Open AI en aantoonbare digitale soevereiniteit

Een organisatie kan de gewichten van een taalmodel bezitten en toch de controle over haar AI-dienst verliezen. Dat gebeurt bijvoorbeeld wanneer de authenticatie, kennisbank, modelruntime of sleutelvoorziening afhankelijk blijft van een partij die de dienstverlening kan beëindigen. Omgekeerd kan een organisatie een gesloten model verantwoord inzetten voor een afgebakende taak, mits zij haar gegevens, beslisregels en uitwijkmogelijkheden beheerst. Het relevante verschil wordt zichtbaar zodra een afhankelijkheid daadwerkelijk wegvalt.

Daarom verdient het debat over open en Europese AI een nauwkeuriger bestuurlijke vraag: welke vormen van openheid geven een organisatie het vermogen om een concrete publieke taak te onderzoeken, te veranderen en voort te zetten, onder welke omstandigheden en tegen welke kosten?

De centrale these van dit artikel is dat openheid waardevolle handelingsmogelijkheden creëert, maar dat digitale soevereiniteit pas aantoonbaar wordt wanneer die mogelijkheden uitvoerbaar zijn gemaakt. Daarvoor moeten modelrechten, bewijs over de ontwikkeling en operationele bevoegdheden afzonderlijk worden beoordeeld. Een hoge openheidsscore kan de ontbrekende capaciteit om een kritieke dienst voort te zetten niet compenseren.

Dit is een conceptuele en bronkritische analyse. Het voorgestelde toetsingsmodel is een eigen synthese, geen bestaande norm of empirisch gevalideerde soevereiniteitsindex. De publicaties worden beoordeeld op hun definities en gevolgtrekkingen; er worden geen nieuwe modelbenchmarks of migratieresultaten geclaimd.

Drie bronnen met verschillende bewijskracht

Het TNO-rapport Open en Europese taalmodellen bij de overheid, TNO-2026-17545, verscheen in augustus 2026. Het combineert literatuuronderzoek met twee overheidsworkshops, op 2 en 31 maart 2026. Het behandelt expliciet afhankelijkheden in de hele digitale stack en presenteert zijn afwegingstabel als hulpmiddel, niet als voorschrijvend selectiekader. De bijbehorende demonstrator rangschikt negentien modellen.

Dat maakt het rapport geschikt om begrippen, beleidsdoelen en praktijkvragen te structureren. De onderzoeksopzet kan op zichzelf geen causaal effect aantonen van openheid op incidentkansen, totale kosten of overstapsnelheid. Deelnemerservaringen geven bovendien geen representatieve effectschatting voor alle overheidsorganisaties. Voor zulke conclusies zijn andere waarnemingen nodig: vergelijkbare implementaties, expliciete uitkomstmaten en controle voor verschillen in taak, infrastructuur en deskundigheid.

De European Open Source AI Index is een onderzoeksinitiatief van de Radboud Universiteit. De toelichting beschrijft veertien dimensies van openheid. De geraadpleegde homepage vermeldt 3 juli 2026 als actualisatiedatum van de index. Het woord 'European' duidt hier dus geen keurmerk aan dat ieder opgenomen model Europees maakt.

Het Model Openness Framework, hierna MOF, heeft een andere functie: het specificeert wat een modeldistributie voor een bepaalde klasse moet bevatten. Het oorspronkelijke onderzoeksartikel motiveert die classificatie vanuit volledigheid, transparantie en reproduceerbaarheid. Dat zijn doelen van het raamwerk, geen bewijs dat iedere conforme toepassing veilig of economisch aantrekkelijk is.

De bronnen beantwoorden daarmee verschillende vragen. Een classificatie beschrijft een object volgens gekozen criteria. Een specificatie stelt eisen aan een distributie. Een beleidsverkenning organiseert een besluitvormingsprobleem. Ze leveren gezamenlijk bruikbaar bewijs, maar vormen geen drie onafhankelijke bevestigingen dat open AI automatisch soevereiniteit oplevert. TNO bouwt immers mede voort op de andere twee kaders.

De definitie van open: het MOF in klassen

De MOF-specificatie 1.0 van 17 december 2024 onderscheidt drie cumulatieve klassen. Onderstaande tabel vat ze selectief samen; conformiteit vereist toetsing van alle toepasselijke bepalingen.

