Hoe houd je grip op data en regie over innovatie in een wereld van cloudafhankelijkheid en AI?

Meer dan duizend mensen in de Jaarbeurs. Van beleidsmakers, ICT-directeuren, financieel adviseurs, uitvoeringsspecialisten tot leveranciers vanuit de hele breedte van de Nederlandse overheid. Samen deelden ze kennis over het spanningsveld tussen technologische ambitie en de uitvoerbaarheid daarvan.

Overheid 360° was dit jaar dan ook een congres met twee gezichten. Aan de ene kant het enthousiasme over wat technologie mogelijk maakt. Aan de andere kant de nuchtere vraag of overheidsorganisaties klaar zijn om die technologie ook echt te beheersen. Digitale soevereiniteit en innovatie met AI domineerden de agenda. En achter beide thema’s schuilde dezelfde fundamentele uitdaging: hoe behoud je controle over iets wat sneller beweegt dan je organisatie?

Hieronder de drie belangrijkste inzichten van de dag.

Inzicht 1: Soevereiniteit is geen schakelaar

Het woord ‘digitale soevereiniteit’ gonst al een tijdje binnen de publieke sector. En terecht. Maar wat het precies betekent, verschilt enorm per organisatie, per context en per gesprekspartner. Opvallend die dag was dat veel organisaties soevereiniteit zien als een binaire keuze: je hebt het of je hebt het niet. Dat is te kort door de bocht.

Soevereiniteit is geen schakelaar die je omzet van afhankelijk naar onafhankelijk. Het is een samenspel van verschillende dimensies en vraagstukken die je bewust moet kennen en moet afwegen tegen de risico’s. En die uitkomst pakt voor elke organisatie anders uit.

Juridische dimensie: Onder welke wetgeving vallen jouw leveranciers?

Een eerste dimensie is de juridische positie van de partijen waarmee je samenwerkt. Vallen jouw leveranciers onder Europese wetgeving? Of zijn het dochterondernemingen van Amerikaanse bedrijven waarop de US Cloud Act van 2018 van toepassing is? Die wet geeft Amerikaanse autoriteiten het recht om data op te vragen bij in de VS gevestigde bedrijven, ongeacht waar die data fysiek is opgeslagen. Voor overheidsorganisaties die werken met gevoelige of vertrouwelijke informatie is dit een serieuze afweging.

Personele dimensie: Wie heeft er eigenlijk toegang tot jouw data en systemen? Een tweede, minder vaak besproken dimensie, is de vraag wie er feitelijk toegang heeft tot jouw systemen en data. In een wereld waarin ICT steeds vaker als clouddienst wordt afgenomen, werkt het beheer en onderhoud van die systemen op afstand. De vraag is: zijn die medewerkers die het beheer doen gescreend? Beschikken ze over een Verklaring Omtrent Gedrag? Hebben ze een veiligheidsmachtiging op het niveau dat jouw organisatie vereist? Voor veel overheidsorganisaties zijn dit vragen die ze tot voor kort niet structureel stelden. Dimensie van dataopslag: Waar staat je data opgeslagen en hoe is deze beveiligd?

Een derde dimensie is de opslag van jouw data. Enkele vragen die daarbij relevant zijn: In welk datacenter staat jouw data? In welk land, onder welke fysieke beveiligingsnormen? En hoe wordt die data digitaal afgeschermd in een omgeving waar meerdere klanten van dezelfde infrastructuur gebruikmaken? Multi-tenancy vraagt om robuuste isolatie, niet alleen technisch maar ook organisatorisch en contractueel. Dit is de meest tastbare vorm van soevereiniteit.

Doelmatig soeverein: Wat is de juiste maat voor jouw organisatie?

Dit brengt me bij de belangrijkste les van die dag en eerlijk gezegd ook de meest verfrissende: houd je rust. De soevereiniteitseisen voor een gemeente zijn fundamenteel anders dan die voor Defensie of een organisatie in het veiligheidsdomein. Wie als gemeente precies dezelfde maatregelen treft als de AIVD, geeft maatschappelijk geld uit zonder dat daar een goede reden voor bestaat.

Doelmatig soeverein zijn betekent: weten welke afhankelijkheden voor jóuw organisatie, jóuw data en jóuw publieke taak daadwerkelijk risico vormen, en daar gericht op sturen. Niet meer, niet minder. Dat is geen zwakte. Dat is bestuurlijke volwassenheid.

Inzicht 2: De controle zit onder de oppervlakte

De mogelijkheden van kunstmatige intelligentie zijn immens. Slimmere dienstverlening, geautomatiseerde analyses, AI-agents die repetitieve taken overnemen. Onder al die mogelijkheden zit ook een essentiële vraag. Niet zozeer óf en wanneer AI die taken gaat overnemen. De belangrijkste vraag is hoe je dit op een manier doet waarbij je de controle behoudt.

Voor de toepassing van AI nemen we de bekende ijsberg als metafoor. De top, het stuk dat boven water uitsteekt, zijn de innovaties die direct zichtbaar en merkbaar zijn: een AI-assistent die beleidsdocumenten samenvat, een chatbot die burgers helpt bij aanvragen of een dashboard dat financiële afwijkingen in real time signaleert. Dit zijn de toepassingen waar bestuurders enthousiast over worden en medewerkers direct ervaren als tijdswinst.

