Toegang als wapen: waarom frontier-AI-exportcontroles Nederlandse cyberdefensie herdefiniëren

In juni 2026 deed zich een gebeurtenis voor die de AI-sector op zijn grondvesten deed schudden, maar in Nederlandse bestuurskamers nauwelijks werd opgemerkt. De Verenigde Staten verplichtten een toonaangevende frontier-modelontwikkelaar om vóór release van zijn meest geavanceerde modellen licenties te verkrijgen voor elke buitenlandse persoon, inclusief buitenlandse ingezetenen op Amerikaans grondgebied. De getroffen modellen werden wereldwijd op korte termijn teruggetrokken, deels omdat de restrictie praktisch onuitvoerbaar bleek. Het is de eerste keer dat een regering toegang tot AI-modellen op deze schaal als instrument gebruikte.

Dit artikel, gebaseerd op het arXiv-paper Sovereign by necessity? Frontier AI export controls, cyber security, and the limits of national AI capability van Woodward en Rogoyski, analyseert wat deze verschuiving betekent voor Nederlandse overheidsorganisaties, en waarom de voor de hand liggende remedie, soevereine AI-capaciteit bouwen, voor een klein land als Nederland slechts gedeeltelijk haalbaar is.

Dit probleem is nauw verbonden met een tweede risico dat ik elders analyseer: de stille wijziging van modellen na deployment. Samen beschrijven ze het fundamentele gegeven dat de afnemer geen controle heeft over het artefact, noch over de beschikbaarheid (revocatie), noch over de identiteit (wijziging).

Het centrale mechanisme: toegang is geworden tot een component van nationale cyberdefensie

De kernstelling van Woodward en Rogoyski is helder en ongemakkelijk: toegang tot frontier-AI is een component van nationale cyberdefensie aan het worden, en die toegang kan worden ingetrokken. De logica is drieledig.

Ten eerste: een klein aantal bedrijven in twee staten produceert de meest capabele frontier-modellen. Die staten hebben zowel de juridische macht als de politieke wil getoond om te bepalen wie die systemen mag gebruiken.

Ten tweede: dit gebeurt tegen de achtergrond van de eerste gedocumenteerde grotendeels autonome, door AI aangestuurde cyber-espionagecampagne. Frontier-modellen veranderen de economie van zowel cyberaanval als cyberdefensie.

Ten derde: als de VS bepaalt wie toegang krijgt tot de meest capabele modellen, bepaalt de VS ook wie zich adequaat kan verdedigen tegen AI-gedreven aanvallen. Toegang tot AI is daarmee geen commercieel vraagstuk meer, maar een vraagstuk van nationale veiligheid.

Formele definitie: wat betekent "toegang kan worden ingetrokken"?

Laten we dit mechanisme formeler modelleren. Beschouw een verzameling van frontier-modellen $M$ en een verzameling van afnemende organisaties $O$. Definieer een toegangsfunctie:

$$A: M \times O \times T \rightarrow {0, 1}$$

waarbij $A(m, o, t) = 1$ betekent dat organisatie $o$ toegang heeft tot model $m$ op tijdstip $t$. De klassieke aanname in AI-governance is dat $A(m, o, t)$ stabiel is over de tijd, dat zodra toegang is verleend, deze blijft bestaan. De gebeurtenis van juni 2026 doorbreekt deze aanname fundamenteel:

$$\exists m, o, t_1 ＜ t_2 : A(m, o, t_1) = 1 \land A(m, o, t_2) = 0$$

De introkking van toegang is een abrupte overgang van 1 naar 0, niet een geleidelijke degradatie. En de trigger van deze overgang ligt buiten de controle van $o$, het is een politieke beslissing van de staat die het model produceert.

Dit is het kernprobleem voor Nederlandse organisaties: hun risicomodellen gaan er impliciet vanuit dat $A(m, o, t)$ stabiel is. De realiteit is dat $A$ een exogene variabele is geworden, beïnvloedbaar door geopolitiek, niet door het contract dat $o$ met de provider heeft gesloten.

Competing hypotheses: waarom gebeurde dit, en wat betekent het?