MOF-klasse	Kenmerkende inhoud	Wat je ermee kunt
III, Open Model	Architectuur, parameters, rapportage, evaluatieresultaten, model- en datakaart	gebruik, wijzig, herdistribueer, fine-tune, optimaliseer
II, Open Tooling Model	Klasse III plus trainings-, inferentie- en evaluatiecode, evaluatiedata en ondersteunende hulpmiddelen	begrijp het trainingsproces, valideer benchmarkclaims, optimaliseer inferentie
I, Open Science Model	Eerdere klassen plus onderzoeksbeschrijving, datasets, datavoorbewerking en tussenliggende trainingsartefacten	volledige eind-tot-eind analyse en audit, reproductie, data-exploratie

Een essentieel detail staat bij datasets: beschikbaarstelling is verplicht, een open licentie is daar een aanbeveling. De licentietabel accepteert voor datasets zelfs andere licenties of het ontbreken daarvan. MOF klasse I betekent dus niet dat ieder trainingsbestand onbeperkt mag worden hergebruikt. Ook benoemt de specificatie reproductie van een vergelijkbaar model, geen garantie op identieke gewichten.

De specificatie plaatst veiligheid, privacy, red-teaming, modelserving en modelprovenance bovendien expliciet buiten haar scope. Een MOF-oordeel kan voor deze onderwerpen dus geen conformiteitsverklaring leveren.

Die nuance verandert de inkoopvraag. Een organisatie moet per component vaststellen welke gegevens zij kan verkrijgen en welke handelingen zijn toegestaan. Een licentie op de verzameling kan niet zonder meer worden behandeld als sluitend bewijs voor rechten op alle onderliggende inhoud. Technische beschikbaarheid en juridische gebruiksruimte vragen daarom afzonderlijk bewijs.

Type-geschikte licenties maken het toetsbaar

Het MOF vereist dat elk component onder een passende open licentie wordt vrijgegeven: voor code een door het Open Source Initiative (OSI) goedgekeurde softwarelicentie (Apache 2.0, MIT), voor data een open datalicentie (CDLA-Permissive-2.0) of een Creative Commons-licentie (CC-BY-4.0), voor documentatie een open-inhoudslicentie. Het onderscheid tussen "code" en "data" is niet triviaal: modelparameters zijn data, geen software, en vragen dus een andere licentie dan de code die het model draait. Dit voorkomt de klassieke fout waar open-washing op drijft: een model "open" noemen op basis van de code-licentie terwijl de gewichten of data gesloten blijven.

Het MOF vereist bovendien een configuratiebestand in een machine-leesbaar formaat (JSON, YAML of een AIBOM-formaat) dat per component beschrijft welke licentie erop van toepassing is en waar in de distributie die zit. Dat maakt automatische verificatie mogelijk. Een overheidsaanbesteder kan met een tool controleren of een model werkelijk aan een MOF-klasse voldoet, in plaats van de marketingclaim van de aanbieder te vertrouwen.

Data-openheid is een spectrum, geen vinkje

De OSAI-methodiek bevat een belangrijke nuance. De gids over datatransparantie onderscheidt bronlijsten, datamengsels, filtermethoden en volledige datasets. Ontsluiting via elk van deze vormen kan in de index als bevredigend gelden, terwijl een specifieke gebruiker alsnog noodzakelijke informatie mist. De gids verlangt bovendien aandacht voor de hele fine-tuningketen en de herkomst van data.

Dat is een expliciete beperking die inkopers moeten behouden wanneer ze indexgegevens overnemen. Een score op dataopenheid is onvoldoende om te beslissen of een auditor de feitelijke trainingsset kan inspecteren. Voor onderzoek naar benchmarkvervuiling kan een exacte dataset nodig zijn; voor het organiseren van een eerste rechtenonderzoek kan een gedetailleerde bronlijst al nuttig zijn. Het bewijs moet passen bij de vraag.

De Open Source AI Definition 1.0 van OSI legt weer een andere grens. Zij vraagt naast code en parameters voldoende gedetailleerde data-informatie om een substantieel gelijkwaardig systeem te kunnen bouwen. Ze houdt rekening met data die niet gedeeld kan worden. Onbeperkte publicatie van alle ruwe trainingsdata is daarmee geen universele voorwaarde binnen iedere definitie van open AI.

De inhoudelijke keuze is aanzienlijk. Maximale publieke inzage bevordert bepaalde vormen van onderzoek, terwijl bescherming van persoonsgegevens of rechten van makers juist beperkingen kan vereisen. Een organisatie moet die spanning documenteren. Zij kan onderscheid maken tussen publiek beschikbare informatie, gecontroleerde toegang voor een onafhankelijke auditor en informatie die ook voor die auditor ontbreekt. Die vormen leveren verschillende onderzoeksmogelijkheden op en verdienen afzonderlijke labels.

