Digitale soevereiniteit kun je gewoon meten

In dit artikel:

Digitale soevereiniteit is geen vaste eindstatus, maar een kwestie van inzicht in afhankelijkheden, risico’s en de ruimte om zelf keuzes te maken. In deel 10 van de rubriek De Overstap bespreekt ict-journalist Robbert Hoeffnagel verschillende initiatieven die organisaties helpen om die autonomie concreet te beoordelen en te vergroten.

Een belangrijk voorbeeld is Safari, het Sovereignty Assessment Framework for Autonomy, Resilience and Independence van securityspecialist Brenno de Winter. Het framework kijkt niet alleen naar de vestigingsplaats van een leverancier of de locatie van data, maar vooral naar de feitelijke controle van een organisatie. Daarbij komen vragen aan bod als: kan een organisatie overstappen naar een andere leverancier, heeft zij toegang tot haar eigen gegevens, hoe groot is de afhankelijkheid van specifieke technologie en wat gebeurt er als een dienstverlener wegvalt? Zo kunnen organisaties hun kwetsbaarheden zichtbaar maken zonder meteen alle Amerikaanse software te hoeven vervangen. Een ontbrekende exitstrategie, beperkte interne kennis of een slecht gedocumenteerde applicatie kan bijvoorbeeld een groter risico vormen dan de nationaliteit van de leverancier.

Ook de Franse cio-organisatie Cigref probeert verantwoord digitaal beleid meetbaar te maken. Zij publiceerde een overzicht met dertig ‘Must-Do Actions’ voor onder meer governance, inkoop, apparatuur, toegankelijkheid, cloud en datacenters. Organisaties kunnen per actie de verwachte impact, uitvoeringsmoeilijkheid en voortgang bijhouden. Daarnaast zijn er 64 prestatie-indicatoren voor milieu, sociale aspecten en governance. Die meten onder meer het energie- en materiaalgebruik van apparatuur, de toegankelijkheid van digitale diensten, ethisch gebruik van AI en verantwoord inkopen. Net als Safari vertalen deze hulpmiddelen abstracte ambities naar concrete acties en resultaten.

Een ander genoemd initiatief is het open source-project Composable Data Stack van de Nederlandse ontwikkelaar Ronald Hensbergen. Daarmee kunnen organisaties een dataplatform samenstellen uit losse, verwisselbare componenten, zoals PostgreSQL, Dagster en Apache Superset. Vooraf gedefinieerde interfaces helpen de onderdelen te koppelen en de configuratie te controleren. Deze aanpak moet het eenvoudiger maken om bijvoorbeeld een database of analysetool te vervangen en zo vendor lock-in te beperken. Of dat in de praktijk goed werkt, moet nog blijken.

Hoeffnagel wijst er tegelijk op dat open source niet automatisch betekent dat organisaties onafhankelijk of veilig zijn. Zes banken steunen daarom Osera, een initiatief om de beveiliging en continuïteit van open source-software te verbeteren. Veel financiële instellingen gebruiken open source-componenten die soms door slechts enkele vrijwilligers worden onderhouden, terwijl grote aantallen organisaties ervan afhankelijk zijn. Bij digitale autonomie moet daarom ook worden gekeken wie software onderhoudt, beveiligt en financiert.

Bij kunstmatige intelligentie pleit Hoeffnagel voor een omgekeerde aanpak: bepaal eerst het doel en zoek daarna de passende technologie. Zijn eigen experimenten met lokaal draaiende open source- en open-weightmodellen laten zien dat niet altijd een duur model of een hyperscaler nodig is. Een betaalbare Linux-server kan voor bepaalde toepassingen volstaan. Veel organisaties leunen echter voor kennis en keuzes sterk op hun vaste leverancier, waardoor alternatieven buiten beeld blijven.

Daaruit ontstaat volgens Hoeffnagel het risico van ‘soevereiniteitswashing’: een leverancier of technologie wordt als soeverein gepresenteerd, terwijl de organisatie feitelijk weinig controle heeft. Dat data in een Europese omgeving staan, betekent bijvoorbeeld niet automatisch dat de technologie, zeggenschap en juridische afhankelijkheden Europees zijn.

Tot slot bespreekt hij twee kleinschalige open source-tools. ActivityWatch registreert lokaal welke programma’s en websites iemand gebruikt, zodat inzicht ontstaat in tijdsbesteding zonder gegevens met een commerciële clouddienst te delen. Espanso is een lokale tekstvervanger waarmee korte codes automatisch worden omgezet in veelgebruikte teksten. Beide toepassingen illustreren dat open source ook op de werkplek praktische verbeteringen kan bieden zonder extra accounts, abonnementen of privacygevoelige cloudopslag.