business

Microsoft bereidt een nieuwe ontslagronde voor waarbij wereldwijd 5.500 banen verdwijnen. Daarmee schuift het bedrijf op naar plek vijf in de lijst van grootste techontslagen dit jaar, achter Oracle, Amazon, Cognizant en Meta. De sanering raakt vooral verkoop, consultancy en de Xbox-divisie en valt samen met de miljarden die Microsoft in zijn eigen ai-infrastructuur pompt. Maar verdwijnt dit werk echt door ai, of verhullen bedrijven een bredere herstructurering in de sector? Microsoft schrapt naar verwachting 5.500 banen, ongeveer 2,5 procent van het personeelsbestand. Het gaat om functies binnen de afdelingen verkoop, consultancy en de Xbox-divisie. Business Insider baseert zich op interne bronnen; Microsoft heeft niet gereageerd. Volgens de zakensite hangt de sanering samen met de enorme bedragen die het bedrijf in ai investeert. In 2025 kondigde Microsoft aan tachtig miljard dollar te investeren in datacenters voor het trainen van ai-modellen en de uitrol van ai- en cloudapplicaties. Het is bovendien al langer onrustig bij het bedrijf. In april 2026 kregen 8.750 werknemers een aanbod om hun arbeidsovereenkomst te beëindigen. De ontslagronde plaatst Microsoft op de vijfde plaats in de ranglijst van grootste banenreducties bij techbedrijven in 2026 tot nu toe. Het bedrijf staat achter Oracle (25.754), Amazon (16.600), Cognizant (15.000) en Meta (10.400), zo blijkt uit een analyse van het Britse Trading Platforms. Om een duidelijker beeld van deze verschuiving te geven analyseerde Trading Platforms de ontslagen in de techsector in 2026. Dat gebeurde aan de hand van gegevens van TrueUp, TechCrunch en meerdere WARN-documenten (Worker Adjustment and Retraining Notifications), waarin Amerikaanse bedrijven grote ontslagen of fabriekssluitingen moeten melden bij de staat waarin zij zijn gevestigd. Stevig op koers ‘Vanaf 2 juli 2026 heeft de wereldwijde technologiesector minstens 153.965 banen geschrapt, waarmee zij stevig op koers ligt om de 246.000 ontslagen in heel 2025 te overtreffen’, concludeert Trading Platforms. Oracle blijft de grootste bijdrager aan de personeelsreducties van dit jaar met 25.754 ontslagen. Dat aantal liep na uitbreiding van het herstructureringsprogramma verder op. Amazon schrapte in januari van dit jaar 16.000 banen. Dat is de tweede fase van een ingreep die in oktober 2025 begon met 14.000 ontslagen. Het Amerikaanse it-advies- en uitbestedingsbedrijf Cognizant schrapt wereldwijd tot 15.000 functies. Daarvoor is 200 tot 270 miljoen dollar gereserveerd voor ontslagvergoedingen, analyseert Trading Platforms. In India, waar meer dan 250.000 van de ruim 350.000 medewerkers van Cognizant werken, zal naar verwachting de grootste reorganisatie plaatsvinden. Het bedrijf maakt naar eigen zeggen de overstap naar een ‘slanker’ en ‘door ai versterkt’ leveringsmodel. Ook de personeelsafdeling van Meta, het moederbedrijf van Facebook, heeft een druk halfjaar achter de rug. Alles bij elkaar sneuvelden 10.400 functies, verdeeld over meerdere ontslagrondes. De meeste ontslagen vielen in mei, toen het bedrijf ongeveer tien procent van het personeelsbestand (8.000 banen) schrapte en tegelijkertijd de plannen om 6.000 nieuwe werknemers aan te nemen stopzette. Microsoft heeft de genoemde aantallen ontslagen in 2026 niet bevestigd. Volgens ingewijden vallen de banenreducties vooral binnen de afdelingen verkoop, consultancy en Xbox. Wel registreerde het bedrijf in 2025 al twee grote ontslaggolven. In mei werden 6.000 medewerkers ontslagen en in juli volgden nog eens 9.000 werknemers. Nederland vijfde In de rapportage van Trading Platforms over de eerste helft van 2026 eindigt Nederland met 2.380 ontslagen als vijfde in een landenoverzicht van banenverlies in de wereldwijde techsector. De lijst wordt aangevoerd door de Verenigde Staten (121.072), gevolgd door Australië (4.491), Israël (3.286) en India (2.577). Het hoge aantal ontslagen in Nederland hangt vooral samen met de reorganisatie bij ASML. Dat bedrijf kondigde eerder dit jaar aan 1700 banen te schrappen. ‘Gelet op de ontslagen van dit jaar is het makkelijk om te zeggen dat ai banen kost. Maar wanneer je beter kijkt, zie je dat twee verschillende ontwikkelingen een rol spelen’, zegt Stanislava Savisheva, analist bij Trading Platforms. Volgens haar speelt een herwaardering van bedrijven en hun activiteiten een belangrijke rol bij de reorganisaties. Daarnaast ziet zij routinematige herstructureringen en het spreiden van ontslagrondes over meerdere boekjaren. ‘Dat wordt gedaan om beleggers tevreden te houden.’ Volgens Savisheva koppelen Meta en Cognizant hun ontslagen expliciet aan ai. ‘Amazon deed dat niet. Het bedrijf benadrukte juist dat de 16.000 banen die in januari werden geschrapt bedoeld waren om bureaucratie weg te nemen en het management te vereenvoudigen, terwijl het tegelijkertijd miljarden bleef investeren in zijn ai-infrastructuur.’ Haar conclusie is dat alle grote technologiebedrijven fors investeren in ai. ‘Maar niet elk bedrijf wil zeggen dat ai achter de eigen personeelsreducties zit. Ai is de strategische prioriteit geworden waarvoor bedrijven hun organisaties herinrichten, of ze dat nu zeggen of niet.’

