Implementatie van Generatieve AI in Softwareontwikkeling.

Dit rapport biedt een uitgebreide, op onderzoek gebaseerde analyse voor de implementatie van Generatieve Artificiële Intelligentie (GAI) in software ontwikkelingsprocessen. Het behandelt de technische implementatiestrategie, de impact op de developer experience, security engineering (Shift-Left), privacy engineering conform GDPR/AVG, data soevereiniteit kwesties en een gedetailleerde implementatie-roadmap. Het doel is om organisaties te voorzien van praktische aanbevelingen en een robuust raamwerk voor een succesvolle en verantwoorde integratie van GAI.

Introductie

Generatieve Artificiële Intelligentie (GAI) transformeert in hoog tempo diverse industrieën, en de softwareontwikkeling sector vormt hierop geen uitzondering. De potentie van GAI om code te genereren, repetitieve taken te automatiseren, testprocessen te versnellen en ontwikkelaars te ondersteunen bij complexe vraagstukken, biedt ongekende mogelijkheden voor productiviteitsverhoging en innovatie. Echter, de implementatie van GAI brengt ook significante technische, ethische, juridische en operationele uitdagingen met zich mee.

Het doel van dit rapport is om een diepgaande en op onderzoek gebaseerde analyse te bieden voor de strategische implementatie van GAI binnen software ontwikkelingsprocessen. Dit omvat een gedetailleerde verkenning van cruciale aspecten zoals de technische implementatiestrategie, de impact op de developer experience, de integratie van security engineering volgens het “Shift-Left” principe, de waarborging van privacy engineering conform de Algemene Verordening Gegevensbescherming (AVG/GDPR), het adresseren van data soevereiniteit kwesties, en het presenteren van een concrete, gefaseerde implementatie-roadmap.

De relevantie van GAI in moderne softwareontwikkeling kan nauwelijks worden overschat. Tools die gebruikmaken van GAI, zoals code-assistenten en geautomatiseerde testen, worden steeds geavanceerder en toegankelijker. Deze technologieën beloven niet alleen de efficiëntie te verhogen, maar ook de kwaliteit van software te verbeteren en de time-to-market te verkorten. Het is daarom essentieel voor softwareontwikkeling organisaties om een weloverwogen strategie te ontwikkelen voor de adoptie van GAI, waarbij zowel de kansen als de risico’s zorgvuldig worden afgewogen.

Dit rapport is gestructureerd om lezers een helder en uitgebreid overzicht te bieden van de overwegingen en stappen die betrokken zijn bij de implementatie van GAI. Na deze introductie volgt kansen en mogelijkheden en een analyse van de technische implementatie strategie, inclusief de keuze tussen on-premise en cloud-oplossingen, en de evaluatie van open-source versus commerciële GAI-modellen. Vervolgens wordt de impact op de developer experience besproken, met aandacht voor productiviteitswinst, benodigde vaardigheden en mogelijke weerstand. Daarna worden de cruciale aspecten van security en privacy engineering behandeld, gevolgd door een diepgaande analyse van data soevereiniteit in de context van GAI. Het rapport sluit af met een gedetailleerde implementatie-roadmap, inclusief governance mijlpalen, benodigde competenties, een risicobeoordeling methodologie, een evaluatie framework en stakeholder engagement strategieën. Tot slot worden conclusies getrokken en strategische aanbevelingen gedaan voor een succesvolle en verantwoorde integratie van GAI in softwareontwikkeling.

1. Kansen en mogelijkheden in softwareontwikkeling

De integratie van Generatieve Artificiële Intelligentie (GAI) in softwareontwikkelingsprocessen markeert een significante evolutie, die verder gaat dan incrementele verbeteringen en een paradigmaverschuiving inluidt. GAI-systemen, getraind op enorme datasets van code, natuurlijke taal en andere informatiebronnen, bieden de mogelijkheid om menselijke ontwikkelaars te ondersteunen en te versterken gedurende de gehele Software Development Lifecycle (SDLC).1 Dit potentieel reikt van het automatiseren van routinetaken tot het fungeren als een creatieve partner in het oplossen van complexe problemen.2 De technologie belooft ontwikkelingscycli te versnellen, de kwaliteit van code te verbeteren, documentatieprocessen te optimaliseren en de onboarding van nieuwe teamleden te vergemakkelijken.3

1.1. Kansen en MogelijkhedenDe toepassing van GAI in softwareontwikkeling biedt een breed scala aan kansen. De primaire toepassingsgebieden, zoals ook benadrukt in de Nederlandse samenvatting van de gebruiker (“Kansen en mogelijkheden”), omvatten:

• Code genereren en controleren via suggesties: GAI-tools kunnen contextbewuste codesuggesties doen, boilerplate code genereren en zelfs complete functies of klassen ontwikkelen op basis van specificaties in natuurlijke taal.4 Dit vermindert de manuele codeerlast en versnelt het ontwikkelproces.

• Automatisering van repetitieve taken: Taken zoals het invullen van formulieren, bulk-analyse van data, of het genereren van standaard configuratiebestanden kunnen door GAI worden geautomatiseerd, waardoor ontwikkelaars zich kunnen concentreren op complexere en creatievere werkzaamheden.5

• Geautomatiseerde test-case generatie: GAI kan helpen bij het automatisch genereren van unit tests, integratietests en zelfs end-to-end testscenario’s, wat leidt tot een hogere testdekking en vroegtijdige foutdetectie.9

• Efficiëntere ontwikkelprocessen met tijdsbesparing: Door de automatisering van diverse taken en de versnelling van codeer- en testprocessen, kan GAI leiden tot aanzienlijke tijdsbesparingen en efficiëntieverbeteringen in de SDLC.12

• Kennisverbreding door toegang tot code-expertise: GAI-modellen, getraind op uitgebreide codebases en documentatie, kunnen fungeren als een kennisbron, waardoor ontwikkelaars toegang krijgen tot een breder scala aan codeerpatronen, best practices en oplossingen voor specifieke problemen.3

1.2. Uitdagingen en OverwegingenOndanks de aanzienlijke voordelen, brengt de implementatie van GAI ook uitdagingen met zich mee die zorgvuldig moeten worden aangepakt:

• Beveiliging van GAI-gegenereerde code: Code die door GAI is geproduceerd, kan kwetsbaarheden bevatten, hetzij door onveilige patronen in de trainingsdata, hetzij door onvoldoende gespecificeerde prompts. Het waarborgen van de veiligheid van deze code is een primaire zorg.14

• Dataprivacy en GDPR/AVG-naleving: Bij het gebruik van GAI-tools, met name die in de cloud, en bij het trainen van modellen met bedrijfseigen code, moeten dataprivacy en naleving van regelgeving zoals de GDPR (AVG) strikt worden gehandhaafd.17

• Weerstand van ontwikkelaars en mens-AI interactie: De introductie van GAI kan leiden tot weerstand bij ontwikkelaars als gevolg van angst voor baanverlies, scepsis over de kwaliteit van GAI-output, of de noodzaak om nieuwe vaardigheden aan te leren. Het effectief managen van de mens-AI interactie is cruciaal.20

• Risico op verminderd begrip van de codebase en technische schuld: Overmatig vertrouwen op GAI zonder kritische evaluatie kan leiden tot een verminderd diepgaand begrip van de codebase door ontwikkelaars en, indien niet goed beheerd, tot de accumulatie van technische schuld.23

• Noodzaak voor robuuste governance en ethische kaders: De inzet van GAI vereist duidelijke governance-structuren, beleidslijnen en ethische kaders om verantwoord gebruik te waarborgen en risico’s te beheersen.22

De kernuitdaging ligt niet zozeer in de adoptie van GAI-technologie op zich, maar in de integratiemethode. Het gaat erom GAI zodanig te implementeren dat het de menselijke capaciteiten daadwerkelijk versterkt, zonder onaanvaardbare risico’s te introduceren of essentiële engineeringvaardigheden te eroderen. GAI biedt aanzienlijke productiviteitsvoordelen, bijvoorbeeld door code generatie en automatisering. Echter, het introduceert ook nieuwe risico’s op het gebied van beveiliging, privacy, kwaliteit en mogelijke de-skilling van ontwikkelaars. Het simpelweg uitrollen van GAI-tools zonder een doordacht plan kan deze risico’s verergeren. Daarom is de wijze van integratie cruciaal. Dit impliceert de noodzaak van een strategische, gefaseerde aanpak die zich richt op governance, training en continue evaluatie, in plaats van louter technologische implementatie. Een holistische strategie die technologie, mensen en processen omvat, is essentieel voor succes.

2. Technische Implementatiestrategie

Een succesvolle implementatie van Generatieve AI (GAI) in softwareontwikkeling vereist een doordachte technische strategie. Deze strategie omvat keuzes met betrekking tot implementatiemodellen, de selectie van GAI-modellen, het bepalen van de gewenste capaciteitsniveaus en het voorzien in de benodigde hardware- en infrastructuur.

2.1. On-premise vs. Cloud-implementatiemodellen voor GAI

De keuze tussen een on-premise of een cloud-gebaseerd implementatiemodel voor GAI-systemen heeft significante gevolgen voor datasoevereiniteit, resourcevereisten en prestaties.

Datasoevereiniteit implicaties:

On-premise implementaties bieden organisaties volledige controle over hun data, wat cruciaal kan zijn voor sectoren met strikte regelgeving of voor bedrijven die met zeer gevoelige intellectuele eigendom werken, zoals broncode of klantspecifieke data.1 De data en encryptiesleutels blijven binnen de eigen infrastructuur, waardoor de risico’s verbonden aan derde partijen worden geminimaliseerd.1 Dit is met name relevant wanneer GAI wordt ingezet voor softwareontwikkeling waarbij bedrijfseigen code en data betrokken zijn.

Cloud-implementaties daarentegen impliceren dat data wordt toevertrouwd aan een externe provider. Dit kan leiden tot zorgen over datasoevereiniteit, vooral als de servers zich in andere jurisdicties bevinden met afwijkende wetgeving rondom gegevenstoegang door overheden.2 Hoewel cloudproviders vaak robuuste beveiligingsmaatregelen en compliance-certificeringen bieden, blijft de vraag wie daadwerkelijk eigenaar is van de data en wie er toegang toe heeft een belangrijk aandachtspunt.1

Resourcevereisten:

On-premise oplossingen vereisen aanzienlijke initiële investeringen in hardware (krachtige servers met GPU’s of TPU’s), faciliteiten, koeling en gespecialiseerd personeel voor installatie en onderhoud.1 De doorlopende kosten voor stroomverbruik, ruimte en onderhoud zijn ook voor rekening van de organisatie.1 Dit kan een drempel vormen, vooral voor kleinere organisaties.

Cloud-modellen bieden een pay-as-you-go kostenstructuur, waarbij organisaties alleen betalen voor de daadwerkelijk gebruikte resources, zonder de initiële hardware-investeringen en onderhoudskosten.1 Dit biedt flexibiliteit en schaalbaarheid, waardoor GAI-capaciteit naar behoefte kan worden op- of afgeschaald.2

Prestatieoverwegingen:

On-premise systemen kunnen worden geoptimaliseerd voor specifieke GAI-workloads, wat kan resulteren in maximale efficiëntie en lagere latency voor bepaalde operaties, zoals real-time inferentie voor code-aanvullingen.2 De prestaties zijn echter afhankelijk van de eigen infrastructuur en de capaciteit om deze te schalen is beperkter en kostbaarder dan bij cloudoplossingen.2

Cloud-platformen bieden nagenoeg onbeperkte schaalbaarheid, wat ideaal is voor computationeel intensieve taken zoals het trainen van grote taalmodellen.2 Hoewel real-time workloads in de cloud soms hogere latency kunnen ervaren, worden deze nadelen steeds vaker gemitigeerd door technologische vooruitgang en edge computing-oplossingen.2 De bandbreedteprestaties kunnen in de cloud vaak flexibeler worden aangepast dan bij lokale servers.4

Hybride benaderingen:

Een hybride model combineert on-premise infrastructuur met cloud-resources en biedt een middenweg. Gevoelige data, zoals de kern van de codebase en vertrouwelijke projectinformatie, kan on-premise worden verwerkt, terwijl computationeel intensieve taken zoals het trainen van een custom codegebaseerd GAI-model in de cloud kunnen plaatsvinden.2 Deze aanpak stelt organisaties in staat om te voldoen aan datasoevereiniteitsvereisten en tegelijkertijd te profiteren van de schaalbaarheid en kostenefficiëntie van de cloud voor specifieke GAI-workloads.2 Een retailbedrijf kan bijvoorbeeld vraagvoorspelling in de cloud uitvoeren, maar voorraadbeheer met lage latency on-premise houden.2

De keuze hangt af van de specifieke behoeften: workloads die zwaar leunen op training en periodiek enorme rekenkracht vereisen, profiteren van de elasticiteit van de cloud. Latency-gevoelige workloads, zoals high-frequency trading, zijn beter geschikt voor on-premise. Hybride setups bedienen gemengde behoeften.2 Organisaties met een CAPEX-gericht budget neigen naar on-premise, terwijl OPEX-gerichte budgetten beter passen bij cloud of hybride modellen.2

On-Premise vs. Cloud GAI Implementatie

CriteriumOn-PremiseCloudHybrideDatasoevereiniteitMaximaal, volledige controleAfhankelijk van provider, dataresidentie zorgenGebalanceerd, gevoelige data on-premiseInitiële Kosten (CAPEX)Hoog (hardware, faciliteiten)Laag (pay-as-you-go)Variabel, afhankelijk van bestaande infrastructuurOperationele Kosten (OPEX)Gemiddeld tot hoog (personeel, onderhoud)Variabel (gebruiksafhankelijk), potentieel hoog bij schalingGeoptimaliseerd door strategische workloadverdelingSchaalbaarheid (Training)Beperkt, duur om uit te breidenHoog, elastischFlexibel, cloud bursting mogelijkSchaalbaarheid (Inferentie)Afhankelijk van provisie, voorspelbaarHoog, schaalbaar op aanvraagGeoptimaliseerd door lokale/cloud inzetLatency (Inferentie)LaagPotentieel hoger door netwerkLaag voor on-premise componentenOnderhoudEigen verantwoordelijkheidProvider verantwoordelijkGedeelde verantwoordelijkheidPersoneelsvereistenGespecialiseerd IT-personeel nodigMinder intern IT-personeel nodigExpertise nodig voor beide omgevingen en integratieFocus RegelgevingDirecte controle, eenvoudiger voor strikte regelsAfhankelijk van providercertificeringen en contractenMaakt naleving mogelijk door data segmentatie

2.2. Evaluatie van Open-Source Modellen (OLM, LLaMA) vs. Commerciële Opties

Bij de selectie van GAI-modellen voor softwareontwikkeling is een belangrijke afweging die tussen open-source modellen, zoals die van het Open Language Model (OLMo) initiatief of Meta’s LLaMA-familie, en commerciële modellen van partijen als OpenAI (GPT-serie), Anthropic (Claude) en Google (Gemini). Deze evaluatie dient gebaseerd te zijn op criteria zoals kosten, aanpasbaarheid, prestaties, transparantie, ondersteuning en specifiek de ondersteuning voor de Nederlandse taal.

Vergelijking op basis van kerncriteria: 5

• Kosten: Open-source modellen zoals LLaMA 3.1 kunnen significant kosteneffectiever zijn in productie dan commerciële tegenhangers zoals GPT-4, soms tot de helft goedkoper.6 Dit is vooral aantrekkelijk voor startups en kleinere bedrijven. Commerciële modellen komen vaak met substantiële gebruikskosten, vooral bij hoog volume.6 LLaMA 2 70B kan bijvoorbeeld 10% meer kosten dan GPT-3.5, maar de prestatieverschillen kunnen dit rechtvaardigen.5

• Aanpasbaarheid en Controle: Open-source modellen bieden superieure aanpasbaarheid. De beschikbaarheid van modelgewichten, zoals bij LLaMA 3.1, stelt organisaties in staat de modellen te trainen op eigen, specifieke data (fine-tuning).5 Dit niveau van controle is cruciaal voor unieke vereisten of gespecialiseerde domeinen. Commerciële modellen bieden vaak beperktere fine-tuning opties binnen de kaders van de provider.6

• Prestaties en Capaciteiten: Historisch gezien hadden commerciële modellen een prestatievoordeel, maar open-source modellen zoals LLaMA 3.1 dichten dit gat snel en claimen vergelijkbare of betere prestaties dan bijvoorbeeld GPT-4 en Claude 3.5 Sonnet op bepaalde benchmarks.5 Commerciële modellen komen echter vaak met extra, direct bruikbare functionaliteiten, betere integraties en robuustere content filtering.6 Grotere modellen zoals LLaMA 2 70B en GPT-4 presteren beter in samenvattingstaken met hoge feitelijke accuratesse.5

• Transparantie en Ethische Overwegingen: Open-source modellen bieden een hogere mate van transparantie doordat de code en het trainingsproces (deels) inzichtelijk zijn. Dit is belangrijk voor organisaties die zich zorgen maken over bias, eerlijkheid en ethische implicaties.6 Commerciële modellen zijn vaak “black boxes”, waarbij men moet vertrouwen op de claims van de provider.6

• Ondersteuning en Ecosysteem: Commerciële aanbieders leveren doorgaans uitgebreide documentatie, klantenondersteuning en hebben vaak een bloeiende ontwikkelaarscommunity.6 Open-source modellen vereisen meer technische expertise voor implementatie en onderhoud, maar profiteren vaak van actieve communities die kennis delen en bijdragen leveren.6

Focus op modellen met Nederlandse taalondersteuning:

De effectiviteit van GAI in softwareontwikkeling binnen een Nederlandstalige context hangt sterk af van de taalvaardigheid van het model, bijvoorbeeld voor het begrijpen van commentaar in code, documentatie, of het genereren van code op basis van Nederlandstalige specificaties.

Open-source:

GPT-NL: Een initiatief van TNO, NFI en SURF, met financiering van het Ministerie van Economische Zaken en Klimaat, gericht op het ontwikkelen van een open Nederlands taalmodel.7 Het doel is digitale soevereiniteit te versterken en een transparant, eerlijk en verifieerbaar gebruik van AI te bevorderen, conform Nederlandse en Europese waarden.7 GPT-NL wordt vanaf de basis opgebouwd om te voldoen aan de AI Act, AVG & IP-wetgeving.9

• Status en Capaciteiten: De ontwikkeling is gefaseerd, met een focus in het eerste jaar op de concrete ontwikkeling van het Nederlandse taalmodel, met actieve betrokkenheid van de academische sector.7 De training van het fundamentele model wordt verwacht te starten rond 1 juni 2025, met fine-tuning in Q3 2025.9 De kerncapaciteiten zijn gericht op samenvatting, simplificatie en Retrieval-Augmented Generation (RAG).9 Specifieke code-generatie of het diepgaand begrijpen van Nederlandse code-commentaar wordt nog niet expliciet genoemd als primaire focus.9 Er wordt data gesynthetiseerd uit Nederlandstalige content waarvoor licenties zijn verkregen.9

• Toegang: De licentievormen zijn nog in ontwikkeling. De broncode zal beschikbaar komen onder een open licentie. Voor onderzoeksdoeleinden wordt gated access tot modelgewichten overwogen via een onderzoekslicentie, en voor andere (commerciële) doeleinden betaalde toegang via een enterprise licentie.9

• Andere Open-Source Modellen (OLMo, LLaMA): Veel open-source modellen zoals OLMo 2 (ontwikkeld door AI2) en LLaMA 2/3 (Meta) worden primair getraind op Engelstalige data, maar meertalige capaciteiten nemen toe.10 Falcon 2 11B ondersteunt bijvoorbeeld Engels, Frans, Spaans, Duits en Portugees.11 De mate van Nederlandse taalvaardigheid en de effectiviteit voor Nederlandse softwareontwikkelingstaken kunnen variëren en vereisen specifieke evaluatie. Fine-tuning op Nederlandstalige code-datasets kan hierbij essentieel zijn.

Commercieel:

• GPT-serie (OpenAI): GPT-4 wordt algemeen beschouwd als een zeer capabel model, ook voor codegeneratie.5 De taalvaardigheid in het Nederlands is over het algemeen goed, maar specifieke prestaties voor Nederlandse softwareontwikkelingstaken vereisen evaluatie. Toegang verloopt via API’s.

• Claude 3 (Anthropic): Deze modelfamilie (Opus, Sonnet, Haiku) toont sterke prestaties op het gebied van redeneren, wiskunde en coderen, en heeft verbeterde vloeiendheid in niet-Engelse talen.12 Claude 3 is getraind op een mix van publieke en niet-publieke data tot augustus 2023.12 Claude AI ondersteunt meer dan 50 talen, met een focus op Engels, Europese talen en belangrijke Aziatische talen.13 Het blinkt uit in het vertalen van juridische, technische en zakelijke documenten met hoge accuratesse en contextueel begrip.14 Toegang via API, Amazon Bedrock en Google Vertex AI.12 Specifieke benchmarks voor Nederlandse codegeneratie zijn niet direct beschikbaar in de verstrekte documentatie.12

• Gemini (Google): Gemini is een multimodaal model dat tekst, afbeeldingen en video’s kan verwerken.15 Het is geïntegreerd met Google Workspace en toegankelijk via Google AI Studio en de Gemini API.16 Gemini ondersteunt meer dan 40 talen, inclusief regionale dialecten en minder gangbare talen.13 Voor softwareontwikkeling biedt Gemini 2.5 Pro Preview (I/O Edition) mogelijkheden om code efficiënt te transformeren en te bewerken.17 Gebruikerservaringen op Reddit suggereren dat Gemini goed presteert in JavaScript maar minder in geavanceerde Python, terwijl Claude 3.7 Sonnet als zeer capabel wordt ervaren, zelfs beter dan GPT-4o voor bepaalde taken.18

Licentiebeperkingen voor commercieel gebruik van open-source modellen:

Hoewel “open-source” vaak geassocieerd wordt met onbeperkt gebruik, kunnen er restricties gelden. LLaMA 2 is bijvoorbeeld gratis voor commercieel gebruik, maar voor applicaties met meer dan 700 miljoen maandelijkse actieve gebruikers is een specifieke licentie van Meta vereist.5 Vicuna-13B heeft een niet-commerciële licentie.11 Het is cruciaal om de licentievoorwaarden van elk open-source model zorgvuldig te bestuderen alvorens het commercieel in te zetten.