Waar de overheidsverkenning correctie nodig heeft

Juist omdat een beleidsverkenning in beslisregels kan veranderen, moeten onjuiste generalisaties worden hersteld voordat ze worden geautomatiseerd. TNO noemt OSAID op pagina 13 nog een eerste versie in consultatie. OSI publiceert inmiddels een stabiele versie 1.0. Het ontbreken van universele consensus moet worden onderscheiden van het ontbreken van een vastgestelde definitie.

Op pagina 30 koppelt TNO gesloten modellen aan onmogelijke fine-tuning, betaling per token aan geslotenheid en zelfhosting aan dataverwerking binnen de EER. Deze drie afleidingen zijn niet algemeen geldig.

Microsoft documenteert bijvoorbeeld fine-tuning van GPT-4o via zijn beheerde dienstverlening. Dat geeft de klant aanpassingsmogelijkheden zonder de volledige trainingsstack openbaar te maken. De juiste vraag is of de aanbieder fine-tuning ondersteunt en of het resultaat exporteerbaar is. Dat zijn verschillende eigenschappen.

Ook prijsstelling en openheid zijn logisch verschillende variabelen. Een exploitant kan een open model hosten en rekentijd per token factureren. En zelfhosting beschrijft wie de omgeving beheert, niet op welk continent de server staat of waar telemetrie naartoe gaat. Een eigen deployment buiten Europa vormt al een tegenvoorbeeld voor de geografische gevolgtrekking.

Deze fouten zijn relevant voor de uitvoerbaarheid van beleid. Een automatische beslisboom kan anders geschikte modellen uitsluiten of een datalocatie-eis ten onrechte als vervuld markeren. De reparatie bestaat uit een preciezer gegevensmodel: houd het modelartefact, het dienstenaanbod en de concrete deployment uit elkaar. Koppel ze met expliciete relaties en bewijs. Leid geen licentierecht af uit een prijsmodel en geen datalocatie uit een hostinglabel.

Hetzelfde geldt voor hardware. Als rekenvoorbeeld vertegenwoordigen 70 miljard parameters bij vier bits per parameter circa 35 GB aan ruwe gewichtsinformatie. Dat is nog zonder kwantisatiemetadata, werkgeheugen en de cache voor contextverwerking. Of een deployment bruikbaar is, hangt daarnaast af van contextlengte, gelijktijdige gebruikers, runtime, geheugenbandbreedte en latentie-eisen. Een parameterklasse is daarom een eerste capaciteitsindicatie; een gemeten werkbelasting bepaalt de operationele haalbaarheid.

Europese herkomst vraagt een analyse van zeggenschap

Het TNO-rapport onderscheidt bij Europese modellen herkomst en governance, data en infrastructuur, en talen en ontwikkelingskeuzes. Dat is een bruikbaar vertrekpunt voor verdere ontleding.

Voor een architectuurkeuze moet ieder van deze begrippen worden omgezet in observeerbare eigenschappen. Welke rechtspersoon levert de dienst? Wie beheert de beheerdersaccounts en encryptiesleutels? Welke partij kan een contract, updatekanaal of identiteit blokkeren? Waar worden prompts, logs, back-ups en herstelkopieën verwerkt? Welke onderdelen kan een vervangende exploitant overnemen?

Daarbij moeten Europa, de Europese Unie en de Europese Economische Ruimte als verschillende geografische en juridische afbakeningen worden behandeld. Een nationale vestiging, een Europese cloudregio en toepasselijkheid van Europees recht zijn evenmin onderling uitwisselbaar. Een geografisch etiket bevat onvoldoende informatie om een concrete afhankelijkheid te beoordelen.

Ook Nederlandstalige trainingsdata leveren geen zelfstandig bewijs van rechtsstatelijke kwaliteit. Taalvaardigheid is observeerbaar in taken; publieke waarden vragen een expliciet normatief kader. Een model kan uitstekend Nederlands formuleren en tegelijk een uitzondering in regelgeving wegredeneren, een ongefundeerde zekerheid uitstralen of vergelijkbare personen verschillend behandelen. De relevante toets moet zulke gedragingen zichtbaar maken.

Europese industriepolitiek kan overigens een zelfstandig beleidsdoel zijn. Een overheid kan extra investeren in regionale kennis, infrastructuur en leveranciersdiversiteit. De argumentatie wordt sterker wanneer deze baten apart worden verantwoord. Anders wordt de verwachting van toekomstige ecosystemische waarde gemakkelijk gepresenteerd als reeds bewezen veiligheid van een individuele toepassing.

