business

Deel 6: Het datadrama onder het mislukte ict-project bij UWV WERKbedrijf OPINIE – In de voorgaande artikelen zagen we dat het UWV en 8Vance al drie jaar lang niet lukt om een standaardsoftware-oplossing voor arbeidsmarktmatching werkend te krijgen. Maar komt dat door die software of door UWV? Een groot deel van het antwoord ligt in de kwaliteit van de UWV-data en hoe UWV die aan 8Vance levert. Dit artikel gaat vrijwel geheel over de belangrijkste bijdrage die UWV moet leveren om het 8Vance-pakket te laten werken: DATA, in het bijzonder cv-data van werkzoekenden. De UWV-gegevenshuishouding vóór 8Vance Zoals eerder besproken gebruikt UWV WERKbedrijf drie decennia-oude systemen om mensen aan banen te koppelen. Werk.nl is bedoeld voor de zelfredzame mensen: vaak, maar niet altijd, mensen met een WW-uitkering. Sonar en WBS zijn bedoeld voor degenen voor wie UWV WERKbedrijf echt is bedoeld: mensen die hulp van UWV nodig hebben. De systemen hebben hun eigen databases (Oracle). Het matchen van honderdduizenden werkzoekenden aan eveneens honderdduizenden vacatures is een uitdaging, ongeacht of je dat met klassieke logica doet of met ai. UWV gebruikt daarom vanouds een gespecialiseerd in-memory databaseproduct: ELISE van het Nederlandse bedrijf WCC. Hoog-over ziet de huidige situatie er zo uit: De gegevens van verschillende populaties, zelfredzamen en hulpbehoevenden, zitten in verschillende databases. Die populaties overlappen: wie wordt begeleid via Sonar kan zichzelf in Werk.nl opvoeren. Vacatures, vaak van het internet gescrapet, komen in beide omgevingen terecht. De omgevingen hebben hun eigen implementaties van het Elise-matchproduct: Elise-Sonar, Elise-WBS en Elise-Werk.nl. De drie Elises bevatten dus in-memory de gegevens die noodzakelijk zijn om mensen aan vacatures te koppelen. Natuurlijk gaat de synchronisatie tussen de permanente Oracle-data en de vluchtige Elise-data soms mis, maar een relatief eenvoudige reload vanuit de onderliggende database lost dat op. Deze systeemarchitectuur lijkt dubbelop, maar dat komt vooral door het hoge abstractieniveau van het plaatje. Van mensen met een beperking worden meer gegevens vastgelegd dan van zelfdoeners. Bij Werk.nl (en WBS) is matching en bemiddeling de kern van het systeem, waar het bij Sonar primair gaat om planning en uitvoering van begeleidingstaken. Zo gek is de huidige constructie dus niet. De aanbesteding: Het wordt tijdelijk (?) iets complexer Al vóór de aanbesteding, in 2021, besluit UWV dat de aan te schaffen bemiddelingssoftware die Elise moet vervangen vanuit één ‘Geconsolideerde Database’ moet worden bediend. Het opzetten en vullen van deze Arbeidsbemiddeling en Re-integratie (ABR)-database wordt een apart UWV-project, onderhands gegund aan het bedrijf Valcon. Het einddoel is dat de legacy-databases verdwijnen, maar onderweg daarheen wordt het datalandschap ’tijdelijk’ complexer. Vanuit de ABR-database wordt de database gevoed waarop de 8Vance-software werkt. En de matchresultaten van 8Vance gaan dan weer via de ABR-database, direct of via de legacy-databases, terug naar de gebruiker. Het bestaande abstracte plaatje gaat er nu als volgt uitzien: De werking van 8Vance, inclusief de onderliggende database, is voor UWV een zwart gat. De communicatie tussen de Geconsolideerde Database en 8Vance gaat via 8Vance-api’s, die weer zouden werken op een voor UWV bijgebouwde ‘voorzet-database’. UWV kiest voor een hoop extra (data)complexiteit en faalgevoelige kopie-datalogistiek, zonder dat daar een harde noodzaak voor is. Toezichthouder AcICT vraagt zich dat in haar rapport ook af: ‘Motiveer de functie en toegevoegde waarde van de geconsolideerde ABR-database in het geheel‘. Drie jaar geleden zou het antwoord zijn geweest dat de drie legacysystemen snel zouden worden vervangen, grotendeels door de