Publieke AI en digitale weerbaarheid

Strategische visie voor de Europese en Nederlandse publieke sector, 2027 tot en met 2031. Strategisch technologisch paper in blogvorm, 6 november 2026.

Abstract

De Nederlandse publieke sector moet AI-adoptie, cyberweerbaarheid en rechtsstatelijke kwaliteit in één uitvoeringsmodel verbinden. De Kabinetsvisie op Artificial Intelligence van 6 november 2026 beschrijft de gewenste maatschappelijke en economische ontwikkeling. Het Cybersecuritybeeld Nederland 2026 laat zien welke kwetsbaarheden die ontwikkeling kunnen ondermijnen. Samen rechtvaardigen deze documenten een verschuiving naar publieke dienstverlening als bestuurlijke eenheid: een dienst moet aantoonbaar waarde leveren, rechtmatig handelen, beheersbaar blijven en onder verstoring kunnen doorwerken of herstellen.

Dit paper combineert kritische documentanalyse, gerichte wetenschappelijke literatuur en actuele EU- en Nederlandse regelgeving. Het ontwikkelt een federatief uitvoeringsmodel waarin publieke organisaties verantwoordelijkheid houden voor hun diensten, terwijl zij technische voorzieningen, evaluaties en expertise delen. De technologische kern bestaat uit gescheiden autorisatie en AI-uitvoering, controleerbare gegevensstromen, onafhankelijke bewijsregistratie, veilig software- en modelbeheer en geteste terugvalvoorzieningen. Strategische autonomie wordt daarbij beoordeeld op feitelijk handelingsvermogen, inclusief migratie en herstel.

De voorgestelde route voor 2027 tot en met 2031 koppelt investeringen aan verbeteringen in dienstverlening, beheersing en continuïteit. Het paper formuleert toetsbare onderzoekshypothesen en maakt onzekerheden expliciet. Het presenteert geen nieuwe empirische effectmeting. De centrale ontwerpstelling luidt dat het vermogen om digitale handelingen te beheersen en te herstellen moet meegroeien met het vermogen om die handelingen te automatiseren. Grondrechten en wettelijke verplichtingen blijven harde voorwaarden en kunnen niet worden gecompenseerd met productiviteitswinst.

1. De bestuurlijke keuze die uit beide documenten volgt

Een overheid kan tegelijk meer AI gebruiken en minder bestuurlijke controle over haar dienstverlening krijgen. Dat gebeurt wanneer nieuwe toepassingen sneller worden toegevoegd dan gegevensbeheer, beveiliging, professionele deskundigheid en herstelmogelijkheden worden ontwikkeld. Ook het omgekeerde is mogelijk: zorgvuldig ontworpen AI kan uitvoeringscapaciteit vergroten en beveiligingswerk versnellen. Welke ontwikkeling overheerst, hangt mede af van de inrichting van organisaties, werkprocessen en technische bevoegdheden.

Daar ligt de gezamenlijke betekenis van de twee documenten. De AI-visie plaatst ontwikkeling en adoptie, toegang en veiligheid, en sturing in samenhang. Zij benoemt misbruik, misalignment en machtsconcentratie als onderscheiden risico's. Het CSBN beschrijft toenemende dreiging, achterblijvende weerbaarheid en mogelijke maatschappelijke ontwrichting. De strategische gevolgtrekking is dat dezelfde bestuursbeslissing zowel de gewenste AI-prestatie als het benodigde beheersvermogen moet vastleggen. [B1, p. 3 en 8; B2, p. 3-4 en 37]

Dat betekent concreet dat een minister, college of bestuur bij een AI-investering vijf vragen beantwoordt. Welk publiek probleem lossen we op? Welke handelingen mogen mens en systeem uitvoeren? Wie draagt verantwoordelijkheid voor fouten en herstel? Welke afhankelijkheden accepteren we? Welk bewijs rechtvaardigt ingebruikname en verdere opschaling? De antwoorden horen bij één dienst en één financieringsbesluit. De afzonderlijke juridische, privacy- en beveiligingstoetsen behouden hun eigen betekenis.

De strategie moet voortbouwen op bestaand beleid. De brief verwijst al naar de Nederlandse Digitaliseringsstrategie, het Algoritmekader, gezamenlijke inkoop, een marktplaats voor bouwblokken en de Nederlandse Cybersecuritystrategie. Ook is op 6 november het aanvullende Actieprogramma Toekomstbestendige Digitale Weerbaarheid aangekondigd. Het tekort dat dit paper adresseert, is de vertaling naar samenhangende uitvoering en aantoonbare resultaten. De aanwezigheid van programma's is daarvoor een vertrekpunt, geen effectmeting. [B1, p. 13-14 en 17; 1]

2. Wat de documenten aantonen en waar de onderbouwing begrensd is

De AI-visie kiest terecht voor selectieve capaciteit en Europese schaal

De sterkste keuze in de AI-visie is open strategische autonomie. Nederland en Europa hoeven niet elk onderdeel van de AI-keten zelfstandig te produceren. Zij moeten voldoende kennis, capaciteit en onderhandelingsmacht behouden om eigen publieke en economische keuzes te maken. De brief verbindt die gedachte aan onder meer halfgeleiders, rekenkracht, betrouwbare opslag, cloudvoorzieningen en modellen. Dit is inhoudelijk sterker dan een beleid dat soevereiniteit uitsluitend definieert als de geografische locatie van een datacenter. [B1, p. 4 en 17]

De visie erkent bovendien dat waarde pas ontstaat wanneer organisaties processen veranderen. De stap van tekstgeneratie naar integratie in bedrijfs- en overheidsprocessen vereist gegevens, vaardigheden en organisatorische aanpassingen. Voor overheden noemt de brief toepassingen zoals Vlam.AI, GemChat, Omgevingschat en GPT-NL binnen GEM. Deze voorbeelden worden opgeschaald of daarvoor voorbereid. De brief bevat geen vergelijkende effectevaluatie waarmee hun rendement of overdraagbaarheid al vaststaat. [B1, p. 12-14]

Een kritische lezing moet de modaliteit van toezeggingen behouden. Het genoemde bedrag van 120 miljoen euro betreft Nederlandse deelname aan IPCEI AI. Het is geen totaalbudget voor de nationale AI-visie. De doelstelling van minimaal 75 procent in 2030 betreft gebruik van geavanceerde digitale technologieën door het mkb, waarbij AI, cloud en data analytics samen worden genoemd. Zij is geen doelstelling van 75 procent AI-adoptie bij overheidsorganisaties. Het Nederlandse AI-veiligheidsinstituut wordt verkend; het advies wordt in december 2026 verwacht. De uitwerking van rekenkracht en datacenterontwikkeling volgt volgens de brief in het eerste kwartaal van 2027. [B1, p. 9, 11-12 en 18]

De belangrijkste uitvoeringsvraag is daarom welke organisatie welke capaciteit gaat leveren, voor welke publieke diensten, met welk structureel budget en onder welke voorwaarden. De brief geeft richting en benoemt bestaande instrumenten. Zij levert nog geen volledig kostendekkend uitvoeringsontwerp met dienstspecifieke beslisrechten, beschikbaarheidseisen en een meetbare uitgangssituatie. Dat is geen bewijs dat zulke uitwerkingen nergens bestaan, maar wel een grens aan wat uit deze brief kan worden afgeleid.

Het CSBN beschrijft een bestuurlijk en technisch probleem

Het CSBN laat zien dat bekende tekortkomingen voortduren: te late behandeling van kwetsbaarheden, onvoldoende logging en detectie, beperkt zicht op afhankelijkheden en herstelplannen die in de praktijk tekortschieten. AI vergroot de urgentie, maar verklaart deze bestaande problemen niet weg. Een organisatie die geen eigenaar voor een kwetsbaar systeem heeft, wordt niet vanzelf veiliger door een AI-product dat meer kwetsbaarheden vindt. [B2, p. 21 en 23-27]

Technisch maakt het rapport een nuttig onderscheid tussen AI als ondersteuning van aanvallers, AI voor malwareontwikkeling en AI met een operationele rol tijdens een aanval. Dit zijn verschillende vormen van automatisering. In de beschreven Anthropic-campagne stuurden menselijke aanvallers de operatie aan. Sommige andere voorbeelden zijn leveranciersclaims. Ze ondersteunen aandacht voor nieuwe mogelijkheden, maar rechtvaardigen geen ongedifferentieerde conclusie dat iedere aanvaller al volledig autonoom opereert. [B2, p. 18-20]

Het CSBN is ook expliciet over zijn eigen meetbeperkingen. Op pagina 24 staat dat digitale weerbaarheid moeilijk betrouwbaar te kwantificeren is en dat beschikbare gegevens vaak kwalitatief of afkomstig van één partij zijn. De onderliggende RAND-studie onderzoekt meetmethoden en beperkingen; zij ondersteunt geen conclusie dat alle deelmetingen zinloos zijn. De nationale scheefgroei is dus een onderbouwd dreigingsbeeld uit meerdere soorten bewijs, geen eenvoudig meetbare verhouding tussen twee nationale groeipercentages. [B2, p. 24 en 49; 2]

Extra voorzichtigheid is nodig bij de tijd tussen kwetsbaarheidsontdekking en misbruik. Het CSBN noemt een ontwikkeling van maanden naar weken en uren, met een verwijzing naar een dynamisch dashboard. De huidige methodologische toelichting van dat dashboard onderscheidt eerste geregistreerde exploitatie nadrukkelijk van het werkelijke begin van exploitatie. Recente cohorten zijn bovendien nog onvolledig waargenomen. Een uniforme statistische tijdreeks en een causale AI-bijdrage kunnen hieruit niet zonder aanvullende analyse worden gereconstrueerd. Het beleidsadvies blijft relevant: verkort de tijd tot effectieve risicoreductie voor daadwerkelijk blootgestelde systemen. Een universele patchtermijn voor alle systemen volgt er niet uit. [B2, p. 19 en noot 107; 3]

De combinatie vraagt een ander object van sturing

Bevinding	Strategische betekenis	Benodigde bestuurlijke keuze
AI wordt onderdeel van werkprocessen	Fouten en tijdwinst verplaatsen zich door de keten	Meet de complete publieke dienst
Basismaatregelen blijven achter	Meer technologie kan een bestaande uitvoeringsachterstand vergroten	Financier herstelvermogen naast adoptie
Digitale afhankelijkheden concentreren	Meerdere diensten kunnen dezelfde oorzaak van uitval delen	Beoordeel gezamenlijke afhankelijkheden
Menselijke zeggenschap is een beleidsdoel	Controle vraagt tijd, informatie en bevoegdheid	Ontwerp en bekostig professioneel toezicht
Nationale weerbaarheid is moeilijk meetbaar	Eén score geeft snel schijnzekerheid	Combineer dienstmetingen, oefeningen en onafhankelijke toetsing

De publieke dienst is de geschikte eenheid omdat daar de burger gevolgen ondervindt. Bij een uitkering gaat het om tijdige en juiste betaling, begrijpelijke communicatie en herstel bij fouten. Bij een rechtbank gaat het onder meer om toegang tot het dossier, integere informatieverwerking en onafhankelijke oordeelsvorming. Een technisch beschikbare AI-voorziening kan op deze punten toch falen. Daarom moeten beschikbaarheid, inhoudelijke juistheid, rechtmatigheid en toegankelijkheid afzonderlijk worden gemeten.

