Inference-governance: 20 mechanismen geëvalueerd, geen volstaat tegen een sterke aanvaller

De EU AI Act reguleert trainingscompute. AI-capabiliteit woont inmiddels ergens anders.

Dat is de kern van het probleem dat Samar Ansari (University of Chester) formaliseert in Beyond Training: A Feasibility Taxonomy for Inference-Time AI Governance (arXiv:2609.10105, 9 september 2026). Het paper verschuift het regulatoire object van de trainingsrun naar de inference-call, en constateert dat de governance-toolbox voor dat nieuwe object onvolledig is.

De verschuiving: van trainingsrun naar inference-call

Compute-governance, zoals de EU AI Act, het US Executive Order on AI en het Britse frontier-AI-regime die implementeren, hecht thresholds en rapportageverplichtingen aan cumulatieve trainingscompute. Het getrainde model is de regulatoire eenheid. Die benadering was adequaat toen trainingscompute de dominante determinant van capabiliteit was: enkele grote laboratoria draaiden lange trainingruns, en het resultaat definieerde de frontier.

Die aanname houdt geen stand meer. Capabiliteit migreert naar de inference-fase via drie mechanismen:

1. Inference-time scaling, meer rekenkracht per query (reasoning tokens, chain-of-thought, self-consistency)
2. Agentic scaffolding, externe tooling, geheugen en orchestration die het model omringen en de capability envelope vergroten zonder het model te hertrainen
3. Compressie naar consumentenhardware, kwantisatie en distillatie die frontier-capabiliteit op lokale hardware plaatsen, buiten het zicht van compute-based thresholds

Het getrainde model is niet langer waar de capabiliteit woont. De capabiliteit woont in de inference-pipeline: de scaffolding, de routing, de tool-integratie, de runtime-configuratie. En die pipeline is niet wat de AI Act reguleert.

De taxonomie: 20 mechanismen, drie clusters

Het paper ontwikkelt een feasibility-taxonomie van 20 inference-time governance mechanismen, ingedeeld in drie clusters:

Cluster	Doel	Voorbeelden
Monitoring	Waarnemen wat er tijdens inference gebeurt	Telemetrie, output-logging, gedragsprofilering
Verificatie	Controleren dat inference-output aan eisen voldoet	Output-filtering, content-classificatie, policy-checks
Enforcement	Afdwingen dat governance-regels bindend zijn	Rate-limiting, capability-restrictie, access-control op inferentie-niveau

Elk mechanisme wordt beoordeeld op een 4-punts readiness-schaal, getest tegen een gedocumenteerde evidence-base van vier vendors. De beoordeling is niet abstract: er is een second-rater reliability check uitgevoerd met een quadratic-weighted Cohen's kappa van 0,74, substantiële overeenstemming.

De bevinding: 15 commercieel, 0 toereikend

Van de 20 mechanismen hebben er 15 commerciële technische substraten in productie. Dat klinkt positief. De nuance zit in de adversary-analyse.

Het paper stress-test de taxonomie tegen een twee-dimensionaal adversary-model: drie capability-tiers (laag, midden, hoog) gekruist met vier adversary-rollen. De conclusie is ondubbelzinnig:

De readiness houdt stand tegen een coöperatieve deployer en een laag-tot-midden-capabele gebruiker. Maar geen enkel mechanisme is toereikend tegen een high-capability state-level deployer.

Dit is geen theoretische zorg. Het betekent dat de inference-governance-toolbox die commercieel beschikbaar is, voldoende is voor het type organisatie dat vrijwillig meewerkt, en onvoldoende voor het type organisatie dat dat niet doet.

De fine-tuning breekt het enforcement-cluster

De meest materiële bevinding voor de Nederlandse praktijk: fine-tuning verwijdert de model-interne componenten van het enforcement-cluster.

Een organisatie die een open-weight model fine-tunet, bijvoorbeeld voor overheidscommunicatie, juridische assistentie, of besluitondersteuning, verwijdert stilletjes de safety-mechanismen die in het model zitten. De platform-externe controls (rate-limiting, access-control op infrastructuurniveau) blijven staan, maar alles wat in de modelgewichten zit, is verdwenen na fine-tuning.

Dit is onzichtbaar in bestaande assessments. Een BIO2-baselineassessment kijkt naar netwerkperimeter en supply chain. Een AI Act-impactassessment kijkt naar trainingsdata en model-architectuur. Niemand kijkt naar wat fine-tuning doet met de inference-time enforcement-mechanismen die in het model zaten.