Het paper presenteert de exportcontrole als een geopolitieke realiteit. Maar er zijn meerdere materieel verschillende verklaringen voor waarom deze controle werd opgelegd en wat de gevolgen zijn. Laten we vier hypothesen tegen elkaar afwegen:

• H1 (Security-dominantie): De exportcontrole is primair een instrument van nationale veiligheid. De VS wil voorkomen dat tegenstanders frontier-modellen gebruiken voor cyber-espionage of -aanvallen. Ondersteund door de timing: de controle volgde binnen maanden op de eerste autonome AI-cybercampagne.
• H2 (Economische concurrentie): De controle is een economisch instrument om Amerikaanse dominantie in AI te behouden, verpakt in veiligheidsretoriek. De restrictie beschermt de technologiepositie van Amerikaanse bedrijven.
• H3 (Adversariële reactie): De controle is een reactie op een specifieke dreiging, een anticiperende maatregel tegen een opkomend tegenstandersvermogen dat de VS niet op andere wijze kon neutraliseren.
• H4 (Null-hypothese): De controle is ad hoc, praktisch onuitvoerbaar zoals het paper toegeeft, en zal niet standhouden. De wereldwijde terugtrekking bewijst dat de restrictie niet werkbaar is.

Falsificatie: H1 zou worden ontkracht als de VS de controle oplegt aan bondgenoten maar geen vergelijkbare maatregelen neemt tegen andere dreigingen. H4 zou worden ontkracht als de controle wordt verscherpt ondanks de praktische problemen, wat zou bewijzen dat het een principieel instrument is, geen ad-hoc reactie.

Het paper neigt naar een genuanceerde H1+H2-positie, maar de belangrijkste epistemische conclusie is dat we onvoldoende bewijs hebben om H1 en H2 te onderscheiden. De strategische implicatie voor Nederland is echter identiek onder beide: afhankelijkheid van buitenlandse frontier-modellen is een niet-gediversifieerd risico, ongeacht de motivering van de producent.

Counterfactual: zou dit zonder exportcontrole ook gebeuren?

De meest informatieve counterfactual: als de VS géén exportcontrole had opgelegd, zou Nederlandse organisaties dan nog steeds het risico lopen op intrekking van modeltoegang?

Het antwoord is genuanceerd ja, via een ander mechanisme. Zelfs zonder formele exportcontrole kan een provider een model intrekken om commerciële, juridische of compliance-redenen. De AI Act zelf dwingt providers tot gedrag dat tot intrekking kan leiden, als een model niet meer compliant is, kan het worden teruggetrokken uit een regio.

De exportcontrole is dus niet de enige bron van intrekkingsrisico, maar wel de meest abrupte en minst voorspelbare. Het verandert de aard van het risico van "commercieel beheersbaar" naar "geopolitiek onbeheersbaar". De counterfactual leert ons dat zelfs zonder de specifieke gebeurtenis van juni 2026, het mechanisme van intrekking al bestond, de exportcontrole versnelt en institutionaliseert het.

De open-weight hedge: meer capabel én meer politiek blootgesteld dan gedacht

De belangrijkste originele synthese van dit paper is de behandeling van de open-weight hedge. De gangbare wijsheid is: "draai open-weight-modellen om onafhankelijk te zijn van de VS." Woodward en Rogoyski tonen aan dat dit te simplistisch is.

Een open-weight-model is vrij om te downloaden, maar de training van frontier-modellen vereist enorme rekenkracht en data die geconcentreerd zijn in een paar landen. De supply chain van open-weight-modellen, de chips, de trainingsdatasets, de evaluatie-infrastructuur, blijft afhankelijk van dezelfde twee staten. Een land kan een open-weight-model draaien zonder Amerikaanse goedkeuring, maar kan het niet produceren zonder Amerikaanse halfgeleiders en rekeninfrastructuur.

Falsifieerbare claim: als de open-weight hedge volledig soeverein was, zou een niet-Amerikaans land in staat moeten zijn een frontier-capabel model te trainen zonder Amerikaanse hardware of diensten. Geen enkel klein of middelgroot land doet dit vandaag, de concentratie van rekenkracht maakt dit voor alle staten behalve een handvol onhaalbaar.

De politieke blootstelling is subtieler: open-weight-modellen zijn zichtbaar. Ze kunnen worden gecontroleerd, gemonitord en, in theorie, door regelgeving aan banden gelegd. Een land dat openlijk een open-weight-model draait in een kritieke toepassing, geeft een signaal af over zijn soevereiniteitsambities. Dit kan strategische aandacht trekken die een land juist wil vermijden.