De keuze tussen open-source en commerciële modellen, en de specifieke modelselectie, hangt af van de unieke behoeften van de organisatie, het budget, de vereiste mate van controle en aanpasbaarheid, en de specifieke use cases binnen de softwareontwikkeling, inclusief de noodzaak voor robuuste Nederlandse taalondersteuning. Een grondige evaluatie en mogelijk een proof-of-concept zijn aanbevolen.

Tabel 2: Vergelijking van Open-Source vs. Commerciële GAI-Modellen (met focus op Nederlandse taal)

Criterium****Open-Source (bijv. OLM, LLaMA, Fietje, Teuken-7B)****Commercieel (bijv. GPT-series, Claude-series, EuroLLM)****Model VoorbeeldenOLM, LLaMA, Fietje, Teuken-7BGPT-series, Claude-series, EuroLLM-9BAanpasbaarheid (Fine-tuning)Hoog (toegang tot gewichten)Beperkt tot API-gebaseerde fine-tuningKosten (Operationeel)Potentieel lager, afhankelijk van infrastructuurAbonnements-/gebruiksgebaseerd, kan hoog zijnPrestaties (Algemeen)Kloof dichtend, sommige modellen competitiefVaak leidend, meer out-of-the-box featuresPrestaties (Coderen)Variabel, Code Llama goed; Teuken-7B in ontwikkelingSterk, maar specifieke codeerkwaliteit varieertNederlandse Taalondersteuning (NLP)Fietje (specifiek), Teuken-7B/EuroLLM (EU-breed)Breed, maar diepgang varieertNederlandse Taalondersteuning (Coderen)Beperkt/in ontwikkeling; fine-tuning nodigValidatie vereist; vaak niet expliciet geoptimaliseerdTransparantieHoog (code, data vaak open)Laag (“black box”)Datacontrole (voor training/inferentie)Hoog (lokaal/private cloud mogelijk)Afhankelijk van provider, data kan extern zijnEcosysteem/OndersteuningCommunity-gedreven, vereist expertiseUitgebreide documentatie, professionele support

2.3. Capaciteitsniveaus van GAI-implementatie

De implementatie van GAI in softwareontwikkeling kan op verschillende capaciteitsniveaus plaatsvinden, variërend van eenvoudige tools tot geavanceerde autonome systemen. De Nederlandse overheid erkent drie primaire toepassingsniveaus: een basale chatfunctie, geavanceerdere AI-native IDE-integratie, en de meest geavanceerde inzet van agentic AI.

Basis chatbot-integratie voor ontwikkelaars:

Dit niveau omvat de inzet van GAI-gebaseerde chatbots die ontwikkelaars kunnen assisteren bij diverse taken. Voorbeelden zijn het beantwoorden van programmeervragen, het uitleggen van codefragmenten, het genereren van eenvoudige code-snippets, of het assisteren bij het debuggen door mogelijke oorzaken van fouten aan te dragen. Deze chatbots kunnen geïntegreerd worden in de ontwikkelomgeving of als standalone tools worden gebruikt. Ze fungeren als een direct toegankelijke kennisbron en sparringpartner. Prompt engineering speelt hierbij een cruciale rol om relevante en accurate antwoorden te verkrijgen.19

AI-native IDE-implementatie:

Een AI-native IDE gaat verder dan een IDE met toegevoegde AI-functionaliteiten (AI-enabled). Bij een AI-native benadering is AI fundamenteel geïntegreerd in de kernarchitectuur van de IDE en in elke fase van de Software Development Life Cycle (SDLC).20 Dit betekent dat AI-algoritmen, dataverwerkingspijplijnen en besluitvormingsprocessen direct in het ontwerp van de IDE zijn ingebed.20

• Definitie en Kenmerken: AI-native IDE’s streven ernaar om AI als een echte samenwerkingspartner voor de ontwikkelaar te positioneren.21 Kenmerken zijn onder meer:

• Diepgaand codebegrip: De AI begrijpt de gehele codebase, niet slechts geïsoleerde bestanden, en leert de codeerstijl en projectregels.22

• Real-time, contextbewuste suggesties: Biedt intelligente code-aanvullingen, refactoring-suggesties en bugdetectie die zijn afgestemd op de specifieke context van het project.23

• Automatisering van complexe taken: Kan helpen bij het genereren van unit tests, documentatie, en zelfs het automatisch adresseren van feedback in pull requests.21

• Natuurlijke taalinteractie: Ontwikkelaars kunnen complexe taken specificeren en de AI aansturen via natuurlijke taal.21

• Iteratieve probleemoplossing: AI-agenten binnen de IDE kunnen itereren op hun eigen output en de resultaten daarvan, inclusief het afleiden en uitvoeren van niet-gespecificeerde subtaken.21

Voorbeelden:

• GitHub Copilot Workspace/Agent Mode: GitHub evolueert Copilot naar een AI-native platform waarbij AI-agenten proactief assisteren bij taken zoals code schrijven, debuggen, testen en documenteren. De “agent mode” in VS Code stelt Copilot in staat te itereren en subtaken af te leiden.21 Project Padawan beoogt Copilot als een autonome bijdrager aan repositories te maken, die issues kan oppakken en geteste pull requests kan genereren.21

• Windsurf (voorheen Codeium): Positioneert zichzelf als een AI-native IDE.24 Windsurf biedt een krachtige AI-codeeragent die direct in de IDE is ingebed en ontwikkelaars helpt applicaties te bouwen via natuurlijke taalprompts. Een recente samenwerking met Netlify maakt directe, one-click deployment vanuit de Windsurf IDE mogelijk, waardoor de gehele workflow van prompt tot wereldwijde deployment binnen de IDE plaatsvindt.24 Windsurf ondersteunt meer dan 70 talen en integreert met meer dan 40 IDE’s.26

• Cursor IDE: Een IDE die vanaf de basis is opgebouwd met diepe AI-integratie. Cursor AI richt zich op het begrijpen van de gehele codebase en het leveren van gepersonaliseerde suggesties die zijn afgestemd op de codeerstijl en projectregels van de ontwikkelaar.22 Het biedt functionaliteiten zoals het debuggen van code, het genereren van tests en documentatie, en het beantwoorden van vragen over de codebase.22

Het onderscheid tussen AI-assisted (of AI-infused) en AI-native ligt in de diepte van de integratie. AI-assisted tools zijn vaak plugins die AI-functionaliteit toevoegen aan een bestaande traditionele IDE. AI-native systemen daarentegen zijn ontworpen met AI als een fundamenteel, centraal component.20

Agentic AI-ontwikkeling:

Agentic AI vertegenwoordigt het meest geavanceerde capaciteitsniveau, waarbij AI-systemen evolueren van eenvoudige tools voor code-aanvulling naar autonome agenten. Deze agenten kunnen volledige codebases begrijpen, complexe workflows orkestreren en proactief acties ondernemen gedurende de gehele ontwikkelingscyclus met minimale menselijke input.27

• Evolutie en Kerncapaciteiten: In tegenstelling tot AI-assistenten die enkel op commando’s reageren, kunnen agentic AI-systemen proactief problemen identificeren, oplossingen voorstellen en veranderingen implementeren.27 Dit stelt ontwikkelaars in staat zich te focussen op hoger-niveau probleemoplossing en innovatie.27 Agentic AI kan fungeren als een orkestratielaag die gespecialiseerde systemen (zoals AI code-assistenten en security scanners) beheert.27 Een agentic AI-oplossing zoekt proactief naar anomalieën en komt met aanbevelingen voor oplossingen, terwijl een generatieve AI-oplossing wellicht slechts een samenvatting geeft van hoe een onderhoudsprobleem opgelost kan worden.28

• Function Calling / Agent-to-Agent (A2A) Communicatie: Agentic systemen maken vaak gebruik van “function calling” (waarbij het LLM externe tools of API’s kan aanroepen) en A2A-communicatie om complexe taken uit te voeren.

• Model Context Protocol (MCP): MCP is een open standaard, oorspronkelijk ontwikkeld door Anthropic, die een client-server architectuur definieert voor het integreren van LLM’s met externe tools, databases, API’s, bestandssystemen en omgevingen.29 Het stelt AI-modellen (MCP Hosts zoals Claude of OpenAI) in staat om via lokale agenten (MCP Clients) en een MCP Server te verbinden met externe systemen (bijv. Edge Delta voor observabiliteitsdata, of diverse andere tools en services).29 Dit stelt agenten in staat om context te verkrijgen en acties uit te voeren buiten het model zelf, zoals het controleren van de huidige tijd, webinformatie scrapen, of e-mails versturen.31

• Beveiligingsoverwegingen voor A2A-communicatie: Veilige communicatie tussen AI-agenten is cruciaal om datalekken, ongeautoriseerde toegang en manipulatie te voorkomen.32

• FIPA-ACL (Agent Communication Language): Een gestandaardiseerde taal voor berichtuitwisseling tussen agenten, ontwikkeld door de Foundation for Intelligent Physical Agents.33 Hoewel FIPA-ACL de structuur van berichten standaardiseert, worden specifieke beveiligingsextensies of de robuustheid ervan in de context van moderne GAI-agenten niet gedetailleerd besproken in de verstrekte bronnen.33 Frameworks zoals JADE bieden FIPA-conforme messaging.33

• Opkomende protocollen en frameworks: Naast FIPA-ACL worden traditionele methoden zoals RESTful API’s, GraphQL, WebSockets met TLS/SSL-encryptie, OAuth 2.0, OpenID Connect en JWTs gebruikt voor beveiligde inter-agent communicatie.32 Message queue systemen (Kafka, RabbitMQ) en cloud-gebaseerde communicatieframeworks bieden ook beveiligde interactie.32 Technieken zoals Fully Homomorphic Encryption (FHE) worden onderzocht om berekeningen op versleutelde data mogelijk te maken, wat de veiligheid van multi-agent samenwerking verder kan verhogen.32 Blockchain wordt ook genoemd voor onveranderlijke communicatielogs en data-provenance.32

• API-beveiligingsbest practices voor agentic AI: Wanneer agentic AI systemen API’s consumeren of zelf API’s blootstellen (bijv. via function calling), zijn robuuste API-beveiligingsmaatregelen essentieel.34

• Sterke Identiteits- en Toegangscontrole (IAM): Implementeer zero-trust architecturen, continue verificatie en vermijd statische, langdurige API-sleutels. SPIFFE/SPIRE kan worden gebruikt voor workload identities.34 OAuth, API keys, JWTs en Role-Based Access Control (RBAC) zijn cruciaal.35

• Rate Limiting en Misbruikpreventie: Gebruik adaptieve rate limits gebaseerd op intentie, request patronen of per endpoint om overbelasting en misbruik door agenten te voorkomen.34 Token-gebaseerde rate limiting is ook relevant.35

• Databeveiliging en Compliance: Versleutel data in transit en at rest. Implementeer gestructureerde logging om datatoegang te volgen. Pas encryptie, data-anonimisering en compliance frameworks (GDPR, HIPAA) toe.34

• Threat Detection en Monitoring: Gebruik API gateways om verkeer te loggen, te monitoren op anomaal gedrag, data exfiltratie en ongeautoriseerde privilege escalatie.34

• AI Guardrails: Implementeer content moderatie, bias detectie, respons validatie en ethische waarborgen.35

• Context Filtering: Verrijk AI-requests met metadata voor traceerbaarheid en personalisatie, maar filter gevoelige context weg waar nodig.35

De keuze voor een bepaald capaciteitsniveau hangt af van de strategische doelen, de beschikbare middelen, en de maturiteit van de organisatie op het gebied van AI. Een gefaseerde aanpak, beginnend met basisintegraties en evoluerend naar meer agentic systemen, is vaak aan te bevelen.

2.4. Hardware- en Infrastructuur Vereisten

De hardware- en infrastructuurvereisten voor GAI-implementaties variëren aanzienlijk, afhankelijk van of men kiest voor een on-premise oplossing of gebruikmaakt van cloud-gebaseerde platformen, en van de schaalgrootte en complexiteit van de GAI-modellen die worden ingezet (bijvoorbeeld voor training, fine-tuning of inferentie).

Concrete specificaties voor on-premise implementaties:

Het on-premise trainen en fine-tunen van grote taalmodellen (LLM’s) stelt aanzienlijke eisen aan de hardware, met name aan GPU-geheugen (VRAM), systeem-RAM, CPU-kracht en opslagcapaciteit.

GPU-vereisten:

• Voor het trainen van een 7 miljard (7B) parameter model: minimaal 4 GPU’s met elk 16GB VRAM (bijv. NVIDIA RTX 3090/4090, of A100 40GB). Idealiter 2-4 A100 40GB GPU’s.36

• Voor het trainen van een 70 miljard (70B) parameter model: minimaal 16 GPU’s met elk 40GB VRAM (bijv. NVIDIA A100 40GB). Idealiter 32 A100 40GB GPU’s.36 De geheugenbehoefte voor full precision (FP32) training is ongeveer 280GB, en voor mixed precision (FP16) ongeveer 140GB.36

• Voor fine-tuning van een 70B model (bijv. Llama 3.1 70B):

• Volledige fine-tuning (16-bit precisie): vereist circa 672GB VRAM.37

• LoRA (Low-Rank Adaptation) fine-tuning (16-bit precisie): vereist circa 146GB VRAM.37 Dit kan met minimaal 8 GPU’s met 40GB VRAM of 4 GPU’s met 80GB VRAM.36

• QLoRA (Quantized LoRA) fine-tuning (8-bit precisie): vereist circa 88GB VRAM.37

• QLoRA (4-bit precisie): vereist circa 46GB VRAM.37

• Voor inferentie met een 70B model (FP16): circa 168GB VRAM (modelgewichten) plus KV cache, wat kan oplopen tot meer dan 430GB totaal VRAM afhankelijk van batchgrootte en sequentielengte.37

RAM (Systeemgeheugen):

• Training 7B model: Minimaal 128GB.36

• Training 70B model: Minimaal 256GB, idealiter 512GB.36

• Fine-tuning 70B model: Minimaal 256GB.36

• Fine-tuning 7B/8B model: Minimaal 32GB (voor lichte workloads met quantisatie), aanbevolen 64GB of meer.36

• CPU: High-core count CPU’s (bijv. AMD Threadripper, Intel Xeon) zijn nodig voor data preprocessing en het ondersteunen van de training/fine-tuning processen.36 Voor kleinere modellen volstaan multi-core CPU’s zoals AMD Ryzen 7/9 of Intel Core i7/i9.36

Opslag:

• Datasets voor training van 7B modellen: ~1-5TB; voor 70B modellen: ~10-20TB.36

• Model checkpoints: ~500GB (7B) tot ~2TB+ (70B).36

• Snelle NVMe SSD’s worden aanbevolen voor datasetopslag en model checkpoints (minimaal 1TB voor 7B fine-tuning, minimaal 8TB voor 70B fine-tuning).36

• Networking: Voor gedistribueerde training over meerdere GPU’s of nodes zijn high-speed interconnects zoals NVIDIA NVLink of Infiniband (10Gbps of hoger) essentieel.36

• Stroomvoorziening: Een adequate PSU is nodig, bijvoorbeeld 750W voor een enkele high-end GPU en 1000W+ voor dual GPU setups.36

• Overige: Fysieke servers, ruimte, koelsystemen en personeel voor onderhoud zijn bijkomende vereisten.3

De initiële investering voor on-premise is hoog, en schaalvergroting vereist verdere investeringen en installatietijd.3 Organisaties behouden echter volledige controle over data en hardware.3

Specificaties voor cloud-gebaseerde GAI-platformen (Azure AI, Google Vertex AI, AWS SageMaker):

Cloud providers bieden een breed scala aan virtuele machines en beheerde diensten die geoptimaliseerd zijn voor AI/ML workloads, waardoor de noodzaak voor eigen hardware-investeringen en -beheer wegvalt.3

Compute Opties:

• GPU en TPU Acceleratie: Diensten zoals AWS EC2 GPU Instances (bijv. P4d, P5 instances met 8x A100 GPU’s), Google Cloud TPU’s, en Azure NC-series VM’s bieden high-performance training en inferentie.36 Google Cloud biedt bijvoorbeeld A2 Mega GPU instances.36

• Managed ML Platforms: Platformen zoals Google Vertex AI, AWS SageMaker, en Azure Machine Learning bieden volledig beheerde omgevingen voor het trainen, tunen en deployen van modellen, inclusief features als versiebeheer, experiment tracking en hyperparameter tuning.38 Deze platformen ondersteunen vaak populaire frameworks zoals TensorFlow en PyTorch en kunnen cross-cloud compatibiliteitsproblemen verminderen, hoewel enige provider-specifieke aanpassing vaak nodig blijft.39

• Serverless ML Training & Inferentie: Cloud-native serverless computing (bijv. Google Cloud Run, AWS Lambda, Azure Functions) maakt lichtgewicht model training en inferentie mogelijk zonder infrastructuurbeheer, ideaal voor low-latency taken.38

• Gedistribueerde Training: Cloud-platformen ondersteunen gedistribueerde training voor grootschalige modellen.38

• Opslag: Schaalbare object storage zoals Amazon S3, Azure Blob Storage of Google Cloud Storage wordt gebruikt voor het opslaan van datasets en model artefacten.38

• Networking: Cloud providers bieden high-bandwidth, low-latency networking binnen hun datacenters en tussen regio’s, maar cross-cloud calls kunnen latency toevoegen.39

• Deployment Strategieën:

• Containerized Deployment: Tools zoals Docker, AWS Fargate, Google Cloud Run, en Azure Container Instances maken schaalbare en portable model deployment mogelijk.38

• Kubernetes: Platformen als Google Kubernetes Engine (GKE), Amazon Elastic Kubernetes Service (EKS), en Azure Kubernetes Service (AKS) worden veel gebruikt voor het orkestreren van gecontaineriseerde AI-applicaties.38

• Managed Model Serving: Diensten zoals AWS SageMaker Endpoint, Google AI Platform Prediction, en Azure ML Endpoint optimaliseren resourcegebruik voor schaalbare model inferentie.38

• Kosten: Cloud biedt een OPEX-model (operationele uitgaven) met betaling naar gebruik, wat initiële kosten verlaagt.3 Spot instances kunnen kosten verder reduceren, maar vereisen fouttolerante workloads.39

Hoewel cloud-oplossingen flexibiliteit en schaalbaarheid bieden, zijn er overwegingen zoals vendor lock-in (bijv. door SageMaker API’s) en datasoevereiniteit.2 De keuze tussen on-premise en cloud (of een hybride model) hangt af van de specifieke use case, budget, prestatie-eisen, en de gevoeligheid van de data die GAI-modellen verwerken of genereren.

Tabel 3: Hardware Specificatievoorbeelden voor On-Premise GAI (Kleinschalige, Middelgrote, Grootschalige Training/Fine-tuning)

SchaalUse Case FocusGPU Aanbeveling (voorbeeld)****Systeem RAM (min.)****NVMe Opslag (min.)****Interconnects (indien van toepassing)****Klein Team / ExperimenteelFine-tuning <7B modellen, inferentie1-2x NVIDIA RTX 4090 (24GB)64-128 GB1-2 TBN.v.t. / PCIeMiddelgroot DepartementaalFine-tuning 7-30B modellen, R&D4-8x NVIDIA A100 (80GB)256-512 GB5-10 TBNVLinkGroot Zakelijk / Volledige HertrainingTraining/fine-tuning >70B modellen, productie16-32+ NVIDIA H100 (80GB)1 TB+20 TB+NVLink, InfiniBand/Ethernet (cluster)

3. Developer Experience (DX)

De integratie van Generatieve AI (GAI) in softwareontwikkelingsprocessen heeft een diepgaande impact op de dagelijkse ervaring van ontwikkelaars. Deze transformatie omvat veranderingen in workflows, potentiële productiviteitswinsten, de noodzaak voor nieuwe vaardigheden zoals prompt engineering, mogelijke weerstand tegen adoptie, en effecten op codekwaliteit en technische schuld.

3.1. Transformatie van Dagelijkse Developer Workflows

GAI-tools veranderen de manier waarop ontwikkelaars hun taken uitvoeren, van het initiële ontwerp tot de uiteindelijke implementatie en onderhoud.

Voor GAI: Ontwikkelaars besteedden significant veel tijd aan het handmatig schrijven van boilerplate code, het doorzoeken van documentatie voor API-gebruik, het formuleren van complexe algoritmen vanaf nul, het schrijven van unit tests voor elke functie, en het handmatig debuggen van code door logs te doorlopen en breakpoints te zetten. Documentatie werd vaak als een tijdrovende, separate taak gezien.

Na GAI:

• Code Generatie: GAI-assistenten zoals GitHub Copilot of Zencoder kunnen snel boilerplate code, CRUD-operaties, API-endpoints en zelfs complexe algoritmen genereren op basis van natuurlijke taalbeschrijvingen of contextuele aanwijzingen.40 Een ontwikkelaar kan bijvoorbeeld vragen om een Python RESTful API-endpoint, en de GAI genereert de basisstructuur.41

• Debugging: GAI-tools kunnen helpen bij het sneller identificeren van bugs door code te analyseren, mogelijke foutoorzaken voor te stellen, en zelfs code-fixes aan te dragen. Dit reduceert de tijd die besteed wordt aan het handmatig doorzoeken van code en logs.

• Documentatie: GAI kan assisteren bij het genereren van code-commentaar, README-bestanden, en API-documentatie, waardoor deze processen minder tijdrovend worden en de consistentie verbetert.

