KETENVERANTWOORDELIJKHEID
Ketenverantwoordelijkheid
wie houdt regie over onze digitale werkelijkheid?
Zes perspectieven op digitale autonomie, verantwoordelijkheid en weerbaarheid
Digitale weerbaarheid ontstaat niet binnen de muren van één organisatie. Wie vandaag een digitale dienst gebruikt, is onderdeel van een keten van softwareproducenten, cloudproviders, IT-dienstverleners, technologiepartners en eindgebruikers. Maar wie is verantwoordelijk wanneer die keten kwetsbaar blijkt?
TEKST: SANDER HULSMAN FOTO’S & VIDEO’S: EVENTSHOOT
Die vraag stond centraal tijdens een nieuwe DSR Round Table. In de studio spraken we individueel met zes de deelnemers over hun eigen perspectief op digitale autonomie, ketenverantwoordelijkheid en resilience. De gesprekken laten zien dat het debat inmiddels verder gaat dan de keuze voor open source, een Europese cloud of een alternatief voor Big Tech. Het gaat steeds meer om grip, inzicht, keuzevrijheid en de vraag wie uiteindelijk verantwoordelijkheid neemt.
1A First Alternative: IT moet het gewoon doen
Voor Hanc de Bokx, CEO van 1A First Alternative, begint digitale weerbaarheid opvallend eenvoudig: IT moet werken. 1A richt zich al 25 jaar op het MKB en probeert enterprise-achtige IT bereikbaar te maken voor kleinere organisaties.
Daarbij neemt 1A een groot deel van de verantwoordelijkheid voor de dienstverlening over. Monitoring, updates, beveiliging en ondersteuning worden als doorlopende dienst geleverd. De klant hoeft zich daardoor minder met de techniek bezig te houden.
Maar ontzorging mag volgens De Bokx niet automatisch leiden tot afhankelijkheid. Juist daarom zijn open standaarden belangrijk. Als een organisatie op enig moment van dienstverlener wil wisselen, moeten data en systemen kunnen worden meegenomen. “Je wil dus dat je vrij makkelijk je data van de ene partij naar de andere partij kunt overhevelen. En dat gaat alleen maar goed als je gebruikmaakt van open standaarden.”
Dat uitgangspunt wordt volgens De Bokx alleen maar belangrijker nu ook AI het MKB bereikt. Organisaties moeten volgens hem bewuster nadenken over waar hun data terechtkomt wanneer zij AI-diensten gebruiken.
Whitesky.cloud: weg van één dominante cloud
Die gedachte van keuzevrijheid komt ook sterk terug bij Hans van Linschoten, directeur van Whitesky.cloud. Zijn uitgangspunt is niet dat organisaties morgen allemaal van AWS, Azure of Google Cloud moeten verdwijnen. Wel vindt hij dat Europa meer alternatieven moet organiseren.
Whitesky.cloud ontwikkelt een cloudstack waarmee organisaties cloudfunctionaliteit op eigen hardware kunnen draaien. Daarmee ontstaat volgens Van Linschoten ruimte voor een ander model: niet één hyperscaler die alles beheert, maar een netwerk van Europese partijen die gezamenlijk capaciteit en diensten leveren. Hij vergelijkt dat met het internet en met roaming in de telecomsector. “Niemand is eigenaar van het internet. Het internet is een federatief model.”
Een dergelijk model kan volgens Van Linschoten de afhankelijkheid van individuele leveranciers verminderen. Daarbij is open source volgens hem nuttig, maar zijn open standaarden uiteindelijk belangrijker. Die maken het mogelijk om data en workloads daadwerkelijk tussen leveranciers te verplaatsen.
Voor Europa betekent dat niet dat alle bestaande hyperscaler-diensten moeten verdwijnen. Het gaat volgens Van Linschoten vooral om het creëren van alternatieven voor de workloads waarvoor Europese organisaties vandaag afhankelijk zijn van een beperkt aantal dominante partijen.