software van 8Vance. Nu blijft het stil. En… hoe gaat het met die Geconsolideerde Database? Het project is afgerond. De ABR-database is, zoals dat heet, bestuurlijk opgeleverd. Dat betekent dat het niet wordt gebruikt. Omdat het systeem grotendeels overbodig is en vooral extra complexiteit oplevert, is dat geen ramp. Bewijzen dat 8Vance werkt kun je ook met drie losse instances doen, net als nu met Elise. Gaat 8Vance het doen, dan wordt de tijdelijke oplossing permanent en wordt de ABR-database het zoveelste mislukte bouwproject. Ondertussen is het natuurlijk de vraag waarom het in één database onderbrengen van data uit andere databases zo moeilijk en duur is. De officiële teller van de bouwkosten staat op zeven miljoen euro en wat er nu ligt (en dus niet werkt) is nog lang niet alles dat moet gaan werken. Datalogistiek bij UWV: Fire-and-Forget Op het eerste gezicht is het consolideren van de databases van Werk.nl en Sonar/WBS geen groot probleem. Elke persoon heeft een BSN en de gegevens die worden vastgelegd zijn grotendeels complementair. Toch ontspoort het project – hoe dan? De toezichthouder geeft een reden: ‘UWV heeft gekozen voor near real-time datasynchronisatie van BMS met informatie uit de bestaande systemen, via de ABR-database en een aantal koppelmodules. Deze informatieketen wordt gebouwd door een scrumteam van UWV en is nog steeds niet af. Eenvoudiger alternatieven, zoals informatie alleen via een batchproces inlezen, zijn niet gekozen.‘ Elke UWV-veteraan herkent dit. UWV zal nooit een koppeling doen via zoiets simpels als een SQL-statement dat elke paar seconden wordt uitgevoerd op een geïndexeerd timestamp-veldje. Welnee, er moet worden gewerkt met atomaire berichten. Dat gaat met het Fire-and-Forget-principe. Komt een bericht niet goed aan of gaat er iets fout bij de vastlegging, dan zijn de data ongemerkt verdwenen. Aan periodieke validaties tussen systemen doen ze bij UWV ook vanouds niet. Dit gaat bij UWV al 24 jaar fout. Het echte probleem met de Geconsolideerde Database: de brondata Zoals gezegd zitten de data van zelfredzame werkzoekenden in de database van Werk.nl. Deze worden ingevoerd en bijgehouden door de persoon zelf. De belangrijkste regels waaraan de gegevens moeten voldoen worden ook afgedwongen door de Werk.nl-database. Verder stuurt UWV regelmatig mailtjes waarin gebruikers moeten aanloggen op straffe van verwijdering van hun gegevens. Het resultaat is dat de kwaliteit van de Werk.nl-data puik is: consistent, volledig en actueel en voor het overgrote deel juist. Maar dan Sonar. Sonar is een verbouwd pakket (Siebel) en de onderliggende database is daardoor zeer permissief: een kaartenbak, populair gezegd. Dat hoeft nog geen ramp te zijn, mits het datamanagement op orde is. Dat is het bij UWV dus niet. De ongelukkige die de Sonar-data ziet wordt geconfronteerd met een hutspot van deels verouderde sets masterdata met een overlappende betekenis. De data zelf zijn nog erger. Voor sommige UWV-cliënten ontbreken de meest basale data of heeft een luie arbeidsdeskundige steeds op een Select/Deselect ALL button geklikt. De data van de niet-zelfredzamen, de mensen voor wie UWV WERKbedrijf er in de eerste plaats is, zijn veelal onvolledig, verouderd of onjuist en gewoonweg onbruikbaar om mee te matchen. De corrupte Sonar-kaartenbak in een nette database krijgen is een grote technische uitdaging. Kaartenbakdata vangen in restrictieve datastructuren is kansloos. De Geconsolideerde Database wordt zelf ook tot een kaartenbak, of niet alle informatie wordt overgezet. En de dataconversie wordt een stuk complexer, zeker als de data ook weer terug moeten naar de Sonar-database. Wat betekent dit voor 8Vance? Laten we aannemen dat 8Vance alles doet wat het UWV heeft beloofd. In dat geval wil je als 8Vance natuurlijk dat de software primair gaat