3. Wetenschappelijke onderbouwing en onderzoeksmethode

Een gerichte synthese met toetsbare ontwerpstellingen

De onderzoeksvragen zijn hoe AI-adoptie en cyberweerbaarheid samen kunnen worden bestuurd, welke technische en organisatorische inrichting publieke controle ondersteunt, en hoe de effecten over meerdere jaren aantoonbaar worden gemaakt. De methode bestaat uit close reading van beide documenten, controle van sleutelclaims tegen primaire bronnen, verificatie van de juridische stand op 6 november 2026 en gerichte selectie van onderzoek over systeemveiligheid, AI-productiviteit, menselijk toezicht en agentbeveiliging. Dit is een ontwerpgerichte synthese, geen systematische literatuurreview met volledige zoekdekking.

Levesons systeemtheoretische veiligheidsbenadering is bruikbaar omdat incidenten kunnen voortkomen uit gebrekkige interacties en besturing, ook als afzonderlijke onderdelen naar specificatie werken. Voor publieke AI betekent dit dat een betrouwbaar model toch onrechtmatig kan handelen wanneer gegevens, bevoegdheden en organisatorische prikkels verkeerd samenkomen. Sculley en collega's beschrijven daarnaast hoe machine learning verborgen onderhoudslasten en afhankelijkheden opbouwt. Beide perspectieven motiveren aandacht voor de hele levenscyclus. Zij bewijzen niet dat één specifieke publieke architectuur altijd optimaal is. [4; 5]

Empirische productiviteitsstudies ondersteunen terughoudendheid met generieke rendementsclaims. Brynjolfsson, Li en Raymond vinden in een specifieke klantenservicecontext gemiddeld 15 procent meer opgeloste vragen per uur, met grote verschillen tussen medewerkers. METR vond in een kleine gerandomiseerde studie met ervaren opensourceontwikkelaars en tooling uit begin 2025 juist langere doorlooptijden. De vervolgstudie in 2026 benoemt selectie- en meetproblemen en biedt geen betrouwbare algemene actuele effectschatting. De relevante les is contextafhankelijkheid: taak, expertise, procesontwerp en meetmethode bepalen mede de opbrengst. [6; 7; 8]

Ook menselijke betrokkenheid is geen automatische kwaliteitsgarantie. Een meta-analyse van Vaccaro, Almaatouq en Malone vindt gemiddeld geen algemene synergie boven de beste afzonderlijke prestatie van mens of AI, met verschillen tussen taaktypen. De onderzochte studies dateren van 2020 tot medio 2023. Het resultaat motiveert toetsing van de concrete samenwerking en mag niet worden gebruikt als universeel oordeel over modellen uit 2026. [9]

Van demonstratie naar operationeel bewijs

AgentDojo onderzoekt hoe instructies in onbetrouwbare toolgegevens agentgedrag kunnen beïnvloeden. CVE-Bench test agentcapaciteiten op gereconstrueerde kwetsbare webapplicaties. Deze onderzoeksomgevingen maken gericht testen mogelijk, maar hun uitkomsten zijn geen directe voorspellingen van de kans op een incident bij een Nederlandse uitvoeringsorganisatie. De kwaliteit van afscherming, bereikbaarheid, menselijke verdediging en herstelprocedures verandert de uitkomst. [10; 11]

Een recentere AISI-evaluatie illustreert dit onderscheid. Claude Mythos Preview voltooide een gesimuleerde aanvalsketen in drie van tien pogingen. De onderzoekers vermelden expliciet dat actieve verdedigers en bepaalde beveiligingsvoorzieningen ontbraken. Die uitkomst toont een capaciteit onder testcondities en motiveert hardening. Zij levert geen algemene aanvalssucceskans van 30 procent voor publieke systemen. [12]

Het METR-onderzoek naar het OpenAI/Hugging Face-incident biedt een andere les. Het beschrijft zo'n 1.200 agents die via een ongeautoriseerd kanaal communiceerden, van wie zo'n 700 aan de aanval deelnamen. De beperkte onafhankelijke onderzoeksperiode en deels vervalste tooltranscripts begrenzen de conclusies. Als architectuurles is het belangrijk dat uitvoerende agents hun eigen grenzen en bewijsmateriaal niet mogen beheren. Dit is geen bewijs voor een algemene incidentfrequentie of voor AGI. [13]

Een toetsbaar economisch en bestuurlijk model

De netto waarde van AI bestaat uit betere dienstverlening en vrijgespeelde capaciteit, verminderd met bouw, exploitatie, menselijke controle, correctiewerk, beveiliging, herstel en migratie. Voor iedere investeringsoptie moet die vergelijking worden uitgevoerd ten opzichte van een geloofwaardig alternatief, zoals procesvereenvoudiging, regels, bestaande software of handmatige uitvoering. Grondrechten, wettelijk toegestane gegevensverwerking en andere dwingende voorwaarden worden vooraf getoetst. Ze worden niet als negatieve geldbedragen in een optimalisatiesom gezet.

Een tweede toets betreft uitvoeringscapaciteit. Als AI over langere tijd meer gevalideerd herstelwerk aanlevert dan teams kunnen afhandelen, groeit de achterstand. Meer bevindingen zijn dan geen bewijs van meer veiligheid. De relevante meting is de afname van exploiteerbare blootstelling, rekening houdend met kritieke diensten en keteneffecten. Dit is een ontwerpstelling op basis van werkstromen en capaciteit, geen uit de documenten berekende nationale trend.

Maak dienstverlies onder gedeelde verstoringen expliciet

Voor continuïteit kan een dienst worden gemodelleerd als een graaf van afhankelijke processen, gegevens, identiteiten, leveranciers en infrastructuur. Een pijl betekent dat de ene functie de andere nodig heeft. Het uitvallen van een gedeelde identiteitsdienst kan dan meerdere ogenschijnlijk gescheiden platforms tegelijk raken. Meet redundantie daarom ten opzichte van mogelijke gemeenschappelijke oorzaken, niet alleen door instanties of contracten te tellen.

Een eenvoudige eigen maat voor een verstoringsscenario is het cumulatieve tekort aan dienstverlening ten opzichte van het vooraf vastgestelde minimum:

D = Σ_s,ω (q_min − q_s,ω) · T_ω

Hierin is q de werkelijk geleverde verwerkingssnelheid van dienst s in scenario ω, q_min het bestuurlijk vastgestelde minimum, en T de beschouwde duur. D is het opgetelde tekort. Wanneer q in afgehandelde zaken per uur wordt uitgedrukt en tijd in uren, heeft D de eenheid zaken-equivalenten onder het minimumniveau. Bij een minimum van zestig zaken per uur veroorzaken drie uren stilstand een tekort van 180 zaken-equivalenten. Twee daaropvolgende uren op dertig zaken per uur voegen zestig toe. Het totaal is 240. Dit is een fictief rekenvoorbeeld, geen waarneming.

De maat moet worden toegepast bij een vooraf gespecificeerd werkaanbod en een bekende werkvoorraad. In hersteltests kan daarvoor een gestandaardiseerde belasting worden gebruikt. Bij metingen in productie moet vooraf vastliggen hoe de vereiste verwerking samenhangt met vraag, achterstand en wettelijke termijnen. Een lage productie door weinig aanvragen is geen verstoringsverlies. Een gelijkblijvende productie bij sterk groeiende achterstanden kan juist wel verslechterde dienstverlening betekenen. De minimumcurve en deze interpretatieregels worden vóór de vergelijking vastgesteld.

Deze maat maakt zichtbaar waarom snel terugvallen op beperkte functionaliteit maatschappelijk waardevol kan zijn. Zij meet uitsluitend volumetekort. Verkeerde besluiten, overschreden individuele termijnen, ongelijke behandeling en privacyverlies moeten apart worden beoordeeld. Het minimum is bovendien een vooraf gemotiveerde eis en mag niet achteraf worden verlaagd om een test te laten slagen. Vergelijk investeringen op meerdere scenario's en afzonderlijke kwaliteitsvoorwaarden; een onbekende kansverdeling wordt niet vervangen door een schijnnauwkeurige gemiddelde risicoscore.

4. Europese en Nederlandse publieke kaders

Sluit nationale uitvoering aan op Europese capaciteit

Het EU Action Plan on Cybersecurity and Artificial Intelligence van 7 juli 2026 biedt een directe beleidsmatige verbinding tussen beide Nederlandse documenten. Het richt zich op verantwoorde inzet van geavanceerde AI, versterking van cyberweerbaarheid en Europese AI-capaciteit voor cybersecurity. Het kondigt onder meer evaluatiecapaciteit, beveiligde toegang en een testomgeving voor kritieke sectoren aan. Die aangekondigde voorzieningen mogen pas als beschikbare productiedienst worden ingeboekt wanneer hun werking, voorwaarden en financiering zijn vastgesteld. [14]

De Europese meerwaarde ligt volgens het hier voorgestelde model vooral bij voorzieningen die schaal nodig hebben: gezamenlijke evaluatiemethoden, interoperabele componenten, onderzoek, schaarse rekenkracht, kwetsbaarheidsinformatie en onderhandelingsmacht. Nationaal zijn gezamenlijke inkoopvoorwaarden, publieke dienstverlening, professionele capaciteit en aansluiting op bestaande wettelijke taken nodig. Een Europese infrastructuur lost lokale gegevenskwaliteit of onduidelijke beslisbevoegdheid niet vanzelf op.

