Naarmate AI een steeds integraler onderdeel van bedrijfsprocessen wordt, hebben zorgen over operationele controle, weerbaarheid, leveranciersconcentratie en geopolitiek risico een grotere invloed op hoe de technologie wordt ingezet, aldus het nieuwste rapport van Forrester, The Top Trends in Sovereign AI.

Voortbouwend op bevindingen uit de recente Global Sovereignty Forecast van het onderzoeksbureau, betoogt het rapport dat soevereiniteit verschuift van vragen over datalokalisatie en regelgeving naar bedrijfsweerbaarheid, operationele controle en governance. Deze verschuiving komt doordat een klein aantal in de VS gevestigde hyperscalers en modelleveranciers de mondiale AI-infrastructuur domineert, en doordat regeringen steeds bereidiever technologie-toegang als geopolitiek drukmiddel in te zetten — waaronder recente Amerikaanse exportbeperkingen op geavanceerde AI-chips en modelgewichten. Voor organisaties betekent dit niet per se dat zij zich moeten losmaken van mondiale technologieleveranciers. Het betekent juist dat zij moeten begrijpen waar hun afhankelijkheden liggen, welke workloads het meest kritiek zijn en hoe zij door konden blijven opereren als de toegang tot een cruciale AI-dienst wordt verstoord. Het sluit ook aan bij een bredere Europese beleidsinzet: de EU heeft technologische soevereiniteit tot expliciete prioriteit gemaakt, en initiatieven zoals Gaia-X en de eisen van de EU AI Act voor hoogrisicosystemen hebben de aandacht verscherpt voor waar AI wordt gehost, wie deze beheert en onder welke jurisdictie deze opereert.

In dit vraaggesprek bespreekt Dario Maisto, analist bij Forrester en auteur van het rapport, hoe organisaties met deze afhankelijkheden om kunnen gaan en wat soevereine AI in de praktijk betekent.

Wat zijn de belangrijkste bevindingen uit het onderzoek van Forrester, en waren er verrassingen?

Dario Maisto: We hebben een breed scala aan organisaties geïnterviewd, waaronder dienstverleners en vooral eindgebruikers, om te begrijpen hoe soevereine AI zich het afgelopen jaar heeft ontwikkeld. Een van de eerste bevindingen was dat soevereiniteit relevant is voor organisaties in vrijwel elke sector, en niet alleen voor de gebruikelijke vermoedens zoals defensie, overheid en publieke sector.

De tweede is dat soevereiniteit veel meer is dan datalokalisatie of datalokatie. In de kern gaat het om controle hebben. Het gaat niet om isolatie.

De derde bevinding is dat soevereiniteit steeds meer een manier is om weerbaarheid te verbeteren. Hoe meer organisaties AI inzetten in hun bedrijfs-, organisatorische en missiekritieke processen, hoe meer zij hun afhankelijkheden van buitenlandse leveranciers, jurisdicties en overheden moeten minimaliseren of op zijn minst beheersen.

En ten slotte: in wezen gaat dit niet over regelgeving. Er bestaat nergens ter wereld wetgeving die soevereiniteit verplicht stelt. Het gaat er echt om dat technologie- en bedrijfsleiders de weerbaarheid van hun organisatie willen vergroten.

Welk gevaar vormt AI-afhankelijkheid?

Maisto: Naarmate AI kritiek wordt voor bedrijfsprocessen, creëert afhankelijkheid van een buitenlandse leverancier — en daarmee mogelijk van een buitenlandse jurisdictie — de mogelijkheid van een 'kill switch'. Een buitenlandse regering onder wiens jurisdictie een leverancier valt, zou kunnen besluiten dat u geen toegang meer heeft tot zijn modellen, AI-tools of oplossingen. Als uw bedrijfsprocessen van die tools afhankelijk zijn, kunnen die processen stilvallen.