• Unit Testing: GAI kan automatisch unit tests genereren op basis van de code, inclusief edge cases, wat de testdekking verhoogt en tijd bespaart.41 Bijvoorbeeld, voor een e-commerce kortingsfunctie kan GAI tests genereren voor scenario’s met hoge aankoopbedragen, verlopen codes, en ongeldige inputs.41

• Refactoring en Modernisering: GAI-tools kunnen helpen bij het moderniseren van legacy code, bijvoorbeeld door code te vertalen naar een andere taal of door refactoring-suggesties te doen om de codekwaliteit te verbeteren.41 Morgan Stanley gebruikt GAI voor het moderniseren van legacy code.41

• Leren en Kennisdeling: GAI-tools fungeren als interactieve kennisbanken, die ontwikkelaars helpen nieuwe talen, frameworks of bibliotheken sneller te leren door directe voorbeelden en uitleg te bieden.

Case Studies: Verschillende bedrijven rapporteren significante transformaties in hun workflows:

• Microsoft: Interne studies bij Microsoft toonden aan dat softwareontwikkelaars die een GAI-tool gebruikten, productiever waren, vooral recent aangenomen personeel.40

• Shopify: Na de integratie van GitHub Copilot rapporteerde Shopify een reductie van 30% in tijd besteed aan boilerplate code, een algehele productiviteitsstijging van 25% voor ontwikkelaars, en 22% snellere onboarding voor nieuwe ontwikkelaars.42

• Algemeen: Bedrijven melden dat GAI repetitieve, alledaagse taken automatiseert, waardoor werknemers zich kunnen richten op complexer en creatiever werk, wat leidt tot een stimulerende werkomgeving en hogere werktevredenheid.43 Access Holdings Plc meldt dat het schrijven van code nu twee uur duurt in plaats van acht, en chatbots in 10 dagen gelanceerd worden in plaats van drie maanden.43

Deze transformaties leiden tot een verschuiving waarbij ontwikkelaars minder tijd besteden aan routinematige codering en meer aan probleemoplossing op hoger niveau, architecturaal ontwerp en innovatie.

Tabel 4: GAI Impact op Developer Workflow: Voor/Na Scenario’s

Taak****Traditionele Workflow (Voor GAI)****GAI-Ondersteunde Workflow (Na GAI)****CodegeneratieHandmatig schrijven van alle code, inclusief boilerplate.GAI genereert codeblokken, functies op basis van prompts (bijv. Copilot, Windsurf).3DocumentatieHandmatig schrijven/bijwerken van comments, READMEs, API docs.GAI genereert documentatie uit code, stelt commit-berichten voor (bijv. RAG-tools, Copilot).3DebuggingHandmatig zoeken naar fouten, raadplegen van externe bronnen.GAI analyseert fouten, stelt oplossingen voor, haalt relevante info op (bijv. Windsurf Terminal Chat, RAG).3Leren/OnderzoekZoeken in documentatie, tutorials.Conversationele GAI legt concepten uit, RAG haalt specifieke kennis op.3Code ReviewVolledig handmatig, focus op logica, stijl, bugs.GAI pre-reviewt code, identificeert issues, checkt standaarden (bijv. Copilot Code Review, Tabnine Agent).10

3.2. Potentiële Productiviteitswinsten

De inzet van GAI-tools in softwareontwikkeling belooft aanzienlijke productiviteitswinsten. Diverse studies en bedrijfsrapportages wijzen op significante verbeteringen in verschillende ontwikkelingsactiviteiten.

Metrieken en Studies:

• Een studie van McKinsey & Company (2023) rapporteerde een gemiddelde stijging van 55% in de productiviteit van ontwikkelaars bij het gebruik van GAI-codeerassistenten.42 Dit is een aanzienlijke sprong vergeleken met traditionele programmeerhulpmiddelen die doorgaans winsten van 15-20% lieten zien.42

• Deze productiviteitsboost manifesteert zich in:

• 31% reductie in tijd voor het voltooien van standaard programmeertaken.42

• 47% snellere debugging en foutoplossing.42

• 73% verbetering in de snelheid van documentatiegeneratie.42

• GitHub’s interne studies over Copilot ondersteunen deze bevindingen, en stellen dat ontwikkelaars die Copilot gebruiken taken 55% sneller voltooien. Voor repetitieve coderingstaken meldt 96% van de ontwikkelaars dat ze deze significant sneller afronden.42

• Deloitte Insights (2023) meldt een gemiddelde reductie van 27% in de totale ontwikkelingskosten bij organisaties die GAI implementeren. Dit is het gevolg van:

• Gereduceerde ontwikkeltijd voor standaard features (41% tijdsbesparing).42

• Lagere bug rate in initiële code (33% minder bugs).42

• Minder QA- en testresources benodigd (29% reductie).42

• Efficiëntere kennisoverdracht en onboarding (44% sneller).42

• Een studie van de Universiteit van Stanford naar een GAI-chathulp (gebaseerd op GPT-3 technologie) bij een groot softwarebedrijf toonde aan dat klantenservicemedewerkers met twee maanden ervaring, met toegang tot de GAI-tool, even goed presteerden als medewerkers zonder de tool met zes maanden ervaring. De tool was het meest behulpzaam bij “matig zeldzame” problemen.40

• Embee, na adoptie van Microsoft Copilot Studio en GitHub Copilot voor codevalidatie en testautomatisering, ervoer een productiviteitsboost van 30% bij ontwikkelaars.43 Andere bedrijven rapporteerden een productiviteitsverhoging van 20% door automatisering van repetitieve taken zoals code-aanvulling.43

Realistische Verwachtingen en Beïnvloedende Factoren:

Hoewel de gerapporteerde cijfers indrukwekkend zijn, is het belangrijk realistische verwachtingen te hebben. De daadwerkelijke productiviteitswinst zal variëren afhankelijk van verschillende factoren 44:

• Team Context en Codebase: De complexiteit en kwaliteit van de bestaande codebase, evenals de ervaring en vaardigheden van het team, spelen een rol.

• Implementatiewijze: Hoe GAI-tools worden geïntegreerd in workflows en hoe ontwikkelaars worden getraind, beïnvloedt de effectiviteit.

• Type Werk: GAI is mogelijk effectiever voor bepaalde taken (bijv. boilerplate code, repetitieve taken) dan voor andere (bijv. complex architecturaal ontwerp).

• Meetmethoden: Traditionele productiviteitsmetrieken vangen mogelijk niet het volledige beeld van de impact van GAI. Het is belangrijk om een gebalanceerde set van indicatoren te gebruiken, inclusief cyclustijd, doorvoer, codekwaliteit en ontwikkelaarstevredenheid.44 Sneller code genereren kan bijvoorbeeld leiden tot grotere pull requests, wat het reviewproces kan vertragen als dit niet goed wordt beheerd.44

Het is cruciaal om verder te kijken dan simpele metrieken en claims van leveranciers. Een datagedreven aanpak, met focus op team-level verbeteringen in plaats van individuele prestaties, is aanbevolen.44

Tabel 5: Potentiële Productiviteitswinst: Metrieken & Benchmarks

OntwikkelactiviteitMetriekGerapporteerde Winst (voorbeeld)****Bron/Studie (voorbeeld)****CodegeneratieTijd tot voltooiing taak; Feature velocity31-55% snellerMcKinsey 12, GitHub 23Unit TestingOntwikkeltijd testscripts; Test coverage40% reductie tijd; 15% meer coverageWu et al. 11DebuggingFoutoplossingstijd; MTTR47% snellerMcKinsey 12DocumentatieSnelheid documentatiegeneratie73% verbeteringMcKinsey 12

3.3. Benodigde Prompt Engineering Vaardigheden

Effectief gebruikmaken van GAI-tools in softwareontwikkeling vereist dat ontwikkelaars vaardigheden ontwikkelen in prompt engineering. Een goed geformuleerde prompt is essentieel om de GAI-modellen te sturen naar het genereren van accurate, relevante en bruikbare output, of het nu gaat om code, documentatie of testgevallen.19

Kernvaardigheden voor ontwikkelaars: 19

• Duidelijkheid en Precisie: Prompts moeten helder en ondubbelzinnig zijn. Ontwikkelaars moeten leren hun intentie exact te formuleren om te voorkomen dat de GAI verkeerde aannames maakt.

• Context Verstrekken: GAI-modellen presteren beter met voldoende context. Dit kan inhouden dat relevante codefragmenten, foutmeldingen, gewenste outputformaten, of specifieke beperkingen (bijv. programmeertaal, codeerstijl) in de prompt worden opgenomen.

• Iteratief Verfijnen: Zelden levert de eerste prompt het perfecte resultaat. Ontwikkelaars moeten bereid zijn om prompts iteratief aan te passen en te verfijnen op basis van de output van het model. Dit is een proces van experimenteren en leren.

• Begrip van Modelcapaciteiten en -beperkingen: Kennis van hoe LLM’s werken, inclusief hun sterke en zwakke punten, helpt bij het formuleren van effectievere prompts. Dit omvat het begrijpen van concepten als token limieten en de neiging van modellen tot “hallucineren”.

• Specifieke Prompting Technieken:

• Zero-shot prompting: Het model een taak geven zonder expliciete voorbeelden, testend op generalisatievermogen.

• Few-shot prompting (in-context learning): Het model enkele voorbeelden (shots) van de gewenste input-output geven om het te sturen.

• Chain-of-Thought (CoT) prompting: Het model voorzien van een stapsgewijze redenering die het kan volgen, wat helpt bij complexere taken en het genereren van nauwkeurigere output.

• “Prompt sandwiches”: Een techniek waarbij context, instructies en voorbeelden gecombineerd worden in de prompt.

• Technische Kennis en Programmeerexpertise: Hoewel GAI helpt bij het coderen, blijft een solide begrip van programmeerprincipes, talen (vooral Python wordt vaak genoemd in relatie tot GAI/LLM’s), datastructuren en algoritmen essentieel om de output van GAI te kunnen beoordelen, debuggen en effectief te integreren.19

• Communicatieve Vaardigheden: Sterke communicatieve vaardigheden zijn nodig om technische concepten effectief over te brengen aan het GAI-model en om de output te interpreteren.19

Belang van Domeinkennis en Kritisch Denken:

Naast technische vaardigheden is domeinkennis cruciaal. Een ontwikkelaar die de businesslogica en de specifieke vereisten van een applicatie begrijpt, kan GAI-tools gerichter aansturen. Kritisch denkvermogen is onmisbaar om de door GAI gegenereerde code te evalueren op correctheid, efficiëntie, veiligheid en onderhoudbaarheid. Ontwikkelaars moeten niet blindelings vertrouwen op de output, maar deze altijd valideren.

Het ontwikkelen van deze prompt engineering vaardigheden is een continu proces, aangezien GAI-modellen en -technieken voortdurend evolueren. Training en het delen van best practices binnen de organisatie zijn hierbij van groot belang.

3.4. Weerstand en Mitigatie strategieën

De introductie van GAI-tools in softwareontwikkeling kan, ondanks de beloofde voordelen, op weerstand stuiten bij ontwikkelaars. Het is belangrijk om deze potentiële weerstandspunten te begrijpen en proactieve mitigatie strategieën te implementeren.

Analyse van potentiële weerstandspunten:

• Angst voor Baanverlies: Een veelvoorkomende zorg is dat GAI-tools menselijke ontwikkelaars zullen vervangen, leidend tot werkloosheid of verminderde baanzekerheid, vooral voor taken die nu geautomatiseerd kunnen worden.45

• Gebrek aan Vertrouwen in Algoritmische Beslissingen: Ontwikkelaars kunnen sceptisch zijn over de kwaliteit, betrouwbaarheid en veiligheid van door GAI gegenereerde code of aanbevelingen.45 De “black box” aard van sommige modellen kan dit wantrouwen versterken.

• Leercurve en Verandering van Werkwijze: Het aanleren van nieuwe tools en vaardigheden, zoals prompt engineering, en het aanpassen aan veranderde workflows kan als een last worden ervaren. Ontwikkelaars kunnen gehecht zijn aan hun bestaande, comfortabele werkwijzen (“habitual comfort zones”).45

• Verlies van Autonomie en Creativiteit: Sommige ontwikkelaars vrezen dat GAI hun creatieve vrijheid beperkt of dat ze verworden tot “prompt-schrijvers” in plaats van “code-bouwers”.

• Zorgen over Ethische Implicaties: Kwesties rondom bias in GAI-modellen, intellectueel eigendom van gegenereerde code, en de verantwoordelijkheid voor fouten kunnen tot terughoudendheid leiden.

• Gebrek aan Duidelijkheid over het Doel: Als de organisatie niet helder communiceert waarom GAI wordt geïmplementeerd en hoe het de dagelijkse werkzaamheden zal beïnvloeden, kan dit onzekerheid en weerstand veroorzaken.45

Mitigatie strategieën:

Een succesvolle adoptie van GAI vereist een sterke verandermanagement strategie die de zorgen van ontwikkelaars adresseert.45

• Transparante Communicatie en Duidelijke Visie: Communiceer openlijk over de redenen voor GAI-implementatie, de verwachte voordelen (zowel voor de organisatie als voor de ontwikkelaars), en de impact op workflows.45 Koppel de GAI-strategie aan bedrijfsdoelstellingen en gebruikersvoordelen.45

• Educatie en Training: Bied uitgebreide trainingen aan om ontwikkelaars vertrouwd te maken met GAI-tools en de benodigde vaardigheden, zoals prompt engineering.45 Workshops, e-learning modules en mentoring kunnen hierbij helpen.45

• Betrokkenheid en Participatie (Early Stakeholder Involvement): Betrek ontwikkelaars vroegtijdig bij het selectie-, test- en implementatieproces van GAI-tools. Hun input en feedback zijn waardevol en bevorderen een gevoel van eigenaarschap.45

• Herdefiniëren van Rollen en Benadrukken van Waardetoevoeging: Positioneer GAI als een hulpmiddel dat repetitieve en minder uitdagende taken automatiseert, waardoor ontwikkelaars zich kunnen richten op complexere, strategische en creatieve aspecten van softwareontwikkeling.45 Benadruk taakautomatisering, niet rolautomatisering.45

• Aanbieden van Bij- en Omscholing (Reskilling/Upskilling): Investeer in programma’s die ontwikkelaars helpen nieuwe vaardigheden te ontwikkelen die complementair zijn aan GAI, en wijs op nieuwe carrièremogelijkheden.45

• Creëren van een Veilige Experimenteeromgeving: Sta ontwikkelaars toe om in een veilige omgeving te experimenteren met GAI-tools zonder angst voor negatieve consequenties bij fouten.

• Start Klein en Demonstreer Voordelen: Begin met pilotprojecten in niet-kritieke gebieden om de voordelen van GAI tastbaar te maken en succesverhalen te creëren die bredere acceptatie kunnen stimuleren.46

• Feedbackkanalen Inrichten: Bied ontwikkelaars mogelijkheden om feedback te geven, zorgen te uiten en suggesties te doen voor het verbeteren van het GAI-proces. Dit kan via open forums of anonieme feedbackformulieren.45

• Aanpassen van Prestatiemetingen: Als GAI taken automatiseert die voorheen werden gebruikt om prestaties te meten (bijv. aantal geschreven regels code), update dan de prestatiecriteria naar aspecten als kwaliteit, samenwerking of gebruikerstevredenheid.45

• Bouwen aan Vertrouwen in AI: Wees transparant over hoe AI-modellen werken, minimaliseer bias, en zorg voor menselijk toezicht. Regelmatige audits en ethische richtlijnen kunnen het vertrouwen versterken.45

Door deze strategieën toe te passen, kunnen organisaties weerstand verminderen en een omgeving creëren waarin ontwikkelaars GAI omarmen als een waardevolle aanvulling op hun vaardigheden en workflows.

3.5. Impact op Codekwaliteit, Onderhoudbaarheid en Technische Schuld

De integratie van GAI-tools in het softwareontwikkelingsproces heeft een tweeledige impact op codekwaliteit, onderhoudbaarheid en de accumulatie van technische schuld. Hoewel GAI kan bijdragen aan verbeteringen, zijn er ook potentiële nadelen waarmee rekening gehouden moet worden.

Positieve Impact:

• Verbeterde Codeconsistentie: GAI-tools kunnen helpen bij het handhaven van een consistente codeerstijl en het volgen van best practices, vooral als ze goed zijn geconfigureerd of getraind op de specifieke richtlijnen van een organisatie.

• Snellere Detectie van Fouten: Sommige GAI-tools kunnen assisteren bij het vroegtijdig opsporen van bugs en kwetsbaarheden, wat leidt tot een hogere initiële codekwaliteit. IBM Research (2023) rapporteerde een 41% gemiddelde reductie in kritieke defecten bij organisaties die GAI gebruiken.42 Dit kan komen door consistentere codegeneratie, geautomatiseerde testsuggesties en betere patroonherkenning voor kwetsbaarheden.42

• Automatisering van Refactoring: GAI kan suggesties doen voor code refactoring, waardoor de interne structuur van de code wordt verbeterd zonder de externe functionaliteit te wijzigen. Dit kan helpen om technische schuld te verminderen.47 AI-gestuurde tools kunnen miljoenen regels code scannen op problematische patronen zoals redundante code of hoge cyclomatische complexiteit.48

• Verbeterde Documentatie: GAI kan helpen bij het genereren en up-to-date houden van technische documentatie en code-commentaar, wat de onderhoudbaarheid ten goede komt.48 Dit vermindert het risico van kennissilo’s.

• Automatisering van Testen: GAI kan unit tests en andere testscripts genereren, wat leidt tot een betere testdekking en vroegtijdige foutdetectie.47

Negatieve Impact en Risico’s:

• Genereren van Suboptimale of Foutieve Code: GAI-modellen zijn getraind op enorme hoeveelheden bestaande code, die zelf ook fouten en suboptimale patronen kan bevatten. GAI kan deze “slechte” patronen repliceren, wat leidt tot code die functioneel lijkt maar moeilijk te onderhouden, inefficiënt of zelfs onveilig is.49

• Gebrek aan Contextueel Begrip: Hoewel GAI syntactisch correcte code kan genereren, mist het vaak een diepgaand begrip van de specifieke applicatiecontext, de deploymentomgeving en de overkoepelende architecturale vereisten. Dit kan leiden tot code die niet goed integreert of onvoorziene neveneffecten heeft.50

• Verhoogde Technische Schuld door “Vibe Coding”: Het concept van “Vibe Coding”, waarbij ontwikkelaars sterk leunen op AI voor het genereren van code op basis van hoog-niveau commando’s, kan leiden tot snelle initiële ontwikkeling maar ook tot een snelle accumulatie van technische schuld.49 De gegenereerde code kan functioneel zijn voor de directe use case maar broos, moeilijk te schalen en te onderhouden op de lange termijn.49 Dit wordt vergeleken met het nemen van een lening met hoge rente tegen de toekomstige gezondheid van de codebase.49

• “Black Box” Probleem en Verminderd Begrip: Als ontwikkelaars GAI-gegenereerde code implementeren zonder deze volledig te begrijpen (“implementation without understanding”), ontstaat er een “comprehension gap”.50 Dit maakt debuggen, onderhouden en aanpassen in de toekomst lastiger en verhoogt het risico dat kwetsbaarheden onopgemerkt blijven.

• Over-reliance en Verlies van Vaardigheden: Overmatig vertrouwen op GAI kan leiden tot een afname van de diepgaande codeervaardigheden van ontwikkelaars, wat op termijn de algehele kwaliteit en innovatiekracht kan ondermijnen.

• Mogelijk Lagere Kwaliteit van Reviews: Als GAI leidt tot significant grotere pull requests, kan dit de kwaliteit van code reviews verminderen als reviewers de hoeveelheid code niet adequaat kunnen beoordelen.44

Beheer van Technische Schuld met GAI:

AI-gedreven tools kunnen helpen technische schuld te identificeren en te kwantificeren door codebases te analyseren op complexiteit, verouderde dependencies en onderhoudsgevoelige componenten.48 Machine learning algoritmen kunnen voorspellen welke delen van een systeem waarschijnlijk bottlenecks worden.48 Sommige tools kunnen technische schuld zelfs in financiële termen kwantificeren, wat helpt bij het prioriteren van reductie-inspanningen.48

Conclusie:

De impact van GAI op codekwaliteit, onderhoudbaarheid en technische schuld is niet eenduidig positief. Hoewel GAI kan bijdragen aan verbeteringen door automatisering van refactoring, documentatie en testen, brengt het ook risico’s met zich mee zoals de generatie van suboptimale code en de versnelling van technische schuld door ondoordacht gebruik. Een gebalanceerde aanpak is cruciaal: GAI inzetten voor snelle prototyping en routinetaken, maar altijd met menselijk toezicht, grondige code reviews (mogelijk met AI-assistentie voor de reviewer), en een focus op het begrijpen en valideren van de gegenereerde code. Het is essentieel om technische schuld als onderdeel van de “Definition of Done” op te nemen en een deel van elke sprint te alloceren aan het adresseren ervan.47

4. Security Engineering (Shift-Left)

De integratie van Generatieve AI (GAI) in softwareontwikkeling brengt nieuwe beveiligingsuitdagingen met zich mee. Een “Shift-Left” benadering, waarbij beveiligingsoverwegingen zo vroeg mogelijk in de ontwikkelingscyclus worden geïntegreerd, is cruciaal om deze risico’s te beheersen. Dit omvat het adresseren van specifieke kwetsbaarheden in GAI-gegenereerde code, het implementeren van tegenmaatregelen tegen prompt injection, het evalueren van de beveiliging van model-gegenereerde code, het ontwerpen van beveiligde CI/CD-pipelines en het opstellen van adequate incidentrespons procedures.

4.1. Beveiligingsrisico’s van GAI-gegenereerde Code en Mitigatie

GAI-tools, hoewel productiviteitsverhogend, kunnen onbedoeld beveiligingsrisico’s introduceren in de codebase.