In dit nieuwsoverzicht: privacytoets geeft Google Cloud groen licht, Ikazia introduceert ai-app voor consulten, Surf zet vraagtekens bij Afas Profit, DXC lanceert Private Cloud+ voor gereguleerde sectoren, en dashboard geeft grip op it-personeel Rijk. Nederlandse DPIA ziet geen hoge privacyrisico’s voor Google Cloud Een Data Protection Impact Assessment (DPIA) van SLM Rijk concludeert dat er geen bekende hoge privacyrisico’s zijn verbonden aan het gebruik van Google Cloud door de Rijksoverheid, mits de aanbevolen maatregelen worden uitgevoerd. Google Cloud maakte de uitkomst van het onderzoek bekend. Volgens Google zijn alle aandachtspunten uit de DPIA in overleg met SLM Rijk opgelost. Daarmee ontstaat voor rijksorganisaties een duidelijk kader om Google Cloud vanuit privacyoogpunt te gebruiken. De beoordeling volgt op een eerdere positieve DPIA voor Google Workspace. SLM Rijk, dat binnen de Rijksoverheid verantwoordelijk is voor strategisch leveranciersmanagement, voerde de privacytoets uit. De organisatie publiceerde een samenvatting van de bevindingen. Google stelt dat de uitkomst het vertrouwen in het cloudplatform versterkt en publieke organisaties ondersteunt bij hun digitaliserings- en cloudstrategie. Ikazia Ziekenhuis zet app in voor begrijpelijke samenvatting van consulten Het Ikazia Ziekenhuis in Rotterdam introduceert de app Ditto om patiënten medische gesprekken beter te laten begrijpen en onthouden. De app neemt consulten op en genereert binnen enkele minuten een samenvatting in begrijpelijke taal, desgewenst vertaald naar onder meer Turks, Engels of Arabisch. Volgens het ziekenhuis onthoudt een patiënt en slechts zestig tot tachtig procent van de informatie uit een consult, vooral wanneer het om complexe of emotionele onderwerpen gaat. De samenvattingen blijven op het toestel van de gebruiker, tenzij deze ervoor kiest ze te delen. Naast consulten kan de app ook medische brieven in begrijpelijke taal uitleggen. Volgens Ikazia draagt de technologie bij aan beter geïnformeerde behandelbeslissingen en minder misverstanden. Ditto is ontwikkeld door een Nederlandse startup en wordt inmiddels ook bij andere zorginstellingen ingezet. Surf signaleert veertien hoge privacyrisico’s in Afas Profit Surf heeft in een Data Protection Impact Assessment (DPIA) veertien hoge privacyrisico’s vastgesteld in Profit, het hrm- en payrollsysteem van AFAS. Volgens de onderwijs-ict-organisatie heeft Afas toegezegd de benodigde mitigerende maatregelen uiterlijk eind 2026 door te voeren. De risico’s hebben betrekking op de privacyrechtelijke rolverdeling, contractuele afspraken, de rechten van betrokkenen en de inrichting van de gegevensverwerking. Surf benadrukt dat de bevindingen vooral betrekking hebben op diagnostische gegevens en niet op de personeelsgegevens die instellingen zelf in Profit verwerken. Onderwijs- en onderzoeksinstellingen kunnen Profit voorlopig blijven gebruiken, maar Surf adviseert hen wel actie te ondernemen. Zo moeten zij onder meer interne processen aanpassen en de verwerkersovereenkomst met Afas herzien. Begin 2027 controleert Surf of de afgesproken maatregelen zijn uitgevoerd en volgt een geactualiseerde DPIA. DXC introduceert private-cloudoplossing voor gereguleerde sectoren DXC Technology heeft Private Cloud+ aangekondigd, een hybride- en private-cloudoplossing voor organisaties die werken met gevoelige of gereguleerde data. De dienst draait op infrastructuur van Dell Technologies en wordt beheerd via het orchestrationplatform DXC OasisS. Volgens DXC combineert Private Cloud+ de schaalbaarheid en het verbruiksmodel van publieke-cloudomgevingen met de controle en governance van een private cloud. De oplossing ondersteunt onder meer virtuele machines, containers, dataopslag, backup- en herstelvoorzieningen en ai-workloads. De dienst is gericht op sectoren met hoge eisen aan compliance en gegevensbescherming, zoals de overheid, zorg, financiële dienstverlening en industrie. Private Cloud+ is beschikbaar in drie varianten: Core, Dedicated en Government, die verschillen in onder meer beveiliging, tenant-isolatie en compliance-eisen. Met de introductie speelt DXC naar eigen zeggen in