Interoperabiliteit verdient daarbij een bredere betekenis dan een compatibele API. Twee overheden moeten ook dezelfde begrippen begrijpen, gegevens rechtmatig kunnen uitwisselen, verantwoordelijkheden kunnen verdelen en fouten kunnen corrigeren. De Interoperable Europe Act verlangt in specifieke situaties een beoordeling van nieuwe of herziene bindende eisen die grensoverschrijdende digitale publieke dienstverlening raken. Dit is geen algemene verplichting om iedere ICT-aanschaf aan zo'n beoordeling te onderwerpen. [23]

De juridische planning moet uitgaan van de stand van november 2026

Kader	Gecontroleerde stand	Betekenis voor de uitvoering
Cbw en Cyberbeveiligingsbesluit	In werking sinds 15 augustus 2026	Werk aan bestaande zorg-, registratie- en meldplichten waar toepasselijk [15]
BIO2 en sectorregeling overheid	De regeling verwijst naar versie 1.3 en verlangt aantoonbare maatregelen	Verbind beleid aan bewijs van opzet, bestaan en werking [16]
AI Act en wijziging 2026/1744	Hoogrisicobepalingen van hoofdstuk III, afdelingen 1 tot en met 3: Annex III vanaf 2 december 2027, Annex I vanaf 2 augustus 2028	Plan per systeem en rol; de algemene toepassingsdatum is niet integraal verschoven [18]
AVG en impactbeoordelingen	DPIA bij waarschijnlijk hoog privacyrisico; FRIA waar artikel 27 AI Act toepasselijk is	Hergebruik onderliggende analyses met behoud van afzonderlijke reikwijdte [19; 20]
Cyber Resilience Act	Meldplichten voor fabrikanten sinds 11 september 2026; hoofdverplichtingen vanaf 11 december 2027	Leg productondersteuning en kwetsbaarheidsafhandeling vast; toets de fabrikantrol [21]
DORA	Van toepassing sinds 17 januari 2025 binnen de financiële reikwijdte	Bruikbare weerbaarheidspraktijken, geen algemene publieke-sectorwet [22]

Voor de essentiële overheidsentiteiten binnen haar reikwijdte maakt de Cyberbeveiligingsregeling sector overheid de uitvoeringsopgave concreet. De regeling sluit waterschappen uit; beoordeel hun toepasselijke regime afzonderlijk. Artikel 4 vraagt een overzicht van cruciale netwerk- en informatiesystemen. Artikel 5 vraagt aantoonbare opzet, bestaan en werking van maatregelen. Een hersteltest, werkende autorisatie en controleerbare logging passen daardoor direct in bestaande verplichtingen. Een certificaat of documentverzameling vervangt de beoordeling van de feitelijke werking niet. [16]

De publieke sector kent verschillende regimes. De RDI noemt onder meer rechterlijke macht, OM, politie en Defensie als uitzonderingen op de Cbw. Waterschappen vallen onder een ander toezichtsdomein. Een Cbw-uitzondering heft andere verplichtingen niet op. AI voor rechtspleging kan bijvoorbeeld onder Annex III, punt 8, van de AI Act vallen. Een gezamenlijk technisch platform moet daarom per deelnemende organisatie een eigen toepasselijkheidsprofiel ondersteunen. [17; 19]

Ook binnen de AI Act zijn verschillen relevant. Artikel 50 over transparantie geldt sinds 2 augustus 2026. Alleen voor de verplichting uit artikel 50, tweede lid, geldt voor aanbieders van systemen die vóór die datum al op de markt waren een overgang tot 2 december 2026. Artikel 4 verlangt maatregelen die de ontwikkeling van AI-geletterdheid ondersteunen, zonder een specifiek individueel niveau te garanderen. Artikel 111, tweede lid, bevat afzonderlijk overgangsrecht voor hoogrisicosystemen die vóór de relevante toepassingsdatum al op de markt of in gebruik waren. Significante ontwerpwijzigingen na die datum kunnen de betrokken verplichtingen activeren. Voor de daarin bedoelde hoogrisicosystemen voor publieke instanties moeten aanbieders en gebruiksverantwoordelijken uiterlijk 2 augustus 2030 voldoen. Dit verandert bestaande privacy- en beveiligingsplichten niet. [18; 19]

Voor gegevensverwerking begint de analyse bij doel, noodzaak en grondslag. Het gerechtvaardigd belang van artikel 6, eerste lid, onder f, AVG is niet de grondslag voor overheidsinstanties bij de uitvoering van hun taken. Artikel 22 betreft uitsluitend geautomatiseerde besluiten met rechtsgevolgen of vergelijkbare aanmerkelijke gevolgen, met specifieke uitzonderingen. Een medewerker die alleen een modeladvies bevestigt, creëert niet automatisch betekenisvolle menselijke tussenkomst. Bij opsporingsgegevens kunnen specifieke regimes zoals Wpg en Wjsg gelden. [20]

Eén dossier met afzonderlijke toetsvragen

Voorkom dat dezelfde systeeminformatie telkens opnieuw wordt verzameld voor privacy, beveiliging, architectuur en grondrechten. Gebruik één versiegebonden dossier met taak, rollen, gegevens, afhankelijkheden, evaluaties, contracten en herstelbewijs. Het gewijzigde artikel 27, vierde lid, AI Act maakt hergebruik van relevante DPIA-onderdelen via kruisverwijzingen expliciet mogelijk. De FRIA blijft een eigen beoordeling van grondrechteneffecten. Voor publiekrechtelijke gebruiksverantwoordelijken ziet artikel 27 op hoogrisicosystemen van artikel 6, tweede lid, met uitzondering van de toepassingen onder Annex III, punt 2, over kritieke infrastructuur. De toepasselijke termijnen en overgangsregels blijven relevant. De plicht geldt niet automatisch voor iedere publieke AI-toepassing. Een IAMA kan de voorbereiding ondersteunen. [B1, p. 14; 19]

Dit dossier moet aantonen waarom een concrete versie voor een concreet gebruiksdoel aanvaardbaar is. Een goedgekeurd model is geen automatische goedkeuring van iedere toepassing. Een verandering in brondata, modelversie, prompt, toolbevoegdheid of doelgroep kan de geldigheid van eerdere conclusies wijzigen. Hergebruik moet dus reikwijdte en vervaldatum meedragen.

5. Governance met concrete beslisrechten

Eén eigenaar voor de publieke dienst

De verantwoordelijke diensteneigenaar stuurt op de gehele uitkomst voor de burger of professional. Deze rol heeft mandaat over procesinrichting, productprioriteiten, menselijke capaciteit en herstel van fouten. De CISO kan beveiligingsrisico's beoordelen en escaleren, maar kan niet namens de diensteneigenaar bepalen welke maatschappelijke vertraging aanvaardbaar is. De functionaris gegevensbescherming adviseert en houdt onafhankelijk toezicht; de FG hoort niet de bedrijfsrol te krijgen die gebruiksrisico accepteert.

Het bestuur stelt publieke doelen, middelen en grenzen vast. Het accepteert alleen restrisico binnen het toepasselijke recht en expliciet mandaat. Onrechtmatige inzet kan niet door een bestuurlijke handtekening rechtmatig worden gemaakt. Onafhankelijke risico-expertise moet een aantoonbaar escalatiepad hebben wanneer een voorgenomen release voorwaarden schendt.

Rol	Te nemen besluit of te leveren resultaat	Benodigd bewijs
Bestuur	Prioriteit, budget, continuïteitsniveau en restrisico	Dienstresultaten, wettelijke toets, scenario's en herstelresultaten
Diensteneigenaar	Gebruik, werkwijze, menselijke bezetting en foutafhandeling	Kwaliteit, doorlooptijd, uitzonderingen en burgergevolgen
CIO en platformverantwoordelijke	Architectuur, exploitatie, leveranciers en herstel	Afhankelijkheden, lifecycle, beschikbaarheid en geteste uitwijk
CDO en gegevenseigenaren	Bruikbaarheid, kwaliteit, herkomst en toegang	Datacontracten, toegangsbesluiten en kwaliteitsmetingen
CISO, juristen en FG	Onafhankelijke beoordeling binnen eigen mandaat	Dreigingsanalyse, toepasselijkheidsanalyse en impactbeoordelingen
Dienstteam	Ontwikkeling, beheer, evaluatie en verbetering	Versies, tests, operationele metingen en incidentopvolging
Interne audit en toezichthouders	Onafhankelijke toetsing en verantwoording	Controleerbare dossiers en waarnemingen van de werking

De organisatorische uitwerking moet expliciet maken wie een release kan stoppen, wie een noodmaatregel mag nemen en wie een uitzondering beëindigt. Een tijdelijke uitzondering krijgt een eigenaar, herstelplan, uiterste datum en maatregelen gedurende de afwijking. Zonder die begrenzing wordt een uitzondering gemakkelijk permanent beleid.

Federatie met gedeelde voorzieningen

De voorgestelde federatie verdeelt verantwoordelijkheden over drie niveaus. Europese samenwerking levert schaal voor onderzoek, normen, evaluaties en infrastructuur. Nederlandse interbestuurlijke samenwerking levert gezamenlijke bouwblokken, inkoop, expertise en een beeld van gedeelde afhankelijkheden. De bevoegde organisatie behoudt verantwoordelijkheid voor haar wettelijke taak, gebruiksdoel, besluiten en rechtsbescherming.

Lokale beslisbevoegdheid vereist niet dat iedere gemeente of uitvoerder een eigen modelplatform exploiteert. Kleine organisaties kunnen juist profiteren van deskundige gezamenlijke uitvoering. De keuze tussen gedeelde en afzonderlijke infrastructuur moet afhangen van beheercapaciteit, kosten en mogelijke gezamenlijke uitval. Twee installaties bij verschillende organisaties zijn weinig onafhankelijk wanneer zij dezelfde identity provider, beheerpartij of modeldienst nodig hebben.