werken met Werk.nl-data. In 2023 was dat inderdaad het plan. Door ‘gedoe’ binnen de UWV-organisatie is dat niet doorgegaan. Dat is doodjammer. Het bemiddelingsalgoritme dat UWV in Elise heeft gestopt is uitermate zwak en verbetering ervan vergt niet eens de hightech-ai die 8Vance beweert te hebben. UWV had goede sier kunnen maken met een systeem waarvan de burger zelf de werking had kunnen controleren. En vervanging van het intensief gebruikte Werk.nl door 8Vance zou ook hebben bewezen dat 8Vance acceptabele responsetijden zou opleveren. Niet iedereen bij UWV is daarvan overtuigd. Het is allemaal niet gebeurd. Na alle vertraging is er in februari van dit jaar een minipilot uitgevoerd op de brakke persoonsdata van WBS. De resultaten waren dramatisch (later meer hierover). Dat kan dus liggen aan de kwaliteit van de data waarmee de pilot is uitgevoerd. In dat geval zou zelfs briljante ai-software van 8Vance stapels verkeerde matches opleveren. Tegen gecorrumpeerde, verouderde of botweg onjuiste data is geen ai opgewassen. Een realistisch vervolgscenario Recente informatie vanuit UWV suggereert dat UWV het heeft opgegeven om de bestaande bemiddelingssoftware (Elise) volledig uit te faseren. Dat kan betekenen dat UWV erkent dat het 8Vance-project nog vele jaren zal doorlopen. Maar het kan ook betekenen dat UWV met 8Vance doormoddert in de Sonar/WBS-hoek en weg blijft van Werk.nl. Politiek-tactisch zou dat slim zijn omdat alle processen zich binnen de UWV-muren afspelen en de interesse van politiek alleen uitgaat naar de WIA-hersteloperatie. Jammer voor hulpbehoevende werkzoekenden en belastingbetalers. 8Vance zelf komt er in dit scenario sowieso relatief goed uit. De forse geldstromen vanuit UWV lopen nog een aantal jaar door, terwijl UWV en 8Vance mooi weer blijven spelen. Als de 8Vance-software zo grensverleggend goed is als 8Vance beweert, dan is dit niet de beste uitkomst voor ze, maar het geld maakt dan veel goed. Maar ook bij UWV wordt na drie jaar getwijfeld of ze met 8Vance geen kat in de zak hebben gekocht. Hoe dan ook hoeft 8Vance vanwege de data-ellende die ik hier heb beschreven geen claims en rechtszaken met UWV te vrezen zolang UWV weg blijft van Werk.nl. Ik bied mij in dat geval graag als getuige-deskundige voor de verdediging van 8Vance aan. De Sonar-data zijn onbruikbaar. Serie en SubStack Dit is het zesde artikel van de serie die René Veldwijk is gestart over de ict bij het UWV (Uitvoeringsinstituut Werknemersverzekeringen), in het bijzonder over een groot ict-project bij het UWV: de vervanging van drie probleemsystemen, waarmee de divisie WERKbedrijf mensen aan vacatures koppelt (Werk.nl, Sonar en WBS), door software van 8Vance (het project BMS – Bemiddelingsservice). Na drie jaar is het nog steeds niet gelukt om deze software-oplossing werkend te krijgen. De vijfde aflevering van deze serie is nog niet gepubliceerd na juridische bezwaren van 8Vance. Veldwijk gaat in op die bezwaren op zijn speciale blog op SubStack. Eerder verschenen in deze serie de afleveringen: 1) UWV is terug met een mega-ict-project 2) Het mega-ict-project van UWV Werkbedrijf 3) Het [nep?] mega-ict-project van UWV WERKbedrijf 4) Een nieuw, uniek ict-dieptepunt bij het UWV

1 op de 4 datalekken in de regio wordt mogelijk gemaakt door AI, voornamelijk via deepfake-imitatie en AI-ondersteunde malware.

Nation-state hackers uit China, Rusland, Noord-Korea en Iran gebruiken AI niet langer voor losse experimenten. In aanvallen uit de eerste helft van 2026 is AI verweven in meerdere fasen van de inbraakcyclus, van exploitatie tot autonome laterale verplaatsing. Dat blijkt uit onderzoek van TrendAI. AI blijkt te verschuiven van hulpmiddel naar volwaardige deelnemer in de […]

Aandeelhouders lijken zich af te vragen: zien we geld dat in AI wordt geïnvesteerd nog een keer terug?