op de groeiende vraag naar hybride en multi-cloudomgevingen waarin datasoevereiniteit en cybersecurity centraal staan. Rijk lanceert dashboard voor inzicht in IT- en IV-personeel Rijksorganisaties krijgen voor het eerst toegang tot een rijksbreed dashboard met gegevens over het it- en informatievoorzieningspersoneel (IT/IV). Het dashboard is ontwikkeld in opdracht van CIO Rijk en biedt inzicht in onder meer de omvang, samenstelling en mobiliteit van het personeelsbestand. De gegevens zijn gebaseerd op het Kwaliteitsraamwerk Informatievoorziening (KWIV). Gebruikers kunnen zowel rijksbrede cijfers als gegevens van hun eigen organisatie raadplegen. Daarnaast bevat het dashboard informatie over externe inhuur. Volgens de Rijksoverheid moet het instrument organisaties ondersteunen bij het monitoren van beleid en strategische personeelsplanning. Ook moet het helpen bij beslissingen over de ontwikkeling van it-talent en de inzet van externe capaciteit. Het dashboard is sinds 24 juni beschikbaar voor rijksambtenaren via single sign-on (de gebruiker logt één keer in en krijgt daarna toegang tot meerdere applicaties of diensten, zonder opnieuw gebruikersnaam en wachtwoord te hoeven invoeren). De gegevens en functionaliteiten worden elk kwartaal uitgebreid en geactualiseerd.

Albert Heijn erkent dat creatie tot de helft van het effect van een retailmediacampagne bepaalt. Die factor wordt binnen structureel onderschat. Toch verandert er in de praktijk weinig. Dit komt naar voren in een Emerce Talk tussen Max de Jong van AH Retail Media Services en ervaren marketingdirecteur Hans Voorn. Het gesprek legt al snel bloot dat de ambitie op AI en creatie voorloopt op de praktijk. Onderzoek van Kantar wijst uit dat creatie ongeveer de helft van het effect van een campagne verklaart, of het nu om sales of om merkbekendheid gaat. Binnen retailmedia wordt creatie volgens De Jong ‘extreem onderschat’. Platte plaatjes met zoveel mogelijk boodschappen zijn eerder norm dan uitzondering. Het kan veel beter, volgens Dinesh Sonak van Creative Gym is met AI zelfs ‘One size fits one’ mogelijk. Een deel van het antwoord ligt in wat AI bij AH op dit moment wél en niet doet. De Jong beschrijft een tool die AH sinds eind vorig jaar gebruikt om sneller te kunnen testen of een creatie goed werkt. De tool vergelijkt varianten en signaleert wat het meest optimaal zou kunnen zijn . Hij genereert nadrukkelijk geen nieuwe creatie. Voorn wijst erop dat dit een bewuste keuze is: AH kán met de eigen supermarktdata in theorie zelf AI-variaties op een aangeleverde creatie maken, toegespitst op wie er op dat moment in de winkel is. Google doet dit immers ook. De Jong houdt vast aan een duidelijke grens. De uiteindelijke creatieve beslissing hoort bij het merk en de creatief, niet bij de supermarkt. Die terughoudendheid staat in schril contrast met Dinesh Sonaks vergezicht, waarin AI op basis van data zelf duizenden creatieve varianten genereert en test welke het beste werkt. Een tweede rem op retailmedia zit in de kosten. Voorn stelt dat gepersonaliseerde creatie historisch duur was: voor elke doelgroep moet een aparte variant worden gemaakt. En retailmedia is als kanaal sowieso al een relatief dure optie. Daar komt de prijs van targeting zelf nog bovenop. AH bevestigt dat wie op een specifiek publiek in plaats van op een breed merk wil targeten, daarvoor extra betaalt, vergelijkbaar met de inkoop van televisiezendtijd. Het probleem zit niet in het principe dat specifiekere targeting meer kost. Dat is in vrijwel elk mediakanaal de norm. Het probleem is volgens Voorn dat een adverteerder geen ijkpunt heeft om te beoordelen of die meerprijs redelijk is. Hij noemt het risico van een ‘targeting upsell’: tarieven die soms tot vijf keer hoger liggen, zonder dat daar voor de adverteerder een heldere onderbouwing tegenover staat. Wie wil weten of gerichte targeting zich terugbetaalt, moet volgens Voorn feitelijk gokken of zelf dure A/B-testen draaien. Dat gebrek aan transparantie raakt direct aan de creatie-discussie. Als niet duidelijk is of een investering in gerichter targeten zich uitbetaalt, is de stap naar meers en duurdere creatieve varianten voor een adverteerder moeilijker te verantwoorden. Het gesprek laat impliciet zien hoe groot de waarde van een loyaltyprogramma’s als de Bonuskaart is. Albert Heijn heeft immense hoeveelheden inzichten over klanten, klantgedrag en overwegingen in verhouding tot merken. Over de meetbaarheid van campagneresultaten en de vergelijkbaarheid daarvan tussen verschillende netwerken van retailmedia wordt niet gesproken. Dat is onder adverteerders wel een belangrijk onderwerp, omdat zij objectief willen kunnen vergelijken wat een geïnvesteerde reclame-euro hen oplevert.