Specifieke Risico’s:

• Introductie van Kwetsbaarheden: GAI-modellen worden getraind op enorme datasets code, die inherent ook kwetsbare code en onveilige programmeerpatronen bevatten. De GAI kan deze patronen repliceren zonder de beveiligingsimplicaties te begrijpen, leidend tot de introductie van bekende kwetsbaarheden zoals SQL-injectie, Cross-Site Scripting (XSS), of onveilige dataverwerking.50 Een studie wees uit dat 40% van door GitHub Copilot gegenereerde code beveiligingslekken bevatte.23

• Hardcoded Secrets: GAI-modellen kunnen per ongeluk hardcoded secrets, API-sleutels of zwakke encryptie in de gegenereerde code opnemen, vooral als dergelijke patronen in de trainingsdata aanwezig waren.52

• Onvolledig Contextbewustzijn: GAI mist vaak context over de specifieke beveiligingsvereisten van de applicatie of de deployment omgeving, wat kan leiden tot code die functioneel correct is maar contextueel onveilig.50

• Gebrek aan Begrip bij Implementatie: Ontwikkelaars die GAI-gegenereerde code implementeren zonder deze volledig te doorgronden, kunnen kwetsbaarheden over het hoofd zien.50

• OWASP Top 10 voor LLM Applicaties: De OWASP Foundation heeft een specifieke Top 10 lijst voor LLM-applicaties gepubliceerd, die risico’s zoals “Insecure Output Handling” (LLM05) en “Sensitive Information Disclosure” (LLM06) benoemt, wat direct relevant is voor GAI-gegenereerde code die mogelijk onveilig output produceert of gevoelige informatie lekt die het tijdens de interactie heeft verwerkt.53 “Training Data Poisoning” (LLM04) kan ook leiden tot modellen die inherent onveilige code genereren.53

Shift-Left Mitigatie strategieën:

• Security by Design: Integreer beveiligingsoverwegingen vanaf de ontwerpfase van software die met GAI wordt ontwikkeld. Dit omvat het definiëren van beveiligingseisen voor GAI-gegenereerde componenten.

• Training van Ontwikkelaars: Train ontwikkelaars in het herkennen van veelvoorkomende kwetsbaarheidspatronen in AI-gegenereerde code en in het veilig prompten van GAI-modellen (bijv. expliciet vragen om veilige code).50

• AI-Specifieke Code Review Processen: Implementeer grondige code reviews specifiek gericht op GAI-gegenereerde code. Dit kan inhouden dat de review eerst focust op security aspecten voordat functionaliteit wordt beoordeeld.50

• Geautomatiseerde Security Scanning (SAST/DAST): Integreer Static Application Security Testing (SAST) en Dynamic Application Security Testing (DAST) tools vroeg in de CI/CD-pipeline om GAI-gegenereerde code te scannen op bekende kwetsbaarheden.50 Traditionele SAST-tools moeten mogelijk worden aangepast of aangevuld met tools die de nuances van AI-gegenereerde code beter begrijpen.55

• Feedback Loop: Creëer processen om geïdentificeerde kwetsbaarheden in GAI-gegenereerde code terug te koppelen naar de GAI-modellen (indien mogelijk via fine-tuning of prompt-aanpassingen) en naar de documentatie en training van ontwikkelaars.50

• Gebruik van Gespecialiseerde Tools: Overweeg tools zoals Armur, die claimen LLM’s te gebruiken om unieke kwetsbaarheidspatronen in AI-gegenereerde code te detecteren, wat verder gaat dan traditionele SAST.56

Door deze shift-left praktijken toe te passen, kunnen organisaties de beveiligingsrisico’s van GAI-gegenereerde code proactief beheren en de algehele veiligheid van hun softwareproducten verbeteren.

Tabel 6: GAI-Specifieke Beveiligingsrisico’s & Mitigatietechnieken

RisicoBeschrijvingVoorbeeld CWEs/OWASP LLM Top 10****Mitigatiestrategieën (Shift-Left Focus)****Generatie van Onveilige Code PatronenGAI genereert code met bekende kwetsbaarheden (bijv. SQLi, XSS) door training op onveilige data of vage prompts.CWE-89, CWE-79, CWE-20; OWASP LLM05 (Improper Output Handling)Veilige prompt engineering, SAST/DAST in IDE & CI/CD, training ontwikkelaars, security-specifieke prompts.99Hardgecodeerde GeheimenGAI suggereert of genereert code met ingebedde API-sleutels, wachtwoorden, etc.CWE-798; OWASP LLM02 (Sensitive Information Disclosure)Secrets scanning tools in CI/CD, training ontwikkelaars, output filtering.106Prompt Injectie leidend tot Kwetsbare CodeKwaadaardige prompts manipuleren GAI om onveilige code te genereren.OWASP LLM01 (Prompt Injection)Input validatie/sanering voor prompts, contextuele scheiding, robuuste systeem prompts, monitoring.116Overmatig Vertrouwen op GAI leidend tot Gemiste KwetsbaarhedenOntwikkelaars accepteren blindelings GAI-code zonder grondige review, waardoor kwetsbaarheden over het hoofd worden gezien.Algemene codekwaliteit en beveiligingsrisico’sVerplichte menselijke code reviews voor GAI-code, training in kritische evaluatie, “human-in-the-loop”.102Modelvergiftiging die Codebeveiliging BeïnvloedtTrainingsdata of modelparameters worden gemanipuleerd, waardoor GAI consistent onveilige code suggereert.OWASP LLM04 (Data and Model Poisoning)Validatie van trainingsdata, model validatie, monitoring van modelgedrag, input filtering.16

4.2. Tegenmaatregelen voor Prompt Injection en Monitoringstrategieën

Prompt injection is een significante beveiligingsdreiging voor GAI-systemen, waarbij een aanvaller de Large Language Model (LLM) manipuleert door middel van misleidende input (prompts) om ongewenste of ongeautoriseerde acties uit te voeren.57 Dit kan leiden tot het lekken van vertrouwelijke informatie, het genereren van valse content, of het verstoren van de beoogde functie van het model.58

Uitleg van Prompt Injection Aanvallen:

• Direct Prompt Injection: De aanvaller voert expliciet een kwaadaardige prompt in het inputveld van de AI-applicatie, met als doel de door de ontwikkelaar ingestelde systeeminstructies te overschrijven.58

• Indirect Prompt Injection: Kwaadaardige instructies zijn verborgen in externe databronnen die de AI raadpleegt (bijv. een gecompromitteerde webpagina of document).58

• Code Injection (via Prompts): Een aanvaller injecteert uitvoerbare code in de prompt van een LLM om de respons te manipuleren of ongeautoriseerde acties uit te voeren, zoals het misbruiken van een LLM-aangedreven e-mailassistent voor toegang tot gevoelige berichten.58

• Payload Splitting: Een kwaadaardige prompt wordt opgesplitst in meerdere inputs die, wanneer gezamenlijk verwerkt, de aanval uitvoeren.58

• Template Manipulation: Een kwaadaardige prompt dwingt een LLM om zijn vooraf gedefinieerde structuur te wijzigen, waardoor onbeperkte gebruikersinvoer mogelijk wordt.58

• Fake Completion: De aanvaller voegt vooraf ingevulde antwoorden in die het model misleiden, waardoor het de oorspronkelijke instructies negeert.58

Praktische Tegenmaatregelen en Monitoring: 57

In de context van softwareontwikkeling, waar GAI wordt gebruikt voor bijvoorbeeld codegeneratie, kunnen de volgende tegenmaatregelen praktisch worden geïmplementeerd:

Input Validatie en Sanitisatie:

• Definieer verwachte inputstructuren voor prompts (bijv. voor codegeneratie: functienaam, beschrijving).

• Implementeer filters om kwaadaardige inputpatronen te detecteren (ongebruikelijk lange prompts, nabootsing van systeemprompts, bekende injectiepogingen).

• Gebruik eventueel secundaire ML-modellen om prompts te analyseren op injectiesignalen.

• Sanitizeer speciale karakters en keywords die modelgedrag kunnen manipuleren.

Monitoring en Logging:

• Log alle prompts en gegenereerde outputs (bijv. code) voor analyse en detectie van misbruik.

• Implementeer real-time monitoring op ongebruikelijke patronen (pieken in requests, verdachte keywords, afwijkende gegenereerde code).

• Gebruik LLM observability platforms (bijv. Helicone) voor alerts en geavanceerde analyse.57

Contextuele Scheiding (Parameterization):

• Structureer prompts om systeeminstructies (bijv. codeerstijl, taal) duidelijk te scheiden van gebruikersverzoeken, bijvoorbeeld met delimiters.

• Onderzoek “structured queries” waarbij gebruikersinput wordt omgezet naar een gestructureerd formaat, wat de afhankelijkheid van vrije natuurlijke taalinterpretatie voor kritieke instructies vermindert.

Interne Prompt Engineering:

• Geef expliciete en herhaalde instructies in de systeemprompt over de rol, het verwachte gedrag en de beperkingen van het model (bijv. “genereer alleen code binnen scope X”).

• Voeg “zelfherinneringen” toe die het model aansporen tot verantwoordelijk gedrag (bijv. “respecteer privacy”).

• Gebruik unieke delimiters om vertrouwd systeemprompt-materiaal te scheiden van onvertrouwde gebruikersinput.

Toegangscontrole (Access Control):

• Pas het principe van de minste privileges (Principle of Least Privilege) toe op GAI-modellen, zodat ze geen toegang hebben tot onnodige resources of acties in de ontwikkelomgeving.

• Beheer welke gebruikers of rollen interactie mogen hebben met het GAI-model voor codegeneratie.

Versioning en Testen:

• Houd het GAI-model up-to-date met de nieuwste versies en security patches.

• Implementeer versiebeheer voor prompts en prompt templates.

• Voer regelmatig penetratietesten (red teaming) uit, specifiek gericht op prompt injection in codegeneratie workflows.

• Test alle door GAI gegenereerde code robuust en geautomatiseerd om kwaadaardige of incorrecte code te detecteren.

Door deze strategieën gelaagd toe te passen, kan het risico op prompt injection bij het gebruik van GAI voor softwareontwikkeling significant worden verminderd. Continue monitoring en aanpassing aan nieuwe dreigingen blijven essentieel.

4.3. Framework voor Evaluatie van Beveiliging van Model-gegenereerde Code

Voordat door GAI gegenereerde code wordt geïmplementeerd, is een grondige evaluatie van de beveiliging ervan noodzakelijk. Dit vereist een gestructureerd framework dat zowel de code zelf als de context waarin deze wordt gebruikt, in beschouwing neemt.

Methoden voor Beoordeling:

• Threat Modeling voor AI-Agenten (bijv. MAESTRO): Frameworks zoals MAESTRO (Agentic AI Threat Modeling Framework) bieden een gestructureerde, gelaagde aanpak om risico’s over de gehele AI-levenscyclus te identificeren, beoordelen en mitigeren. Dit gaat verder dan traditionele methoden door de specifieke kwetsbaarheden binnen elke laag van de architectuur van een AI-agent en hun interacties te analyseren.59 Hoewel PASTA (Process for Attack Simulation and Threat Analysis) waardevol is, vereist het aanpassingen om de unieke risico’s van AI-agenten, zoals datavergiftiging of gemanipuleerde doelen, te modelleren.59 Risico’s zoals gecompromitteerde pre-trained modellen, kwetsbaarheden in ML-bibliotheken, en gebrek aan herkomsttracking voor trainingsdata moeten worden geadresseerd.59

• Benchmarks voor Code Security (bijv. SecCodePLT): Gespecialiseerde benchmarks zoals SecCodePLT zijn ontworpen om de beveiligingsrisico’s van door LLM’s gegenereerde code te evalueren. SecCodePLT beoordeelt zowel het potentieel van een model om onveilige code te genereren (“insecure coding”) als zijn nut bij cyberaanvallen (“cyberattack helpfulness”).60 Dergelijke benchmarks gebruiken vaak een combinatie van door experts gecreëerde en automatisch gegenereerde prompts die gericht zijn op specifieke CWE (Common Weakness Enumeration) contexten. De evaluatie kan bestaan uit het meten van de weigeringsgraad van het model om aanvalscode te genereren en, indien gegenereerd, het succespercentage van de aanval in een reële omgeving.60

• Handmatige Code Review met AI-focus: Ontwikkelaars en security-experts moeten GAI-gegenereerde code reviewen met specifieke aandacht voor patronen die vaak in AI-code voorkomen, zoals directe stringconcatenatie in queries, ontbrekende inputvalidatie, en te permissieve foutafhandeling.50 Het trainen van reviewers om deze AI-gegenereerde anti-patronen te herkennen is cruciaal.50 Het kan effectief zijn om de traditionele reviewvolgorde om te draaien: eerst beveiliging, dan functionaliteit.50

• Iteratief Prompten voor Beveiliging: Een techniek is om eerst functionele code te vragen en vervolgens in een vervolgprompt te vragen om beveiligingskwetsbaarheden in die code te identificeren en te repareren. Dit bootst een security review proces na en kan significant veiligere resultaten opleveren.50

Gebruik van SAST/DAST Tools Aangepast voor AI-gegenereerde Code:

• Static Application Security Testing (SAST): SAST-tools analyseren broncode (of gecompileerde versies) zonder deze uit te voeren, op zoek naar patronen die duiden op kwetsbaarheden.61 Ze gebruiken vooraf gedefinieerde regels gebaseerd op beveiligingsstandaarden zoals OWASP Top Ten of CWE/SANS Top 25.62

• Aanpassing voor AI-code: Traditionele SAST-oplossingen zijn ontworpen voor door mensen geschreven code. Met de opkomst van AI-gegenereerde code moeten SAST-tools en -methodologieën evolueren om de nuances van deze code, die significant kan verschillen, te begrijpen en effectief te analyseren.55 De inherente link tussen de trainingsdata van AI-modellen (die vaak kwetsbare code bevat) en de output betekent dat SAST een kritische rol speelt.55 Tools zoals Aikido SAST, Codiga, en CoGuard bieden SAST-functionaliteit, waarbij sommige 56 claimen geavanceerde LLM’s te gebruiken om unieke kwetsbaarheidspatronen in AI-gegenereerde code te detecteren.56

• Dynamic Application Security Testing (DAST): DAST-tools testen de applicatie terwijl deze draait, door de blootgestelde interfaces (webpagina’s, API’s) te sonderen op zwakheden die aanvallers kunnen exploiteren.62 Enlightn is een voorbeeld van een tool die DAST (naast SAST en IAST) combineert voor Laravel PHP applicaties.61

• Aanpassing voor AI-code: Hoewel DAST de code niet direct analyseert, is het essentieel om de runtime gedragingen van applicaties die GAI-gegenereerde componenten bevatten te testen op onverwachte beveiligingsproblemen.

Een effectief evaluatieframework combineert geautomatiseerde analyse met deskundige menselijke beoordeling, en maakt gebruik van zowel statische als dynamische testmethoden, aangepast aan de specifieke kenmerken en risico’s van GAI-gegenereerde code.

4.4. Ontwerp van een Beveiligde CI/CD-pipeline met GAI

Het integreren van Generatieve AI (GAI) in de softwareontwikkeling, met name voor codegeneratie, vereist dat de Continuous Integration/Continuous Delivery (CI/CD) pipeline wordt versterkt met GAI-specifieke beveiligingscontroles. Het doel is om beveiliging (“Sec”) te verankeren in de DevOps-praktijk (DevSecOps), waarbij GAI-gegenereerde code net zo rigoureus, zo niet rigoureuzer, wordt getoetst als handgeschreven code.

Integratie van GAI-specifieke Beveiligingscontroles:

De CI/CD-pipeline automatiseert het bouwen, testen en deployen van software.63 Bij het gebruik van GAI moeten extra stappen worden toegevoegd:

• Source Composition Analysis (SCA): Analyseer broncode en afhankelijkheden op bekende kwetsbaarheden, ook in de door GAI voorgestelde of gebruikte bibliotheken.64 Tools zoals OWASP Dependency-Check, Snyk, en Black Duck scannen projectafhankelijkheden.65

• Static Application Security Testing (SAST) voor GAI-code: Integreer SAST-tools die (idealiter) zijn aangepast om patronen te herkennen die specifiek zijn voor GAI-gegenereerde code. Deze tools analyseren de broncode op kwetsbaarheden voordat deze wordt gecompileerd of uitgevoerd.64 Voorbeelden van SAST-tools zijn SonarQube en Checkov (voor IaC).65 Deze stap is cruciaal omdat AI-gegenereerde code kwetsbaarheden kan overerven van de trainingsdata.55

• Scanning van Container Images: Als GAI-gegenereerde applicaties in containers worden verpakt, scan dan de images op kwetsbaarheden met tools zoals Trivy.65

• Dynamic Application Security Testing (DAST): Integreer DAST-tools om de applicatie in een testomgeving te draaien en te controleren op runtime kwetsbaarheden die mogelijk door GAI-code zijn geïntroduceerd.64

• Beveiliging van Secrets: Implementeer strikte procedures voor het beheer van secrets (API-sleutels, wachtwoorden). Voorkom dat GAI-tools secrets hardcoderen in de code. Gebruik secrets management tools en scan op gelekte secrets.63

• Vulnerability Management: Zorg voor een proces om geïdentificeerde kwetsbaarheden (zowel in GAI-code als andere code) te prioriteren en te mitigeren.63

• Automated Policy Checks: Voorkom misconfiguraties door geautomatiseerde beleidscontroles, eventueel met policy-as-code frameworks zoals OPA (Open Policy Agent).52

Best Practices voor het Beveiligen van de CI/CD-pipeline zelf in een GAI-context:

De CI/CD-pipeline is een kritiek bedrijfsmiddel en moet zelf ook beveiligd worden, zeker wanneer GAI-tools ermee interacteren of code eraan leveren.

• Toegangscontrole (Access Control): Implementeer het principe van de minste privileges (PoLP) voor alle gebruikers en systemen die toegang hebben tot de pipeline, inclusief GAI-tools of -agenten die code committen of deployments triggeren.63 Gebruik sterke authenticatie en autorisatie.

• Beveiligde Omgevingsconfiguraties: Zorg ervoor dat de build-, test- en deploymentomgevingen veilig zijn geconfigureerd. Beperk toegang en permissies, gebruik beveiligde en gecentraliseerde methoden voor omgevingsvariabelen, en houd alle componenten up-to-date.63

• Regelmatige Updates van Dependencies en Tools: Houd alle tools, bibliotheken, frameworks en container images in de CI/CD-keten up-to-date met de laatste security patches.64

• Threat Modeling voor de Pipeline: Analyseer de CI/CD-pipeline zelf op potentiële aanvalsvectoren, zoals het injecteren van kwaadaardige code in de build-proces of het manipuleren van GAI-tool configuraties.64

• Continue Monitoring: Monitor de CI/CD-pipeline en de deployed applicaties continu op verdachte activiteiten, ongeautoriseerde toegangspogingen en indicatoren van compromittering.64

• Scheiding van Verantwoordelijkheden (Separation of Duties): Zorg ervoor dat verschillende individuen of teams verantwoordelijk zijn voor verschillende stadia van de pipeline om ongeautoriseerde wijzigingen en insider threats te verminderen.64

• Security Cultuur: Bevorder een cultuur van beveiligingsbewustzijn en -educatie binnen de ontwikkelteams. Train hen op secure coding practices, CI/CD security principes, en het belang van het naleven van beveiligingsbeleid, ook bij het werken met GAI.64

Door deze controles en best practices te implementeren, kan een organisatie een robuuste en beveiligde CI/CD-pipeline opzetten die geschikt is voor de uitdagingen en kansen die GAI in softwareontwikkeling met zich meebrengt.

4.5. Incidentrespons Procedures voor GAI-specifieke Beveiligingsproblemen

De unieke aard van Generatieve AI (GAI) introduceert specifieke beveiligingsincidenten, zoals modelvergiftiging, geavanceerde prompt injection aanvallen, en datalekken via Large Language Models (LLM’s). Bestaande incidentrespons (IR) plannen moeten worden aangepast om effectief op deze GAI-specifieke dreigingen te kunnen reageren. Een gestructureerde aanpak, vaak gebaseerd op frameworks zoals die van NIST of SANS, blijft essentieel.67

Aanpassing van Incident respons Plannen voor GAI-incidenten:

De typische fasen van incidentrespons (Voorbereiding, Identificatie, Inperking, Uitroeiing, Herstel, Lessen Geleerd) blijven relevant, maar de invulling ervan vereist GAI-specifieke overwegingen.67

Voorbereiding (Preparation):

• Risicoanalyse: Identificeer GAI-specifieke risico’s zoals datavergiftiging (manipulatie van trainingsdata om kwetsbaarheden of backdoors te introduceren) 54, prompt injection (misbruik van LLM-input om ongewenst gedrag te ontlokken) 58, en datalekken (blootstelling van gevoelige data via LLM-outputs of door interacties).54

• Tooling: Zorg voor tools die GAI-specifieke anomalieën kunnen detecteren, zoals ongebruikelijke modelgedragingen of verdachte prompts.

• Expertise: Bouw of verkrijg expertise in GAI-beveiliging en forensische analyse van AI-systemen.

• Playbooks: Ontwikkel specifieke IR playbooks voor GAI-incidenten, bijvoorbeeld hoe te reageren op een vermoeden van modelvergiftiging of een succesvolle prompt injection die leidt tot data-exfiltratie.

Identificatie (Identification):

• Monitoring: Implementeer monitoring specifiek voor GAI-systemen. Dit omvat het loggen van prompts, outputs, modelgedrag, en trainingsdata (herkomst en transformaties).54

• Anomaliedetectie: Gebruik technieken om afwijkend gedrag van het GAI-model te detecteren dat kan wijzen op vergiftiging (bijv. plotselinge daling in prestaties, genereren van biased of schadelijke output) of misbruik door prompt injection (bijv. pogingen om systeeminstructies te overschrijven).54

• Alerting: Stel alerts in voor verdachte activiteiten, zoals een piek in vreemde of repetitieve prompts.57

Inperking (Containment):

• Isolatie van het Model: Afhankelijk van het incident, kan het nodig zijn het GAI-model (tijdelijk) offline te halen of de toegang ertoe te beperken om verdere schade te voorkomen. Bijvoorbeeld, bij een datalek via een LLM, kan het nodig zijn de interactie met de betreffende databronnen te verbreken.