Een concreet afwegingsvoorbeeld uit de praktijk

Het TNO-rapport werkt zijn vier afwegingscategorieën (openheid, Europese elementen, technische specificaties, gebruik) uit met concrete voorbeelden die de samenhang tonen:

Dimensie	Mistral 7B	Apertus 70B	GPT-4o
Openheid model	Open-weight	Open source	Gesloten
Licentie	Apache 2.0	Apache 2.0	Propriëtair
Herkomst provider	EER	non-EER (Zwitserland)	non-EER (VS)
Dataopslag/verwerking	EER (self-host of API)	EER (self-host)	Non-EER (Azure)
Nederlandstalige benchmarks	Rank score 1.44	48.65/60.81 (MMLU_NL)	Rank score 1.30
Kostenmodel	Self-hosting	Self-hosting	Per-token

Een model is nooit op zichzelf het hele verhaal; altijd moet naar de gehele stack worden gekeken. Een volledig open, Europees model dat draait op niet-Europese cloudinfrastructuur is niet soeverein. Een closed model van een Europese aanbieder kan voor lage-risico toepassingen prima voldoen.

Soevereiniteit wordt meetbaar in een concrete verstoring

Voor dit artikel definiëren we operationele soevereiniteit als het aantoonbare vermogen van een organisatie om een geselecteerde publieke taak te blijven uitvoeren en haar AI-ondersteuning te veranderen, binnen vastgestelde grenzen voor kwaliteit, tijd, kosten en bevoegdheden. Die definitie is bewust taak- en scenarioafhankelijk.

Een gemeente die een tekstassistent één werkdag kan missen, stelt andere eisen dan een organisatie waarvan de wettelijke dienstverlening afhankelijk is geworden van een AI-platform. Het relevante tijdvenster verschilt eveneens. Een opgeslagen model kan vandaag zonder leverancier blijven draaien, terwijl over drie jaar een probleem ontstaat door ontbrekende beveiligingsupdates, vervangende hardware of onderhoudskennis.

Daarom is één soevereiniteitsscore te grof. Beoordeel ten minste de volgende vermogens afzonderlijk.

Vermogen	Aantoonbaar bewijs	Mogelijke belemmering
Voortzetten	Werkende dienst bij uitval van de primaire aanbieder	Gedeelde identityprovider of sleutelvoorziening
Onderzoeken	Herleidbare release en bruikbaar auditmateriaal	Onbekende dataherkomst of ontbrekende fine-tuningstap
Aanpassen	Rechtmatige, uitvoerbare wijziging met regressietest	Niet-exporteerbare adapter of onvoldoende expertise
Vervangen	Geteste migratie van taak, gegevens en beveiligingsbeleid	Modelspecifieke toolaanroepen of zoekindex
Besturen	Organisatie kan toegang, updates en incidentrespons afdwingen	Beheerrechten of besluitvorming bij een externe partij

Deze benadering voorkomt dat openheid als vervanging voor controle wordt gebruikt. De aanwezigheid van trainingscode verruimt bijvoorbeeld de mogelijkheid om modelgedrag te onderzoeken, maar lost een storing in de identityprovider niet op. Omgekeerd bewijst een geslaagde uitwijkproef niets over de rechtmatigheid van de oorspronkelijke trainingsdata.

Bij meerdere aanbieders moet bovendien naar gemeenschappelijke afhankelijkheden worden gekeken. Twee modellen bieden weinig continuïteitswinst wanneer hun uitwijkroute dezelfde cloudaccount, externe gateway of secret store nodig heeft. In de afhankelijkheidsgraaf is vooral relevant welke afzonderlijke component of combinatie van componenten alle bruikbare uitvoerpaden onderbreekt. De bestuurlijke opdracht is die gedeelde kwetsbaarheid te verkleinen.

Dat betekent geen streven naar volledige technische zelfvoorziening. Afhankelijkheden zijn soms efficiënt, moeilijk vervangbaar of bewust geaccepteerd. Maak wel onderscheid tussen afhankelijkheid die onmiddellijk een dienst kan stilleggen en afhankelijkheid die vooral op langere termijn innovatie of onderhoud beperkt. Daar horen verschillende maatregelen en budgetten bij.

Openheid levert een optie op die onderhouden moet worden

De mogelijkheid om te forken of te migreren heeft economische waarde, ook wanneer een organisatie die mogelijkheid zelden gebruikt. Maar een recht op papier is nog geen betaalbare uitvoeringsoptie. Een bruikbare exit vereist beschikbare artefacten, deskundige mensen, capaciteit, een overdraagbare kennisbasis en een uitgevoerde proef.