Maar het grootste gedeelte van die ijsberg bevindt zich onder water en dat is precies het deel dat bepaalt of de top stabiel blijft. De ICT-architectuur, de datakwaliteit, de governance-structuur, de beveiligingslagen en de integratielogica: samen vormen zij de bodem waarop je bouwt. Zonder een goed fundament kun je wel een AI-tool uitrollen, maar heb je geen grip op wat die tool doet met je data, hoe je de uitkomsten verantwoordt of hoe je de boel weer kunt afschakelen als er iets misgaat. De hamvraag, waar hou je als overheidsinstantie rekening mee wanneer het gaat over een goede fundering en welke onderwerpen en vraagstukken liggen daaraan ten grondslag?

Transparantie en verantwoording

Overheidsorganisaties zijn gehouden aan wetgeving, beleid en democratische verantwoording. Dat betekent dat besluiten die mede door AI worden ondersteund,

achteraf uitlegbaar moeten zijn. Niet alleen intern, maar ook aan de Rekenkamer, aan de politiek en uiteindelijk aan de burger. Hoe documenteer je de rol van een algoritme in een beslissing op een manier die over vijf jaar nog navolgbaar is? Dat is een vraag die veel organisaties nu nog onvoldoende hebben beantwoord. En die vraag stellen op het moment dat je al midden in een implementatie zit, is te laat.

Risico’s die je nog niet kent

Technologische innovatie gaat snel, en de risico’s komen soms van een kant waar je niet op rekende. AI-plug-ins in browsers die data toegankelijk maken voor partijen die helemaal niet in de beveiligde keten horen. AI-agents die met elkaar in interactie gaan en daarbij onbedoeld grote hoeveelheden data verwerken of budgetten overschrijden zonder dat een mens daar toezicht op hield. Niemand weet precies welke nieuwe mogelijkheden er over twaalf maanden beschikbaar zijn, laat staan welke nieuwe risico’s daarmee gepaard gaan.

Dat vraagt om een andere benadering van risicomanagement. Niet reageren op risico’s die al bekend zijn, maar een architectuur en governance inrichten die ook de onbekende risico’s van morgen kan opvangen. Zodat die top van de ijsberg stabiel blijft.

Inzicht 3: Wie minder beheert, heeft meer controle

Een inzicht dat bij zowel het soevereiniteitsvraagstuk als bij de AI-discussie steeds terugkeerde, is de waarde van consolidatie. Minder systemen betekent minder complexiteit en minder complexiteit maakt beheersing fundamenteel eenvoudiger.

Elk koppelpunt tussen twee systemen is een potentieel risico. Een plek waar data kan lekken. Waar governance-regels niet worden doorgevoerd. Waar een update bij het ene systeem onverwachte effecten heeft bij het andere. Meer systemen betekent meer van die risicopunten, meer integraties om te beheren, meer disciplines om in het gareel te krijgen. En meer kans dat ergens in die keten iets misgaat, wat je pas ontdekt als het te laat is.

Eén waarheid, minder fouten

Organisaties die dit goed aanpakken, kiezen bewust voor minder systemen, die meer doen. Ze vragen meer van minder. En dat betaalt zich op meerdere manieren terug. Niet alleen in lagere beheerskosten en minder integratieproblemen, maar ook in de kwaliteit van data zelf. Wie data op meerdere plekken bijhoudt, creëert vroeg of laat tegenstrijdige informatie. Eén centrale databron betekent één waarheid waarop iedereen kan sturen, minder fouten door dubbele registratie en een fundament dat je kunt vertrouwen als je er AI op loslaat.

Centrale governance als ruggengraat

Wat organisaties die dit goed doen gemeen hebben, is dat ze data governance niet per systeem regelen maar centraal. SAP heeft dit principe vertaald naar een architectuurbeslissing door een centrale laag voor data governance te introduceren die overkoepelend werkt over alle individuele applicaties.

Toegang, gebruik, auditlogging en beveiligingscontroles worden op één plek gemanaged, maar zijn van toepassing op de gehele omgeving. Dat is een krachtig antwoord op zowel de soevereiniteitsvraag als de beheersbehoefte rondom AI: je hoeft niet elk systeem afzonderlijk te optimaliseren, omdat de spelregels al op een hoger niveau zijn vastgelegd.

Dit is geen productadvies. We zeggen niet dat de SAP-aanpak de enige aanpak is. Het is een architectuurfilosofie die zich in de praktijk heeft bewezen, ook in de complexe financiële ketens van de publieke sector. De principes zijn universeel: schaalbaar, transparant en beheersbaar. Elke organisatie die op een verantwoorde manier wil innoveren, doet er goed aan zichzelf af te vragen of haar huidige landschap die drie principes ondersteunt.

Wat we meenemen vanuit Overheid 360°

Overheid 360° liet dit jaar een sector zien die volwassener nadenkt over technologie dan een paar jaar geleden. De gesprekken gingen niet meer over of we iets met AI moeten, maar over hoe je het verantwoord inricht. Niet meer over cloud ja of nee, maar over welke afhankelijkheden voor jóuw organisatie daadwerkelijk risico vormen.

En dat zijn exact de juiste vragen. Want organisaties die nu investeren in het fundament onder hun innovatie, staan over drie jaar een stuk sterker dan degenen die alleen de top van de ijsberg hebben opgebouwd. De ijsberg zelf vraagt om aandacht. Niet als rem op innovatie, maar als voorwaarde om het vol te houden. En dat is precies waar het bij de overheid om gaat: niet het snelste huis bouwen, maar het meest solide. Op de juiste bodem.

Wil je verder praten over wat dit betekent voor jouw organisatie? We gaan graag met je in gesprek.