Wat dit betekent voor EU AI Act Artikel 15

Artikel 15 van de EU AI Act vereist dat high-risk AI-systemen robuust, nauwkeurig en beveiligd zijn. De handhaving richt zich op het systeem als geleverd door de provider. Maar voor open-weight modellen, die de EU nadrukkelijk niet verbiedt, is het systeem na fine-tuning niet meer wat de provider leverde.

De gap is structureel:

• De provider levert een model met inference-time enforcement-mechanismen
• De deployer fine-tunet het model, en verwijdert (onbedoeld of opzettelijk) die mechanismen
• De deployer moet Art. 15 naleven, maar heeft geen tooling om te verifiëren welke enforcement-mechanismen nog functioneren
• De toezichthouder heeft evenmin die tooling

Het paper biedt geen oplossing voor deze gap, het biedt de taxonomie om de gap zichtbaar te maken. Dat is de eerste stap.

De vier governance-scenario's

Het paper mapt elk mechanisme naar vier governance-scenario's:

1. Nationale regulering, wat een individuele jurisdictie (zoals de EU) kan vereisen
2. Bilaterale of multilaterale coördinatie, wat tussen jurisdicties nodig is
3. Industry self-regulation, wat vendors vrijwillig kunnen bieden
4. Compute-marketplace governance, wat cloud-providers en inference-platforms kunnen afdwingen

Voor de Nederlandse overheid is scenario 1 (nationale regulering via de EU AI Act) het primaire kader, maar scenario 4 (compute-marketplace governance) is waar de daadwerkelijke enforcement-kracht zit. Als de inference-provider geen governance-mechanismen aanbiedt, kan de deployer ze niet activeren. Dit versterkt het soevereiniteitsargument: wie de inference-stack niet beheert, beheert ook niet de governance daarop.

De conditional substitution principle

Het paper introduceert een conditional substitution principle: onder bepaalde voorwaarden kunnen inference-stage mechanismen en hardware-stage mechanismen vergelijkbare regulatoire dekking bieden. Dit is geen equivalentie-bewering, het is een voorwaardelijke substitutie onder gespecificeerde condities.

De praktische implicatie: voor sommige governance-doelen kan inference-time monitoring een deel van wat hardware-level attestatie biedt vervangen, mits de randvoorwaarden (observability, tamper-resistance, cooperatieve deployer) zijn vervuld. Maar de adversary-analyse toont dat deze substitutie faalt tegen high-capability tegenstanders, precies het scenario dat voor nationale veiligheid relevant is.

Beperkingen en onzekerheid

Deze analyse heeft grenzen:

• De evidence-base is vier vendors. Dat is voldoende voor een eerste systematische mapping, maar de vendor-selectie is niet exhaustief. De readiness-scores zijn indicatief, niet definitief.
• De adversary-tiers zijn conceptueel, niet empirisch. Het paper modelleert adversaries op capability-niveau, maar test geen daadwerkelijke state-level aanvallen op de 20 mechanismen.
• De fine-tuning-bevinding is logisch, niet experimenteel. Dat fine-tuning model-interne enforcement verwijdert volgt uit hoe fine-tuning werkt (gewichten worden aangepast), maar het paper kwantificeert niet hoeveel enforcement verloren gaat per fine-tuning-traject.
• De conditional substitution principle is conditioneel. De substitutie geldt alleen onder de gespecificeerde condities. Buiten die condities is het een false equivalence.

De Cohen's kappa van 0,74 voor second-rater reliability is substantieel maar niet perfect, er is ruis in de readiness-beoordelingen.

Wat Nederlandse organisaties nu moeten doen

Voor organisaties die open-weight modellen fine-tunen of lokaal deployen:

1. Map de inference-stack. Welke partijen zitten tussen model en eindgebruiker? Welke mechanismen zijn actief op welke laag?
2. Verifieer post-fine-tuning enforcement. Na elke fine-tuning-iteratie: testen of safety-mechanismen nog functioneren, niet aannemen dat ze dat doen.
3. Classificeer de adversary-tier. tegen welk capability-niveau moet de governance standhouden? Voor de meeste overheidsorganisaties is dat midden, niet laag.
4. Documenteer de gap. Als de inference-governance-toolbox onvolledig is voor de vereiste adversary-tier, documenteer dat in het AI Act-conformiteitsdossier. Onzichtbaar is niet hetzelfde als afwezig.

Lees verder

• De onzichtbare redactielaag: inference-time steering en het attributieprobleem, het complementaire probleem: wie wijzigde de output?
• AI-agenten vergeten regels, niet doelen: 55% controleverlies, hoe contextcompactie constraints verwijdert tijdens inference
• EU AI Act 2 augustus 2026: wat nu geldt