EUnifyer: open source is niet het doel
Waar Van Linschoten vooral kijkt naar de infrastructuurlaag, richt Frans Olsthoorn, medeoprichter van EUnifyer, zich op de software- en applicatielaag. Ook hij waarschuwt voor een te eenvoudige interpretatie van digitale autonomie.
Open source kan volgens hem een belangrijk uitgangspunt zijn, maar ‘open source tenzij’ mag niet veranderen in ‘open source altijd’. Het belangrijkste criterium is volgens Olsthoorn of organisaties daadwerkelijk kunnen vertrekken. Daarom ziet hij open standaarden, interoperabiliteit en modulariteit als minstens zo belangrijk. “Het is voor een partij zoals de overheid uiteindelijk veel belangrijker dat je weg kunt migreren dan dat iets nou per se helemaal op open source gebouwd is.”
EUnifyer probeert dat principe concreet te maken met een digitaal noodpakket waarmee organisaties een kopie van hun data en belangrijke instellingen buiten hun bestaande Microsoft- of Google-omgeving kunnen bewaren. Daarmee ontstaat eerst een vorm van zekerheid, waarna een organisatie stapsgewijs afhankelijkheden kan afbouwen.
Diezelfde gedachte trekt Olsthoorn door naar de Europese technologiesector. Overheden kunnen volgens hem een belangrijke rol spelen als launching customer door Europese start- en scale-ups daadwerkelijk ruimte te geven in aanbestedingen.
Provincie Zeeland: verantwoordelijkheid vraagt om aanspreekpunt
Voor Hans Quist, CISO van de Provincie Zeeland, komt de discussie uiteindelijk neer op een heel praktische vraag: wie kun je bellen als het misgaat? Ook Zeeland hanteert het principe van ‘open source tenzij’, maar vanuit security- en governanceperspectief levert dat volgens Quist een dilemma op. Bij commerciële software is er doorgaans een leverancier die contractueel kan worden aangesproken. Bij open source is niet altijd duidelijk waar de verantwoordelijkheid ligt. “Wie is aanspreekbaar? Ja, dat is toch wel het grootste governance-risico van open source.”
Dat betekent niet dat Zeeland open source afwijst. De provincie doet er juist ervaring mee op, onder meer binnen het geodomein. Maar de keuze wordt wel vanuit risico gemaakt. En ook bij open source kan uiteindelijk een commerciële partij verantwoordelijk worden gemaakt voor onderhoud, ondersteuning en dienstverlening.
Quist maakt daarmee een belangrijk onderscheid, want open source neemt verantwoordelijkheid niet weg. “Het verandert alleen de manier waarop die verantwoordelijkheid georganiseerd moet worden.”
Diezelfde verantwoordelijkheid ziet hij bij de eindgebruiker. Als een leverancier een fout maakt, kan die leverancier juridisch of contractueel verantwoordelijk zijn. Maar reputatieschade en bestuurlijke consequenties komen uiteindelijk wel bij de organisatie terecht die de dienst gebruikt.
Methodino: iedereen kan gelijk hebben
Dat laatste probleem krijgt bij Erik Witte, CEO en medeoprichter van Methodino, een andere dimensie. Hij kijkt niet primair naar de keuze voor een leverancier of technologie, maar naar de vraag of organisaties überhaupt weten wat er technisch gebeurt.
Binnen grote organisaties kijken security, operations, architectuur, compliance, risk en andere disciplines allemaal naar dezelfde infrastructuur. Zij gebruiken daarbij verschillende systemen, data en perspectieven. Iedereen kan vanuit zijn eigen rol gelijk hebben, terwijl het totaalbeeld toch niet klopt.
Witte noemt dat reality drift: het verschil tussen de werkelijkheid zoals een organisatie denkt dat die is en de technische werkelijkheid die daadwerkelijk bestaat. “Het probleem is niet per se dat iemand verkeerde informatie heeft. Het probleem is dat niemand het geheel ziet.”
Methodino probeert die technische werkelijkheid continu te reconstrueren en uit te rekenen. Daarmee wil Witte organisaties in staat stellen risico’s niet alleen te beoordelen op basis van registraties en aannames, maar op basis van de feitelijke configuratie en onderlinge afhankelijkheden van hun infrastructuur.