• Blokkeren van Kwaadaardige Inputs: Bij prompt injection, identificeer en blokkeer de bronnen van de kwaadaardige prompts of implementeer strengere inputfilters.

• Quarantaine van Verdachte Data: Als modelvergiftiging wordt vermoed, isoleer de verdachte trainingsdata of het gecompromitteerde modelsegment.57

Uitroeiing (Eradication):

• Verwijderen van Backdoors/Manipulaties: Bij modelvergiftiging is het doel de geïntroduceerde kwetsbaarheden, backdoors of biases te verwijderen. Dit kan betekenen dat het model opnieuw getraind moet worden met gevalideerde, schone data, of dat een eerdere, niet-gecompromitteerde versie van het model hersteld moet worden.54 Data version control (DVC) is hierbij cruciaal.54

• Versterken van Prompts/Filters: Na een prompt injection incident, verfijn de systeemprompts, inputvalidatie en outputfilters om herhaling te voorkomen.57

• Patching van Kwetsbaarheden: Adresseer eventuele onderliggende softwarekwetsbaarheden in de GAI-applicatie of infrastructuur die de aanval mogelijk maakten.

Herstel (Recovery):

• Herstel van Systemen: Herstel de GAI-systemen naar een bekende, veilige operationele staat. Dit kan het deployen van een gereinigd of opnieuw getraind model inhouden.

• Validatie: Test grondig of het herstelde systeem correct en veilig functioneert voordat het volledig opnieuw in productie wordt genomen.

• Monitoring na Herstel: Intensiveer de monitoring na een incident om eventuele restanten van de aanval of nieuwe pogingen snel te detecteren.

Lessen Geleerd (Lessons Learned):

• Post-Incident Analyse: Voer een grondige analyse uit van het GAI-specifieke incident: wat was de root cause (bijv. onvoldoende inputvalidatie, kwetsbare trainingsdata)? Hoe effectief was de respons?

• Update IR Plan en Playbooks: Werk het IR-plan en de GAI-specifieke playbooks bij op basis van de geleerde lessen.

• Verbeter Preventieve Maatregelen: Versterk preventieve maatregelen zoals data-validatie, model-auditing, en training van ontwikkelaars en gebruikers over GAI-risico’s.54

• Deel Kennis: Deel de geleerde lessen (geanonimiseerd indien nodig) binnen de organisatie en eventueel met de bredere security community.

Specifieke aandachtspunten voor GAI-incidenten:

• Modelvergiftiging: Detectie kan lastig zijn, vooral bij “sleeper agent” backdoors die pas na een specifieke trigger actief worden.54 Het traceren van de bron van de vergiftigde data is cruciaal. Preventie door strenge dataprovenance en validatie is key.54

• Prompt Injection: De variëteit aan mogelijke injectietechnieken maakt volledige preventie moeilijk.57 Een gelaagde verdediging met inputvalidatie, outputmonitoring, contextuele scheiding en robuuste interne prompt engineering is nodig.57

• Datalekken via LLM’s: LLM’s kunnen onbedoeld gevoelige informatie uit hun trainingsdata of uit gebruikersinteracties lekken. Incidentrespons moet zich richten op het identificeren van de gelekte data, het inperken van de verspreiding, en het aanpassen van het model of de dataverwerking om toekomstige lekken te voorkomen. Technieken zoals Retrieval-Augmented Generation (RAG) en grounding kunnen helpen hallucinaties en ongegronde output te verminderen.54

Een proactieve en adaptieve incidentresponsstrategie, die rekening houdt met de unieke kenmerken van GAI, is essentieel voor het veilig benutten van deze technologie.

4.6. Implicaties van Agentic AI voor de Secure Software Development Lifecycle (SSDLC)

De opkomst van agentic AI, systemen die autonoom taken kunnen uitvoeren en beslissingen nemen binnen de softwareontwikkeling, heeft diepgaande implicaties voor de Secure Software Development Lifecycle (SSDLC). Het traditionele SSDLC-framework moet worden aangepast om de nieuwe mogelijkheden en risico’s die agentic AI introduceert, te adresseren.

Impact op Rollen en Processen:

• Secure Code Developer: De rol van de ontwikkelaar verschuift. Met agentic AI die potentieel grote delen van de code schrijft, debugt of test, moeten ontwikkelaars vaardiger worden in het specificeren van beveiligingseisen aan deze agenten, het reviewen van AI-gegenereerde code op subtiele kwetsbaarheden, en het begrijpen hoe agenten beslissingen nemen.69 Ze worden meer “AI-begeleiders” en “security validators” dan pure code-schrijvers.

• Security Architect: Architecten moeten nieuwe beveiligingspatronen ontwerpen voor systemen die agentic AI-componenten bevatten. Dit omvat het definiëren van veilige interactieprotocollen tussen agenten (A2A), het beveiligen van de tools en API’s die agenten gebruiken, en het ontwerpen van architecturen die de “blast radius” van een gecompromitteerde agent beperken. Ze moeten rekening houden met de autonomie van agenten en hoe deze de aanvalsvlakken van een systeem kan veranderen.

• Security Code Review: Het reviewen van code die door agentic AI is gegenereerd, vereist nieuwe benaderingen. Traditionele reviewprocessen zijn mogelijk niet afdoende voor de schaal en complexiteit van AI-gegenereerde code. Er is behoefte aan tools die helpen bij het identificeren van door AI geïntroduceerde kwetsbaarheden en het valideren van de logica van de agent.69 De focus kan verschuiven van het controleren van elke regel code naar het valideren van het gedrag en de output van de agent tegenover gedefinieerde beveiligingsspecificaties.

• Teststrategieën: Teststrategieën moeten evolueren om de autonomie en het potentieel onvoorspelbare gedrag van agentic AI te adresseren. Dit omvat:

• Adversarial Testing: Het testen van agenten met onverwachte of kwaadaardige inputs om hun robuustheid en veiligheidsmechanismen te evalueren.

• Behavioral Testing: Focussen op het waargenomen gedrag van de agent in verschillende scenario’s, in plaats van alleen de code.

• Simulation Environments: Het gebruik van gesimuleerde omgevingen om het gedrag van agenten veilig te testen in complexe interacties.

• Monitoring en Runtime Verification: Continue monitoring van agentgedrag in productie om afwijkingen van verwacht en veilig gedrag te detecteren.

• Threat Modeling: Threat modeling moet worden uitgebreid met scenario’s die specifiek zijn voor agentic AI, zoals het compromitteren van de doelen van een agent, het manipuleren van zijn leerproces, of het misbruiken van zijn autonome capaciteiten voor kwaadaardige doeleinden.

Nieuwe Aanvalsvectoren en Mitigatie strategieën specifiek voor Agentic Systemen:

Agentic AI introduceert nieuwe aanvalsvectoren die verder gaan dan traditionele software kwetsbaarheden:

• Goal Hijacking: Een aanvaller manipuleert de doelen of instructies van een agent, waardoor deze ongewenste acties uitvoert.

• Mitigatie: Robuuste inputvalidatie voor alle instructies aan agenten, monitoring van agentgedrag op afwijkingen van verwachte doelen, en mechanismen voor menselijke interventie en override.

• Data Poisoning van Leerprocessen: Als agenten leren van hun omgeving of interacties, kan een aanvaller dit leerproces vergiftigen met kwaadaardige data, leidend tot onveilig of bevooroordeeld gedrag.69

• Mitigatie: Strenge validatie van alle data die wordt gebruikt voor het (bij)trainen van agenten, gebruik van vertrouwde databronnen, en technieken voor anomaliedetectie in het leergedrag.

• Misbruik van Autonome Capaciteiten: De mogelijkheid van agenten om autonoom acties uit te voeren (bijv. API-calls, systeemaanpassingen) kan worden misbruikt als een agent gecompromitteerd is.

• Mitigatie: Principe van de minste privileges voor agenten, strikte toegangscontrole tot API’s en systemen, rate limiting, en audit trails van alle acties die door agenten worden uitgevoerd.

• Complexe Interacties en Emergent Behavior: In multi-agent systemen kunnen onvoorziene en potentieel onveilige gedragingen ontstaan uit de complexe interacties tussen agenten.

• Mitigatie: Grondige simulatie en testen van multi-agent interacties, formele verificatiemethoden waar mogelijk, en het ontwerpen van duidelijke coördinatie- en conflictresolutiemechanismen.

• Security van de Agent Zelf: De agent (het model, de code, de configuratie) is zelf een doelwit. Kwetsbaarheden in het LLM, de agent-frameworks of de onderliggende infrastructuur kunnen worden uitgebuit.69

• Mitigatie: Regelmatige security audits van de agent-software, patching, en het beveiligen van de infrastructuur waarop de agent draait.

De integratie van agentic AI in de SSDLC vereist een proactieve en adaptieve benadering van beveiliging. Het is niet langer voldoende om alleen de code te beveiligen; het gedrag, de besluitvorming, en de interacties van autonome agenten moeten centraal staan in de beveiligingsstrategie. Continue monitoring, robuuste governance en het ontwikkelen van expertise in AI-veiligheid zijn essentieel.

5. Privacy Engineering & GDPR/AVG

Bij de implementatie van Generatieve AI (GAI) in softwareontwikkeling is het waarborgen van privacy en het voldoen aan de Algemene Verordening Gegevensbescherming (AVG, of GDPR in het Engels) van het grootste belang. Dit vereist een proactieve benadering van privacy engineering, beginnend met een grondige Data Protection Impact Assessment (DPIA), het toepassen van privacy-preserving technieken, het hanteren van strikte dataminimalisatie, het voldoen aan archiveringsvereisten en het respecteren van de rechten van betrokkenen.

5.1. Uitvoeren van een Data Protection Impact Assessment (DPIA) voor GAI-implementatie

Een DPIA is een proces om de privacyrisico’s van een project te beschrijven, beoordelen en beheren, en om compliance met de AVG aan te tonen.70 Voor GAI-systemen, die vaak als hoog-risico verwerkingen worden beschouwd, is een DPIA doorgaans verplicht.71

Stapsgewijze Handleiding voor DPIA voor GAI in Softwareontwikkeling:

Gebaseerd op algemene DPIA-richtlijnen 70 en GAI-specifieke overwegingen 72:

Identificeer de noodzaak voor een DPIA:

• Beoordeel of de GAI-verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van individuen. De AVG noemt specifieke gevallen, zoals systematische en uitgebreide evaluatie van persoonlijke aspecten (profilering), grootschalige verwerking van gevoelige data, of grootschalige systematische monitoring van openbare ruimten.71 De European Data Protection Board (EDPB) geeft criteria voor hoog-risico verwerking.72

• GAI-specifiek: De inzet van GAI, zeker met nieuwe technologieën en potentieel ondoorzichtige modellen, valt vaak onder de criteria die een DPIA vereisen.72 Raadpleeg de Data Protection Officer (DPO).

Beschrijf de verwerkingsoperaties:

• Data-inventarisatie: Identificeer welke data wordt verzameld (broncode, prompts, gebruikersdata, trainingsdata), waarom, en wie erbij betrokken is.70 Dit omvat de gehele datastroom van input tot output van het GAI-systeem.

• GAI-systeem functionaliteit: Beschrijf gedetailleerd het doel, de input (trainingsdata, prompts), de verwerking (algoritmes, modelarchitectuur) en de output (gegenereerde code, tekst, etc.) van het GAI-systeem.72

• Betrokken partijen: Identificeer alle interne teams en externe leveranciers.72

Beoordeel de noodzaak en proportionaliteit:

• Rechtvaardig waarom de GAI-verwerking noodzakelijk is voor het beoogde doel in softwareontwikkeling.70

• Overweeg of er minder privacy-invasieve alternatieven zijn om hetzelfde doel te bereiken.72

• Zorg voor een duidelijke definitie van het verwerkingsdoel en documenteer dit.73

Identificeer en beoordeel de risico’s voor de rechten en vrijheden van betrokkenen:

• Algemene privacyrisico’s: Datalekken, ongeautoriseerde toegang, verlies van data-integriteit, etc..72

• GAI-specifieke risicofactoren:

• Bias in trainingsdata: Trainingsdata kan vooroordelen bevatten die door het GAI-model worden overgenomen en versterkt, leidend tot discriminerende of oneerlijke output (bijv. in gegenereerde code of aanbevelingen).

• “Hallucinaties” en onnauwkeurigheden: GAI-systemen kunnen feitelijk incorrecte of onzinnige informatie genereren, wat negatieve gevolgen kan hebben afhankelijk van de toepassing in softwareontwikkeling.72

• Intellectueel eigendom (IP): Trainingsdata kan auteursrechtelijk beschermd materiaal bevatten, en de output van GAI zou bestaande IP-rechten kunnen schenden.72 Dit is relevant als broncode als trainingsdata wordt gebruikt.

• Privacyrisico’s van trainingsdata: Trainingsdata (bijv. open-source code repositories) kan onbedoeld persoonsgegevens bevatten (namen van ontwikkelaars in commit logs, e-mailadressen in commentaar). Het GAI-model zou deze informatie kunnen lekken of heridentificeren in zijn output.72

• Gebrek aan transparantie en uitlegbaarheid (Explainability): De “black box” aard van sommige GAI-modellen maakt het moeilijk te begrijpen waarom specifieke output wordt gegenereerd, wat risicobeheer bemoeilijkt. Dit is een uitdaging voor de informatieplicht onder de AVG.73

• Ongeautoriseerde PII-verwerking: Werknemers die GAI-systemen gebruiken (zoals ChatGPT) voor het analyseren van klantdata, kunnen onbedoeld PII delen met de GAI-provider, wat een GDPR-overtreding kan zijn.74

Identificeer maatregelen om de risico’s aan te pakken (mitigatie):

• Technische maatregelen: Encryptie, pseudonimisering, anonimisering, toegangscontrole, beveiligde opslag, privacy-preserving technieken (zie sectie 5.2).72

• Organisatorische maatregelen: Beleid, procedures, training, DPO-betrokkenheid, leveranciersbeoordelingen.72

• GAI-specifieke mitigatiemaatregelen:

• Zorgvuldige dataselectie en filtering voor training: Identificeer en verwijder (of anonimiseer/pseudonimiseer) persoonsgegevens en bias uit trainingsdatasets.

• Bias detectie- en mitigatietechnieken: Gebruik methoden om bias in GAI-output te detecteren en te verminderen.

• Transparantiemechanismen: Streef naar uitlegbaarheid van GAI-beslissingen waar mogelijk.

• Menselijk toezicht en review: Implementeer menselijke reviewprocessen voor kritische GAI-outputs, zoals gegenereerde code die in productie gaat.

• Duidelijke gebruiksrichtlijnen: Definieer acceptabel gebruik voor GAI-tools binnen de softwareontwikkeling.

• Feedbackmechanismen: Stel kanalen in voor gebruikers om problemen met GAI-output te melden.

Documenteer de DPIA:

• Leg het gehele proces, de bevindingen, beslissingen en genomen maatregelen vast in een DPIA-rapport.70 Dit dient als bewijs van accountability onder de AVG.73

Raadpleeg de Autoriteit Persoonsgegevens (indien nodig):

• Als de DPIA uitwijst dat er ondanks mitigatiemaatregelen een hoog restrisico blijft bestaan, moet de Autoriteit Persoonsgegevens (AP) worden geraadpleegd voordat de verwerking start.71

Review en update de DPIA:

• Een DPIA is een levend document en moet periodiek worden herzien en bijgewerkt, vooral als de GAI-verwerking, de context of de risico’s veranderen.70 Dit is met name relevant voor de snel evoluerende GAI-technologie.72

Door deze stappen te volgen, kunnen organisaties de privacyrisico’s van GAI-implementaties in softwareontwikkeling systematisch adresseren en voldoen aan de AVG-vereisten.

Tabel 7: DPIA Checklist voor GAI in Softwareontwikkeling

FaseKernvragen/Acties voor GAIGDPR Artikel (ref.)****ProjectinitiatieIs een DPIA vereist (hoog risico, nieuwe technologie, PII in code)? Definieer scope van GAI-gebruik.Art. 35(1), 35(3)Beschrijving VerwerkingWelke PII (in code, prompts, logs) wordt verwerkt? Wie zijn betrokkenen? Wat zijn de doelen (codegeneratie, analyse)? Hoe wordt data opgeslagen/beveiligd/gedeeld? Bewaartermijnen?Art. 35(7)aNoodzaak/ProportionaliteitWaarom is GAI nodig voor dit doel? Zijn er minder privacy-invasieve alternatieven? Is de dataverwerking proportioneel?Art. 35(7)bRisico-InventarisatieRisico’s van datalekken (prompts, model output), model memorisatie van gevoelige code, bias in GAI-output, ongeautoriseerde toegang tot PII in code, heridentificatie?Art. 35(7)cMitigerende MaatregelenWelke privacy-preserving technieken (masking, anonimisering)? Encryptie? Toegangscontrole? Veilige prompt engineering? Data minimalisatie? Reviewprocessen voor GAI-output?Art. 35(7)dConsultatieIs de DPO geraadpleegd? Moeten betrokkenen (ontwikkelaars, eindgebruikers) worden geraadpleegd?Art. 35(2), 35(9)Documentatie & ReviewZijn alle bevindingen, beslissingen en maatregelen gedocumenteerd? Plan voor periodieke review van de DPIA.Art. 35(7), 35(11)

5.2. Privacy-Preserving Technieken (PETs) voor Code met Gevoelige Data Referenties

Wanneer Generatieve AI (GAI) wordt toegepast op broncode die mogelijk Persoonlijk Identificeerbare Informatie (PII) of andere gevoelige data bevat of ernaar verwijst (bijv. in commentaar, configuratiebestanden, of testdata), is het essentieel om Privacy-Preserving Technieken (PETs) in te zetten. Deze technieken helpen de privacy te beschermen terwijl de bruikbaarheid van de data voor GAI-modellen behouden blijft. PETs kunnen data beschermen gedurende hun hele levenscyclus: in opslag, tijdens transport en gedurende verwerking.

Toepasbare PETs voor Broncode Analyse en Generatie:

Data Masking en Tokenization/Pseudonimisering:

Data Masking: Vervangt gevoelige data in de broncode (bijv. echte klantnamen, IP-adressen in logvoorbeelden) door niet-gevoelige, fictieve maar structureel vergelijkbare data.76 Dit stelt GAI-modellen in staat om de structuur en context van de code te leren zonder toegang tot de daadwerkelijke gevoelige informatie.

Tokenization/Pseudonimisering: Vervangt directe identificatoren (zoals e-mailadressen van ontwikkelaars in commit-logs of API-sleutels in configuratievoorbeelden) door pseudoniemen of tokens.75 De link naar de originele data wordt apart en beveiligd opgeslagen, indien nodig voor specifieke, geautoriseerde doeleinden. Dit minimaliseert de blootstelling van PII tijdens training of analyse door GAI.

Anonymisering:

Gaat verder dan pseudonimisering door PII zodanig te verwijderen of te wijzigen dat individuen niet langer redelijkerwijs identificeerbaar zijn.75 Voor broncode kan dit betekenen dat alle verwijzingen naar specifieke personen, systemen of vertrouwelijke projectdetails worden gegeneraliseerd of verwijderd voordat de code wordt gebruikt voor GAI-training. Dit is een kernprincipe van de AVG.74

Differential Privacy:

Voegt een wiskundig berekende hoeveelheid ruis toe aan datasets of aan de output van queries op datasets, zodat de bijdrage van een individueel datarecord (bijv. een specifieke code-commit met auteursinformatie) niet kan worden onderscheiden, terwijl de algehele statistische eigenschappen van de dataset behouden blijven. Dit kan relevant zijn bij het trainen van GAI-modellen op grote codebases om te voorkomen dat het model specifieke, mogelijk privacygevoelige, codefragmenten of patronen van individuele ontwikkelaars “onthoudt” en reproduceert. Het toepassen van differential privacy bij het fine-tunen van LLM’s op broncode kan helpen de privacy te beschermen.78

Homomorfe Encryptie:

Maakt het mogelijk om berekeningen (zoals statistische analyses of zelfs bepaalde machine learning algoritmen) direct op versleutelde data uit te voeren, zonder de data eerst te hoeven ontsleutelen. Hoewel computationeel intensief, kan dit in theorie worden toegepast op (versleutelde) broncode-eigenschappen tijdens de analysefase van GAI, zodat de GAI-provider de eigenlijke code nooit in leesbare vorm ziet. Dit is met name relevant voor secure cloud computing en privacy-preserving machine learning.76

Federated Learning:

Een machine learning aanpak waarbij een GAI-model wordt getraind op meerdere gedecentraliseerde datasets (bijv. verschillende private code repositories) zonder de ruwe data uit te wisselen of te centraliseren. Alleen model-updates of -parameters worden gedeeld. Dit kan nuttig zijn als meerdere partijen willen samenwerken aan het trainen van een GAI-model op hun respectievelijke codebases zonder hun IP of gevoelige data direct te delen. Studies tonen aan dat federated learning vergelijkbare prestaties kan leveren als gecentraliseerde training met betere databescherming, hoewel het risico op het memoriseren van specifieke codefragmenten niet volledig wordt geëlimineerd.79

Secure Multi-Party Computation (SMPC):

Stelt meerdere partijen in staat om gezamenlijk een functie over hun inputs te berekenen (bijv. een GAI-model trainen of een analyse uitvoeren) terwijl die inputs privé blijven voor de andere partijen.76 Dit is relevant als verschillende organisaties hun code-gerelateerde data willen gebruiken voor een GAI-project zonder de data zelf te onthullen.

Data Encryptie (At Rest en In Transit):

Alle broncode en gerelateerde data die gevoelige informatie bevat, moet zowel tijdens opslag (at rest) als tijdens overdracht (in transit) sterk versleuteld worden met robuuste algoritmes (bijv. AES, RSA) en adequaat sleutelbeheer.75 Dit is een basisvereiste.