Dat heeft een zeer reëel bedrijfsimpact. In de productiesector verliezen organisaties bijvoorbeeld elke seconde geld dat zij niet kunnen produceren. Voor sectoren die met verse of bederfelijke producten werken, is de impact mogelijk nog groter. Als een beslissing van een buitenlandse regering dus een dienst verstoort waarop een organisatie voor zijn AI vertrouwt, is dat geen abstract geopolitiek vraagstuk. Het heeft een directe economische impact op de organisatie.

Hoe kunnen organisaties zich tegen deze risico's wapenen?

Maisto: Tot een paar jaar geleden adviseerden we organisaties in bepaalde landen vaak om met dual stacks te werken: één met een leverancier in het ene land en één met een andere leverancier elders. Nu zien we organisaties een genuanceerdere aanpak kiezen, waarbij missiekritieke workloads worden gescheiden van niet-missiekritieke workloads.

Afhankelijk van de sector vereisen niet-kritieke workloads mogelijk geen aanvullende soevereine middelen. Missiekritieke workloads hebben daarentegen veel meer behoefte aan soevereine oplossingen.

Dat betekent niet per se dat er twee volledig gescheiden stacks moeten draaien. Organisaties kunnen geopolitieke risico's op verschillende manieren beperken, bijvoorbeeld door een geïsoleerde omgeving (air-gapped) te koppelen aan hun publieke cloudomgeving, of door een lokale leverancier naast een mondiale in te zetten.

Voor multinationals die in 50 landen opereren, is het bijvoorbeeld gewoon niet haalbaar om 50 verschillende leveranciers te hebben. Dat zou een architectonische nachtmerrie zijn, afgezien van de kosten. In plaats daarvan kunnen organisaties verschillende oplossingen van dezelfde mondiale leverancier gebruiken, afhankelijk van de kritikaliteit van de workload of de gevoeligheid van de data. Een hyperscaler kan afhankelijk van de eisen een publieke cloudomgeving, een private cloudoplossing of een geïsoleerde omgeving leveren.

Hoe vereist het toenemende AI-gebruik dat organisaties governance heroverwegen?

Maisto: AI-implementaties binnen organisaties creëren nieuwe gebieden van governance, risico en compliance. Tegelijkertijd kunnen AI-tools organisaties ook helpen om kwetsbaarheden in seconden in plaats van maanden te identificeren, dus governance is nodig over de hele stack.

AI wordt een technologie die echt in de organisatie is ingebed en in zekere mate vitaal is. Dat vereist toezicht dat veel verder gaat dan de IT-afdeling.

We zien organisaties hun structuur hier al voor aanpassen. Eén klant had bijvoorbeeld een relatief kleine IT-afdeling en kreeg verzoeken van elke businessunit. In plaats van alles via IT te laten lopen, koppelde de organisatie een IT-medewerker aan elke businessunit. Dat verkort de afstand tussen IT en de business en zorgt dat mensen met de juiste technische vaardigheden de business direct ondersteunen.

Dit is steeds belangrijker omdat AI processen dramatisch kan versnellen. Iets waarvoor voorheen drie maanden nodig was, kan nu binnen een paar weken afgerond zijn. Denk aan medische trials. Elke verloren seconde kan nu vele malen meer waard zijn dan vroeger, wat de manier waarop organisatiemodellen rond AI-tools moeten worden opgebouwd volledig verandert.

Heeft geopolitieke instabiliteit soevereiniteit tot een urgenter vraagstuk gemaakt?

Maisto: Ja, hoewel er hier een interessante spanning bestaat. Naarmate technologie gespecialiseerder wordt, hebben organisaties gespecialiseerde mensen nodig die mogelijk niet lokaal beschikbaar zijn. Onze Tech Sovereignty Forecast toont dat, terwijl soevereiniteitsindicatoren algemeen verwacht worden toe te nemen richting 2030, de soevereiniteit van het technologische arbeidsbestand juist naar verwachting zal afnemen. Dat is de enige indicator die de tegenovergestelde richting op gaat.