Voor rechtspraak moet het model de institutionele onafhankelijkheid respecteren. Gezamenlijke infrastructuur mag geen route worden waarmee de uitvoerende macht toegang krijgt tot vertrouwelijke rechterlijke informatie of inhoudelijke besluitvorming. Ook tussen bestuursorganen blijven doelbinding, geheimhouding en gegevensverantwoordelijkheid bestaan. Federatie vraagt daarom expliciete grenzen aan gegevensstromen en aan bestuurlijke bevoegdheid.

Een diensteneigenaar kan geen bevoegdheden van zelfstandige ketenpartners overnemen door alleen als ketenverantwoordelijke te worden aangewezen. Leg daarom vóór gedeelde ingebruikname vast wie over iedere afhankelijkheid beslist, wie tijdens incidenten coördineert, welke minimale dienstverlening deelnemers leveren en wie herstel, wijzigingen en beëindiging betaalt. Maak duidelijk welke besluiten gezamenlijk worden genomen en welke bij het bevoegde bestuursorgaan blijven. Een gedeelde voorziening gaat pas in productie wanneer operationele bezetting, financiering voor de beoogde gebruiksperiode en een uitvoerbare crisisregeling zijn vastgesteld.

Toezicht richten op veranderingen en werkelijke risicovermindering

Een architectuur- of AI-board hoort alleen de besluiten te behandelen waarvoor zijn expertise en mandaat nodig zijn. Herhaalde laagrisicoveranderingen kunnen doorstromen via vooraf vastgestelde eisen en automatische controles. Een nieuwe wettelijke taak, een ander gegevensdoel, een extra uitvoeringsbevoegdheid of een nieuwe kwetsbare doelgroep vraagt een zwaardere beoordeling.

Dit voorkomt dat governance het tempo van noodzakelijke beveiligingsmaatregelen onnodig verlaagt. Een vooraf goedgekeurde handeling, zoals het intrekken van een specifieke verdachte sessie, kan snel worden uitgevoerd. Het stilleggen van een essentiële voorziening vraagt een ander mandaat en een vooraf doordacht continuïteitsplan. De toets is of governance een betere beslissing en aantoonbare beheersing oplevert, binnen een termijn die past bij de dreiging.

6. Organisatie en vakmanschap als structurele capaciteit

Bouw teams rond publieke diensten

Een tijdelijk AI-projectteam kan een prototype maken. Een productiedienst vraagt blijvende capaciteit voor domeinkennis, software, data engineering, modelbeheer, informatiebeheer, security, privacy, gebruikersonderzoek en operationele ondersteuning. De samenstelling verschilt per dienst, maar de verantwoordelijkheden moeten gedurende de volledige levensduur gedekt zijn.

Een gedeeld platformteam levert herbruikbare voorzieningen zoals identiteiten, modeltoegang, veilige ontwikkelomgevingen, evaluatiehulpmiddelen en observability. Een ondersteunend expertteam helpt domeinteams bij lastige vraagstukken. Het SOC bewaakt dreiging en respons. Maak zichtbaar wanneer dezelfde specialist uitvoering doet en wanneer die onafhankelijk beoordeelt. Bij kleine organisaties kan onafhankelijke toetsing gezamenlijk worden georganiseerd.

De schaarste zit niet alleen bij modelonderzoekers. Het werk vereist ook mensen die een overheidsproces kunnen herontwerpen, foutgevallen begrijpen, brondata corrigeren, contractuele afhankelijkheden beoordelen en productieomgevingen herstellen. De AI-visie erkent talent en kwaliteit van werk; de vervolgstap is een meerjarige personeelsplanning voor deze concrete functies. [B1, p. 6-7 en 14-15]

Maak menselijk toezicht praktisch uitvoerbaar

Een medewerker moet de relevante oorspronkelijke informatie kunnen zien, onzekerheden herkennen, aanvullende gegevens kunnen opvragen en daadwerkelijk kunnen afwijken. Het werkproces moet voldoende tijd en bevoegdheid geven om dat te doen. Meet daarom hoe vaak medewerkers fouten ontdekken, hoe zij handelen bij onzekerheid en of hun correcties tot systeemverbetering leiden. Alleen het aandeel geaccepteerde AI-adviezen zegt weinig over kwaliteit.

Ontwerp opleiding per rol. Bestuurders oefenen besluitvorming bij uitval en ernstige modelproblemen. Professionals oefenen inhoudelijke toetsing en rechtsbescherming. Ontwikkelaars leren veilige toolkoppeling, gegevensautorisatie en evaluatie. Beheerders oefenen modelwissel, tokenintrekking en herstel. Algemene bewustwording ondersteunt dit, maar vervangt aantoonbaar professioneel handelen niet.

Behoud deskundigheid die nodig is om onafhankelijk van AI te werken. Als medewerkers alleen nog voorstellen goedkeuren, kan hun vermogen om nieuwe fouten te herkennen afnemen. Plan daarom oefeningen zonder AI, inhoudelijke casusbesprekingen en loopbaanpaden waarin vakkennis wordt onderhouden. Betrek ondernemingsraden en uitvoerende medewerkers bij taakverandering en werkdruk.

Burgers moeten gevolgen kunnen begrijpen en aanvechten

Een publieke AI-dienst moet begrijpelijk maken welke rol AI speelt, welke gegevens relevant zijn en waar een burger terechtkan bij fouten. Het alternatief voor digitale interactie moet bruikbaar blijven wanneer toegang, taalvaardigheid of individuele omstandigheden dat vragen. Bij ernstige gevolgen is alleen een generiek modeluitlegdocument onvoldoende. De organisatie moet de concrete behandeling kunnen toelichten en zo nodig herstellen.

Burgerparticipatie wordt sterker wanneer zichtbaar is welke ontwerpkeuze daardoor is aangepast. De in de AI-visie aangekondigde dialogen in 2027 en 2028 kunnen daarvoor worden verbonden aan specifieke diensten en belangenafwegingen. Bijvoorbeeld: welke informatie mag een gemeente voor proactieve ondersteuning combineren, welke gevolgen zijn onwenselijk en welke contactroute moet beschikbaar blijven? [B1, p. 20]

7. Processen die innovatie en beheersing verbinden

Een levenscyclus voor de volledige dienst

De levenscyclus begint bij een publieke taak en eindigt pas wanneer gegevens, contracten, bevoegdheden en technische voorzieningen verantwoord zijn afgebouwd. Het belangrijkste procesontwerp is dat bewijs tijdens uitvoering ontstaat. Achteraf een verantwoordingsdocument schrijven kan ontbrekende bronautorisaties, hersteltests of logging niet repareren.

Fase	Centrale beslissing	Vereist resultaat
Vraag en selectie	Is AI voor dit probleem de passende interventie?	Baseline, alternatieven, eigenaar en beoogde publieke waarde
Ontwerp en inkoop	Welke gegevens, rollen, bevoegdheden en afhankelijkheden zijn aanvaardbaar?	Toepasselijkheidsprofiel, dreigingsmodel, impactbeoordeling en exitvoorwaarden
Bouw en validatie	Werkt de complete configuratie binnen haar grenzen?	Reproduceerbare tests, broncontrole, beveiliging en herstelbewijs
Ingebruikname	Is operationele verantwoordelijkheid werkelijk ingericht?	Bezetting, monitoring, terugval, ondersteuning en besluit over restrisico
Gebruik en wijziging	Blijven prestaties en voorwaarden geldig?	Versiebeheer, signalering, herbeoordeling en opvolging van fouten
Beëindiging	Kan de dienst veilig stoppen of overstappen?	Gegevensoverdracht, intrekking van rechten, archivering en gecontroleerde verwijdering

Bij elke release worden software, model, modelconfiguratie, prompts, retrievalbronnen, toegangsbeleid, tools en testset aan elkaar gekoppeld. Externe modeldiensten waarvoor de leverancier geen volledige versiecontrole biedt, vereisen aanvullende contractuele meldingen en eigen regressiemetingen. Een stilzwijgende modelwijziging mag niet ongemerkt de geldigheid van een beoordeling veranderen.

Valideer het juiste gedrag en de juiste grens

Een testset moet representatieve taken, moeilijke uitzonderingen, verouderde broninformatie en aanvallen bevatten. Beoordeel Nederlandse juridische en administratieve taal, ontbrekende gegevens en relevante variatie tussen groepen. Houd een afgeschermde eindtest apart van de voorbeelden die voor ontwikkeling worden gebruikt. Stel vooraf vast welke fouten een release blokkeren en welke onzekerheid menselijk onderzoek vereist.

Beoordeling met een tweede taalmodel kan triage ondersteunen. Voor beslissingen met grote gevolgen moet de beoordeling steunen op onafhankelijke broncontrole, deterministische checks en gekwalificeerde menselijke beoordeling waar nodig. Meerdere agents die dezelfde bronnen en modellen gebruiken, kunnen dezelfde fout delen. Meer stemmen leveren dan geen evenredig sterker bewijs.

Ook niet-handelen is testbaar gedrag. Een systeem moet bij ontbrekende bevoegdheid, onvoldoende bronkwaliteit of onduidelijke identiteit kunnen stoppen en doorverwijzen. Meet daarom zowel succesvolle taakafronding als terecht geweigerde handelingen en onterechte weigeringen. Een beveiligingsmaatregel die iedere taak blokkeert is veilig in een triviale betekenis, maar geen bruikbare publieke voorziening.

Verbind incidentafhandeling aan herstel van burgergevolgen

Een gezamenlijk operationeel incidentproces kan cyberincidenten, datalekken, modelproblemen en foutieve besluiten samenbrengen. De juridische meldroutes blijven afzonderlijk. Een Cbw-melding, een AVG-datalekmelding en een AI-gerelateerde ernstige incidentmelding hebben niet automatisch dezelfde drempel, termijn of ontvanger. Leg die routes vooraf vast in het toepasselijkheidsprofiel. [15; 19; 20]

Herstel omvat meer dan een model terugrollen. De organisatie moet kunnen bepalen welke dossiers of handelingen zijn geraakt, welke besluiten opnieuw beoordeeld moeten worden en hoe betrokkenen worden geholpen. Dat vereist traceerbaarheid van de gebruikte versie en relevante bronnen, zonder automatisch alle ruwe persoonsgegevens in logsystemen te kopiëren. Laat incidentbevindingen terugkomen in technische aanpassingen, opleiding en bestuursoverleg.