Architectuur-implicaties: wat dit betekent voor Nederlandse overheidsorganisaties

Voor de gemiddelde Nederlandse gemeente of ZBO voelt deze geopolitieke analyse ver weg. Maar de architectuurconsequenties zijn concreet en direct toepasbaar.

Lagen van blootstelling

Een Nederlandse overheidsorganisatie die frontier-modellen gebruikt via Amerikaanse API's heeft vier lagen van afhankelijkheid:

1. API-toegang: de softwarelaag die het model aanspreekt (bijv. OpenAI, Anthropic, Google).
2. Modelversie: het specifieke model dat wordt geserveerd, dat, zoals het Silent Updates-paper (arXiv:2608.11803) aantoont, stil kan veranderen zonder dat de afnemer het merkt.
3. Inferentie-infrastructuur: de datacenter- en rekenresources waarop het model draait.
4. Trainings-supply-chain: de chips, data en expertise die het model hebben geproduceerd.

De eerste drie lagen zijn commercieel aan te pakken (contracten, alternatieve aanbieders). De vierde laag is geopolitiek en niet commercieel oplosbaar. Dit is de crux: elke Nederlandse organisatie die frontier-modellen inzet, is in de vierde laag afhankelijk van twee staten, ongeacht welke provider of API zij kiest.

BIO2 en NIS2: het risico is al verplicht te beheersen

De Nederlandse compliance-kaders erkennen dit risico al, zij het impliciet. BIO2 (Baseline Informatiebeveiliging Overheid) vereist risicobeheer over de volledige levenscyclus van informatiesystemen, inclusief externe leveranciers. NIS2 / de Cyberbeveiligingswet vereist dat essentiële en belangrijke entiteiten leveranciersrisico's beheersen.

Het probleem is dat de gangbare BIO2-risicoanalyse AI-afhankelijkheid behandelt als een statische dienst: het model wordt ingekocht, geïmplementeerd, en periodiek geëvalueerd. De gebeurtenis van juni 2026 toont dat deze aanname onhoudbaar is. Een BIO2-analyse die geen rekening houdt met model-revocatie-risico, de mogelijkheid dat toegang abrupt wordt ingetrokken, is incompleet.

Een codevoorbeeld: revocatie-impact-analyse

Hoe kwantificeer je als organisatie de impact van model-revocatie? Een pragmatische benadering is een dependency-mapping: breng in kaart welke processen van welk model afhangen, en welke blootstelling die afhankelijkheid creëert.

from dataclasses import dataclass

@dataclass
class ModelDependency:
    process: str          # bijv. "handhavingsprioritering"
    model: str            # bijv. "gpt-5.2"
    criticality: str      # "kritiek" | "belangrijk" | "ondersteunend"
    revocable: bool       # kan de provider dit abrupt intrekken?
    fallback: str | None  # alternatief model/proces

def revocation_blast_radius(deps: list) → dict:
    """Bereken de impact van abrupte revocatie per proces."""
    critical = [d for d in deps if d.criticality == "kritiek" and d.revocable]
    return {
        "kritieke_processen_zonder_fallback": len([d for d in critical if not d.fallback]),
        "kritieke_processen_met_fallback": len([d for d in critical if d.fallback]),
        "totaal_revocable": len([d for d in deps if d.revocable]),
    }

Complexiteitsanalyse: de mapping is $O(n)$ tijd en geheugen voor $n$ geregistreerde afhankelijkheden. De waarde zit niet in de complexiteit maar in de volledigheid: een organisatie die haar AI-afhankelijkheden niet in kaart heeft gebracht, kan de blast radius van revocatie niet berekenen. De beperking is dat dit een statische analyse is, het modelleert de huidige afhankelijkheid, niet de evolutie ervan. Een proces dat vandaag een fallback heeft, kan morgen volledig afhankelijk worden van één model zonder dat de analyse dit vangt. Dit vereist periodieke her-evaluatie, geen eenmalige inventarisatie.

Second-order effecten: wat de exportcontrole ontketent

De eerste-orde-gebeurtenis is de intrekking van modellen. De tweede-orde effecten zijn minstens zo belangrijk:

• Versnelde adoptie van open-weight-modellen in de publieke sector: organisaties die eerder commercieel terughoudend waren, kunnen overstappen naar open-weight-modellen als "safe haven", zonder te beseffen dat de supply chain afhankelijk blijft.
• Toenemende vraag naar regionale capaciteitspooling: het paper stelt pooled regional capability voor. Voor de EU is dit een concrete mogelijkheid: gedeelde inferentie-infrastructuur, gedeelde evaluatie, gedeelde talentontwikkeling.
• Herwaardering van de open-weight-hedge: de gangbare aanname dat open-source AI automatisch soeverein is, wordt ontkracht. Dit verschuift het debat van "open vs. closed" naar "productie vs. inzet".
• Nieuwe kwetsbaarheid: containment en deployment: het paper concludeert dat "much of the near-term risk lies in how capable models are deployed and contained rather than in their apparent performance." Dit verplaatst de focus van model-capaciteit naar de omgeving waarin modellen worden ingezet.