Implementatieoverwegingen:

De keuze en implementatie van PETs hangen af van de specifieke GAI-toepassing, de gevoeligheid van de data in de broncode, de vereiste nauwkeurigheid van het GAI-model, en de beschikbare resources. Een combinatie van technieken is vaak het meest effectief. Het is cruciaal om een “privacy-by-design” benadering te hanteren, waarbij privacyoverwegingen vanaf het begin worden meegenomen in het ontwerp van GAI-systemen die met broncode werken. Het minimaliseren van de verzamelde data (zie volgende sectie) is altijd de eerste stap.

5.3. Dataminimalisatiestrategieën voor GAI Model Training en Gebruik

Dataminimalisatie is een fundamenteel privacyprincipe, verankerd in de AVG (Artikel 5(1)(c)), dat stelt dat persoonsgegevens adequaat, ter zake dienend en beperkt moeten zijn tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt.82 Dit principe is direct van toepassing op de training en het gebruik van GAI-modellen, vooral wanneer broncode of gerelateerde data (zoals commit-logs, issue trackers) wordt gebruikt die PII of gevoelige bedrijfsinformatie kan bevatten.

Concrete strategieën voor dataminimalisatie:

Doelbinding en Noodzakelijkheids beoordeling:

• Definieer het doel scherp: Voordat data wordt verzameld voor GAI-training of -gebruik, moet het specifieke doel helder gedefinieerd zijn.73 Bijvoorbeeld, als een GAI-model wordt getraind om code te genereren in een specifieke taal, is het wellicht niet nodig om code in andere talen of uitgebreide commit-historie van niet-relevante projecten te gebruiken.

• Beoordeel de noodzaak per datadeel: Voor elk type data (bijv. broncodebestanden, commentaarregels, metadata) dat wordt overwogen voor training of input, stel de vraag: “Is deze data strikt noodzakelijk om het gedefinieerde doel te bereiken?”.82 Kan het doel ook bereikt worden zonder deze specifieke data, of met een geaggregeerde of geanonimiseerde versie ervan?

Minimalisatie bij Verzameling (Input voor Training/Fine-tuning):

• Selectieve datacollectie: Verzamel alleen die delen van de broncode of softwareartefacten die direct relevant zijn voor de taak van het GAI-model. Als het model bijvoorbeeld getraind wordt op het genereren van UI-componenten, focus dan op UI-gerelateerde code en vermijd backend-logica die PII kan bevatten.

• Verwijder PII en gevoelige data vooraf: Voordat broncode wordt gebruikt voor training, pas technieken toe zoals:

• Handmatige of geautomatiseerde redactie: Verwijder namen, e-mailadressen, API-sleutels, wachtwoorden, IP-adressen, en andere gevoelige informatie uit code, commentaar, en configuratiebestanden.

• Anonimisering/Pseudonimisering: Pas PETs toe zoals beschreven in sectie 5.2 om identificatoren te vervangen of te verwijderen.74

• Gebruik van synthetische data: Waar mogelijk, overweeg het genereren van synthetische broncode die de statistische eigenschappen en patronen van echte code nabootst, maar geen echte PII of gevoelige bedrijfslogica bevat. Dit is vooral nuttig als de hoeveelheid “schone” echte data beperkt is.

• Focus op relevante code-eigenschappen: In plaats van volledige codebestanden te gebruiken, extraheer alleen de relevante structurele eigenschappen, patronen of abstracties die het model moet leren, en laat de specifieke data-instanties achterwege.

Minimalisatie tijdens Gebruik (Input voor Inferentie/Prompts):

• Beperk context in prompts: Instrueer gebruikers om alleen de minimaal noodzakelijke informatie en codefragmenten in prompts te verstrekken. Vermijd het plakken van grote hoeveelheden code die PII of gevoelige details bevatten, tenzij strikt noodzakelijk en met

5.3.1 Privacy-Bevorderende Technieken voor Code AnalyseHet toepassen van privacy-bevorderende technieken op broncode voordat deze door GAI wordt verwerkt, is cruciaal. GAI-modellen, met name LLM’s, kunnen delen van hun trainings- of invoerdata onthouden en onbedoeld lekken. Dit vormt een proactieve verdediging tegen de accidentele blootstelling van bedrijfseigen logica of ingebedde gevoelige data. Broncode kan gevoelige informatie bevatten (bedrijfseigen algoritmen, PII, geheimen).132 GAI-modellen, met name LLM’s, kunnen delen van hun input/trainingsdata onthouden en reproduceren.140 Als gevoelige broncode rechtstreeks aan GAI wordt gevoerd (voor analyse, aanvulling, enz.), bestaat het risico dat deze informatie wordt gelekt of misbruikt. Daarom moeten privacy-bevorderende technieken (masking, anonimisering, encryptie) worden toegepast op de code voordat deze door GAI wordt verwerkt. Dit minimaliseert de footprint van gevoelige data die aan het GAI-model wordt blootgesteld, waardoor privacyrisico’s worden verminderd.

Omgaan met Broncode met Gevoelige Data Referenties (PII, geheimen, bedrijfseigen logica):

• Datamasking/Tokenization: Vervang gevoelige data-elementen binnen codefragmenten die aan GAI worden gevoerd door niet-gevoelige placeholders of tokens vóór analyse.89

• De-identificatie/Anonimisering/Pseudonimisering: Verwijder of wijzig identificatoren in code om koppeling aan specifieke individuen of systemen te voorkomen.89

• Veilige Input Interfaces: Gebruik GAI-tools die code lokaal of binnen een veilige, geïsoleerde omgeving verwerken indien mogelijk, vooral voor zeer gevoelige code.

• Technieken voor Privacy-Bevorderende GAI Analyse/Training (indien van toepassing op code analyse modellen):

• Homomorfe Encryptie: Maakt berekeningen (bijv. analyse door GAI) op versleutelde code mogelijk, zodat de GAI-dienst de platte tekst code nooit ziet.140

• Differentiële Privacy: Voeg ruis toe aan code-inputs of model-outputs/updates om reconstructie van specifieke gevoelige codefragmenten of identificatie van individuele bijdragen te voorkomen, vooral bij het aggregeren van inzichten uit meerdere codebases.140

• Federated Learning: Indien een aangepast code analyse model wordt getraind op code uit meerdere (mogelijk private) repositories, maakt FL lokale training op elke repository mogelijk, waarbij alleen modelupdates worden gedeeld, niet de ruwe code.140

• Secure Multi-Party Computation (MPC): Maakt gezamenlijke analyse van code door meerdere partijen mogelijk zonder hun individuele code aan elkaar te onthullen.140

5.3.2 Strategieën voor Dataminimalisatie voor GAIDataminimalisatie voor GAI in softwareontwikkeling is een continu proces, geen eenmalige oplossing. Het is van toepassing op initiële modeltrainings-/fine-tuningdata, de prompts die ontwikkelaars dagelijks gebruiken, en de codefragmenten die met GAI-tools worden gedeeld. Dit vereist zowel technische maatregelen als voortdurende training van ontwikkelaars. GDPR benadrukt dataminimalisatie.143 GAI-modellen kunnen leren van alle data waaraan ze worden blootgesteld (training en prompts).140 Daarom is het minimaliseren van data-blootstelling in beide stadia cruciaal. Voor training/fine-tuning: zorgvuldig cureren en saneren van bedrijfseigen code.145 Voor prompts: train ontwikkelaars om beknopt te zijn en het overmatig delen van gevoelige context te vermijden.139 Deze dubbele focus vermindert het risico-oppervlak voor accidentele datalekken of model memorisatie van gevoelige informatie.

Voor Modeltraining en Fine-Tuning (vooral met bedrijfseigen code):

• Verzamel/gebruik alleen de noodzakelijke codefragmenten of features die nodig zijn voor de specifieke trainingstaak.89

• Anonimiseer of pseudonimiseer code vóór training: verwijder PII, bedrijfseigen commentaar of specifieke identificatoren die niet relevant zijn voor de leertaak.89

• Indien fine-tuning op bedrijfseigen code, gebruik alleen de minimale subset van code die de gewenste stijl of functionaliteit illustreert.145 OpenAI suggereert dat fine-tuning kortere prompts met minder voorbeelden kan gebruiken.145

• Stel strikte dataretentiebeleidsregels op voor trainingsdatasets die bedrijfseigen code bevatten.142

• Voor Prompts en Codefragmenten tijdens Gebruik:

• Train ontwikkelaars om alleen de minimaal noodzakelijke context (codefragmenten, foutmeldingen) in prompts op te nemen.89 Vermijd het plakken van grote, irrelevante codeblokken of gevoelige bestanden.

• Gebruik enterprise AI-plannen die standaard niet trainen op inputdata.139

• Implementeer client-side of gateway-level filtering/masking van gevoelige informatie uit prompts voordat deze naar GAI-modellen worden gestuurd, indien mogelijk.

• Blokkeer of waarschuw gebruikers voor riskante prompts die mogelijk buitensporige of gevoelige data bevatten.139

5.4. Registratievereisten onder GDPR voor GAI-SystemenVoor GAI-gegenereerde code krijgt “code herkomst” een nieuwe betekenis. De registratie moet nu niet alleen traceren welke menselijke ontwikkelaar code heeft gecommit, maar ook welk GAI-model, welke versie en welke prompt hebben bijgedragen aan de generatie ervan, en welke mens dit heeft beoordeeld/goedgekeurd. Dit is essentieel voor accountability, debugging en het aanpakken van potentiële IP- of beveiligingsproblemen die voortvloeien uit GAI-code. GDPR Art. 30 vereist registers van verwerkingsactiviteiten.147 Het gebruik van GAI om code te genereren is een verwerkingsactiviteit. Als persoonsgegevens in prompts of codefragmenten staan, of als ontwikkelaarsactiviteit wordt gelogd, is GDPR van toepassing. Traditionele code herkomst koppelt code aan een menselijke auteur. Met GAI is de “auteur” een combinatie van het GAI-model, de prompter en de menselijke reviewer. Daarom moet de registratie deze nieuwe, complexere herkomstketen vastleggen om accountability en traceerbaarheid te waarborgen, vooral als er problemen ontstaan met de GAI-gegenereerde code.

In lijn met Artikel 30 GDPR: Registers van verwerkingsactiviteiten (RvVA) bijhouden voor GAI-toolgebruik.146

Specifieke Registers voor GAI in Softwareontwikkeling:

• GAI Tool/Model Inventaris: Naam van GAI-tool/model, provider, versie, gebruiksdoel.

• Verwerkte Data: Categorieën van data input voor GAI (bijv. broncodefragmenten, prompts, ontwikkelaarsqueries) en output door GAI (bijv. gegenereerde code, documentatie, analyserapporten). Specificeer of PII betrokken is.144

• Doel van Verwerking: bijv. codegeneratie voor X module, debuggen van Y issue, documenteren van Z API.147

• Wettelijke Grondslag: Gedocumenteerde wettelijke grondslag voor de verwerking van eventuele betrokken persoonsgegevens.144

• Code Herkomst/Menselijk Toezicht: Logs die aangeven welke ontwikkelaar GAI-codegeneratie heeft geïnitieerd, welke prompts zijn gebruikt, het gegenereerde codefragment, en bewijs van menselijke review en goedkeuring/wijziging vóór integratie.43 Dit is cruciaal voor accountability.

• Toegangslogs: Wie had toegang tot GAI-tools/modellen en wanneer.144

• Datadeling: Details over het delen van GAI-gerelateerde data met derden (bijv. modelproviders) en datatransferwaarborgen indien van toepassing.147

• Beveiligingsmaatregelen: Beschrijving van technische en organisatorische maatregelen om data verwerkt door GAI te beschermen.147

• Bewaartermijnen: Voor prompts, outputs, logs en eventuele verwerkte PII.144

5.5. Rechten van Betrokkenen: Implicaties voor GAI in OntwikkelingHet gebruik van publiek beschikbare code (bijv. van GitHub) voor het trainen van GAI-modellen creëert een aanzienlijke spanning tussen de drang naar capabelere AI en individuele rechten van betrokkenen, met name het recht op verwijdering en het recht op informatie. Organisaties die GAI-tools gebruiken die op dergelijke data zijn getraind, of die hun eigen code bijdragen aan dergelijke datasets, moeten zich bewust zijn van deze potentiële aansprakelijkheden. GAI-modellen worden getraind op enorme datasets, vaak inclusief publiek beschikbare broncode.151 Deze broncode kan PII van ontwikkelaars bevatten.137 GDPR verleent betrokkenen rechten over hun PII, inclusief verwijdering.152 Als de PII-beladen code van een ontwikkelaar in een trainingsset zit, kan het uitoefenen van het recht op verwijdering technisch zeer uitdagend zijn voor de modelprovider (hoe “vergeet” je specifieke data?). Dit creëert een juridische en ethische uitdaging voor zowel modelmakers als gebruikers van dergelijke modellen. Organisaties moeten de herkomst van de GAI-modellen die ze gebruiken en de implicaties voor de rechten van betrokkenen overwegen.

• Code van Ontwikkelaars als PII: Door ontwikkelaars geschreven code kan PII bevatten (namen in commentaar, unieke codeerstijlen die een persoon kunnen identificeren, etc.).137 Als deze code wordt gebruikt om GAI-modellen te trainen, zijn GDPR-rechten van toepassing.

• Recht op Verwijdering (Artikel 17): Als code van ontwikkelaars die hun PII bevat, wordt gebruikt bij het trainen van GAI-modellen, kunnen zij het recht hebben om de verwijdering ervan te verzoeken.45 Dit kan complex zijn als de data diep is ingebed in een getraind model.

De EDPB-opinie merkt de moeilijkheid op van echte anonimiteit in AI-modellen.155

Verwijdering is mogelijk niet van toepassing als verwerking noodzakelijk is voor archiveringsdoeleinden in het algemeen belang, wetenschappelijk/historisch onderzoek, of statistische doeleinden, indien verwijdering de doelstellingen onmogelijk zou maken of ernstig zou belemmeren (Art 17(3)(d) GDPR 154). Dit zou een argument kunnen zijn van modeltrainers, maar vereist zorgvuldige juridische beoordeling.

• Recht op Informatie (Artikelen 12-14): Ontwikkelaars moeten worden geïnformeerd als hun code (die PII bevat) wordt gebruikt voor GAI-training.152

• Recht op Toegang (Artikel 15): Ontwikkelaars kunnen het recht hebben op toegang tot informatie over hoe hun PII-bevattende code wordt verwerkt door GAI-modellen.152

• Recht op Rectificatie (Artikel 16): Als PII in code die voor training wordt gebruikt onjuist is.152

• Recht op Bezwaar (Artikel 21): Ontwikkelaars kunnen bezwaar maken tegen het gebruik van hun PII-bevattende code voor training, vooral als dit gebaseerd is op gerechtvaardigde belangen.152

• Recht op Beperking van Verwerking (Artikel 18): Van toepassing in bepaalde omstandigheden, bijv. als de juistheid wordt betwist.152

• Geautomatiseerde Besluitvorming (Artikel 22): Als GAI-tools beslissingen nemen over ontwikkelaars op basis van hun code of interactie met GAI (bijv. prestatiebeoordeling), zijn Artikel 22-rechten van toepassing.152

6. Datasoevereiniteit in het Tijdperk van GAI

Het waarborgen van datasoevereiniteit is een steeds complexere uitdaging geworden met de opkomst van GAI, vooral voor Europese organisaties die te maken hebben met wereldwijde cloudproviders en datastromen. Initiatieven zoals GAIA-X proberen hier een antwoord op te bieden, maar de praktische implementatie vereist zorgvuldige overweging.

6.1. Europese Initiatieven: GAIA-X en de Impact ervanGAIA-X streeft naar een federaal, veilig en soeverein digitaal data-ecosysteem in Europa, gebaseerd op Europese waarden zoals transparantie, openheid, databescherming en interoperabiliteit.157 Het is geen cloud op zich, maar een raamwerk van beleid, regels en specificaties.160 De Gaia-X Trust Framework vertaalt Europese waarden naar machine-leesbare informatie via een ontologie en logische regels, gericht op organisatorische en semantische interoperabiliteit.165

GAI Implementatie in lijn met GAIA-X Principes:

Dataverwerking & Transparantie: GAI-modellen en -diensten die Gaia-X-conformiteit nastreven, moeten zich houden aan de principes voor dataverwerking, en transparantie waarborgen over hoe data wordt verwerkt, waar het wordt opgeslagen en wie er toegang toe heeft.162 Dit omvat transparantie over trainingsdata van AI-modellen en uitlegbaarheid waar mogelijk.170

Data Spaces: GAI-diensten kunnen deelnemen aan of gebruikmaken van Gaia-X gefedereerde data spaces, wat veilige en soevereine data-uitwisseling voor training of inferentie mogelijk maakt.160 Lighthouse-projecten zoals Pontus-X en Energy data-X illustreren dit.169

Compliance, Labels en Certificering voor AI-Diensten: Gaia-X biedt een Compliance Document en verschillende Label Levels (Standaard, Level 1, 2, 3) die toenemende graden van naleving van principes zoals transparantie, databescherming, beveiliging en Europese controle vertegenwoordigen.163 Hoewel de huidige documenten niet expliciet gedetailleerde criteria voor AI-diensten bevatten, zouden AI-diensten moeten voldoen aan de relevante bestaande criteria. Het certificeringsproces omvat zelfverklaring of certificering door Conformity Assessment Bodies (CABs), afhankelijk van het labelniveau.161 De Gaia-X Digital Clearing House (GXDCH) speelt een rol in de geautomatiseerde verificatie.160

Geciteerd werk

• On Premise vs. Cloud: Key Differences, Benefits and Risks | Cleo, geopend op mei 9, 2025, https://www.cleo.com/blog/knowledge-base-on-premise-vs-cloud

• Cloud AI vs. on-premises AI: Where should my organization run …, geopend op mei 9, 2025, https://www.pluralsight.com/resources/blog/ai-and-data/ai-on-premises-vs-in-cloud

• On-Premises vs Cloud: Key Differences, Pros & Cons – CloudPanel, geopend op mei 9, 2025, https://www.cloudpanel.io/blog/on-premises-vs-cloud-computing/

• On-premise vs. cloud computing: definition and differences – NordLayer, geopend op mei 9, 2025, https://nordlayer.com/blog/on-premise-vs-cloud-differences/

• Llama vs GPT: Comparing Open-Source Versus Closed-Source AI …, geopend op mei 9, 2025, https://www.netguru.com/blog/gpt-4-vs-llama-2

• Open-Source vs. Commercial LLMs – Which Fits You Best? – Zencoder, geopend op mei 9, 2025, https://zencoder.ai/blog/open-source-vs-commercial-llms

• The Netherlands starts realisation GPT-NL, its own open AI-language model – TNO, geopend op mei 9, 2025, https://www.tno.nl/en/newsroom/2023/11/netherlands-starts-realisation-gpt-nl/

• Ethical AI and climate tech are turning the Netherlands into a European innovation leader, geopend op mei 9, 2025, https://thenextweb.com/news/ethical-ai-and-climate-tech-are-turning-the-netherlands-into-a-european-innovation-leader

• www.hsleiden.nl, geopend op mei 9, 2025, https://www.hsleiden.nl/sites/default/files/2025-03/E-Discovery%20Symposium%202025%20Saskia%20Lensink.pdf

• OLMo from Ai2, geopend op mei 9, 2025, https://allenai.org/olmo

• Top 10 open source LLMs for 2025 – NetApp Instaclustr, geopend op mei 9, 2025, https://www.instaclustr.com/education/top-10-open-source-llms-for-2025/

• www.anthropic.com, geopend op mei 9, 2025, https://www.anthropic.com/claude-3-model-card

• Claude AI vs. Gemini: Which AI Model is Better for AI-Powered Localization?, geopend op mei 9, 2025, https://www.machinetranslation.com/blog/claude-ai-vs-gemini

• Claude AI vs. Qwen: Which AI Model Excels in Translation?, geopend op mei 9, 2025, https://www.machinetranslation.com/blog/claude-ai-vs-qwen

• On-premise vs. Cloud for AI Applications using Docker & APIs – DataNorth AI, geopend op mei 9, 2025, https://datanorth.ai/blog/on-premise-vs-cloud-in-ai

• The AI Power Play: How ChatGPT, Gemini, Claude, And Others Are Shaping The Future Of Artificial Intelligence – Rozenberg Quarterly, geopend op mei 9, 2025, https://rozenbergquarterly.com/the-ai-power-play-how-chatgpt-gemini-claude-and-others-are-shaping-the-future-of-artificial-intelligence/

• Gemini 2.5 Pro Preview (I/O Edition) Reviews in 2025 – SourceForge, geopend op mei 9, 2025, https://sourceforge.net/software/product/Gemini-2.5-Pro-Preview-IO-Edition/

• r/ChatGPTCoding – Reddit, geopend op mei 9, 2025, https://www.reddit.com/r/ChatGPTCoding/

• What Is Prompt Engineering? | IBM, geopend op mei 9, 2025, https://www.ibm.com/think/topics/prompt-engineering

• What are AI-native mobile apps, and what are their use cases? – Pluralsight, geopend op mei 9, 2025, https://www.pluralsight.com/resources/blog/ai-and-data/ai-native-mobile-apps

• Unleash the power of AI-native development: Insights from GitHub at …, geopend op mei 9, 2025, https://resources.github.com/keynotes/github-insights-google-cloud-next-2025

• Cursor AI vs Copilot: A Detailed Analysis – Codoid, geopend op mei 9, 2025, https://codoid.com/ai/cursorai-vs-copilot-a-detailed-analysis/

• AI Code Assistants vs Traditional IDEs: Which to Choose? – BestofAI, geopend op mei 9, 2025, https://bestofai.com/blog/ai-code-assistants-vs-traditional-ides-which-to-choose