Onlangs beschuldigde Anthropic Alibaba van een massale destillatiecampagne, feitelijk een poging van het Chinese bedrijf om de eigen AI te trainen op basis van Claude-outputs. Nu zijn de rollen omgedraaid en stelt Alibaba dat Anthropic een backdoor in Claude Code heeft ingebouwd. Er schuilt meer in de app, zo denkt Alibaba. Volgens een bron van […]

In een interne town hall-vergadering liet Meta-CEO Mark Zuckerberg weten dat de ontwikkeling van de eigen agentic AI niet gegaan is zoals gehoopt. Ook is de bedrijfsstructuur nog niet zoals gewenst na de meest recente ontslagronde. Met het feitelijke afscheid van de ‘metaverse’ en een stap richting het verhuren van cloudcapaciteit werkt Meta al aan […]

Een internationale groep wiskundigen trekt aan de bel over de snelle opmars van kunstmatige intelligentie (AI) in hun vakgebied. Ze vrezen dat wetenschappelijk onderzoek speelbal wordt van commerciële techgiganten, dat vakbladen overspoeld raken met onbetrouwbare resultaten en de autonomie van de wetenschapper verdwijnt. De wiskundigen roepen vakgenoten op in actie te komen en doen aanbevelingen in de Leiden Declaration on Artificial Intelligence and Mathematics. Het initiatief ontstond vorig jaar tijdens een workshop aan de Universiteit Leiden. Onder leiding van Jim Portegies (wiskundige aan de TU/e) stelde een internationale groep van zestien onderzoekers daarna de definitieve tekst op. De groep formuleert vijf belangrijke risico’s van AI voor de wiskunde: onbetrouwbare uitkomsten, ontbrekende bronvermelding, afhankelijkheid van gesloten commerciële systemen om bij te kunnen dragen aan onderzoekswiskunde, opgeklopte claims en het verlies van wetenschappelijke onafhankelijkheid. Onder de ondertekenaars bevinden zich onder meer voormalig minister van Onderwijs Robbert Dijkgraaf en Terence Tao, één van de belangrijkste wiskundigen die nu leeft. Wat gebeurt er als een wiskundig bewijs niet langer het werk is van een mens, maar van een gesloten AI-model waar academici geen toegang toe hebben, vragen de opstellers van de verklaring zich af. Wie is er verantwoordelijk voor eventuele fouten, en wie krijgt de eer als het bewijs klopt? Hoe is vast te stellen of een door AI gegenereerd bewijs werkelijk nieuw is, of slechts een slimme herformulering van bestaand werk zonder behoorlijke bronvermelding? De onderzoekers willen AI niet verbieden, maar moedigen hun collega’s aan in actie te komen en doen aanbevelingen voor individuen en organisaties, zoals openheid over AI-gebruik, zorgvuldige bronvermelding en áltijd een menselijke eindverantwoordelijke. Ook willen ze aanvullend beleid van universiteiten, wetenschappelijke bladen en subsidieverstrekkers dat de kwaliteit van wiskundig onderzoek beschermt. Daarnaast zou de politiek de AI-sector strenger moeten reguleren en investeren in publieke alternatieven, zodat kennis en macht niet volledig bij commerciële techbedrijven komen te liggen. De International Mathematical Union (IMU), de wereldwijde koepelorganisatie van wiskundigen, steunt de verklaring. “We nemen de snelle ontwikkeling en de impact van kunstmatige intelligentie op ons vakgebied uiterst serieus”, stelt Ulrike Tillmann, vice-president van de IMU. “Het biedt spannende nieuwe kansen, maar roept ook fundamentele vragen op die we niet onbeantwoord kunnen laten. Door deze verklaring te ondertekenen, bevestigt de IMU dat de toekomst van wiskundig onderzoek geleid moet worden door menselijk oordeel, eerlijke en transparante praktijken, en de gedeelde waarden van de wereldwijde wiskundegemeenschap. Wiskunde is mensenwerk en moet dat altijd blijven.”