Wat betekent dit voor architecten, CISOs en CIO's?

De strategische consequentie is dat Nederlandse organisaties een tiered AI-portfolio nodig hebben, geen single-vendor strategie:

1. Kritieke toepassingen: identificeer welke AI-toepassingen business-critical zijn en niet kunnen falen. Voor deze toepassingen is soevereine inferentie, het draaien van het model in een Nederlandse/EU-datacenter, geen luxe maar een vereiste.
2. Open-weight hedge met realisme: overweeg open-weight-modellen, maar niet als "gratis soevereiniteit". Plan voor de supply chain, niet alleen voor de inference.
3. Revocatieplanning: bouw een fallback voor het scenario dat een model abrupt wordt teruggetrokken. Dit is niet anders dan disaster recovery, het moet worden geoefend.
4. Contractuele toegangsgaranties: waar mogelijk onderhandelde toegangsgaranties, zoals het paper voorstelt, als aanvulling op commerciële contracten.

Wat blijft onzeker?

De analyse van Woodward en Rogoyski is overtuigend maar kent belangrijke onzekerheden:

• Onzekerheid over de duurzaamheid van de controle: zal de VS de restrictie handhaven, aanscherpen, of loslaten? De praktische onuitvoerbaarheid die het paper noemt, kan leiden tot versoepeling, of juist tot strengere, beter geïmplementeerde controle.
• Onzekerheid over de open-weight-capabiliteit: de bewering dat de open-weight hedge "at once more capable and more politically exposed than commonly assumed" is een HYPOTHESIS. De daadwerkelijke capability-gap tussen open- en closed-weight-modellen evolueert snel.
• Onzekerheid over de EU-respons: het paper stelt pooled regional capability voor, maar of de EU dit politiek kan waarmaken is ongewis.

Deze onzekerheden zijn geen reden tot passiviteit. Ze zijn een argument om een adaptieve strategie te bouwen die werkt onder meerdere scenario's, in plaats van te gokken op één uitkomst.

Beperkingen van deze analyse

De geopolitieke analyse van Woodward en Rogoyski is overtuigend maar niet zonder grenzen. De gebeurtenis van juni 2026 is een single case, we kunnen niet generaliseren naar hoe de VS in de toekomst met exportcontroles omgaat op basis van één episode. De claim dat de open-weight hedge "more politically exposed than commonly assumed" is, is een HYPOTHESIS die nog niet door uitgebreid bewijs wordt ondersteund. Ten derde is de EU-respons (pooled regional capability) een voorstel, geen realiteit; of de EU dit politiek kan waarmaken is ongewis. Methodologisch is dit artikel een interpretatie van primaire onderzoeksbevindingen en publieke gebeurtenissen; de strategische conclusies zijn SUPPORTED_INFERENCE, geen onafhankelijk geverifieerde feiten.

De synthese die het paper zelf niet trekt

De originele synthese van dit artikel: de exportcontrole is niet alleen een risico voor de organisaties die frontier-modellen kopen. Het is een signaal dat de hele governance-architectuur van AI-afhankelijkheid moet worden heroverwogen. De drie lagen, toegang, versie, en trainings-supply-chain, vereisen elk een andere risicobenadering. En de zwakste schakel is niet de laag die commercieel het duurst is, maar de laag die het minst zichtbaar is: de trainings-supply-chain die geen enkele Nederlandse organisatie direct kan beïnvloeden.

Een Nederlandse overheidsorganisatie kan haar API-contracten heronderhandelen. Ze kan haar modelversie controleren. Maar ze kan niets doen aan de geopolitieke realiteit dat de meest capabele modellen in twee staten worden geproduceerd. Die asymmetrie is het fundamentele inzicht: Nederlandse AI-soevereiniteit is geen vraag van technologie, maar een vraag van strategische positionering in een markt die politiek wordt gestuurd.