Bol heeft toezeggingen gedaan aan de Autoriteit Consument & Markt (ACM) om haar online platform op meerdere punten te verbeteren in het belang van consumenten en verkopers. Bol verbetert de snelheid van haar communicatie en klachtenafhandeling, maakt concurrentie tussen zakelijke verkopers eerlijker en zorgt voor een duidelijkere prijsweergave van producten. De toezeggingen volgen op een breed onderzoek van de ACM naar het platform van bol. Op basis van het onderzoek maakte de ACM zich zorgen over de werking van het platform voor consumenten en verkopers. Met deze toezeggingen belooft bol om deze zorgen weg te nemen. Tijdens het onderzoek van de ACM heeft bol zich constructief opgesteld en aanpassingen doorgevoerd om tot oplossingen te komen. Ook maakt bol de algemene voorwaarden voor zakelijke verkopers duidelijker en communiceert het bedrijf duidelijker over de manier waarop klachten kunnen worden ingediend. Daarnaast zorgt bol ervoor dat makkelijker een melding van illegale inhoud kan worden gemaakt. Voor consumenten maakt bol de contactmogelijkheden naast de chatbot beter vindbaar. Verder zorgt bol ervoor dat concurrentie tussen zakelijke verkopers op het online platform eerlijker wordt. Zo voert bol verbeteringen door in de manier waarop zij bepaalt welk aanbod consumenten als eerste prominent te zien krijgen op het online platform. Daarnaast zegt bol toe om data die het online platform verzamelt niet te gebruiken om zichzelf als verkoper een voordeel te geven ten opzichte van andere verkopers. Hiermee wordt het platform eerlijker voor zakelijke verkopers, wat de kwaliteit van het aanbod voor consumenten ten goede komt. Daarnaast past bol de prijsweergave van het aanbod op haar platform aan om prijzen op een duidelijkere manier weer te geven. Hierdoor kunnen consumenten een beter geïnformeerde aankoopkeuze maken. Eerder publiceerde de ACM de ‘Leidraad Prijsweergave en -vergelijkingen’. De ACM houdt ook in de gaten of andere bedrijven zich houden aan de regels over prijsweergave en kortingen.

Alibaba heeft zijn krachtigste AI-model tot nu toe onthuld. Qwen3.8-Max telt 2,4 biljoen parameters. Daarmee positioneert het zich net onder de vorige maand geïntroduceerde Kimi K3 van branchegenoot Moonshot AI. Volgens Alibaba behoort het model direct tot de wereldtop op meerdere AI-ranglijsten. Met de introductie zet Alibaba volgens Reuters de concurrentiestrijd tussen Chinese AI-ontwikkelaars verder […]

De Consumentenbond kreeg de afgelopen maanden tientallen klachten over Mijnzorgwinkel.nl en sprak de webwinkel hierop aan. Hoewel het bedrijf beloofde de klachten op te lossen, namen deze alleen maar toe. Daarom raadt de Consumentenbond consumenten aan niet te bestellen bij Mijnzorgwinkel.nl, totdat de problemen zijn opgelost. Bestellingen komen niet of veel later dan beloofd, producten zijn van slechte kwaliteit of iets anders dan besteld en de klantenservice is slecht bereikbaar. En hoewel Mijnzorgwinkel.nl de retourvoorwaarden op aandringen van de Consumentenbond aanpaste aan de wet, klagen consumenten hier nog steeds over. De webwinkel weigert of ontmoedigt retouren of betaalt consumenten die annuleren niet terug. De Consumentenbond zag bijvoorbeeld klachten over mobiele ‘airco’s’ die Mijnzorgwinkel.nl aanbood voor 300 tot 800 euro. Consumenten die deze bestelden, ontvingen een eenvoudige luchtkoeler of ventilator. Als zij het product wilden terugsturen, kregen zij 100 euro aangeboden om het toch te houden. En de webwinkel probeerde consumenten die niet ingingen op dat aanbod, af te schepen met een lagere terugbetaling. De Consumentenbond heeft Mijnzorgwinkel.nl nogmaals dringend verzocht om klanten die hun producten volgens de wettelijke regels retour stuurden, terug te betalen. Ook heeft de Consumentenbond de klachten over de webwinkel gedeeld met de Autoriteit Consument en Markt.