Dat heeft volgens hem ook gevolgen voor bestuurders. Naarmate digitale verantwoordelijkheid sterker bij bestuurders wordt gelegd, wordt het belangrijker dat zij kunnen aantonen waarop hun beslissingen gebaseerd zijn.
De AI Fabriek: nieuwe technologie, nieuwe afhankelijkheden
AI voegt vervolgens een nieuwe laag toe aan dat vraagstuk. Mark Meerbeek, co-founder van De AI Fabriek, ziet dat organisaties inmiddels voorbij de experimenteerfase beginnen te gaan. AI wordt daadwerkelijk onderdeel van werkprocessen. De vraag is volgens hem daarom niet langer of organisaties AI moeten gebruiken, maar waar AI aantoonbare waarde toevoegt.
Een eenvoudig voorbeeld is het automatisch beoordelen van vergunningsaanvragen. Waar medewerkers eerder meerdere uren nodig hadden om documenten op vaste criteria te beoordelen, kan een AI-toepassing dat werk grotendeels automatiseren, waarna een medewerker de uitkomst controleert.
Maar de inzet van AI brengt ook nieuwe verantwoordelijkheden mee. Wie is verantwoordelijk wanneer AI een fout maakt? En wat gebeurt er met de data waarop een AI-systeem redeneert?
Meerbeek verwacht niet dat organisaties hun afhankelijkheid van technologie volledig kunnen voorkomen. De oplossing ligt volgens hem eerder in het organiseren van die afhankelijkheid. “Die afhankelijkheid is er gewoon. Het is veel belangrijker dat je als organisatie gaat kijken hoe je er mee om kunt gaan.”
Daarmee komt hij opvallend dicht bij de kern van de andere gesprekken: digitale autonomie betekent niet dat je alle afhankelijkheden kunt elimineren. Het betekent dat je ze bewust organiseert, beheersbaar houdt en voorkomt dat je niet meer kunt vertrekken.
Verantwoordelijkheid nemen
De zes gesprekken laten daarmee een duidelijke ontwikkeling zien. Digitale autonomie begint niet bij de vraag of een organisatie voor open source, Europese cloud of AI kiest. Het begint bij de vraag welke afhankelijkheden ontstaan en wie daarvoor verantwoordelijkheid neemt. Voor Hanc de Bokx is continuïteit het uitgangspunt: IT moet werken en de leverancier moet verantwoordelijkheid nemen voor de dienstverlening. Hans van Linschoten ziet juist meerwaarde in een gedistribueerd Europees cloudmodel waarin meerdere partijen samen een alternatief vormen voor hyperscalers. Frans Olsthoorn benadrukt dat keuzevrijheid vooral ontstaat door open standaarden en een werkbare exitstrategie. Hans Quist brengt vervolgens de bestuurlijke realiteit terug in beeld, want ook als een leverancier verantwoordelijk is voor een fout, blijft de eindgebruiker degene die zich moet verantwoorden. Erik Witte voegt daar de vraag aan toe of organisaties überhaupt voldoende inzicht hebben om verantwoordelijke beslissingen te kunnen nemen. En Mark Meerbeek laat zien dat AI die discussie verder op scherp zet.Kern van ketenverantwoordelijkheid
Daarmee verschuift het gesprek over digitale autonomie van welke technologie we afhankelijk zijn naar de fundamentelere vraag of we zelf kunnen blijven beslissen wat er met onze digitale infrastructuur gebeurt. Dat is uiteindelijk ook de kern van ketenverantwoordelijkheid. Niet iedere partij hoeft alles zelf te doen. Maar iedere partij moet wel weten waar haar verantwoordelijkheid begint, waar die eindigt en welke afhankelijkheden zij samen met anderen creëert. Want digitale weerbaarheid ontstaat niet doordat één partij de hele keten controleert. Ze ontstaat wanneer de partijen in die keten inzicht, verantwoordelijkheid en keuzevrijheid met elkaar organiseren.