Consumenten besteden in hun dagelijks leven steeds meer aandacht aan hun gezondheid. Slimme technologie speelt daarbij een belangrijke rol, al blijft de bereidheid om persoonlijke gezondheidsgegevens te delen beperkt.

In Nederland geldt een verbod op het gebruik van stroomstootapparatuur bij honden. Andersson Elffers Felix (AEF) evalueert deze wetgeving momenteel en zoekt uit of een algeheel verkoopverbod haalbaar is.

Zwolle heeft in ongeveer twee jaar tijd drie grote bedragen dubbel uitbetaald. In totaal gaat het om zo’n €1,3 miljoen. Inmiddels heeft de Overijsselse gemeente Deloitte ingeschakeld om uit te zoeken wat er precies is misgegaan.

De gemeente Maassluis wil zwembad Dol-fijn vervangen voor een nieuwe accommodatie. Adviesbureau Synarchis ondersteunt de Zuid-Hollandse stad hierbij. Het huidige zwembad in Maassluis is inmiddels meer dan dertig jaar oud en sluit daardoor niet langer aan bij de wensen en behoeften van de gebruikers.

Het kabinet kiest voor een zo soeverein mogelijk ingerichte cloudomgeving die onder centrale regie wordt opgezet. Waar mogelijk wordt deze overheidsclouddienst ondergebracht in de eigen datacenters van het Rijk. Uiterlijk eind dit jaar kunnen de eerste applicaties op de soevereine cloud worden gehost. Staatssecretaris Eric van der Burg (Koninkrijksrelaties en Slagvaardige Overheid) meldt dat in een brief aan de Tweede Kamer. Het gebruik van Amerikaanse cloudaanbieders zoals Microsoft Azure wordt daarmee op minder vanzelfsprekend. Op advies van Gartner heeft Nederland gekozen voor het meest vergaande scenario: een volledig nieuwe, centraal aangestuurde overheidscloud die los van de bestaande systemen wordt opgebouwd. Volgens Gartner is dit tevens de meest kansrijke route. Alternatieve scenario’s kennen een langere doorlooptijd en dragen minder bij aan de opbouw van kennis en expertise binnen de overheid. De keuze voor maximale soevereiniteit betekent dat de overheid zowel praktisch als juridisch beschikt over de hardware, de fysieke toegang en de locatie. Dit sluit samenwerking met de markt niet uit. Inbreng van expertise vanuit de markt is noodzakelijk; de manier waarop dat gebeurt, wordt de komende maanden uitgewerkt. Technologie en exploitatie komen volledig onder EU-controle te staan. Ze zijn uitsluitend onderworpen aan EU-wetgeving en kennen geen kritieke afhankelijkheden van niet-EU-landen. Nederland kiest daarmee voor de hoogste categorie soevereiniteit (Seal4) uit het EU Cloud Sovereignty Framework. Eerste ontwerp Samen met experts uit de overheid wordt een eerste ontwerp van een soevereine clouddienst opgesteld. De focus ligt op een containerplatform dat voldoet aan de Haven-standaard. Het ontwerp wordt gebaseerd op open source (open en vrij beschikbare broncode), waardoor de afhankelijkheid van leveranciers afneemt. Vervolgens wordt het ontwerp gerealiseerd in een proof of concept. Hiervoor wordt gebruikgemaakt van bestaande innovatievoorzieningen, waaronder Digilab. De soevereine clouddienst wordt daarna verder ontwikkeld; het ontwerp zal binnenkort openbaar worden gemaakt. Ook andere partijen, zoals onderwijs- en kennisinstellingen, kunnen bijdragen aan de doorontwikkeling en er zelf gebruik van maken. Voor de opschaling naar grootschalige productieomgevingen wordt een sourcingtraject gestart. Daarbij worden naast overheidsorganisaties ook marktpartijen betrokken. Parallel aan de technische opschaling wordt een voorstel uitgewerkt voor een leverings- en serviceorganisatie, met bijzondere aandacht voor overheidsbrede dienstverlening. Daarbij wordt bekeken of deze organisatie een publiek, privaat of hybride karakter krijgt. Financieel valt er nog veel te regelen. Van der Burg merkt op dat een overheidsbrede soevereine clouddienst alleen succesvol kan zijn als voldoende overheidsorganisaties er gebruik van maken. Bovendien zullen zij hun bestaande infrastructuurbudgetten moeten inzetten voor de bekostiging van deze clouddienst. Volgens de staatssecretaris wordt de transitie aanzienlijk complexer en duurt zij langer als de eenmalige opstartkosten niet vooraf worden gefinancierd. De financiering van de soevereine overheidscloud wordt in de volgende fase verder uitgewerkt.