Maaltijdbezorger DoorDash gaat zijn eigen dronebezorgdienst opzetten. Het bedrijf ontwikkelt daarvoor niet alleen een eigen drone, maar ook de bijbehorende infrastructuur en software. De nieuwe dienst krijgt de naam DoorDash Air en wordt geïntegreerd in de bestaande bezorgapp. De aankondiging volgt op het verkrijgen van een Part 135 Air Carrier-certificering van de Amerikaanse luchtvaartautoriteit FAA. Met die vergunning mag DoorDash commerciële dronevluchten uitvoeren in de Verenigde Staten. Dat betekent echter niet dat de drones direct worden ingezet. Het bedrijf heeft nog geen planning bekendgemaakt voor een grootschalige uitrol. Naar verwachting start het eerst met kleinschalige proefprojecten waarbij drones korte afstanden afleggen en binnen het zicht van een operator blijven. DoorDash benadrukt dat de bestaande samenwerkingen met dronebedrijven Wing en Flytrex blijven bestaan. Sinds 2022 werkt het bedrijf samen met Wing voor dronebezorgingen in Australië, waarna de samenwerking werd uitgebreid naar Amerikaanse steden zoals Dallas-Fort Worth. De eigen droneactiviteiten komen daar nu naast te staan. Volgens DoorDash richten de eigen drones zich vooral op bezorgingen over middellange afstanden van ongeveer drie tot vijf mijl (circa vijf tot acht kilometer). Die ritten nemen over de weg relatief veel tijd in beslag doordat bezorgers minder snel beschikbaar zijn. Door deze bestellingen door drones te laten uitvoeren, kunnen menselijke bezorgers zich richten op kortere ritten. Het bedrijf meldt dat dronebezorgingen over afstanden tot vijf mijl gemiddeld minder dan 25 minuten duren. De drones worden ontwikkeld door DoorDash Labs, dezelfde afdeling die eerder de autonome bezorgrobot Dot bouwde. Naast de vliegtuigen werkt het bedrijf aan systemen voor routeplanning, luchtruimcoördinatie, het ophalen van bestellingen bij restaurants en de overdracht aan klanten. Verdere technische details en informatie over de eerste uitrol worden later dit jaar verwacht.

‘Hallucinerende AI is een probleem op meerdere fronten’, zegt security-expert.

Simpel is nog altijd de grootste virtuele mobiele operator (VO) van Nederland, maar het marktaandeel daalt voor het derde kwartaal op rij. Het aandeel van het Odido-merk slonk in het eerste kwartaal van 2026 naar 17,5 procent van de totale VO-sims, tegen 18,1 procent een jaar eerder. Lebara en Hollandsnieuwe hielden hun positie beter vast en Lyca Mobile en Ben verloren eveneens marktaandeel. Dit blijkt uit het recente Telecompaper-rapport over de Nederlandse mvno-markt. Simpel telde 1,171 miljoen postpaidklanten eind maart 2026, een stijging van 9 duizend sims (+0,8%) in zes maanden. Daarmee groeit het merk wel, maar minder hard dan de VO-markt als geheel. Die groeide in dezelfde periode 3,0 procent. Simpel voert een consequente no-frillsstrategie, met abonnementen die enkel online beschikbaar zijn en verder geen toeters en bellen bevatten. Sinds mei 2025 ondersteunt Simpel eSIM. In het eerste kwartaal van 2026 kreeg het merk bovendien de hoogste NPS-score van alle virtuele operators (39). Lebara staat op de tweede plaats met een aandeel van 15,6 procent van de totale markt van virtuele operators, gelijk aan een jaar eerder. Telecompaper schat de Nederlandse klantenbasis van Lebara op 1,045 miljoen aan het einde van Q1 2026. Groei in het postpaidsegment compenseert daarbij een daling in prepaid. Vodafone-merk Hollandsnieuwe klimt licht naar 11,5 procent, tegen 11,4 procent een jaar eerder. Het merk voegde 29.000 klanten toe in de afgelopen zes maanden, naar 769.000 abonnees. Dit was de grootste kwartaalgroei van alle telecommerken. Hollandsnieuwe voerde in april 2026 vaste diensten in op het Ziggo-netwerk en voegde in maart eSIM-ondersteuning toe. In het tweede kwartaal van 2026 vierde het merk zijn 15-jarig bestaan met verschillende promoties. Het marktaandeel van Lyca Mobile zakte in een jaar tijd van 10,4 naar 9,9 procent. Het merk trekt weliswaar nieuwe postpaidklanten met een in september 2024 geïntroduceerd sim-only abonnement, maar dat compenseert de aanhoudende krimp in het prepaidsegment niet volledig. Lyca Mobile blijft wel de grootste prepaidaanbieder, met bijna 52 procent van dat segment. Ben, na Simpel het tweede submerk van Odido, sluit de top vijf met een marktaandeel 8,9 procent, 0,4 procentpunten minder dan een jaar eerder. Samen hadden de vijf grootste virtuele operators eind maart 2026 63,4 procent van de markt in handen. Achter de gevestigde top 5 klimt 50+ Mobiel snel. Het marktaandeel steeg van 3,6 naar 5,2 procent in een jaar, de grootste stijging van alle virtuele aanbieders. Het bedrijf groeide van 305.000 naar 350.000 klanten in zes maanden en mikt op 450.000 klanten eind 2026. Youfone en Simyo, beide KPN-merken, blijven de enige andere spelers boven de 500.000 klanten.