De kostenvergelijking moet daarom verder gaan dan een tokenprijs. Een bruikbare maat is de totale kostprijs per aantoonbaar bruikbare taakuitkomst: deel de kosten voor infrastructuur, exploitatie, evaluatie, menselijke correctie, incidentafhandeling en onderhoud van de uitwijkroute door het aantal uitkomsten dat aan de vooraf vastgestelde taakcriteria voldoet. Leg de meetperiode vast en voorkom dat afgekeurde antwoorden als productie meetellen.

Een goedkoop lokaal model kan op die maat duurder blijken wanneer medewerkers veel moeten herstellen. Een beheerde dienst kan aanvankelijk goedkoper zijn en later meer overstapkosten veroorzaken. Een open model kan juist gunstig uitvallen bij stabiele, afgebakende taken met voldoende volume en aanwezige expertise. De onderzochte bronnen leveren geen basis voor één universele kostenrangorde.

Een belangrijke alternatieve verklaring voor succesvolle open implementaties is bovendien de kwaliteit van het team. Organisaties met sterke engineering kunnen zowel vaker open modellen kiezen als beter presteren. Een gevonden correlatie tussen openheid en succes bewijst dan niet dat openheid het succes veroorzaakt. Wie die relatie serieus wil onderzoeken, moet teamcapaciteit, taakcomplexiteit en operationele investeringen meenemen.

Voor de overheid ligt hier een concreet collectief belang. Een gedeelde onderhoudsdienst, sectorale evaluatieset of exporteerbare runtime kan voor veel organisaties tegelijk de kosten verlagen om openheid daadwerkelijk te benutten. Alleen het aantal beschikbare modellen vergroten laat die uitvoeringskosten grotendeels bestaan.

Open-washing blijft een reëel risico

De Radboud-onderzoekers achter de European Open Source AI Index introduceren het begrip open-washing: het binnenslepen van punten die openheid suggereren, zonder werkelijk bruikbare informatie te ontsluiten die wetenschappelijk onderzoek en juridische toetsing mogelijk maakt. BERT uit 2018 geldt daarin als een historisch dieptepunt: het meest geciteerde model van de AI-revolutie werd als open source vermarkt, maar was dat nooit volledig. Recente gevallen zijn Mistral 3, dat er volgens de onderzoekers niet in slaagt een nieuwe standaard voor openheid te zetten, en Proton's Lumo.

Dit is meer dan een reputatie-issue. Het raakt de kern van de overheidsafweging: wie een model als "open" bestempelt terwijl de trainingsdata of het trainingsproces ontoegankelijk blijven, kan niet aantonen welke data is gebruikt, hoe het model tot zijn uitkomsten komt, en op welke grond juridische verantwoordelijkheid rust. Precies wat een overheidsorganisatie nodig heeft voordat zij een model inzet voor beslissingen die burgers raken.

De wettelijke uitzondering is geen veiligheidsoordeel

De AI Act hanteert verschillende bepalingen voor AI-systemen en modellen voor algemene doeleinden. Artikel 2, lid 12, bevat een uitzondering voor bepaalde systemen onder vrije opensourcelicenties, met uitzonderingen daarop voor onder meer hoogrisicosystemen en toepassingen onder artikel 5 of 50. Artikel 53, lid 2, beperkt onder voorwaarden twee documentatieverplichtingen voor aanbieders van open GPAI-modellen. De auteursrechtelijke verplichting en de publieke samenvatting van trainingsinhoud blijven daarbuiten; de uitzondering geldt niet voor GPAI-modellen met systeemrisico. Een OSAI-score of MOF-klasse beslist dus niet zelfstandig over de juridische positie.

De AI Act hanteert voor vrije en opensource dezelfde definitie als de Free Software Foundation en het OSI. Dat betekent dat het MOF, dat expliciet verwijst naar door het OSI goedgekeurde licenties, juridisch aansluit op de terminologie van de AI Act. Een model dat aan MOF-klasse III voldoet met OSI-goedgekeurde licenties, is onder de AI Act eerder in staat om van de opensource-uitzondering te profiteren dan een model met een eigen, niet-OSI-licentie.

TNO's algemene vrijstellingsformulering op pagina 19 vraagt daarom precisering per bepaling, rol en toepassing.

De AVG beoordeelt ondertussen de verwerking van persoonsgegevens. Openheid van een model vervangt geen rechtsgrond, doelbinding, passende beveiliging of, waar vereist, een gegevensbeschermingseffectbeoordeling.

Daaruit volgt een praktisch inkoopprincipe. Leg vast welke partij welk artefact levert, welke verantwoordelijkheid zij draagt en welk bewijs nodig is voor de beoogde toepassing. Een juridisch beschikbare vrijstelling kan betekenen dat een afnemer noodzakelijke informatie contractueel moet organiseren. Minder wettelijke documentatieplicht betekent niet dat de afnemer minder inzicht nodig heeft om verantwoord te kunnen handelen.