• Windsurf and Netlify Launch First-of-its-Kind AI IDE-Native Deployment Integration, geopend op mei 9, 2025, https://www.netlify.com/press/windsurf-netlify-ai-ide-native-deployment-integration/

• The Cursor Effect: How GitHub Copilot is Responding to Peer Pressure – DEV Community, geopend op mei 9, 2025, https://dev.to/krishnam/the-cursor-effect-how-github-copilot-is-responding-to-peer-pressure-2pm7

• Windsurf and Netlify Launch First-of-its-Kind AI IDE-Native Deployment Integration, geopend op mei 9, 2025, https://www.prnewswire.com/news-releases/windsurf-and-netlify-launch-first-of-its-kind-ai-ide-native-deployment-integration-302418201.html

• Emerging agentic AI trends reshaping software development – GitLab, geopend op mei 9, 2025, https://about.gitlab.com/the-source/ai/emerging-agentic-ai-trends-reshaping-software-development/

• Agentic AI: the next level of artificial intelligence capability – The Manufacturer, geopend op mei 9, 2025, https://www.themanufacturer.com/articles/agentic-ai-the-next-level-of-artificial-intelligence-capability/

• Edge Delta Model Context Protocol (MCP) Server Released – APMdigest, geopend op mei 9, 2025, https://www.apmdigest.com/edge-delta-model-context-protocol-mcp-server-released

• habitoai/awesome-mcp-servers: A curated list of Model Context Protocol (MCP) servers and tools. Discover and explore various MCP implementations that enable AI models to connect with external data sources and tools. – GitHub, geopend op mei 9, 2025, https://github.com/habitoai/awesome-mcp-servers

• Give Your Local LLM Superpowers! New Guide to Open WebUI Tools : r/aipromptprogramming – Reddit, geopend op mei 9, 2025, https://www.reddit.com/r/aipromptprogramming/comments/1k7jql7/give_your_local_llm_superpowers_new_guide_to_open/

• Awesome-LLM-based-AI-Agents-Knowledge/8-4-communication.md at main – GitHub, geopend op mei 9, 2025, https://github.com/mind-network/Awesome-LLM-based-AI-Agents-Knowledge/blob/main/8-4-communication.md

• Unlock Intelligent Automation with Agent-to-Agent Protocols, geopend op mei 9, 2025, https://www.amplework.com/blog/unlock-intelligent-automation-seamless-agent-to-agent-protocols/

• 5 Ways to Secure Agentic Access to APIs, geopend op mei 9, 2025, https://nordicapis.com/5-ways-to-secure-agentic-access-to-apis/

• Managing AI APIs: Best Practices for Secure and Scalable AI API Consumption, geopend op mei 9, 2025, https://devops.com/managing-ai-apis-best-practices-for-secure-and-scalable-ai-api-consumption/

• Guide to Hardware Requirements for Training and Fine-Tuning Large Language Models, geopend op mei 9, 2025, https://towardsai.net/p/artificial-intelligence/guide-to-hardware-requirements-for-training-and-fine-tuning-large-language-models

• Lenovo LLM Sizing Guide, geopend op mei 9, 2025, https://lenovopress.lenovo.com/lp2130-lenovo-llm-sizing-guide

• Cloud-Native AI Development: Building and Deploying Scalable Machine Learning Models on AWS, Azure, and GCP – ResearchGate, geopend op mei 9, 2025, https://www.researchgate.net/publication/390704552_Cloud-Native_AI_Development_Building_and_Deploying_Scalable_Machine_Learning_Models_on_AWS_Azure_and_GCP

• Multi-Cloud AI Strategies: Deploying Portable Machine Learning Solutions Across AWS, Azure, and Google Cloud – ResearchGate, geopend op mei 9, 2025, https://www.researchgate.net/publication/390701721_Multi-Cloud_AI_Strategies_Deploying_Portable_Machine_Learning_Solutions_Across_AWS_Azure_and_Google_Cloud

• Case Studies of How Generative Artificial Intelligence is Changing Work – Every CRS Report, geopend op mei 9, 2025, https://www.everycrsreport.com/reports/IN12537.html

• Real-world Use Cases of AI Code Generation – Zencoder, geopend op mei 9, 2025, https://zencoder.ai/blog/ai-code-generation-use-cases

• 5 Key Stats on Generative AI in Technology & Software Solutions, geopend op mei 9, 2025, https://www.numberanalytics.com/blog/5-key-stats-generative-ai-technology-software-solutions

• How real-world businesses are transforming with AI — with more than 140 new stories, geopend op mei 9, 2025, https://blogs.microsoft.com/blog/2025/03/10/https-blogs-microsoft-com-blog-2024-11-12-how-real-world-businesses-are-transforming-with-ai/

• Measuring the productivity impact of AI coding tools: A practical guide for engineering leaders | Swarmia, geopend op mei 9, 2025, https://www.swarmia.com/blog/productivity-impact-of-ai-coding-tools/

• Overcoming Resistance to AI Adoption: Change Management Best Practices, geopend op mei 9, 2025, https://profiletree.com/resistance-to-ai-adoption/

• Overcoming Resistance to AI Adoption: Strategies for Success – Scout, geopend op mei 9, 2025, https://www.scoutos.com/blog/overcoming-resistance-to-ai-adoption-strategies-for-success

• 5 Strategies to Reduce Technical Debt and Improve Code Quality – Tria Federal, geopend op mei 9, 2025, https://triafed.com/5-strategies-to-reduce-technical-debt-and-improve-code-quality/

• The Role of AI in Managing Technical Debt at Scale – Seerene, geopend op mei 9, 2025, https://www.seerene.com/news-research/role-of-ai-in-technical-debt

• Is Vibe Coding Agile or Merely a Hype? | Scrum.org, geopend op mei 9, 2025, https://www.scrum.org/resources/blog/vibe-coding-agile-or-merely-hype

• AI-Generated Code: The Security Blind Spot Your Team Can’t Ignore – Jit.io, geopend op mei 9, 2025, https://www.jit.io/resources/devsecops/ai-generated-code-the-security-blind-spot-your-team-cant-ignore

• zbrain.ai, geopend op mei 9, 2025, https://zbrain.ai/what-is-vibe-coding/#:~:text=Coined%20by%20AI%20expert%20Andrej,let%20AI%20handle%20the%20details.

• DevSecOps & GenAI: Revolutionizing Security in the Digital Age, geopend op mei 9, 2025, https://qentelli.com/thought-leadership/insights/devsecops-in-the-era-of-genai-opportunities-and-risks

• OWASP Top 10 LLM Applications 2025 – Critical Vulnerabilities & Risk Mitigation, geopend op mei 9, 2025, https://www.indusface.com/blog/owasp-top-10-llm/

• LLM04:2025 Data and Model Poisoning – OWASP Top 10 for LLM & Generative AI Security, geopend op mei 9, 2025, https://genai.owasp.org/llmrisk/llm042025-data-and-model-poisoning/

• How SAST Tools Secure AI-generated Code – GitGuardian Blog, geopend op mei 9, 2025, https://blog.gitguardian.com/sast-bridging-the-gap-for-modern-developers/

• Codacy vs. Veracode: Which Code Security Tool is Superior? – Akhil Personal Website, geopend op mei 9, 2025, https://akhil.sh/codacy-vs-veracode

• A Developer’s Guide to Preventing Prompt Injection – Helicone, geopend op mei 9, 2025, https://www.helicone.ai/blog/preventing-prompt-injection

• What Is a Prompt Injection Attack? [Examples & Prevention] – Palo Alto Networks, geopend op mei 9, 2025, https://www.paloaltonetworks.com.au/cyberpedia/what-is-a-prompt-injection-attack

• Agentic AI Threat Modeling Framework: MAESTRO | CSA – Cloud Security Alliance, geopend op mei 9, 2025, https://cloudsecurityalliance.org/blog/2025/02/06/agentic-ai-threat-modeling-framework-maestro

• SecCodePLT: A Unified Platform for Evaluating the Security of Code GenAI | OpenReview, geopend op mei 9, 2025, https://openreview.net/forum?id=0R3ha8oNPU

• Source Code Analysis Tools – OWASP Foundation, geopend op mei 9, 2025, https://owasp.org/www-community/Source_Code_Analysis_Tools

• What Is Static Application Security Testing (SAST)? – Palo Alto Networks, geopend op mei 9, 2025, https://www.paloaltonetworks.com/cyberpedia/what-is-sast-static-application-security-testing

• CI/CD Pipeline Security: Best Practices Beyond Build and Deploy – Cycode, geopend op mei 9, 2025, https://cycode.com/blog/ci-cd-pipeline-security-best-practices/

• What Is CI/CD Security? – Palo Alto Networks, geopend op mei 9, 2025, https://www.paloaltonetworks.com/cyberpedia/what-is-ci-cd-security

• Security in the CI/CD Pipeline – DZone, geopend op mei 9, 2025, https://dzone.com/articles/security-in-the-cicd-pipeline

• The Importance of Integrating Security Testing into Your CI/CD Pipeline – TestDevLab, geopend op mei 9, 2025, https://www.testdevlab.com/blog/integrating-security-testing-into-ci-cd-pipeline

• 7 Proven Security Incident Response Steps For Any Breach – PurpleSec, geopend op mei 9, 2025, https://purplesec.us/learn/incident-response-steps/

• Incident Response: Best Practices for Quick Resolution | Atlassian, geopend op mei 9, 2025, https://www.atlassian.com/incident-management/incident-response

• Frontier AI’s Impact on the Cybersecurity Landscape – arXiv, geopend op mei 9, 2025, https://arxiv.org/html/2504.05408v2

• Data Protection Impact Assessment (DPIA) – Google Cloud, geopend op mei 9, 2025, https://cloud.google.com/privacy/data-protection-impact-assessment

• When is a Data Protection Impact Assessment (DPIA) required? – European Commission, geopend op mei 9, 2025, https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/when-data-protection-impact-assessment-dpia-required_en

• A Practical Guide to DPIAs: Managing Risk, AI Ethics, and Global …, geopend op mei 9, 2025, https://trustarc.com/resource/guide-to-dpias-managing-risk-ai/

• AI and data protection in practice – between innovation and regulation, geopend op mei 9, 2025, https://www.robin-data.io/en/data-protection-and-data-security-academy/wiki/ki-und-datenschutz-praxisleitfaden

• journeyid.com, geopend op mei 9, 2025, https://journeyid.com//uploads/Avoiding-GAIs-Privacy-and-Regulatory-GDPR-Risks.pdf

• PII Security Best Practices: How to Protect Sensitive Data – Piiano, geopend op mei 9, 2025, https://www.piiano.com/blog/pii-security-best-practices

• Privacy preserving techniques in Data security? – ResearchGate, geopend op mei 9, 2025, https://www.researchgate.net/post/Privacy_preserving_techniques_in_Data_security

• How to ensure the security and privacy of sensitive data in your analysis – Quora, geopend op mei 9, 2025, https://www.quora.com/How-do-you-ensure-the-security-and-privacy-of-sensitive-data-in-your-analysis

• Overview: “OWASP Top 10 for LLM Applications 2025: A Comprehensive Guide”, geopend op mei 9, 2025, https://dev.to/foxgem/overview-owasp-top-10-for-llm-applications-2025-a-comprehensive-guide-8pk

• Interplay between Federated Learning and Explainable Artificial Intelligence: a Scoping Review The work in this paper was supported by the VALIDATE project grant 101057263 from the EU HORIZON-RIA. – arXiv, geopend op mei 9, 2025, https://arxiv.org/html/2411.05874v2

• Promise and peril of collaborative code generation models : Balancing effectiveness and memorization – [email protected], geopend op mei 9, 2025, https://ink.library.smu.edu.sg/cgi/viewcontent.cgi?article=10967&context=sis_research

• Privacy-Preserving AI: Techniques & Frameworks – Dialzara, geopend op mei 9, 2025, https://dialzara.com/blog/privacy-preserving-ai-techniques-and-frameworks/

• What is Data Minimization ? Techniques and Challenges – Centraleyes, geopend op mei 9, 2025, https://www.centraleyes.com/glossary/data-minimization/

• GDPR Compliance for Software Development: Integrating Privacy into the SDLC, geopend op mei 9, 2025, https://www.gdpr-advisor.com/gdpr-compliance-for-software-development/

• Fine-tuning – OpenAI API, geopend op mei 9, 2025, https://platform.openai.com/docs/guides/fine-tuning

• (PDF) Future of software development with generative AI, geopend op mei 9, 2025, https://www.researchgate.net/publication/378872818_Future_of_software_development_with_generative_AI

• Research on the Human/Machine Frontier: Unleashing Generative …, geopend op mei 9, 2025, https://devops.com/research-on-the-human-machine-frontier-unleashing-generative-ai-in-software-engineering/

• Software Development with Augmented Retrieval · GitHub, geopend op mei 9, 2025, https://github.com/resources/articles/ai/software-development-with-retrieval-augmentation-generation-rag

• Navigating the World of Open-Source Large Language Models, geopend op mei 9, 2025, https://www.bentoml.com/blog/navigating-the-world-of-open-source-large-language-models

• Generative AI Application for Business & Enterprise: Use Cases, Examples [2025], geopend op mei 9, 2025, https://masterofcode.com/blog/generative-ai-use-cases

• How can Enterprises Leverage Generative AI? – Workativ, geopend op mei 9, 2025, https://workativ.com/ai-agent/blog/generative-ai-enterprise

• 100 Day Generative AI Implementation Plan for Enterprises, geopend op mei 9, 2025, https://www.analyticsvidhya.com/blog/2024/09/generative-ai-for-enterprises/

• (PDF) Code and Craft: How Generative AI Tools Facilitate Job …, geopend op mei 9, 2025, https://www.researchgate.net/publication/384554179_Code_and_Craft_How_Generative_AI_Tools_Facilitate_Job_Crafting_in_Software_Development

• AI Code Generators: The Future of Software Development | Keploy …, geopend op mei 9, 2025, https://keploy.io/blog/community/ai-code-generators

• Code Reviews with AI a developer guide – foojay, geopend op mei 9, 2025, https://foojay.io/today/code-reviews-with-ai-a-developer-guide/

• (PDF) The Effect of Software Automation Testing Efficiency on …, geopend op mei 9, 2025, https://www.researchgate.net/publication/390921150_The_Effect_of_Software_Automation_Testing_Efficiency_on_Enterprise_DevOps_Performance_The_Moderating_Role_of_GAI_Innovation

• 5 Key Stats on Generative AI in Technology & Software Solutions, geopend op mei 9, 2025, https://www.numberanalytics.com/blog/5-key-stats-generative-ai-technology-software-solutions

• Generative AI in the Software Development Lifecycle, geopend op mei 9, 2025, https://www.computer.org/csdl/magazine/co/2024/12/10755990/21Ykes9Y1X2

• Generative AI Security Risks: Mitigation & Best Practices – SentinelOne, geopend op mei 9, 2025, https://www.sentinelone.com/cybersecurity-101/data-and-ai/generative-ai-security-risks/

• 4 Primary Security Risks to Mitigate in GenAI Solutions | FedTech …, geopend op mei 9, 2025, https://fedtechmagazine.com/article/2025/04/4-primary-security-risks-mitigate-genai-solutions

• Top 10 Security Risks for Large Language Models OWASP | Fortanix, geopend op mei 9, 2025, https://www.fortanix.com/blog/top-10-security-risks-for-large-language-models-owasp

• Data sovereignty in focus as Europe scrutinizes US cloud influence …, geopend op mei 9, 2025, https://blocksandfiles.com/2025/03/27/eu-data-sovereignty-and-trumps-usa/

• Data Protection Impact Assessment (DPIA) – Google Cloud, geopend op mei 9, 2025, https://cloud.google.com/privacy/data-protection-impact-assessment

• Art. 35 GDPR – Data protection impact assessment – General Data …, geopend op mei 9, 2025, https://gdpr-info.eu/art-35-gdpr/

• Overcoming Resistance to AI Adoption: Best Practices – ProfileTree, geopend op mei 9, 2025, https://profiletree.com/resistance-to-ai-adoption/

• Overcoming Resistance to AI Adoption: Strategies for Success – Scout, geopend op mei 9, 2025, https://www.scoutos.com/blog/overcoming-resistance-to-ai-adoption-strategies-for-success

• Adopt generative AI – DORA, geopend op mei 9, 2025, https://dora.dev/research/ai/adopt-gen-ai/

• Measuring the productivity impact of AI coding tools: A practical …, geopend op mei 9, 2025, https://www.swarmia.com/blog/productivity-impact-of-ai-coding-tools/

• 5 Vibe Coding Risks and Ways to Avoid Them in 2025 – Zencoder, geopend op mei 9, 2025, https://zencoder.ai/blog/vibe-coding-risks

• 7 lessons from IT leaders on their AI adoption journeys | Elastic Blog, geopend op mei 9, 2025, https://www.elastic.co/blog/ai-adoption-lessons-from-it-leaders

• Cloud AI vs. on-premises AI: Where should my organization run …, geopend op mei 9, 2025, https://www.pluralsight.com/resources/blog/ai-and-data/ai-on-premises-vs-in-cloud

• On Premise vs. Cloud: Key Differences, Benefits and Risks | Cleo, geopend op mei 9, 2025, https://www.cleo.com/blog/knowledge-base-on-premise-vs-cloud

• Cloud vs On Premise Infrastructure : Choosing the Right Model – Veritis, geopend op mei 9, 2025, https://www.veritis.com/blog/cloud-vs-on-premise-it-infrastructure-model-of-your-choice/

• Open-Source vs. Commercial LLMs – Which Fits You Best? – Zencoder, geopend op mei 9, 2025, https://zencoder.ai/blog/open-source-vs-commercial-llms

• Fietje: An open, efficient LLM for Dutch – arXiv, geopend op mei 9, 2025, https://arxiv.org/html/2412.15450v1

• Fietje: An open, efficient LLM for Dutch | Papers With Code, geopend op mei 9, 2025, https://paperswithcode.com/paper/fietje-an-open-efficient-llm-for-dutch

• Fietje 2 · Models · Dataloop, geopend op mei 9, 2025, https://dataloop.ai/library/model/bramvanroy_fietje-2/

• (PDF) Fietje: An open, efficient LLM for Dutch – ResearchGate, geopend op mei 9, 2025, https://www.researchgate.net/publication/387321587_Fietje_An_open_efficient_LLM_for_Dutch

• repository.tudelft.nl, geopend op mei 9, 2025, https://repository.tudelft.nl/file/File_0af87021-fde2-485b-b1e7-5dd8284fae50?preview=1

• repository.tudelft.nl, geopend op mei 9, 2025, https://repository.tudelft.nl/file/File_0af87021-fde2-485b-b1e7-5dd8284fae50

• 10 Best Large Language Models (LLMs) of 2024: Pros, Cons, & Applications – Revelo, geopend op mei 9, 2025, https://www.revelo.com/blog/best-large-language-models

• 10 Best Generative AI Code Generation Tools to Consider in 2025, geopend op mei 9, 2025, https://zencoder.ai/blog/generative-ai-code-generation-tools

• Top AI Code Generator that Simplifies Your coding Effortlessly, geopend op mei 9, 2025, https://murf.ai/blog/top-ai-code-generators

• The 20 best LLMs for coding (+ free workflow templates) – n8n Blog, geopend op mei 9, 2025, https://blog.n8n.io/best-llm-for-coding/

• Using GitHub Copilot code review, geopend op mei 9, 2025, https://docs.github.com/en/copilot/using-github-copilot/code-review/using-copilot-code-review

• Copilot Code Review now supports all languages in public preview …, geopend op mei 9, 2025, https://github.blog/changelog/2025-05-07-copilot-code-review-now-supports-all-languages-in-public-preview/

• Programming with AI: Evaluating ChatGPT, Gemini, AlphaCode, and GitHub Copilot for Programmers – ResearchGate, geopend op mei 9, 2025, https://www.researchgate.net/publication/385822100_Programming_with_AI_Evaluating_ChatGPT_Gemini_AlphaCode_and_GitHub_Copilot_for_Programmers

• My Experience with GitHub Copilot – DEV Community, geopend op mei 9, 2025, https://dev.to/ngtduc693/my-experience-with-github-copilot-3130

• Setting the Standard: Tabnine Code Review Agent Wins Best …, geopend op mei 9, 2025, https://www.tabnine.com/blog/setting-the-standard-tabnine-code-review-agent-wins-best-innovation-in-ai-coding-2025-ai-techawards/

• Tabnine | Accelerate Software Development with Tabnine on Dell AI …, geopend op mei 9, 2025, https://infohub.delltechnologies.com/en-us/l/accelerate-software-development-with-tabnine-on-dell-ai-factory/tabnine-8/

• Flexible and secure | Accelerate Software Development with Tabnine on Dell AI Factory, geopend op mei 9, 2025, https://infohub.delltechnologies.com/de-de/l/accelerate-software-development-with-tabnine-on-dell-ai-factory/flexible-and-secure-3/

• Amazon introduces SWE-PolyBench, a multilingual benchmark for …, geopend op mei 9, 2025, https://aws.amazon.com/blogs/devops/amazon-introduces-swe-polybench-a-multi-lingual-benchmark-for-ai-coding-agents/

• I tried coding with Amazon CodeWhisperer… This is what happened …, geopend op mei 9, 2025, https://www.youtube.com/watch?v=erO_6AX_DXk&pp=0gcJCfcAhR29_xXO

• Amazon CodeWhisperer: AI-Powered Code Generation – AWS, geopend op mei 9, 2025, https://aws.amazon.com/awstv/watch/50a3d784916/

• Code examples – CodeWhisperer – AWS Documentation, geopend op mei 9, 2025, https://docs.aws.amazon.com/codewhisperer/latest/userguide/whisper-code-examples.html

• Zencoder AI Review – Catalin’s Tech, geopend op mei 9, 2025, https://catalins.tech/zencoder-ai-review/

• Zencoder – The AI Coding Agent, geopend op mei 9, 2025, https://zencoder.ai/

• EuroLLM 9B · Models · Dataloop, geopend op mei 9, 2025, https://dataloop.ai/library/model/utter-project_eurollm-9b/