Tegelijkertijd schrijven sommige regelgevingen al verblijfs- of staatsburgerschapseisen voor voor IT-medewerkers in specifieke sectoren, technologiesegmenten of workloads. Naarmate de geopolitieke instabiliteit toeneemt, zullen er waarschijnlijk meer van dit soort eisen komen. Dat maakt het probleem nog harder — wat aanvankelijk een kwestie van bedrijfscontinuïteit en risicobeheer was, wordt in sommige sectoren een regelgevende eis, terwijl het tekort aan gespecialiseerde technologiewerkers voortduurt.

Opleiding is één manier om dit aan te pakken. Een andere is via overnames, joint ventures en partnerschappen. We zien dienstverleners al lokale adviesbureaus en bedrijven overnemen, waarmee zij een juridisch kader en een lokale werkkracht krijgen die kunnen helpen om aan de soevereiniteitseisen van klanten te voldoen.

Welke fouten maken organisaties bij het opzetten van AI-soevereiniteit?

Maisto: De eerste fout is het niet definiëren van de grenzen van het probleem. Mensen zeggen 'soevereiniteit' zonder per se te definiëren wat zij bedoelen, en zij praten over regelgeving zonder te bepalen welke regelgeving daadwerkelijk op hen van toepassing is. Vervolgens gaan zij op zoek naar oplossingen voordat zij het probleem duidelijk hebben gedefinieerd. Als ik de cloud-, AI- of soevereine-AI-strategieën van klanten beoordeel, is een van mijn eerste vragen: welk probleem probeert u eigenlijk op te lossen?

Een andere veelvoorkomende fout is aan te nemen dat soevereiniteit alleen om data gaat. Mensen beginnen het gesprek over soevereiniteit vaak met een bespreking van regelgeving zoals de Amerikaanse CLOUD Act of FISA Section 702. Maar dat zijn in wezen kwesties van gegevensbescherming, geen soevereiniteitsproblemen.

Als uw data bijvoorbeeld wordt gehost op de infrastructuur van een Amerikaanse hyperscaler, maar is versleuteld en u behoudt de encryptiesleutels buiten de omgeving van de hyperscaler, dan heeft u een ander risicoprofiel. U kunt het probleem mogelijk oplossen zonder uw data naar een nieuwe leverancier te migreren, wat extra migratie- en egresskosten met zich mee zou brengen.

De kern is het probleem correct te formuleren en te begrijpen welke regelgevende omgeving u daadwerkelijk moet naleven. Sommige leveranciers kunnen het soevereiniteitsverhaal gebruiken om hun diensten te verkopen, dus organisaties moeten daar voorzichtig mee zijn.

Wat zou de eerste praktische stap moeten zijn voor een organisatie die zijn AI-soevereiniteit wil verbeteren?

Maisto: De eerste stap is uw afhankelijkheden evalueren. Dit gaat niet om isolatie en niet om volledige onafhankelijkheid te bereiken. Het gaat om het begrijpen en beheren van uw afhankelijkheden. Organisaties moeten vaststellen waarvan zij afhankelijk zijn, waar die afhankelijkheden zich bevinden en wat de gevolgen zouden zijn als zij worden verstoord. Pas dan kunnen zij bepalen wat soeverein moet zijn en wat niet.

Ik zou ervan waarschuwen AI-soevereiniteit simpelweg te zien als een bilateraal probleem met één specifiek land of één specifieke leverancier. Afhankelijk van waar u opereert en wat uw organisatie doet, kan uw probleem er volledig anders uitzien.

Daarom is soevereiniteit een veel complexere kwestie dan simpelweg zeggen: 'Houd uw data in uw eigen land.' De juiste aanpak hangt af van de specifieke risico's, afhankelijkheden en bedrijfsvereisten van elke organisatie.

Redactionele noot: dit interview is omwille van duidelijkheid en bondigheid bewerkt.