Wat dit betekent voor BIO2 en NIS2

Het TNO-afwegingskader en het MOF zijn niet vrijblijvend. Ze raken direct aan bestaande compliance-verplichtingen van Nederlandse overheidsorganisaties.

NIS2, Artikel 21 (supply chain security): de verordening eist dat organisaties de beveiliging van hun toeleveringsketen kunnen aantonen. Een taalmodel is onderdeel van die keten. Zonder inzicht in de trainingsdata, het trainingsproces en de evaluatie (de MOF-componenten) is dat inzicht niet te leveren. Een open model waarvan de componenten inzichtelijk zijn, maakt de supply chain-audit beter haalbaar dan een closed model. Het MOF-configuratiebestand kan daarvoor dienen als machine-leesbare audit-input.

BIO2, toegangsbeheer en databeveiliging (maatregel 3.4 e.a.): waar data wordt verwerkt en opgeslagen is bepalend voor de beveiligingsmaatregelen die nodig zijn. Het TNO-rapport maakt duidelijk dat de locatie van dataopslag en -verwerking vaak ondoorzichtig is bij closed modellen. Voor BIO2-classificatie (BIV/TBB) is die transparantie noodzakelijk. Alleen wanneer het model volledig zelf wordt gehost en data lokaal wordt opgeslagen, is er volledige grip op dit element. Dit is exact het punt waar sovereign AI en de afwegingen uit het TNO-rapport samenkomen.

AI Act-uitzondering en risico-afweging: de FOSAI-uitzondering is aantrekkelijk vanwege de lagere regulatoire last, maar kent de aansprakelijkheids-beperking. Een overheidsorganisatie die een open model inzet voor een hoog-risico toepassing kan die uitzondering niet gebruiken. De organisatie moet dan zelf als gebruiksverantwoordelijke voldoen aan de AI Act-verplichtingen. Het MOF helpt hierbij door de benodigde risico- en evaluatiedocumentatie inzichtelijk te maken.

Bij agents ligt de beslissende grens in de uitvoeringslaag

Voor agentische systemen is het model slechts één onderdeel van het risicomechanisme. Een gemanipuleerd document kan een agent tot ongewenste toolaanroepen bewegen. De schade hangt dan sterk af van de functies en bevoegdheden die de uitvoering toestaat. OWASP beschrijft dit onder Excessive Agency en adviseert onder andere beperkte bevoegdheden en autorisatie in de achterliggende systemen.

De architectuurconsequentie is dat modelopenheid geen extra uitvoeringsrechten mag opleveren. Een model kan handelingen voorstellen; de uitvoeringslaag moet vaststellen of de aanroep bij de opdracht, identiteit en bevoegdheid past. Ook een lokaal, volledig inspecteerbaar model behoort niet zelfstandig te beslissen dat het een extra database mag uitlezen.

Voor een implementatie betekent dit concreet: gebruik OIDC waar gebruikersauthenticatie nodig is, regel API-toegang met passende OAuth2-autorisatie en houd gebruikersidentiteit, agentidentiteit en workloadidentiteit uit elkaar. Beperk tokens tot de bedoelde doelgroep en scopes, geef ze een korte levensduur en organiseer intrekking en rotatie. Laat de broker secrets beheren; voeg geen herbruikbare beheertokens toe aan de modelcontext. Dit zijn voorgestelde ontwerpkeuzes, geen eigenschappen die een openheidsindex verifieert.

Hetzelfde onderscheid geldt voor de softwareketen. Verifieer welke gewichten, tokenizer, runtime, adapter en toolversie worden geladen. Leg hun herkomst en integriteit vast en toets uitvoerbare laadcode voordat die rechten krijgt. Een geldige handtekening toont herkomst en integriteit binnen het gekozen vertrouwensmodel; zij bewijst geen onschadelijk gedrag of correcte training.

Meer inzage kan beveiligingsonderzoek helpen, maar maakt een uitgebracht model ook toegankelijk voor partijen die beschermingen willen verwijderen. De relevante vergelijking is daarom welk dreigingsscenario men probeert te beheersen. Misbruik door iemand die zelf gewichten draait vraagt een andere aanpak dan ongeoorloofde handelingen door een agent binnen de eigen organisatie. Voor dat laatste blijft de uitvoeringsarchitectuur bepalend.

Een afwegingsinstrument moet grenzen kunnen handhaven

TNO's demonstrator gebruikt gewichten voor criteria om modellen te rangschikken. Voor een operationeel selectiesysteem moet daaraan een onderscheid tussen harde voorwaarden en voorkeuren worden toegevoegd.