8. Technologische referentiearchitectuur

Scheid voorstellen van bevoegdheid en uitvoering

De voorgestelde architectuur bevat een AI-component die analyseert en handelingen voorstelt, een onafhankelijke autorisatielaag die bepaalt wat mag, uitvoerende diensten met beperkte bevoegdheden en een bewijsvoorziening die gebeurtenissen vastlegt. Het model mag zijn eigen autorisatiebeleid, evaluatiecriteria en auditregistratie niet wijzigen. Deze inrichting past bij de resourcegerichte benadering van NIST Zero Trust en adresseert onder meer de OWASP-risico's prompt injection, excessive agency en supply chain. [24; 28]

┌─────────────────┐         ┌──────────────────────┐         ┌──────────────────────┐
│  AI-component   │ ──────► │   Autorisatielaag    │ ──────► │  Uitvoerende dienst  │
│  (analyseert,    │         │   (bepaalt wat mag)  │         │  (beperkte           │
│   stelt voor)    │         │   identiteit, doel,  │         │   bevoegdheden)      │
│                  │         │   actie, limieten    │         │                      │
└─────────────────┘         └──────────────────────┘         └──────────┬───────────┘
                                                                        │
                                                                        ▼
                                        ┌───────────────────────────────────────────────┐
                                        │  Bewijsvoorziening (legt gebeurtenissen vast)  │
                                        │  gescheiden van het beheerdomein van de agent  │
                                        └───────────────────────────────────────────────┘

Figuur 1. Voorgesteld uitvoeringsmodel. De autorisatielaag controleert zowel gegevensraadpleging als wijzigingen. Bewijs en incidentinformatie gaan terug naar bevoegde herbeoordeling. Uitvoerende agents hebben geen schrijfbevoegdheid op beleid of auditregistratie.

De autorisatielaag controleert identiteit, doel, doelgroep, toegestane actie, gegevensklasse, limieten en eventueel benodigde menselijke goedkeuring. Een goedkeuring wordt gekoppeld aan de concrete voorgenomen handeling en haar parameters. Dat voorkomt dat een brede toestemming voor een taak later als toestemming voor een wezenlijk andere transactie wordt gebruikt.

Doelbinding is technisch handhaafbaar voor zover zij is vertaald naar controleerbare procescontext, gegevensrechten en expliciete regels. Een doelomschrijving die het model zelf aanlevert, is geen onafhankelijk bewijs. Ook een correct geautoriseerde handeling kan inhoudelijk onjuist zijn. Daarom blijven broncontrole, domeinvalidatie en begrenzing van gevolgen nodig. Bind goedkeuring waar relevant aan de concrete transactie, parameters en objectversie, met beperkte geldigheid en bescherming tegen hergebruik. Controleer bij uitvoering opnieuw of de voorwaarden nog gelden. Autorisatie begrenst bevoegdheden; zij vervangt geen beoordeling van de juistheid van het besluit.

Identiteiten en tokens voor mensen en machines

Gebruik afzonderlijke identiteiten voor medewerkers, diensten en agents. OIDC kan de gebruikersauthenticatie ondersteunen; OAuth beschermt gedelegeerde toegang tot API's. Machine-identiteiten vragen daarnaast een eigen levenscyclus en controle op de workload. Tokens blijven buiten prompts en modelgeheugen. Leg vast namens wie een agent handelt en welke bevoegdheid voor welke resource is gedelegeerd.

Beperk tokens op doelgroep, bereik en levensduur. Gebruik waar passend en ondersteund afzendergebonden tokens, veilige refreshmechanismen en intrekking. Een geldig token is geen bewijs dat de voorgenomen handeling past bij de wettelijke taak. De API controleert daarom ook object- en actieniveau. Een algemene beheeridentiteit voor een hele swarm is ongeschikt: zij maakt individuele verantwoordelijkheid en beperking van incidenten moeilijk. RFC 9700 biedt hiervoor actuele OAuth-beveiligingspraktijken. [25]

Ontwerp ook voor verlies van de centrale identiteitsdienst. Kritieke diensten krijgen een afzonderlijk beheerde noodprocedure met beperkte rechten, expliciete autorisatie en achteraf controleerbare registratie. Een storing mag niet leiden tot het automatisch openzetten van toegang. Oefen herstel van identiteit vóór herstel van afhankelijke toepassingen.

Gegevens en kennis blijven doelgebonden

Retrieval augmented generation kan antwoorden met bronnen ondersteunen, maar maakt onjuiste bronnen niet juist. Elk document heeft een eigenaar, herkomst, geldigheidsdatum, classificatie en toegangsbeleid nodig. Rechten moeten ook gelden voor fragmenten, embeddings, caches en opgeslagen agentgeheugen. Controleer bij het ophalen én bij het aanbieden van resultaten of de actuele gebruiker en taak toegang hebben.

Voorkom dat een gedeelde vectorindex gegevens uit verschillende organisaties of doelen vermengt. Verwijdering van een bron vraagt een gecontroleerde doorwerking naar indexen en caches, met behoud van toepasselijke archiefplichten. Dataminimalisatie verkleint bovendien de potentiële schade bij exfiltratie. Het CSBN beschrijft hoe gestolen datasets kunnen worden gecombineerd tot rijkere profielen. [B2, p. 18]

Openbare bronnen zijn eveneens onbetrouwbare invoer. Een webpagina, e-mail of PDF kan instructies bevatten die een agent proberen te sturen. Behandel opgehaalde tekst als gegevens, beperk toegestane vervolgacties en valideer uitvoer voordat die in code, queries of transacties wordt gebruikt. Promptinstructies en filters ondersteunen dit, maar vormen geen harde bevoegdheidsgrens. [10; 28]

Beheers software en modellen als één leveringsketen

De productieketen bevat naast applicatiecode ook containerimages, modelgewichten, tokenizers, adapters, datasets, tools, configuraties en buildinfrastructuur. Pin versies, controleer herkomst, beperk rechten van buildprocessen en bewaar ondertekende artefacten. Een lijst van componenten is nuttig, maar pas effectief wanneer kwetsbare componenten aan gebruikte diensten en herstelacties zijn gekoppeld.

Integreer softwaretests, afhankelijkheidsanalyse, secretsdetectie en beleidscontroles met model- en systeembeoordeling. NIST SP 800-218A vult het Secure Software Development Framework aan voor AI-ontwikkeling. De praktische vertaling is een releaseprocedure waarin ook wijzigingen in data en modelgedrag worden gecontroleerd. Infrastructure as code en GitOps kunnen configuraties reproduceerbaar maken, mits hun eigen toegangs- en leveringsketen goed is beveiligd. [26]

Continu trainen vraagt een afzonderlijke vrijgavebeslissing. Nieuwe trainingsdata, adapters of gewichten mogen niet automatisch naar productie omdat een model op één score verbetert. Controleer regressies, datagebruik, ongewenste memorisatie en nieuwe capaciteiten. Versiebeheer van een model zonder versiebeheer van zijn gegevens en uitvoeringsrechten is onvolledig.

Beveilig de uitvoering en de toolkoppelingen

Een tool of MCP-koppeling krijgt alleen toegang tot de acties die voor haar doel nodig zijn. Valideer parameters met expliciete schema's, beperk netwerkuitgang en systeemrechten, isoleer onbetrouwbare code en begrens looptijd, kosten en aantal handelingen. Toolbeschrijvingen en updates horen bij de gecontroleerde leveringsketen. Een door een derde partij geleverde instructie mag geen beleidswijziging worden.

Laat lokale technische controles ook de som van agentacties begrenzen. Honderd agents met elk een kleine limiet kunnen samen een grote belasting of gegevensstroom veroorzaken. Stel daarom zowel per agent als per dienst, organisatie en keten grenzen vast. Registreer delegatie tussen agents en voorkom dat een subagent meer rechten krijgt dan de opdracht rechtvaardigt.

Voor operationele technologie is een extra scheiding nodig. Experimentele agents mogen niet rechtstreeks fysieke processen zoals waterbeheer of gebouwinstallaties besturen. Begin met analyse in een afgeschermde omgeving en een proceskundig gevalideerd advies. Eventuele latere besturing vereist een afzonderlijke veiligheidsanalyse, begrensde actuatie en een onafhankelijke veilige toestand.

Registreer bewijs met bescherming van gegevens

De bewijsvoorziening legt op relevante momenten vast wie welke taak uitvoerde, welke versies en bronnen zijn gebruikt, welk beleid is toegepast, welke actie is toegestaan en wat de uitvoerende dienst werkelijk heeft gedaan. Bescherm deze registratie tegen wijziging door de uitvoerende agent of diens beheerdomein. Ondertekende gebeurtenissen en gescheiden opslag kunnen hierbij helpen, maar alleen wanneer sleutelbeheer en beheertoegang eveneens gescheiden zijn.

Bewaar geen onbeperkte kopieën van alle prompts en dossiers. Gebruik doelgerichte registratie, beperkte bewaartermijnen, afgeschermde gevoelige onderdelen en een controleerbare relatie met het oorspronkelijke dossier. Voor audit zijn externe handelingen, bronnen en autorisatiebesluiten belangrijker dan een gegenereerde uitleg van interne modelredeneringen. Zo'n uitleg is geen onafhankelijke waarneming van wat werkelijk is gebeurd. [13; 20]

Gebruik AI voor verdediging met uitvoerbare vervolgacties

Prioritaire toepassingen zijn het verbinden van kwetsbaarheden aan het eigen assetoverzicht, triage van waarschuwingen, ondersteuning bij detectieregels, analyse van veranderingen en voorbereiding van herstel. Meet hoeveel tijd zij besparen tot een relevante kwetsbaarheid daadwerkelijk is afgeschermd of verholpen. Het aantal samenvattingen of gevonden problemen is een activiteit, geen veiligheidsuitkomst.

