? En kunnen we dat alternatief ook daadwerkelijk inzetten als dat nodig is?
Daarmee raakt digitale autonomie direct aan het politieke primaat. Digitalisering is inmiddels onderdeel van het vermogen van de overheid om politieke besluiten uit te voeren. Politieke zeggenschap heeft weinig betekenis als de uitvoering afhankelijk is van digitale keuzes die de overheid zelf niet meer kan veranderen.
Wetgeving brengt normen, bewustwording en waarborgen, maar voor autonomie is dat niet genoeg. De overheid moet niet alleen weten waar zij van afhankelijk is, maar ook het vermogen hebben om keuzes te maken, alternatieven te benutten en daadwerkelijk van koers te veranderen als dat nodig is. Wetgeving is dan geen eindstation, maar slechts een begin.
Plaats een reactie
U moet ingelogd zijn om een reactie te kunnen plaatsen.