Een gewogen totaalscore laat compensatie toe: een hoge score op gebruiksgemak kan een lage score op een ander criterium overtreffen. Dat is passend voor sommige voorkeuren, maar ongeschikt wanneer een organisatie een bepaalde dataverwerking niet toestaat. Zo'n voorwaarde moet eerst als toelatingseis worden getoetst. Onbekend bewijs mag daarbij geen positieve beoordeling opleveren.

Rangschik vervolgens uitsluitend de toegelaten deployments. Behoud de afzonderlijke dimensies en laat zien hoe de rangorde verandert bij andere gewichten. Als een kleine voorkeurwijziging de winnaar omdraait, moet de interface die instabiliteit tonen. Het presenteren van één exact getal zou dan meer zekerheid suggereren dan de analyse bezit.

Gebruik vier bewijsstatussen: aangetoond, weerlegd, onbekend en niet van toepassing. Voeg bron, datum, beoordeelde versie, beoordelaar en vervalcriterium toe. Een ongedocumenteerde datastroom is onbekend; zij is niet automatisch verboden en evenmin automatisch toegestaan. De consequentie volgt uit het vastgestelde beleid voor de betreffende taak.

Een LLM kan gebruikers helpen eisen te formuleren en documentatie te vinden. Laat het taalmodel echter geen bindende licentieclassificatie of autorisatiebeslissing verzinnen. Bewaar de uitgelegde behoefte en vertaal die naar expliciete, reproduceerbare regels. Dat beperkt ook het risico dat overtuigende leverancierstekst of een manipulatieve bron de toelatingsbeslissing beïnvloedt.

Model, dienst en deployment zijn verschillende objecten

Voor een operationele AI-infrastructuur is de meest bruikbare uitwerking een register dat het onveranderlijke modelartefact en de veranderlijke deployment gescheiden houdt. Het modelartefact krijgt een versie en inhoudshash, licenties per component en informatie over de ontwikkelketen. De deployment krijgt uitvoerlocatie, exploitant, datastromen, ondersteunde taken, capaciteit en afhankelijkheden.

Koppel daaraan een bewijsdossier met OSAI-waarnemingen en eventuele MOF-beoordeling, steeds met bronversie. Voeg eigen taaktests, beveiligingstests en de laatste uitwijkproef toe. Een score van een extern register moet herkenbaar blijven als externe waarneming. Zij mag niet ongemerkt veranderen in een intern bewezen eigenschap van een aangepaste release.

De routering selecteert vervolgens op taak en toegelaten deployment. Eerst worden verplichte voorwaarden toegepast, daarna volgen verwachte taakprestatie, beschikbaarheid, latentie en kosten. Een fallback moet dezelfde verplichte voorwaarden respecteren. Wanneer geen geschikte route beschikbaar is, kan de taak wachten, gecontroleerd vereenvoudigd worden of aan een mens worden overgedragen, volgens vooraf vastgesteld beleid.

De kennislaag verdient afzonderlijke aandacht. Een wissel van generatiemodel kan met een stabiel zoekbestand relatief beperkt blijven. Een wissel van embeddingmodel kan herindexering vereisen. Andere tokenisatie, contextvensters en toolformaten kunnen eveneens regressies veroorzaken. Bewaar daarom bronbestanden, toegangslabels, indexrecepten, promptversies en evaluaties los van de commerciële toegang tot één modelaanbieder.

Deze architectuur bouwt voort op de mogelijkheid om verschillende modellen te gebruiken. De toegevoegde waarde zit in aantoonbare semantiek: wat betekent 'toegelaten', voor welke taak en release geldt dat, en welk bewijs blijft overeind na een modelwissel? Hier worden ontwerpkeuzes voorgesteld; er wordt geen actuele verificatie van een bestaande installatie geclaimd.

Een soevereiniteitsclaim toetsen

Een soevereiniteitsclaim voor een concrete toepassing moet kunnen worden weerlegd. Selecteer daarom één werkproces, bijvoorbeeld het vinden en onderbouwd samenvatten van beleidsinformatie. Vergelijk een primaire route met een alternatief dat daadwerkelijk andere kritieke afhankelijkheden heeft. Neem ook een eenvoudiger zoekvoorziening met menselijke afhandeling op als referentie: continuïteit hoeft niet voor iedere taak opnieuw generatieve AI te gebruiken.

Maak vóór uitvoering de taakset, beoordelingscriteria en grenswaarden vast. Gebruik representatieve vragen, moeilijke uitzonderingen en ontbrekende of tegenstrijdige informatie. Laat beoordelaars waar mogelijk blind beoordelen en rapporteer hun onderlinge overeenstemming. Een tweede LLM kan helpen bij screening, maar mag niet de enige autoriteit zijn voor de juistheid van het eerste model.

