Red teaming is geen pentest - het is je compliance-afdeling die wakker wordt

De cookiebanner is het meest zichtbare bewijs dat compliance faalt. Twintig jaar na de e-privacyrichtlijn, acht jaar na de AVG, en nog steeds accepteren miljoenen Nederlanders ongemerkt tracking die ze dachten te weigeren. Niet omdat toezichthouders niet optreden, de Autoriteit Persoonsgegevens deelt boetes uit, het Europees Comité voor Gegevensbescherming publiceert richtsnoeren, maar omdat het compliance-landschap zich gedraagt als een waterbed. Druk op één plek, en het probleem verschuift naar een andere.

Een nieuw paper op arXiv analyseert precies dit fenomeen: de historische evolutie van cookie banner compliance sinds 2018. Het laat zien hoe toezichthouders, Consent Management Platforms (CMP’s) en grote platformen elkaar in een kat-en-muisspel gevangen houden. De conclusie? Zonder strategic red teaming, het gecontroleerd aanvallen van je eigen systemen om zwakke plekken in governance bloot te leggen, blijft compliance een papieren werkelijkheid.

Wat het slagveld ons leert over compliance

Red teaming komt uit de militaire wereld. Een onafhankelijk team simuleert de tegenstander om blinde vlekken in de eigen verdediging te vinden. In cybersecurity is dat inmiddels standaard: ethische hackers proberen systemen binnen te dringen, en de organisatie leert van elke geslaagde aanval.

Maar het paper stelt iets scherpers: red teaming is niet alleen een technische test, het is een epistemisch governance-instrument. Het dwingt een organisatie om te erkennen wat ze niet weet. En dat is precies waar compliance faalt, niet in wat we weten, maar in wat we denken te weten.

Neem cookie compliance. De regels lijken helder: geen tracking zonder toestemming, toestemming moet vrijelijk gegeven zijn, en weigeren moet net zo makkelijk zijn als accepteren. Toch vond een grootschalige scan in 2024 dat 89% van de Nederlandse overheidswebsites niet voldeed aan de cookieregels. De oorzaak? Geen kwaadwillendheid, maar een governance-probleem. Organisaties implementeren een CMP, vinken een AVG-checklistje af, en gaan ervan uit dat het klopt. Niemand test of de werkelijkheid overeenkomt met de documentatie.

De cookie compliance waterbed

Het arXiv-paper laat zien hoe dit waterbed werkt. Toen toezichthouders in 2019-2020 begonnen te handhaven op expliciete toestemming, pasten CMP’s hun interfaces aan. Maar de tracking verschoof naar server-side implementaties, waar toezichthouders geen zicht op hadden. Toen de focus verschoof naar ‘dark patterns’ in consent-dialogen, doken er nieuwe technieken op zoals ‘cookie sync’ via redirect-ketens die buiten het zicht van CMP’s vallen.

Wat mij hierin opvalt: elke interventie loste het zichtbare probleem op, maar creëerde een onzichtbaar probleem elders. Dit is geen technisch falen, het is een epistemisch falen. De organisatie weet niet dat ze niet compliant is, omdat niemand het systeem test zoals een echte tegenstander dat zou doen.

Een test die het verschil maakt

Laatst bij een zorginstelling. Ze hadden een AI-chatbot voor patiëntvragen, netjes gedocumenteerd, DPIA uitgevoerd, bias-assessment gedaan. Alles goedgekeurd. Wij simuleerden een gebruiker die systematisch vragen stelt over behandelopties bij verschillende postcodes. Binnen twintig minuten gaf de chatbot rijkere antwoorden voor 1071 AA (Amsterdam-Zuid) dan voor 3034 AA (Rotterdam-Noord). De documentatie vermeldde geen postcode-afhankelijkheid. Het systeem had die correlatie zelf ‘geleerd’ uit historische data.

Dit is geen incident. Dit is een patroon. En het is exact wat red teaming blootlegt: niet alleen technische kwetsbaarheden, maar ook governance-falen. De documentatie klopte niet omdat iemand loog, de documentatie klopte niet omdat niemand had getest of de werkelijkheid ermee overeenkwam.

Red teaming onder de AI Act

De AI Act maakt red teaming verplicht voor hoog-risico AI-systemen. Artikel 15 vereist ‘appropriate levels of robustness, security and accuracy’, en de bijbehorende standaarden (momenteel in ontwikkeling) leggen vast hoe dit in de praktijk getest moet worden. Dit is een kans. Niet alleen om technische fouten te vinden, maar om te leren wat we niet weten over het gedrag van AI in de echte wereld.