De AI Trust Gap Sluiten: Certificering Voor Betrouwbare AI

Een van de grootste obstakels voor de adoptie van AI in de Nederlandse overheid is het vertrouwen van burgers en organisaties. Dit 'AI Trust Gap' wordt voornamelijk veroorzaakt door een tekort aan duidelijke bewijzen dat AI-systeem veilig, eerlijk en transparant zijn. Een recent onderzoek in arXiv[1] stelt dat er behoefte is aan onafhankelijke certificeringen om dit vertrouwen te vergroten.

In mijn werk bij DjimIT heb ik meerdere keren getuige gestaan van de twijfels rond AI-technologieën, vooral in zorginstellingen en overheidsorganisaties. De redenen varieerden: sommigen waren bang voor privacybreuk, anderen hadden het over onjuiste beslissingen die kunnen leiden tot discriminatie.

Deze twijfels zijn niet ongegrond. AI-systemen kunnen inderdaad fouten maken en gevoelige informatie onbedoeld blootstellen. Maar de huidige markt geeft ook geen duidelijk antwoord op hoe organisaties dit risico kunnen beheersen of bewijzen dat ze het doen.

Wat me opviel tijdens gesprekken met klanten, is dat er geen consistent systeem bestaat om AI-betrouwbaarheid te certificeren. Bedrijven investeren in veiligheidsmaatregelen en fair besluitvorming, maar ze kunnen dit niet consistent bewijzen aan consumenten of toezichthouders.

Dit klopt niet met de realiteit van hoe we over AI denken te moeten praten. Het is niet voldoende om eenvoudigweg te stellen dat een systeem veilig en eerlijk is; er moet bewijs zijn, en dit bewijs moet onafhankelijk van de bedrijven zelf komen.

Certificeringen kunnen deze kloof helpen overbruggen door duidelijke normen vast te stellen die AI-systemen moeten volgen. Deze normen zouden moeten omvatten aspecten zoals privacybescherming, beschikbaarheid van broncode voor toezicht, en het vermogen om beslissingen transparant te maken.

Hier is een concrete voorbeeld: als we een AI-systeem testen op NIS2 conformiteit[2], zouden we moeten checken of het systeem voldoet aan specifieke beveiligingsvereisten, zoals automatische detectie en rapportage van aanvallen. Dit betekent dat het systeem zou moeten kunnen loggen en herkennen wanneer er ongeautoriseerde toegang tot gevoelige informatie wordt geprobeerd.

In de context van de Nederlandse regelgeving, zoals BIO2 en NIS2, is dit belangrijk. Deze wetten stellen eisen aan organisaties om hun data en systemen veilig te houden, en AI-systemen moeten hier geen uitzondering op zijn.

Toezichthouders zullen zich steeds meer richten op de betrouwbaarheid van AI-systeemaanbieders. In Nederland is dat onder andere het Autoriteit Persoonsgegevens (AP) en de Nationale Cyber Security Centre (NCSC), die al actief zijn in het vaststellen van richtlijnen en richtsnoeren.

Deze aanpak vraagt om meer dan alleen nieuwe wetten. Het vereist ook dat bedrijven bereid zijn om hun systeem onafhankelijk te laten testen en open te stellen voor extern toezicht. Dit kan een uitdaging zijn, maar het is ook de enige manier waarop we kunnen garanderen dat AI-systemen echt veilig en eerlijk zijn.

Als je wilt weten of jouw AI-systemen voldoen aan de eisen van de AI Act, dan kan deze AI Act Self-Check een goed beginpunt zijn. Het is belangrijk om ervoor te zorgen dat we niet alleen over betrouwbaarheid praten, maar ook bewijzen dat we het echt hebben.

[1] ＜https://arxiv.org/abs/2607.15992>
[2] ＜https://www.ncsc.nl/>