• EuroLLM 9B Instruct · Models – Dataloop AI, geopend op mei 9, 2025, https://dataloop.ai/library/model/utter-project_eurollm-9b-instruct/

• utter-project/EuroLLM-9B – Hugging Face, geopend op mei 9, 2025, https://huggingface.co/utter-project/EuroLLM-9B

• EuroLLM-9B-Instruct – PromptLayer, geopend op mei 9, 2025, https://www.promptlayer.com/models/eurollm-9b-instruct

• OpenGPT-X: A Comprehensive Guide – neuroflash, geopend op mei 9, 2025, https://neuroflash.com/blog/opengpt-x/

• Compare GPT-4.5 vs. OpenGPT-X in 2025 – Slashdot, geopend op mei 9, 2025, https://slashdot.org/software/comparison/GPT-4.5-vs-OpenGPT-X/

• OpenGPT-X: Teuken-7B – Fraunhofer IAIS, geopend op mei 9, 2025, https://www.iais.fraunhofer.de/en/business-areas/speech-technologies/conversational-ai/opengpt-x.html

• Teuken 7B: OpenGPT-X’s New Multilingual AI Model – neuroflash, geopend op mei 9, 2025, https://neuroflash.com/blog/teuken-7b/

• Teuken 7B: OpenGPT-X’s New Multilingual AI Model – neuroflash, geopend op mei 9, 2025, https://www.neuroflash.com/blog/teuken-7b/

• OLMo from Ai2, geopend op mei 9, 2025, https://allenai.org/olmo

• Geo-OLM: Enabling Sustainable Earth Observation Studies with Cost-Efficient Open Language Models & State-Driven Workflows – arXiv, geopend op mei 9, 2025, https://arxiv.org/html/2504.04319v1

• Ai2 Pushes For Open-Source AI with OLMo 2 32B – AI-Pro.org, geopend op mei 9, 2025, https://ai-pro.org/learn-ai/articles/ai2-opens-new-possibilities-with-olmo-2-32b/

• Ai2’s OLMoTrace Tool Brings AI Data Transparency – Ken Yeung, geopend op mei 9, 2025, https://thelettertwo.com/2025/04/09/ai2s-olmotrace-tool-reveals-the-origins-of-ai-model-training-data/

• DevDocs AI – Custom Documentation AI Chatbots, geopend op mei 9, 2025, https://devdocs.work/devdocs-ai-documentation-chatbots

• Emerging agentic AI trends reshaping software development – GitLab, geopend op mei 9, 2025, https://about.gitlab.com/the-source/ai/emerging-agentic-ai-trends-reshaping-software-development/

• Top 5 AI IDEs for Coding with Windsurf in 2025 By Girish Kot – Peerlist, geopend op mei 9, 2025, https://peerlist.io/gkotte/articles/top-5-ai-ides-for-coding-with-windsurf-in-2025

• Beyond the Chatbot: Agentic AI with Gemma – Google Developers …, geopend op mei 9, 2025, https://developers.googleblog.com/en/beyond-the-chatbot-agentic-ai-with-gemma/

• Generative AI Customer Service: Use Cases [25+ Examples of …, geopend op mei 9, 2025, https://masterofcode.com/blog/generative-ai-for-customer-service

• Infusing Artificial Intelligence Into Software Engineering and the …, geopend op mei 9, 2025, https://www.computer.org/csdl/magazine/co/2024/09/10663074/1ZUNGyXj6Fy

• Generative AI Assistant for Software Development – Amazon Q …, geopend op mei 9, 2025, https://aws.amazon.com/q/developer/

• How to extract a Confluence space – the whole page tree data for building a RAG chatbot, geopend op mei 9, 2025, https://community.atlassian.com/forums/Confluence-questions/How-to-extract-a-Confluence-space-the-whole-page-tree-data-for/qaq-p/2996638

• RAG Chatbot using Confluence – GitHub Gist, geopend op mei 9, 2025, https://gist.github.com/chezou/2a6a58cd6bd21b001ca4d3c8d1318e14

• Windsurf AI Agentic Code Editor: Features, Setup, and Use Cases …, geopend op mei 9, 2025, https://www.datacamp.com/tutorial/windsurf-ai-agentic-code-editor

• The New Developer Workflow: How AI Transforms Ideas into Code …, geopend op mei 9, 2025, https://speakerdeck.com/danielsogl/the-new-developer-workflow-how-ai-transforms-ideas-into-code

• Dify.AI · The Innovation Engine for Generative AI Applications, geopend op mei 9, 2025, https://dify.ai/

• Guide to Hardware Requirements for Training and Fine-Tuning …, geopend op mei 9, 2025, https://towardsai.net/p/artificial-intelligence/guide-to-hardware-requirements-for-training-and-fine-tuning-large-language-models

• What hardware is required to train an LLM? – Milvus Blog, geopend op mei 9, 2025, https://milvus.io/ai-quick-reference/what-hardware-is-required-to-train-an-llm

• (PDF) Cloud-Native AI Development: Building and Deploying …, geopend op mei 9, 2025, https://www.researchgate.net/publication/390704552_Cloud-Native_AI_Development_Building_and_Deploying_Scalable_Machine_Learning_Models_on_AWS_Azure_and_GCP

• On-premise Deployment Hardware Guide – On-Premises Deployment, geopend op mei 9, 2025, https://solutions.netreo.com/docs/on-premise-deployment-hardware-guide

• Multi-Cloud AI Strategies: Deploying Portable Machine Learning Solutions Across AWS, Azure, and Google Cloud – ResearchGate, geopend op mei 9, 2025, https://www.researchgate.net/publication/390701721_Multi-Cloud_AI_Strategies_Deploying_Portable_Machine_Learning_Solutions_Across_AWS_Azure_and_Google_Cloud

• www.duo.uio.no, geopend op mei 9, 2025, https://www.duo.uio.no/bitstream/handle/10852/112554/1/Master_thesis_Nivethika_and_Simon.pdf

• Generative AI and Developer Workflows: How GitHub Copilot and ChatGPT Influence Solo and Pair Programming – ResearchGate, geopend op mei 9, 2025, https://www.researchgate.net/publication/387021973_Generative_AI_and_Developer_Workflows_How_GitHub_Copilot_and_ChatGPT_Influence_Solo_and_Pair_Programming

• 13 top software development KPIs you should track in 2024, geopend op mei 9, 2025, https://www.pluralsight.com/resources/blog/software-development/software-development-KPIs

• KPI for Software Development: 21 Metrics to Follow [+3 to Avoid] – Axify, geopend op mei 9, 2025, https://axify.io/blog/kpi-software-development

• bigr.io, geopend op mei 9, 2025, https://bigr.io/what-is-prompt-engineering-and-why-is-it-important-to-your-operations-use-of-gai/#:~:text=Prompt%20engineering%20is%20the%20practice,from%20your%20GAI%20system%20in

• 10 Prompt Engineering Skills You Need to Work with AI – Dataquest, geopend op mei 9, 2025, https://www.dataquest.io/blog/top-prompt-engineering-skills-you-need-to-work-with-ai/

• The Impact of Prompt Engineering and a Generative AI-Driven Tool …, geopend op mei 9, 2025, https://www.mdpi.com/2227-7102/15/2/199

• Advanced Prompt Engineering Techniques – saasguru, geopend op mei 9, 2025, https://www.saasguru.co/advanced-prompt-engineering-techniques/

• Prompt Engineering: A Practical Example – Real Python, geopend op mei 9, 2025, https://realpython.com/practical-prompt-engineering/

• 6 Prompt Engineering Examples | Coursera, geopend op mei 9, 2025, https://www.coursera.org/articles/prompt-engineering-examples

• ChatGPT Prompt Engineering for Developers: 13 Best Examples, geopend op mei 9, 2025, https://strapi.io/blog/ChatGPT-Prompt-Engineering-for-Developers?ref=bytes

• Advanced Prompt Engineering Techniques – Mercity AI, geopend op mei 9, 2025, https://www.mercity.ai/blog-post/advanced-prompt-engineering-techniques

• Advanced Prompt Engineering Techniques With Examples – AI Tools, geopend op mei 9, 2025, https://www.godofprompt.ai/blog/advanced-prompt-engineering-techniques-with-examples

• The Lovable Prompting Bible – Lovable Blog, geopend op mei 9, 2025, https://lovable.dev/blog/2025-01-16-lovable-prompting-handbook

• 7 steps for a successful GenAI deployment – Plat4mation, geopend op mei 9, 2025, https://plat4mation.com/blog/7-steps-for-a-successful-genai-deployment/

• AI-Powered Code Assessment: Improving Software Quality and …, geopend op mei 9, 2025, https://www.ilink-digital.com/insights/blog/ai-powered-code-assessment-improving-software-quality-and-developer-efficiency/

• The biggest LLMs are generating vulnerable code by default – Digit.fyi, geopend op mei 9, 2025, https://www.digit.fyi/the-biggest-llms-are-generating-vulnerable-code-by-default/

• Revolutionizing DAST: The Game-Changing Impact of AI, geopend op mei 9, 2025, https://brightsec.com/blog/revolutionizing-dast-the-game-changing-impact-of-ai/

• 5 Strategies to Reduce Technical Debt and Improve Code Quality – Tria Federal, geopend op mei 9, 2025, https://triafed.com/5-strategies-to-reduce-technical-debt-and-improve-code-quality/

• 3 Steps for Securing Your AI-Generated Code – Qodo, geopend op mei 9, 2025, https://www.qodo.ai/blog/3-steps-securing-your-ai-generated-code/

• Generative AI: Use cases, applications, solutions and implementation, geopend op mei 9, 2025, https://www.leewayhertz.com/generative-ai-use-cases-and-applications/

• New Content for Your Most Pressing & Emerging Vulnerabilities: AI/LLM & CWE Top 25, geopend op mei 9, 2025, https://www.securityjourney.com/post/new-content-for-your-most-pressing-emerging-vulnerabilities-ai/llm-cwe-top-25

• Top Six Most Dangerous Vulnerabilities in C and C++, geopend op mei 9, 2025, https://www.code-intelligence.com/blog/most-dangerous-vulnerabilities-cwes-in-c-2025

• Yes, GitHub’s Copilot can Leak (Real) Secrets – GitGuardian Blog, geopend op mei 9, 2025, https://blog.gitguardian.com/yes-github-copilot-can-leak-secrets/

• Asleep at the Keyboard? Assessing the Security of GitHub Copilot’s Code Contributions, geopend op mei 9, 2025, https://cacm.acm.org/research-highlights/asleep-at-the-keyboard-assessing-the-security-of-github-copilots-code-contributions/

• Static Application Security Testing (SAST) | GitLab Docs, geopend op mei 9, 2025, https://docs.gitlab.com/user/application_security/sast/

• How Static Application Security Testing SAST Tools Help Secure Software, geopend op mei 9, 2025, https://www.ox.security/how-sast-tools-help-secure-software/

• SAST vs. DAST: What’s the Difference? | Black Duck Blog, geopend op mei 9, 2025, https://www.blackduck.com/blog/sast-vs-dast-difference.html

• Top 10 AI-powered SAST tools in 2025 – Aikido, geopend op mei 9, 2025, https://www.aikido.dev/blog/top-10-ai-powered-sast-tools-in-2025

• SAST and DAST Tools: Still Essential Security Solutions in 2025, geopend op mei 9, 2025, https://www.ox.security/sast-and-dast-tools-still-essential-security-solutions-in-2025/

• Top 7 DevSecOps Tools to Strengthen Security in Your CI/CD …, geopend op mei 9, 2025, https://duplocloud.com/blog/devsecops-tools-for-cicd/

• Top 11 CI/CD Security Tools For 2025 – SentinelOne, geopend op mei 9, 2025, https://www.sentinelone.com/cybersecurity-101/cloud-security/ci-cd-security-tools/

• KPIs for gen AI: Measuring your AI success | Google Cloud Blog, geopend op mei 9, 2025, https://cloud.google.com/transform/gen-ai-kpis-measuring-ai-success-deep-dive

• A Developer’s Guide to Preventing Prompt Injection – Helicone, geopend op mei 9, 2025, https://www.helicone.ai/blog/preventing-prompt-injection

• Prompt Injection & the Rise of Prompt Attacks: All You Need to Know …, geopend op mei 9, 2025, https://www.lakera.ai/blog/guide-to-prompt-injection

• Building an LLM evaluation framework: best practices | Datadog, geopend op mei 9, 2025, https://www.datadoghq.com/blog/llm-evaluation-framework-best-practices/

• End-to-End Secure Evaluation of Code Generation Models …, geopend op mei 9, 2025, https://www.databricks.com/blog/secure-code-evaluation

• 0. AI Security Overview – AI Exchange, geopend op mei 9, 2025, https://owaspai.org/docs/ai_security_overview/

• How OWASP Guidelines Secure Your AI Systems | Salesforce, geopend op mei 9, 2025, https://www.salesforce.com/blog/how-owasp-guidelines-secure-your-ai-systems/

• Generate More Secure Code With AI-Powered Tools – Auth0, geopend op mei 9, 2025, https://auth0.com/blog/prompt-engineering-security/

• 10-point secure code review checklist for developers – HackTheBox, geopend op mei 9, 2025, https://www.hackthebox.com/blog/secure-code-reviews

• What Is the CI/CD Pipeline? – Palo Alto Networks, geopend op mei 9, 2025, https://www.paloaltonetworks.com/cyberpedia/what-is-the-ci-cd-pipeline-and-ci-cd-security

• What is Incident Response? | IBM, geopend op mei 9, 2025, https://www.ibm.com/think/topics/incident-response

• Incident Response? Process, Plan & Complete Guide – Sygnia, geopend op mei 9, 2025, https://www.sygnia.co/blog/what-is-incident-response-process-plan-and-complete-guide/

• AI Incident Response Plans: Checklist & Best Practices – Cimphony, geopend op mei 9, 2025, https://www.cimphony.ai/insights/ai-incident-response-plans-checklist-and-best-practices

• Cyber Security Incident Response Plan | DataGuard, geopend op mei 9, 2025, https://www.dataguard.com/cyber-security/incident-response-plan/

• How to Make and Implement a Successful Incident Response Plan – Security Metrics, geopend op mei 9, 2025, https://www.securitymetrics.com/learn/how-to-make-and-implement-successful-incident-response-plan

• AI-Powered Malware Incident Response: Step-by-Step Plan – Radiant Security, geopend op mei 9, 2025, https://radiantsecurity.ai/learn/malware-incident-response/

• 7 Proven Security Incident Response Steps For Any Breach – PurpleSec, geopend op mei 9, 2025, https://purplesec.us/learn/incident-response-steps/

• 3 Key Triggers for Initiating a DPIA – Risk Crew, geopend op mei 9, 2025, https://www.riskcrew.com/3-triggers-for-conducting-a-dpia/

• What you need to know about DPIAs – Cycode, geopend op mei 9, 2025, https://cycode.com/blog/data-protection-impact-assessment-dpia/

• Data protection impact assessment (DPIA) – Piwik PRO, geopend op mei 9, 2025, https://piwik.pro/glossary/data-protection-impact-assessment-dpia/

• 11 Software Architecture Patterns You Must Know About – eSparkBiz, geopend op mei 9, 2025, https://www.esparkinfo.com/software-development/architecture-patterns

• 5 Steps to a Stakeholder Engagement Plan (Free Template) [2025 …, geopend op mei 9, 2025, https://asana.com/resources/stakeholder-engagement-plan-template

• Data protection explained – European Commission, geopend op mei 9, 2025, https://ec.europa.eu/info/law/law-topic/data-protection/reform/what-personal-data_en

• Examples of processing ‘likely to result in high risk’ | ICO, geopend op mei 9, 2025, https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/accountability-and-governance/data-protection-impact-assessments-dpias/examples-of-processing-likely-to-result-in-high-risk/

• Study: 1 in 10 AI Prompts Could Expose Sensitive Data — Campus …, geopend op mei 9, 2025, https://campustechnology.com/articles/2025/01/22/study-1-in-10-ai-prompts-could-expose-sensitive-data.aspx

• WDP | PDF | Artificial Intelligence | Intelligence (AI) & Semantics, geopend op mei 9, 2025, https://www.scribd.com/document/849850683/WDP

• Privacy preserving techniques in Data security? | ResearchGate, geopend op mei 9, 2025, https://www.researchgate.net/post/Privacy_preserving_techniques_in_Data_security

• What is Data Minimization? Main Principles & Techniques – Piiano, geopend op mei 9, 2025, https://www.piiano.com/blog/data-minimization

• Guidelines for GAI use in Learning, Teaching, and Research – Wits University, geopend op mei 9, 2025, https://www.wits.ac.za/media/wits-university/learning-and-teaching/cltd/documents/Wits-CLTD-Guidelines-for-GAI-use-in-Learning-Teaching-Research-Dec2024.pdf

• GDPR Software Requirements: A Complete Guide – CookieYes, geopend op mei 9, 2025, https://www.cookieyes.com/blog/gdpr-software-requirements/

• Fine-tuning – OpenAI API – OpenAI Platform, geopend op mei 9, 2025, https://platform.openai.com/docs/guides/fine-tuning

• GDPR Compliance for Software Development: Integrating Privacy into the SDLC, geopend op mei 9, 2025, https://www.gdpr-advisor.com/gdpr-compliance-for-software-development/

• Art. 30 GDPR – Records of processing activities – General Data …, geopend op mei 9, 2025, https://gdpr-info.eu/art-30-gdpr/

• Key requirements to comply with GDPR in 2025 | CyberArrow, geopend op mei 9, 2025, https://www.cyberarrow.io/blog/key-requirements-to-comply-with-gdpr/

• 6 Best Practices for GDPR Logging and Monitoring – CookieYes, geopend op mei 9, 2025, https://www.cookieyes.com/blog/gdpr-logging-and-monitoring/

• What Is GDPR Compliance? – Palo Alto Networks, geopend op mei 9, 2025, https://www.paloaltonetworks.com/cyberpedia/gdpr-compliance

• Beatriz Botero Arcila: “Who Owns Generative AI Training Data …, geopend op mei 9, 2025, https://www.networklawreview.org/botero-arcila-generative-ai/

• What are GDPR Data Subject Rights? – Securiti, geopend op mei 9, 2025, https://securiti.ai/gdpr-data-subject-rights/

• The right to erasure (Articles 17 & 19 of the GDPR) – Data Protection Commission, geopend op mei 9, 2025, http://dataprotection.ie/en/individuals/know-your-rights/right-erasure-articles-17-19-gdpr

• Art. 17 GDPR – Right to erasure (‘right to be forgotten’) – General Data Protection Regulation (GDPR), geopend op mei 9, 2025, https://gdpr-info.eu/art-17-gdpr/

• The EDPB Opinion on training AI models using personal data and …, geopend op mei 9, 2025, https://www.dataprotectionreport.com/2025/01/the-edpb-opinion-on-training-ai-models-using-personal-data-and-recent-garante-fine-lawful-deployment-of-llms/

• The GDPR Data Subject Rights – Global Privacy Laws | Blog …, geopend op mei 9, 2025, https://www.onetrust.com/blog/the-gdpr-data-subject-rights/

• About – Gaia-X: A Federated Secure Data Infrastructure, geopend op mei 9, 2025, https://gaia-x.eu/about/

• FAQ – Gaia-X: A Federated Secure Data Infrastructure, geopend op mei 9, 2025, https://gaia-x.eu/faq/

• Shaping a GAIA-X Data Ecosystem through Innovation Modeling, geopend op mei 9, 2025, https://elib.dlr.de/200101/1/Shaping%20a%20GAIA-X%20Data%20Ecosystem%20through%20Innovation%20Modeling.pdf

• gaia-x.eu, geopend op mei 9, 2025, https://gaia-x.eu//uploads/2024/10/20240625_Gaia-X-standard-Presentation.pdf

• gaia-x.eu, geopend op mei 9, 2025, https://gaia-x.eu//uploads/2024/10/How-to-become-a-Gaia-X-conformant-Service.pdf

• Compliance and Alignment with the GAIA-X framework …, geopend op mei 9, 2025, https://comfortage.eu/compliance-and-alignment-with-the-gaia-x-framework/

• Gaia-X Introduces the Compliance Document to Enable and Increase Trust, Security, and European Sovereignty in Digital Ecosystems, geopend op mei 9, 2025, https://gaia-x.eu/gaia-x-introduces-the-compliance-document-to-enable-and-increase-trust-security-and-european-sovereignty-in-digital-ecosystems/

• gaia-x.eu, geopend op mei 9, 2025, https://gaia-x.eu//uploads/2024/09/Compliance-Document_24.06.pdf

• gaia-x.eu, geopend op mei 9, 2025, https://gaia-x.eu//uploads/2024/05/An-Introduction-to-the-Gaia-X-Trust-Framework_2024-V4.pdf

• Clearing houses: Orange expertise to support Gaia-X, geopend op mei 9, 2025, https://www.orange-business.com/en/magazine/clearing-houses-orange-expertise-service-gaia-x

• together towards a federated & secure data infrastructure – Gaia-X, geopend op mei 9, 2025, https://gaia-x.eu//uploads/2025/01/Gaia-X-Brochure_Overview-2025.pdf

• together towards a federated & secure data infrastructure – Gaia-X, geopend op mei 9, 2025, https://gaia-x.eu//uploads/2025/02/Gaia-X-Brochure_Overview_February_2025-v2.pdf

• Lighthouse Projects – Gaia-X: A Federated Secure Data Infrastructure, geopend op mei 9, 2025, https://gaia-x.eu/community/lighthouse-projects/

• What is AI transparency? A comprehensive guide – Zendesk, geopend op mei 9, 2025, https://www.zendesk.com/blog/ai-transparency/

• Who is Responsible? The Data, Models, Users or Regulations? Responsible Generative AI for a Sustainable Future – arXiv, geopend op mei 9, 2025, https://arxiv.org/html/2502.08650v2