Te toetsen hypothese	Proef	Uitkomst die de hypothese voor deze toepassing ontkracht
De dienst kan zonder primaire aanbieder functioneren	Onderbreek diens modeltoegang, registry en externe hulpfuncties	Een kritieke taak stopt door een verborgen afhankelijkheid
Het alternatief behoudt voldoende taakkwaliteit	Vergelijk beide routes op dezelfde vastgelegde taakset	De vooraf bepaalde ondergrens wordt niet gehaald
Het beveiligingsbeleid overleeft de overstap	Herhaal tests op toegangsgrenzen en ongeoorloofde toolaanroepen	De uitwijkroute verruimt rechten of verplaatst data ongeoorloofd
De overstap is uitvoerbaar	Laat een tweede beheerder de overgang uitvoeren	Herstelduur, capaciteit of kosten overschrijden de afgesproken grens

Meet behalve hersteltijd ook de kwaliteit ná herstel. Registreer feitelijke fouten, niet-onderbouwde conclusies, correct gedrag bij ontbrekend bewijs, menselijke correctietijd en kosten per bruikbare uitkomst. Voor burgergerichte toepassingen moeten bovendien relevante verschillen tussen gebruikersgroepen worden onderzocht. NIST's GenAI-profiel onderstreept het belang van evaluatie vóór inzet, governance, herkomstinformatie en incidentafhandeling.

Een proef zonder waargenomen incident is geen bewijs dat het incident onmogelijk is. Beschrijf welke paden zijn getest, hoe groot en representatief de steekproef was en welke restonzekerheid blijft bestaan. Rapporteer bij kwaliteitsverschillen onzekerheidsmarges en effecten per taakcategorie. Een goed gemiddelde kan een onacceptabele fout bij een zeldzame, juridisch belangrijke uitzondering verbergen.

Als een open alternatief deze proef niet doorstaat, is de onmiddellijke operationele soevereiniteitsclaim voor die toepassing onvoldoende onderbouwd. Mogelijk is extra engineering rationeel; mogelijk volstaat tijdelijk een beheerde dienst of een eenvoudiger werkproces. De uitkomst moet de architectuur kunnen veranderen. Anders is de proef een bevestigingsritueel.

De bestuurlijke opdracht

Open modellen geven organisaties extra mogelijkheden om te onderzoeken, aan te passen en een andere exploitant te kiezen. Hoeveel daarvan bruikbaar wordt, hangt af van de volledigheid van het bewijs, de feitelijke rechten en de capaciteit om die rechten uit te oefenen. Europese herkomst voegt andere mogelijke baten toe, zoals regionale kennisopbouw en zeggenschap. Deze baten moeten afzonderlijk worden beoordeeld en vervolgens in een concrete dienstverlening samenkomen.

Voor een CIO betekent dit dat de investering zowel een model als een onderhoudbare uitvoerings- en uitwijkroute moet opleveren. Voor een CISO betekent het dat herkomstlabels nooit de plaats innemen van afgedwongen bevoegdheden. Voor een architect betekent het dat modelartefact, dienst en deployment verschillende objecten blijven. Voor publieke inkopers betekent het dat bewijs, overdracht en een uitvoerbare exit onderdeel van de opdracht worden.

De beslissende oplevervraag kan daardoor precies worden gesteld: toon voor deze publieke taak aan welke afhankelijkheid kan wegvallen, hoeveel kwaliteit daarna behouden blijft, welke bevoegdheden intact blijven en binnen welke termijn de organisatie verder kan. Het antwoord bestaat uit een werkende proef, met herleidbaar bewijs en expliciete grenzen.

---

Deze analyse is een conceptuele en bronkritische synthese van drie publicaties. De twee aangeleverde overheidslinks verwijzen naar de publicatiepagina en de bijlage met dezelfde documentidentificatie en tellen als één inhoudelijke bron. Bronnen geraadpleegd op 11 september 2026.

Bronnen: TNO-2026-17545, "Open en Europese taalmodellen bij de overheid – definities en afwegingen" (in opdracht van BZK, augustus 2026); European Open Source AI Index (Radboud Universiteit); Model Openness Framework (MOF) Specification (LF AI & Data, versie 1.0, 17 december 2024); White et al., The Model Openness Framework (versie 6, 2024); Open Source AI Definition 1.0 (OSI); AI Act, Verordening 2024/1689; AVG, Verordening 2016/679; OWASP LLM06:2025, Excessive Agency; NIST AI 600-1, Generative AI Profile.