De Zweedse rechter bestraft Google voor het misbruik van zij marktmacht. De zoekmachine moet Pricerunner, onderdeel van Klarna, twee miljard dollar schadevergoeding betalen. Daartoe is de techreus eerder deze week veroordeeld in Stockholm. De zaak liep al sinds begin 2022. Google misbruikte volgens PriceRunner zijn marktmacht met zoekdienst Shopping. Concurrenten werden daarin achtergesteld. Daarvoor zijn de Amerikanen al door de Europese Commissie beboet, maar het misbruik bleef doorgaan. Hierdoor ontstond er nooit meer een gezonde Europese markt voor online product- en prijsvergelijkers. Het miljardenbedrag is gebaseerd op misgelopen winsten van de activiteiten in het Verenigd Koninkrijk, de grootste markt, sinds 2008 en Zweden en Denemarken sinds 2013. PriceRunner is sinds november 2021 in handen van Klarna. De productvergelijkes is actief in Nederland, Zweden, Denemarken, het VK, Noorwegen, de VS, Duitsland, Oostenrijk, Finland, Frankrijk, Ierland, Italië en Spanje. In een andere zaak over machtsmisbruik, tussen Google en de Europese Commissie, deed een rechter gisteren uitspraak in hoger beroep. In dat geval ging het over het platform Android, waar Google het zijn concurrenten ook lastig maakte een marktpositie op te bouwen. Het techbedrijf kreeg in 2022 een boete van 4,1 miljard euro opgelegd en de hoogste rechter houdt dit geldstraf in stand. Foto: Pedro Szekely (cc)

De smartphone is het belangrijkste communicatie-, identiteits- en authenticatieplatform van de moderne organisatie. Toch blijven enkele van de meest kritieke lagen in deze mobiele infrastructuur grotendeels gesloten, proprietary en slechts beperkt onafhankelijk en transparant toetsbaar. Onderzoek naar baseband-, sim- en spywarevectoren maakt duidelijk dat mobiele security niet langer als puur endpointvraagstuk is te behandelen.Smartphones worden in securitybeleid doorgaans beoordeeld op de zichtbare en beheersbare lagen. Is het toestel up-to-date? Is disk-encryptie actief? Wordt het apparaat beheerd via mobile device management (MDM) of enterprise mobility management (EMM; een bredere benadering dan MDM)? Zijn applicaties gescheiden, wachtwoorden sterk en is multi-factorauthenticatie verplicht?Die maatregelen zijn noodzakelijk, maar geven slechts een gedeeltelijk beeld van het mobiele risico. Een moderne smartphone is geen enkelvoudig systeem. Het toestel bestaat uit meerdere processoren, firmwarelagen, radio-interfaces, sim-functionaliteit en telecomprotocollen. Een deel daarvan bevindt zich buiten het bereik van de gebruiker, buiten het zicht van securityteams en vaak ook buiten onafhankelijke inspectie. Onderzoekers van de University of Birmingham wezen hier recent expliciet op (University of Birmingham, 2026). Juist daar ontstaat een structurele blinde vlek.Baseband als verborgen vertrouwenslaagOnder Android of iOS bevindt zich de baseband: de hardware en software die verantwoordelijk is voor communicatie met mobiele netwerken. Deze laag verwerkt 2G-, 3G-, 4G- en 5G-communicatie en staat rechtstreeks in contact met zendmasten. De baseband draait op een aparte processor, met grotendeels gesloten firmware die door een beperkt aantal leveranciers wordt ontwikkeld. De code is doorgaans niet openbaar, moeilijk onafhankelijk en transparant te auditen, en beperkt inzichtelijk voor de organisaties die dagelijks op deze infrastructuur vertrouwen (University of Birmingham, 2026).Dat is relevant, omdat de baseband geen perifere component is, maar een fundamentele laag voor connectiviteit, locatiebepaling en communicatie. Als deze laag kwetsbaar is, raakt dat niet alleen het toestel, maar ook het vertrouwen in mobiele communicatie als bedrijfsinfrastructuur.De kern van het probleem zit niet alleen in de aanwezigheid van bugs, maar in de manier waarop dergelijke componenten historisch worden getest. Conformiteitstesten controleren of een systeem correct reageert op geldige input. Security vereist een andere benadering: hoe gedraagt het systeem zich onder doelbewust afwijkende, kwaadaardige of onverwachte input?Onderzoekers van de University