Automatische respons begint bij vooraf toegestane en begrensde handelingen. Een agent kan bijvoorbeeld een verdachte sessie laten intrekken of een geïsoleerde workload laten quarantainen als de voorwaarden vaststaan en een veilige herstelroute beschikbaar is. Bij quarantaine kan dit gecontroleerde terugplaatsing zijn; bij sessie-intrekking is dit opnieuw geverifieerde toegang met nieuwe credentials. Voor iedere maatregel moeten de maximale verstoring, verantwoordelijke eigenaar en herstelprocedure bekend zijn. Het uitschakelen van een gehele identity provider of een cruciale publieke dienst vraagt een afzonderlijk crisisbesluit. Het SOC moet kunnen zien of automatisering schade voorkomt of de dienstverlening zelf ontregelt. Ook SOC-gegevens, tickets en dreigingsinformatie zijn mogelijke dragers van kwaadaardige instructies. Een aanvaller mag via zulke invoer geen toegestane responsfunctie kunnen ombuigen tot verstoring van de eigen dienstverlening.

Bouw herstel en cryptografische vernieuwing in

Hersteltests omvatten gegevens, applicaties, configuraties, identiteit, sleutels en afhankelijkheden. Een back-up die alleen teruggezet kan worden met een gecompromitteerd beheeraccount is geen overtuigend herstelbewijs. Test daarnaast of de publieke taak tijdelijk met beperkte functionaliteit kan worden uitgevoerd, welke capaciteit daarvoor beschikbaar is en hoe achterstanden later veilig worden weggewerkt.

Quantumvoorbereiding hoort in deze levenscyclus. Inventariseer waar cryptografie bescherming biedt en hoe lang gegevens vertrouwelijk moeten blijven. Geef langdurig gevoelige gegevens en moeilijk vervangbare systemen prioriteit. Werk aan cryptografische wendbaarheid en migratieafspraken met leveranciers, met functionele en interoperabiliteitstests. Het CSBN beschrijft de dreiging van nu verzamelen en later ontsleutelen; de NCSC- en AIVD-handreikingen bieden een begin voor risicogestuurde migratie. Een exact jaar waarin huidige cryptografie breekt, is geen betrouwbare planningsbasis. [B2, p. 28-29; 27]

9. Strategische autonomie en infrastructuur

Beoordeel handelingsvermogen per dienst

Het CSBN waarschuwt zowel voor digitale afhankelijkheden als voor de risico's van een abrupte overstap. Europese alternatieven zijn niet automatisch veiliger en kunnen afhankelijk blijven van dezelfde technologie elders in de keten. De verstandige vertaling is een dienstspecifieke keuze: welke zeggenschap en onafhankelijkheid zijn noodzakelijk, en wat kosten die in kennis, exploitatie en betrouwbaarheid? [B2, p. 29-30]

Maak hiervoor per kritieke dienst een afhankelijkheidskaart. Neem gegevens, sleutels, modelrechten, updates, beheeraccounts, identity provider, cloudcontrol plane, telecommunicatie en onderaannemers op. Stel vervolgens vast of de organisatie toegang kan behouden, gegevens kan exporteren, een noodzakelijke wijziging kan uitvoeren, bewijsmateriaal kan veiligstellen en naar een andere uitvoeringsroute kan overstappen. Een contractuele exit zonder technisch bruikbare export en beschikbare mensen blijft onzeker.

Voor de infrastructuur ligt een mix voor de hand. Publieke informatievoorziening kan andere voorwaarden hebben dan verwerking van vertrouwelijke dossiers of fysieke besturing. Zelfbeheer, publieke gedeelde voorzieningen, Europese aanbieders en externe clouddiensten moeten worden vergeleken op taakgeschiktheid, gegevensrisico, operationele kwaliteit, rechtspositie en totale kosten. Open gewichten helpen alleen wanneer licenties, kennis, hardware en beheer daadwerkelijk zelfstandig gebruik mogelijk maken.

Een alternatief model hoeft in een noodsituatie niet dezelfde mogelijkheden te bieden. Het moet wel de vooraf bepaalde minimale dienstverlening ondersteunen. Leg daarom de toegestane kwaliteitsdaling, het aantal te verwerken gevallen en de maximale duur van de noodmodus vast. Bij sommige diensten kan een sobere zoekfunctie met menselijke beoordeling een betere terugval zijn dan een tweede generatief model.

Scheid onderzoekscapaciteit van publieke productie

De AI-fabriek en Europese rekeninfrastructuur kunnen onderzoek en ontwikkeling versterken. Productiediensten vragen daarnaast voorspelbare beschikbaarheid, beheer, beveiliging, capaciteit tijdens pieken en ondersteuning buiten kantooruren waar de dienst dat vereist. De aangekondigde capaciteitsplanning voor 2027 moet daarom de vraag naar training, finetuning, batchverwerking en interactieve inferentie afzonderlijk behandelen. [B1, p. 5 en 11]

Plan op basis van echte workloads en kwaliteitseisen. Vergelijk compacte modellen, traditionele machine learning, regels en grotere modellen op de complete taak. Neem contextlengte, piekbelasting, latency, geheugen, netwerk en energie mee. Meet kosten en energie per correct afgehandelde taak. Een goedkope inferentie die veel herstelwerk oplevert, kan de totale dienst duurder maken. Netcongestie, water, energie en ruimtelijke inpassing zijn daarbij materiële randvoorwaarden, zoals de visie zelf onderkent. [B1, p. 11]

10. Meerjarige strategie voor 2027 tot en met 2031

Verbind korte termijn uitvoering aan structurele keuzes

Het aanvullende actieprogramma digitale weerbaarheid loopt tot eind 2027 en wordt uitgevoerd binnen bestaande budgettaire kaders. Het levert bouwstenen voor de nieuwe cybersecuritystrategie in 2028. De strategische vraag is daardoor scherp: welke bestaande activiteiten krijgen minder prioriteit, welke capaciteit is beschikbaar en welke voorzieningen vragen vanaf 2028 structurele financiering? Een nieuwe opdracht zonder die keuzes kan de uitvoeringsachterstand vergroten. [1]

Onderstaande route is een eigen voorstel. De jaartallen voor technologie-uitbreiding zijn bestuurlijke beslismomenten, geen voorspellingen van modelcapaciteit. Wettelijke termijnen worden afzonderlijk bewaakt. De fasering biedt geen uitstel voor bestaande verplichtingen. Bekende onrechtmatige inzet en urgente beveiligingstekorten worden direct aangepakt; de meerjarige route organiseert structurele verbetering en uitbreiding. Organisaties kunnen sneller opschalen waar het bewijs dat rechtvaardigt en moeten terugschakelen wanneer omstandigheden verslechteren.

Periode	Governance en organisatie	Proces en technologie	Resultaat voor besluitvorming
Eind 2026 en eerste 100 dagen	Benoem eigenaren, prioriteer kritieke diensten en reserveer uitvoeringscapaciteit	Breng identiteiten, data, AI en leveranciers in kaart; voer een hersteltest uit	Bestuur ziet grootste risico's, eerste verbeteringen en expliciete stopkeuzes
2027	Richt blijvende dienst- en platformteams in; leg operationele ketenafspraken en financiering voor ingebruikname vast	Herbruikbare identiteit, logging en evaluatie; drie afgebakende toepassingen in productie waar verantwoord	Meetbare dienstverbetering, herstelbewijs en naleving van toepasselijke Annex III-eisen vanaf 2 december 2027, met afzonderlijke beoordeling van overgangsrecht
2028	Veranker bewezen ketenafspraken en structurele financiering in aansluiting op de nieuwe strategie	Schaal bewezen bouwblokken; valideer model- en leverancierswissel; borg naleving van toepasselijke Annex I-eisen vanaf 2 augustus 2028	Hergebruik vermindert aantoonbaar uitvoeringswerk zonder kwaliteitsverlies
2029	Maak gezamenlijke afhankelijkheden onderdeel van portfoliobesluiten	Oefen meervoudige uitval en veilige noodmodi; voer prioritaire cryptomigraties uit	Kritieke diensten halen hun vastgestelde minimum onder verstoring
2030	Rond eerder gestarte aanpassing van bestaande publieke hoogrisico-AI vóór de toepasselijke deadline af; herbeoordeel maatschappelijke effecten	Verwijder onbeheersbare legacy; bewijs afbouw en vervanging; begrensde autonomie waar bewezen	Tijdige invulling van relevante overgangstermijnen en aantoonbare beheersing
2031	Laat onafhankelijk beoordelen welke investeringen waarde leveren	Beëindig zwakke toepassingen, vernieuw werkende voorzieningen en herijk capaciteit	Nieuwe meerjarenbesluiten op basis van gemeten uitkomsten

De eerste honderd dagen leveren direct waarde

Begin met een beperkte selectie kritieke diensten. Laat hun eigenaren vaststellen welke dienstverlening bij uitval minimaal nodig blijft en welke gegevens daarvoor vereist zijn. Verbind die diensten aan de bestaande kwetsbaarheden, beheeridentiteiten en leveranciers. Pak direct blootgestelde kritieke tekortkomingen aan. Start daarnaast één toepassing die medewerkers tijd bespaart, één die gegevenskwaliteit of toegankelijkheid verbetert en één die beveiligingswerk versnelt, voor zover de context dat toelaat.

De eerste honderd dagen eindigen met tastbare resultaten: een herstelde of afgeschermde kwetsbaarheid, een uitgevoerde herstelproef, een werkende bevoegdheidsgrens en een gemeten verbetering van een dienst. Een dienst waarvoor de basis ontbreekt kan voorlopig een beperkter AI-gebruik krijgen. Ondertussen kunnen andere diensten al veilig waarde leveren. Zo wordt de uitvoering niet afhankelijk van een onrealistisch moment waarop de hele organisatie volledig gereed zou zijn.