Kunstmatige intelligentie speelt een steeds belangrijkere rol binnen de mondiale vermogensbeheersector. AI wordt vooral gebruikt voor het doen van onderzoek, het detecteren van (ver)koopsignalen en het voorspellen van markttrends, zo blijkt uit onderzoek van Mercer.

Kunstmatige intelligentie is in korte tijd uitgegroeid tot een strategisch boardroomthema voor verzekeraars. Driekwart van de CEO’s uit de sector (73%) bestempelt investeren in AI inmiddels als een topprioriteit, zo blijkt uit het State of AI in Insurance-onderzoek van KPMG.

Het toevoegen van woningen op bestaande appartementencomplexen – ook wel ‘optoppen’ genoemd – biedt kansen om de woningnood te verminderen. Dat blijkt uit onderzoek van Berenschot, uitgevoerd in opdracht van de provincie Zuid-Holland.

De Europese Commissie is op zondag 2 augustus 2026 begonnen met de handhaving van de regels van de EU AI-wet (AI Act) en de nieuwe transparantie-eisen. In de praktijk betekent dit dat er vanaf nu strenge, wettelijk afdwingbare regels gelden voor het gebruik en de herkenbaarheid van kunstmatige intelligentie binnen de EU. Ze zijn niet alleen geldig maar ook van kracht of anders gezegd ‘in werking’. Bedrijven en overheden kunnen vanaf deze datum officieel gecontroleerd en beboet worden als zij de regels overtreden. Organisaties die ai-systemen ontwikkelen, aanbieden of op de werkvloer gebruiken, dragen nu juridische verantwoordelijkheid. De deadline voor verplichtingen voor ai-systemen met een hoog risico is echter verschoven naar december 2027, zo werd begin mei bekend. In de tijdlijn voor de implementatie van de AI Act is 2 augustus een mijlpaal met het van toepassing worden van veel regels en de handhaving van eerder geldende regels. De meeste impact voor bedrijven komt van de nieuwe transparantie-regels. Die regels gelden voor elk bedrijf dat ai gebruikt, ook als het ai-systeem niet zelf is ontwikkeld. Onlangs publiceerde de Commissie de richtlijnen hiervoor. Stap voor stap De implementatie van de AI Act gaat stapsgewijs. Verwacht wordt dat de belangrijkste stappen over twee jaar helemaal zijn genomen. De AI Act wordt sinds augustus 2024 gefaseerd ingevoerd. Sinds februari 2025 zijn bepaalde ai-praktijken verboden zoals ‘social scoring’. Toen gingen ook verplichtingen gelden voor ai-geletterdheid van medewerkers. Een jaar geleden kwamen daar regels bij voor general-purpose ai-modellen, terwijl ook nationale ‘governance’ structuren van kracht werden. We zetten de belangrijkste zaken die bedrijven in de nieuwe fase van implementatie moeten weten, op een rijtje. Strikte plichten gelden momenteel al voor: • Risicobeheer: systemen met een algemeen doel (zoals grote taalmodellen) moeten voldoen aan strenge EU-eisen rondom auteursrecht en technische documentatie; • Ai-geletterdheid: werkgevers moeten ervoor zorgen dat hun personeel voldoende kennis heeft om veilig en begrijpelijk met ai-tools te werken; • Informatieplicht: bedrijven moeten hun systemen zo inrichten dat de verplichte meldingen en labels automatisch aan de eindgebruiker worden getoond. Kenbaar maken Bepaalde ai-systemen dienen gebruikers kenbaar te maken wanneer ze met ai interageren en wanneer content door ai is gegenereerd of bewerkt. Volgens de nieuwe regels moeten chatbots en andere interactieve ai-systemen gebruikers laten weten dat ze met ai te maken hebben en niet met een mens. Deepfakes (afbeeldingen, video’s of audio die zijn bewerkt of gegenereerd met behulp van ai) moeten worden gelabeld. Door ai gegenereerde of bewerkte content moet ook machineleesbare markeringen bevatten, zodat deze gemakkelijker kan worden gedetecteerd. Applicaties met een beperkt risico hoeven alleen aan de transparantie-regels te voldoen. De Autoriteit Persoonsgegevens (AP) benadrukt dat burgers deze informatie uiterlijk moeten krijgen op het moment van eerste interactie met het ai-systeem of de ai-content. Sven Stevenson, directeur van de Directie Coördinatie Algoritmes (DCA) van de AP, zegt: ‘Chat je met de klantenservice of hoor je een stem namens de huisarts of gemeente antwoorden?  