of Birmingham werken daarom aan methoden om baseband-firmware in gecontroleerde omgevingen adversarial te testen, onder meer via FirmWire, een platform voor systematische securitytesting van baseband-firmware. Volgens de University of Birmingham heeft onderzoek met FirmWire bijgedragen aan het blootleggen van meer dan twintig kwetsbaarheden in 2G- en 4G-basebandstacks. Verschillende bevindingen zijn vervolgens door leveranciers zoals Google, Samsung en MediaTek opgepakt in beveiligingsupdates (University of Birmingham, 2026).Sim-kaarten zijn geen passieve tokensEen tweede onderschatte laag is de sim. In veel organisaties wordt de sim nog gezien als een relatief passief authenticatiemiddel voor netwerktoegang. In werkelijkheid is het een kleine computer met eigen functionaliteit en een eigen attack surface.Een sim kan, afhankelijk van specificaties en implementatie, actief interactie met het toestel initiëren. Daarbij gaat het niet alleen om netwerkregistratie, maar ook om functionaliteit waarmee een toestel locatiegegevens kan delen, een sms kan versturen of een browser kan openen. De University of Birmingham onderscheidt drie aanvalsvlakken: fysieke aanvallen op toestel of sim, remote aanvallen via operatorbeheerinfrastructuur en technische aanvallen op fouten in sim-software (University of Birmingham, 2026).Voor enterprise security is dat belangrijk. Een toestel kan volledig compliant zijn binnen het MDM-beleid, maar toch afhankelijk blijven van sim- en operatorfunctionaliteit die de organisatie niet zelf controleert. Daarmee wordt mobiele security onderdeel van een bredere vertrouwensketen: toestel, firmware, sim, telecomoperator, roaminginfrastructuur en netwerkstandaarden.Van kwetsbaarheid naar commerciële surveillancecapaciteitDe technische discussie krijgt extra gewicht door de commerciële spywaremarkt. Amnesty International beschrijft in The Predator Files hoe commerciële surveillancebedrijven complete spywareketens aanbieden: exploits, infectievectors, spywareagents en backend-infrastructuur voor dataverzameling in één pakket. Deze mercenary spyware — surveillanceproducten die door private partijen aan overheden worden verkocht — verandert de aard van kwetsbaarheden fundamenteel (Amnesty International, 2023).Een fout in een basebandstack, browser, sim-implementatie of netwerkprotocol is niet langer alleen een technisch defect. Het kan een verhandelbare capability worden binnen een markt waarin exploitketens, infectiemethoden en operationele infrastructuur als dienst worden aangeboden.Amnesty International beschrijft in dit kader meerdere infectieroutes en markttermen, waaronder 1-click attacks, zero-click attacks, tactical infection en strategic infection. Tactical infection richt zich op apparaten in fysieke nabijheid, bijvoorbeeld via malafide wifi-netwerken, mobiele basisstations of kwetsbaarheden in baseband- en radio-interfaces. Strategic infection verwijst naar systemen die op ISP- of gatewayniveau kunnen worden ingezet om internetverkeer te manipuleren en doelwitten naar exploit-infrastructuur te leiden (Amnesty International, 2023).Dit verschuift mobiele security van een traditioneel endpointvraagstuk naar een infrastructuurvraagstuk. Het risico zit niet alleen in wat een gebruiker aanklikt, maar ook in welke netwerken, zendmasten, firmwarelagen en operatorprocessen het toestel automatisch vertrouwt.Governancevraag achter mobiele securityVoor cio’s, ciso’s, telecomproviders, managed service providers en overheden is dit meer dan een technisch detail. Het raakt aan governance, supply chain security en digitale soevereiniteit.Veel organisaties hebben hun endpointbeleid de afgelopen jaren sterk volwassen gemaakt. Devices worden beheerd, applicaties gecontroleerd en identiteiten centraal afgedwongen. Toch blijft een belangrijk deel van de mobiele stack buiten de directe invloedsfeer van de organisatie. Baseband-firmware, sim-functionaliteit en telecominfrastructuur zijn zelden onderdeel van reguliere security-assessments, terwijl zij een essentiële rol spelen in communicatie, authenticatie