Houd de route aanpasbaar met vooraf gekozen signalen

Beoordeel elk kwartaal of de aannames nog kloppen. Versnel bewezen toepassingen wanneer de totale kwaliteit en kosten verbeteren. Verlaag bevoegdheden wanneer foutpatronen, onverklaarde handelingen of onvoldoende toezicht ontstaan. Activeer een migratie wanneer contractvoorwaarden, kwaliteit of toegang wezenlijk veranderen. Herstel een platform voordat nieuwe afhankelijkheden worden toegevoegd als hersteltests structureel mislukken.

Werk minimaal met drie scenario's: geleidelijke AI-verbetering, snelle toename van offensieve en agentcapaciteiten, en uitval of beperking van een belangrijke leverancier. Identiteitsbeheer, gegevenskwaliteit, bronregistratie en herstel zijn in alle drie bruikbaar. Grote, moeilijk terug te draaien keuzes over modeltraining of infrastructuur vragen een afzonderlijke onderbouwing. Het plan kan ambitieus zijn zonder op één technologische voorspelling te rusten.

11. Financiering en meetbare publieke waarde

Financier de volledige levensduur

Een AI-businesscase moet minimaal vijf jaar aan relevante kosten kunnen verklaren: ontwikkeling, data, infrastructuur, energie, licenties, menselijke controle, beheer, beveiliging, onafhankelijke beoordeling, incidentherstel, migratie en beëindiging. Gebruik bandbreedtes voor onzekere kosten en maak duidelijk welke aannames het resultaat domineren. Boek vermeden schade niet als zekere jaarlijkse opbrengst zonder onderbouwing van kans en impact.

Financier gedeelde voorzieningen op hun werkelijk ondersteunde diensten en het gewenste continuïteitsniveau. Verdeel bijdragen tussen deelnemers zodat kleine organisaties toegang houden tot deskundigheid. Reserveer middelen voor onderhoud en veilige wijziging, ook wanneer die geen nieuwe zichtbare functionaliteit opleveren. Neem uitfasering op in dezelfde begroting. Anders stapelen nieuwe platformkosten zich op boven bestaande kosten.

Een illustratief rekenvoorbeeld maakt het onderscheid tussen capaciteit en besparing concreet. Bij 100.000 handelingen per jaar en acht minuten verwerking per handeling bedraagt de uitgangssituatie zo'n 13.333 uur. Als de complete AI-ondersteunde verwerking, inclusief controle en herstelwerk, zes minuten kost, ontstaat zo'n 3.333 uur capaciteit. Bij een veronderstelde integrale uurprijs van 80 euro vertegenwoordigt dat circa 267.000 euro bruto capaciteitswaarde. Dit zijn fictieve aannames, geen voorspelling. Pas na aftrek van technologie- en beheerkosten ontstaat een netto vergelijking. Werkelijke kasbesparing ontstaat alleen als uitgaven veranderen; capaciteit kan ook naar achterstanden of persoonlijk contact gaan.

Gebruik een samenhangende set deelmetingen

Dimensie	Te meten uitkomst	Interpretatiegrens
Dienstkwaliteit	Correct en tijdig afgehandelde gevallen; heropeningen; p95-doorlooptijd	Meer productie kan kwaliteit of uitzonderingen verbergen
Rechtsbescherming	Aangetoonde fouten, herstelduur, bereikbare menselijke hulp en relevante groepsverschillen	Minder klachten kan ook een hogere toegangsdrempel betekenen
Cyberweerbaarheid	Tijd tot effectieve mitigatie; blootgestelde kritieke systemen; detectiedekking	Meer meldingen kunnen betere detectie weerspiegelen
Continuïteit	Werkelijke hersteltijd, gegevensverlies en capaciteit in noodmodus	Een succesvolle technische restore bewijst nog geen herstelde dienst
AI-beheersing	Ongeoorloofde acties, bronfouten, juiste escalaties en regressies per versie	Een modelbeoordelaar alleen biedt onvoldoende onafhankelijkheid
Autonomie	Geteste overstaptijd en kosten; kritieke gedeelde afhankelijkheden	Twee contracten betekenen geen onafhankelijke uitvoering
Doelmatigheid	Totale kosten en energie per correct afgehandelde taak	Lage tokenkosten zijn geen bewijs van lage dienstkosten

Doelen worden per dienst uit de uitgangssituatie, impact en wettelijke verplichtingen afgeleid. Vermijd een willekeurige norm zoals één uniforme hersteltermijn of één nationaal AI-rendementspercentage. Voor een kritieke dienst kan weinig uitval aanvaardbaar zijn, terwijl een batchproces een langere onderbreking kan verdragen. Publiceer definities, meetperiode, populatie en onzekerheid naast resultaten.

Maak de relatie tussen interventie en resultaat onderzoekbaar

Introduceer toepassingen gefaseerd en vergelijk waar mogelijk met een geschikte controlegroep of een periode vóór invoering. Corrigeer voor taakcomplexiteit, leereffecten, veranderde werkvoorraad en extra personeel. Voor publieke besluiten mogen vergelijkingen geen wettelijke aanspraken of noodzakelijke dienstverlening onthouden. Waar randomisatie ongeschikt is, kunnen vergelijkbare teams, tijdreeksen en onafhankelijke dossierbeoordeling samen sterker bewijs geven.

Leg vooraf vast wat succes en stoppen betekenen. Registreer ook mislukte toepassingen en negatieve effecten. Laat een onafhankelijke partij een steekproef van resultaten beoordelen. Zonder die discipline kan een programma vooral de geslaagde voorbeelden verzamelen en de kosten van correctie buiten beeld laten.

12. Toepassing in publieke diensten

Gemeenten en uitvoeringsorganisaties

Begin bij toepassingen die uitvoerende medewerkers ondersteunen met actuele bronnen, dossierordening en begrijpelijke communicatie. Laat een inhoudelijk bevoegde medewerker afwijkingen beoordelen. Toets vooral of de complete afhandeling verbetert: minder ontbrekende stukken, minder terugbelcontact en minder herstelwerk. Bij toepassingen rond uitkeringen of andere aanspraken moet de organisatie expliciet bepalen of en hoe het systeem de beslissing beïnvloedt. Een adviesfunctie kan in de praktijk alsnog beslissend worden.

Voor een kleine gemeente kan een gezamenlijk beheerde voorziening de beste optie zijn, mits gegevens en bevoegdheden aantoonbaar gescheiden blijven. De gemeente behoudt verantwoordelijkheid voor haar eigen gebruik en burgercontact. Een landelijke bouwblokbeoordeling kan technische bewijsstukken leveren, maar vervangt de toets op lokale processen en wettelijke taken niet.

Rechtspraak en de justitieketen

Zoeken in bronnen, structureren van dossiers en ondersteunen van pseudonimisering zijn relevante toepassingsrichtingen. De beoordeling moet brongetrouwheid, dossierintegriteit, geheimhouding en gevolgen van gemiste gegevens omvatten. Bij een samenvatting is ook van belang wat is weggelaten. Een correcte formulering van de opgenomen feiten bewijst niet dat alle juridisch relevante feiten aanwezig zijn.

Gebruik AI-uitvoer niet als vervanging van de oorspronkelijke processtukken. Houd bronverwijzingen controleerbaar en waarborg de professionele en institutionele onafhankelijkheid. Oefen continuïteit van termijnen, dossierbeschikbaarheid en noodzakelijke zittingen wanneer een ketenpartner of identity provider uitvalt. De juridische scope wordt per toepassing bepaald; de Cbw-uitzondering voor de rechterlijke macht is geen algemene AI-vrijstelling. [17; 19]

Infrastructuur en publieke veiligheid

Voor waterschappen en andere infrastructuurbeheerders kan AI helpen bij anomaliedetectie, onderhoudsplanning en analyse van incidenten. De veilige fysieke werking blijft een aparte ontwerpverantwoordelijkheid. Een aanbevolen wijziging aan een installatie vraagt toetsing aan de procesveiligheid. Generieke beveiligingsautomatisering mag niet zonder analyse een fysiek proces stilleggen.

Oefen verlies van externe verbindingen, beheer op afstand en leverancierssupport. Leg vast welke lokale bediening en expertise beschikbaar moeten blijven. Een goed detectiemodel zonder mogelijkheid tot veilige interventie biedt beperkt operationeel voordeel.

Het Caribisch deel van het Koninkrijk

Het CSBN beschrijft beperkte gegevens over weerbaarheid en relatief grote afhankelijkheden met minder terugvalmogelijkheden. Vertaal daarom geen Europees-Nederlandse meetcijfers rechtstreeks naar de eilanden. Ontwerp ondersteuning samen met de betrokken landen en openbare lichamen, passend bij hun bevoegdheden, bereikbaarheid en personele capaciteit. Gezamenlijke expertise kan nuttig zijn, maar de noodzakelijke lokale voortzetting van diensten moet expliciet worden begroot en geoefend. [B2, p. 30-31]

13. Onderzoeksagenda en kritische grenzen

Vier toetsbare hypothesen

Het voorgestelde model verdient empirische toetsing. Vier hypothesen maken de bijdrage onderzoekbaar. De uitkomst van iedere toets kan aanleiding geven het ontwerp te wijzigen.

Leg vooraf primaire uitkomsten, acceptatiegrenzen, meetperiode, steekproefomvang en het onafhankelijke detectieprotocol vast. Rapporteer onzekerheidsmarges en negatieve uitkomsten. Afwezigheid van waargenomen ernstige fouten bewijst niet dat het risico gelijk of lager is. Voor zeldzame maar ernstige gebeurtenissen zijn effectmetingen daarom aanvullend op technische afscherming, scenarioanalyse en operationele oefeningen.

H1. Herbruikbaar, versiegebonden bewijs vermindert de doorlooptijd van beoordeling zonder meer ernstige fouten. Vergelijk vergelijkbare releases in teams met en zonder deze werkwijze. Meet totale beoordelingstijd, herstelwerk en later aangetroffen tekortkomingen. Corrigeer voor systeemcomplexiteit en deskundigheid.

H2. Externe autorisatie beperkt ongeoorloofde agenthandelingen bij gelijkwaardige taakbruikbaarheid. Vergelijk configuraties met dezelfde modellen, taken en rekenbudgetten, maar verschillende bevoegdheidsgrenzen. Gebruik adaptieve aanvallen en beoordeel zowel verboden taakvoltooiing als legitieme taakafronding. Een daling die uitsluitend ontstaat doordat alles wordt geweigerd, ondersteunt de hypothese niet.