Dan moet duidelijk zijn dat je met een ai-chatbot praat. Of zie je een video waarin een politicus iets schokkends zegt? Is die met ai gemaakt of bewerkt, dan moet dat herkenbaar zijn. Heb je een perfecte match op een dating-app? Als je feitelijk met ai communiceert, moet dat ook duidelijk zijn. Zo kunnen mensen beter beoordelen wat zij zien of horen.’ Handhaving Naast de nieuwe transparantieregels zijn nu ook maatregelen toepasbaar die de innovatie moeten bevorderen. Een belangrijke stap is dat nu de handhaving van veel regels zijn beslag krijgt, zowel nationaal als op niveau van de EU. Die handhaving geldt voor: • general-purpose ai-modellen (GPAI); • strikt verboden ai-praktijken zoals schadelijke systemen; • de eerder genoemde transparantie-regels; • ai-geletterdheid. Alle aanbieders van GPAI-modellen (ook de minder geavanceerde) moeten bepaalde informatie documenteren en deze verstrekken aan bevoegde autoriteiten of downstream-aanbieders. Ze moeten ook een auteursrechtbeleid opstellen en een voldoende gedetailleerde samenvatting publiceren van de inhoud die is gebruikt om hun modellen te trainen. Hiervoor is een vrijwillige tool beschikbaar. Toezicht Het Europese AI Office houdt toezicht over aanbieders van de GPAI-modellen en systemen die zijn geïntegreerd in zeer grote online platforms of zeer grote online zoekmachines. Nationale autoriteiten controleren de andere ai-systemen. In Nederland houdt de AP (samen met andere specifieke markt-toezichthouders) toezicht op Nederlandse bedrijven en overheidsinstanties. Overtreding kan tot pittige boetes leiden. Bij ai met een hoog risico ligt het plafond op 15 miljoen euro of 3 procent van de jaaromzet wereldwijd. Verboden ai-praktijken kunnen tot 35 miljoen euro boete kosten of 7 procent van de totale omzet. Commentaren Veeam Volgens Tim Pfaelzer, general manager bij Veeam Software (data & ai trust), lijken op het eerste gezicht de transparantie-eisen op het gebied van ai-governance en operationele verantwoording eenvoudig te realiseren. In de praktijk blijken ze echter aanzienlijk complexer. ‘Veel organisaties zullen dat ondervinden zodra zij proberen hun ai-toepassingen in lijn te brengen met deze nieuwe eisen,’ zegt hij. ‘Het gaat namelijk niet om het simpelweg afvinken van een compliance-checklist, maar om het fundamenteel herzien van de volledige data-omgeving. Alleen zo kunnen organisaties de audit-trails, het governancebeleid en de solide basis creëren die nodig zijn om ai op schaal verantwoord in te zetten.’ Volgens Pfaelzer is die herziening van de data-omgeving nodig om daadwerkelijk inzicht te krijgen in waar data zich bevinden, hoe deze worden gebruikt en wie er toegang toe heeft. ‘Het proactief inrichten van transparantie, governance-kaders en strategieën voor weerbaarheid is daarbij essentieel. Zo wordt gewaarborgd dat de data waarop ai draait veilig, beheerd, beschikbaar en herstelbaar zijn. Uiteindelijk zijn ai-uitkomsten immers slechts zo betrouwbaar als de data waarop zij zijn gebaseerd.’ Bruegel Volgens Mario Mariniello, fellow bij de denktank Bruegel, is de AI Act opgezet als een traditionele ex-ante regulering ter bevordering van de veiligheid. Ai-systemen moeten vóór hun uitrol voldoen aan bepaalde vereisten. Probleem is echter dat ze in ongewisse omgevingen werken en acties ondernemen die bij de ontwikkeling van hun code niet te voorzien waren. Ai-systemen, met name die zijn gebaseerd op de eerder genoemde GPAI-modellen, zijn geen statische producten. Bij een onvoorziene of ongecontroleerde verandering in use cases kunnen systemen die als laag risico zijn gekwalificeerd, ineens in de categorie hoog risico vallen. Commvault Commvault (cyberbeveiliging) ziet dat de recente ai-incidenten bij Anthropic Claude en OpenAI het belang van de EU AI-wet benadrukken. De voorvallen laten zien hoe snel nieuwe technologie tot onverwachte veiligheids- en privacyrisico’s kan leiden. Honderden gebruikers ontdekten dat hun gedeelde chats met de chatbot Claude vindbaar waren via zoekmachines. OpenAI meldde dat een ai-agent niet alleen Hugging Face had gecompromitteerd, maar ook andere externe diensten. Het zijn recente voorbeelden van hoe ai beveiligingslekken kan creëren en gegevens in gevaar kan brengen. Volgens Commvault is het verstandig om nu te beoordelen welke verplichtingen uit de AI Act van toepassing zijn en of de bestaande governance daarop is ingericht. ‘Het beveiligingsmodel moet zich net zo snel moet ontwikkelen als de ai-toepassingen binnen de organisatie.’ De recente incidenten maken duidelijk dat organisaties niet langer kunnen uitgaan van de veronderstelling dat autonome ai-systemen altijd functioneren zoals bedoeld. De belangrijkste les is dat vertrouwen in ai nooit vanzelfsprekend mag zijn. Het moet voortdurend worden getoetst, aldus Commvault. HarfangLab Anouck Teiller, deputy ceo bij HarfangLab, ziet in de laatste update van de AI Act een belangrijke stap richting een betere balans tussen innovatie en veiligheid in Europa. ‘Nu ai steeds dieper wordt geïntegreerd in bedrijfsprocessen, is het niet langer voldoende om alleen te kijken naar wat een ai-systeem kan. Organisaties moeten ook kunnen uitleggen hoe ai wordt gebruikt, welke risico’s ermee gepaard gaan en waar menselijk toezicht plaatsvindt. Dat niveau van transparantie is essentieel om vertrouwen in ai op te bouwen.’ Volgens Teiller benadrukt de AI-wet dat organisaties niet alleen verantwoordelijkheid dragen voor de inzet van ai, maar ook voor het zorgvuldig integreren van ai in bestaande processen en het transparant en verantwoord beheren van deze systemen. Uiteindelijk draait betrouwbare ai om sterke governance, inzicht in hoe ai-modellen worden gebruikt en blijvend menselijk toezicht. OutSystems Volgens Luis Blando, chief product & technology officer bij OutSystems, verschuift met de AI Act de aandacht van ai bouwen naar ai beheersen. ‘Toch ontbreekt bij bijna twee derde van de organisaties nog altijd een centrale aanpak voor ai-governance,’ zegt hij. Een belangrijke oorzaak is dat het voldoen aan governance-eisen net zo afhankelijk is van de onderliggende it-architectuur als van beleid. ‘Tegelijkertijd proberen veel organisaties ai-oplossingen te bouwen op legacy-systemen die nooit zijn ontworpen om de zichtbaarheid, traceerbaarheid en controleerbaarheid te bieden die de AI Act vraagt. Governance kan daarom niet achteraf als extra laag worden toegevoegd. Het moet vanaf het begin onderdeel zijn van de architectuur, zodat organisaties ai-systemen centraal kunnen beheren, monitoren en orkestreren, ook wanneer deze op grote schaal worden ingezet.’