en locatiegebonden diensten.Mobiele security rust daarmee op institutioneel vertrouwen. Organisaties vertrouwen op chipfabrikanten, firmwareleveranciers, mobiele operators, sim-profielen, roamingpartners, standaardisatieprocessen en exportcontrolemechanismen. In normale bedrijfsvoering is dat onvermijdelijk. Maar vanuit risicoperspectief moet duidelijk zijn dat deze keten slechts beperkt verifieerbaar is.De vraag wordt daarmee niet alleen of een smartphone veilig is geconfigureerd, maar of de onderliggende infrastructuur voldoende transparant, toetsbaar en verantwoordbaar is.Exportcontrole is geen securitygarantieDe Europese dimensie is daarbij relevant. Amnesty International wijst erop dat de Intellexa-alliance zich positioneerde als ‘EU-based and regulated’, terwijl technologie van deze groep wereldwijd is gelinkt aan surveillanceactiviteiten tegen onder meer journalisten, politici, onderzoekers en maatschappelijke organisaties. Het rapport wijst daarnaast op complexe bedrijfsstructuren en tekortkomingen in exportcontrolemechanismen (Amnesty International, 2023).Dat legt een belangrijk spanningsveld bloot: formele regulering is niet hetzelfde als effectieve controle. Een exportlicentie zegt weinig over technische begrensbaarheid, operationele proportionaliteit of onafhankelijke auditbaarheid van spyware. Zeker bij hoog-invasieve spyware is dat problematisch. Volgens Amnesty International ontbreekt bij dit type spyware voldoende onafhankelijke auditability en is het moeilijk aantoonbaar te maken dat inzet technisch beperkt blijft tot noodzakelijke en proportionele doelen (Amnesty International, 2023).Daarmee ontstaat een fundamenteel governanceprobleem. Als een technologie technisch niet goed te beperken is, wordt proportionaliteit niet alleen een juridische toets achteraf, maar een ontwerpvraag vooraf. Kan het middel aantoonbaar worden beperkt tot een specifiek doelwit, een specifieke dataset en een specifieke bevoegdheid? Kan misbruik achteraf onafhankelijk worden vastgesteld? Kan de scope technisch worden afgedwongen? Als dat niet kan, is toezicht per definitie zwak.Wat organisaties hiervan moeten lerenVoor de Nederlandse it-sector ligt hier een duidelijke opdracht. Mobiele security moet breder worden beoordeeld dan alleen device management en applicatiecontrole. De mobiele stack is een keten waarin endpoint, firmware, sim, operatornetwerk, exploitmarkt en regelgeving samenkomen.Dat betekent niet dat elke organisatie zelf baseband-firmware moet kunnen auditen. Dat is onrealistisch. Het betekent wel dat organisaties kritischer moeten kijken naar leveranciersvertrouwen, toestelkeuze, lifecyclebeleid, telecomcontracten en incidentrespons rond mobiele dreigingen.Ook vraagt dit om meer druk op leveranciers en beleidsmakers. Securityclaims moeten niet alleen gaan over patchbeleid, encryptie of app-sandboxing, maar ook over firmwaretransparantie, onafhankelijke testbaarheid en toegang voor academisch securityonderzoek.Voor publieke organisaties komt daar een bredere soevereiniteitsvraag bij. Digitale soevereiniteit gaat niet alleen over cloudlocaties of datacenters, maar ook over hardware-, firmware- en telecomlagen waarop communicatie en identiteit rusten.Mobiele security als infrastructuurvraagstukDe belangrijkste conclusie is dat smartphonebeveiliging niet stopt bij Android of iOS. Onder het scherm bevindt zich een diepere vertrouwensketen met componenten die continu communiceren en beslissingen nemen, vaak zonder zichtbaarheid voor gebruikers of organisaties.Mobiele security verschuift daarmee van endpointbeheer naar infrastructuurvraagstuk: firmware, baseband, sim, telecomnetwerken en de commerciële markt die kwetsbaarheden omzet in surveillancecapaciteit. 

OpenAI heeft de Amerikaanse overheid een frappant aanbod gedaan, meldt de Financial Times. 5 procent van de maker van ChatGPT zou beschikbaar zijn, dat met de huidige waardering neerkomt op ruim 40 miljard dollar aan aandelen. CEO Sam Altman zegt dat deze constructie ervoor zou zorgen dat de bevolking meeprofiteert van AI. Tegelijkertijd zal het […]