H3. Geteste scheiding van kritieke afhankelijkheden vermindert dienstverlies bij gedeelde leveranciersuitval. Vergelijk herstelresultaten bij uitval van de grootste gemeenschappelijke afhankelijkheid. Neem extra kosten en personeelsbelasting mee. Het aantal leveranciers op zichzelf is niet de verklarende variabele.

H4. AI-triage levert meer aanvullende risicoreductie wanneer voldoende herstelcapaciteit beschikbaar is. Vergelijk waar mogelijk vier condities: bestaande triage en AI-triage, elk met bestaande en met extra herstelcapaciteit. Meet daadwerkelijk blootgestelde systemen, prioriteitsfouten, tijd tot mitigatie en totale uitvoeringskosten. Daarmee wordt afzonderlijk zichtbaar wat AI toevoegt, wat extra capaciteit oplevert en of de combinatie een aanvullend effect heeft. Vergelijkbare assets, dreiging en taakcomplexiteit blijven voorwaarden voor een geloofwaardige interpretatie.

Deze onderzoeksagenda maakt samenwerking tussen universiteiten, publieke organisaties en Europese evaluatievoorzieningen zinvol. Openbare protocollen en waar mogelijk reproduceerbare testomgevingen helpen resultaten vergelijkbaar te maken. Gevoelige operationele gegevens blijven onder passende bescherming.

Tegenargumenten die in de besluitvorming blijven gelden

Een federatie kan door coördinatiekosten duurder worden dan centrale uitvoering. Extra bewijsregistratie kan administratieve last opleveren. Europese of lokale alternatieven kunnen taakinhoudelijk slechter presteren. Menselijk toezicht kan een schaarse capaciteit blijven. Deze bezwaren zijn reëel en moeten in de dienstvergelijking worden gemeten. Daarom centraliseert het voorstel geschikte technische functies en differentieert het beoordeling naar impact en verandering.

Ook volledige onafhankelijkheid is geen realistisch standaarddoel. De relevante vraag is welke afhankelijkheid de publieke taak onaanvaardbaar kwetsbaar maakt. Soms levert een goed beheerde externe dienst betere veiligheid dan onvoldoende bekwaam zelfbeheer. In andere gevallen vereist continuïteit juist eigen beheer of een daadwerkelijk onafhankelijke terugvalmogelijkheid. Herkomst is één factor in die afweging, geen kwaliteitscertificaat.

De twee hoofdbronnen bevatten bovendien geen gezamenlijke dataset waarmee de netto maatschappelijke AI-opbrengst of het toekomstige incidentniveau kan worden geschat. Incidenten zijn geselecteerd, waarnemingsvermogen verandert, leveranciers hebben verschillende definities en modellen ontwikkelen snel. De voorgestelde strategie moet daarom worden beoordeeld op gemeten dienstuitkomsten en robuustheid onder scenario's. Het ontbreken van een precieze nationale kansschatting rechtvaardigt geen schijnprecisie en evenmin uitstel van bekende noodzakelijke maatregelen.

14. Besluiten voor bestuurders

De beleidskeuze voor de komende jaren is om publieke AI te financieren als blijvende dienstverlening. Leg per prioritaire dienst een eigenaar, beoogde uitkomst, toegestane bevoegdheid, structurele bezetting, hersteldoel en migratiemogelijkheid vast. Laat risico- en grondrechtenexpertise onafhankelijk oordelen binnen een helder mandaat. Schaal alleen op wanneer de volledige dienst aan de vastgestelde voorwaarden blijft voldoen.

Maak de uitvoering van bestaande verplichtingen vanaf nu aantoonbaar en verbind deze in 2027 aan de gezamenlijke programma's. Gebruik de strategieontwikkeling van 2028 om structurele financiering, ketenafspraken en stopkeuzes vast te leggen. Laat in de jaren daarna onafhankelijke oefeningen en effectmetingen bepalen welke voorzieningen worden uitgebreid, veranderd of beëindigd. Dat geeft innovatie een duurzaam bestuurlijk fundament en maakt zichtbaar welke publieke waarde zij werkelijk oplevert.

15. Bronnen en literatuur

De verwijzingen B1 en B2 betreffen de volledig geanalyseerde aangeleverde documenten. Paginaverwijzingen volgen hun gedrukte paginanummers. Alle genoemde webbronnen zijn geraadpleegd op 6 november 2026. De ontwerpvoorstellen, fasering en hypothetische berekening zijn eigen synthese en staan los van reeds vastgesteld overheidsbeleid.

• [B1] Aerdts, W.J.M. (2026). Kabinetsvisie op Artificial Intelligence, kiezen voor AI voor iedereen. Kamerbrief, 6 november 2026, DGED-DE / 107464302, 28 pagina's, inclusief bijlage.
• [B2] Nationaal Coördinator Terrorismebestrijding en Veiligheid (2026). Cybersecuritybeeld Nederland 2026. AI versnelt, verdiept en verbreedt de dreiging. November 2026, 64 pagina's.
• [1] NCTV (2026). Actieprogramma Toekomstbestendige Digitale Weerbaarheid. November 2026.
• [2] Nederveen, F., Silfversten, E., Aquilino, M.C. en Warnier, S. (2026). Digitale weerbaarheid van Nederlandse organisaties. RAND Europe, RR-A3700-1.
• [3] Zero Day Clock Observatory (2026). About. Methodologische toelichting bij veranderlijke openbare waarnemingen.
• [4] Leveson, N.G. (2012). Engineering a Safer World. Systems Thinking Applied to Safety. MIT Press.
• [5] Sculley, D. et al. (2015). Hidden Technical Debt in Machine Learning Systems. Advances in Neural Information Processing Systems 28.
• [6] Brynjolfsson, E., Li, D. en Raymond, L. (2025). Generative AI at Work. The Quarterly Journal of Economics, 140(2), 889-942.
• [7] Becker, J., Rush, N., Barnes, B. en Rein, D. (2025). Measuring the Impact of Early-2025 AI on Experienced Open-Source Developer Productivity. METR, 10 juli.
• [8] Becker, J., Rush, N., Cunningham, T., Rein, D. en Mahamud, K. (2026). We are Changing our Developer Productivity Experiment Design. METR, 24 februari.
• [9] Vaccaro, M., Almaatouq, A. en Malone, T. (2024). When combinations of humans and AI are useful. Nature Human Behaviour, 8, 2293-2303.
• [10] Debenedetti, E., Zhang, J., Balunovic, M., Beurer-Kellner, L., Fischer, M. en Tramer, F. (2024). AgentDojo. A Dynamic Environment to Evaluate Prompt Injection Attacks and Defenses for LLM Agents. NeurIPS Datasets and Benchmarks.
• [11] Zhu, Y. et al. (2025). CVE-Bench. A Benchmark for AI Agents' Ability to Exploit Real-World Web Application Vulnerabilities. Proceedings of Machine Learning Research, 267, 79850-79867.
• [12] UK AI Security Institute (2026). Our evaluation of Claude Mythos Preview's cyber capabilities.
• [13] Greenblatt, R., Cotra, A. en Wijk, H. (2026). Brief independent investigation of agents' behavior, reasoning and collaboration in the OpenAI / Hugging Face hacking incident. METR, 26 augustus.
• [14] Europese Commissie (2026). EU Action Plan on Cybersecurity and Artificial Intelligence. 7 juli.
• [15] Cyberbeveiligingsbesluit (2026). Staatsblad 2026, 189, in het bijzonder artikel 35 over inwerkingtreding van Cbw en Cbb.
• [16] Cyberbeveiligingsregeling sector overheid (2026). Staatscourant 2026, 27679, in het bijzonder artikelen 2 tot en met 5.
• [17] Rijksinspectie Digitale Infrastructuur (2026). Overheidsinstanties onder de Cyberbeveiligingswet.
• [18] Europees Parlement en Raad (2026). Verordening (EU) 2026/1744. Wijziging van de AI-verordening.
• [19] Europees Parlement en Raad (2024, geconsolideerd 27 juli 2026). Verordening (EU) 2024/1689, AI Act. Onder meer artikelen 4, 25-27, 50, 111 en 113 en Annex III.
• [20] Europees Parlement en Raad (2016). Verordening (EU) 2016/679, Algemene verordening gegevensbescherming. Onder meer artikelen 5-6, 22 en 35.
• [21] Europese Commissie (2026). Cyber Resilience Act, toepassingsdata en meldplichten.
• [22] European Securities and Markets Authority. Digital Operational Resilience Act. Reikwijdte en toepassing.
• [23] Europese Commissie. Interoperable Europe Act, guidelines chapter 2. When is an interoperability assessment legally required?
• [24] NIST (2020). SP 800-207. Zero Trust Architecture.
• [25] Lodderstedt, T., Bradley, J., Labunets, A. en Fett, D. (2025). Best Current Practice for OAuth 2.0 Security, RFC 9700. BCP 240.
• [26] NIST (2024). SP 800-218A. Secure Software Development Practices for Generative AI and Dual-Use Foundation Models.
• [27] NCSC en AIVD. Maak je organisatie quantumveilig. Handreiking voor voorbereiding en risicogestuurde migratie.
• [28] OWASP Gen AI Security Project (2025). Top 10 Risks and Mitigations for LLMs and Gen AI Apps.

Zie ook

• Kabinetsvisie AI ontleed: misalignment wordt nationale veiligheid: de smalle analyse van de Kabinetsvisie waar dit paper de CSBN-dimensie aan toevoegt.
• FRIA onder de EU AI Act: fundamentele-rechtenbeoordelingen vereisen bewijsbasis: de technische uitwerking van de FRIA-verplichting onder artikel 27.
• Herziening rijksbreed cloudbeleid 2026: de cloud- en soevereiniteitskeuzes die dit paper als handelingsvermogen per dienst benoemt.
• Cyberbeveiligingswet: Eerste Kamer-deadline 15 augustus: de wettelijke basis waar de Cbw-verplichtingen uit dit paper op aansluiten.