In de rubriek De Overstap gidst ict‑journalist Robbert Hoeffnagel de ict-pro en -beslisser naar soevereine zakelijke oplossingen. In deel 10 draait het om het meetbaar maken.
We praten inmiddels heel wat af over digitale soevereiniteit. Over Europese clouds, open source, Amerikaanse wetgeving en onze afhankelijkheid van Big Tech. Maar hoe weet je eigenlijk hoe digitaal soeverein je als organisatie bent? En misschien nog belangrijker: hoe stel je vast of je daadwerkelijk vooruitgang boekt?
Securityspecialist Brenno de Winter kwam onlangs met een interessant initiatief: Safari. Dat staat voor Sovereignty Assessment Framework for Autonomy, Resilience and Independence. Het idee is even eenvoudig als nuttig. In plaats van eindeloos te discussiëren over de vraag of een bepaalde leverancier of technologie wel of niet soeverein is, kijk je naar concrete afhankelijkheden en risico’s.
Safari helpt organisaties om hun digitale autonomie systematisch te beoordelen. Daarbij gaat het niet alleen om de locatie van data of de nationaliteit van een leverancier, maar ook om de vraag hoeveel controle je werkelijk hebt. Kun je overstappen naar een andere aanbieder? Heb je toegang tot je eigen gegevens? Hoe afhankelijk ben je van specifieke technologie of externe partijen? En wat gebeurt er als een leverancier plotseling niet meer beschikbaar is?
Digitale soevereiniteit is hot. Maar hoe gaan we die overstap van big tech naar Europese oplossingen aanpakken? In de rubriek De Overstap gidst de doorgewinterde ict-journalist Robbert Hoeffnagel de ict-pro en -beslisser naar alternatieve zakelijke oplossingen.
Dat vind ik een interessante benadering. Digitale soevereiniteit wordt nogal eens gepresenteerd als een soort eindbestemming. Alsof je op een bepaald moment kunt zeggen: zo, nu zijn we soeverein. Maar in de praktijk is het natuurlijk veel meer een kwestie van gradaties, afwegingen en risico’s.
Het aardige van het framework is dat het de discussie concreter probeert te maken. Je hoeft niet onmiddellijk alle Amerikaanse software de deur uit te doen om toch stappen te kunnen zetten. Misschien blijkt uit een beoordeling wel dat je grootste kwetsbaarheid ergens anders zit: in een ontbrekende exitstrategie, onvoldoende kennis van een bepaalde technologie of een applicatie waarvan niemand meer precies weet hoe die werkt.
Juist dat lijkt me de waarde van zo’n instrument. Niet nog een principiële discussie over wat wel en niet mag, maar een manier om afhankelijkheden zichtbaar te maken en vervolgens gericht aan verbeteringen te werken.
Van goede bedoelingen naar 64 meetbare indicatoren
Over meten gesproken: ook in Frankrijk wordt gewerkt aan manieren om digitaal beleid minder vrijblijvend te maken. De Franse cio-organisatie Cigref publiceerde onlangs twee hulpmiddelen waarmee organisaties hun beleid rond verantwoord digitaal werken kunnen organiseren en volgen.
Het eerste is een Excel-bestand met dertig zogenoemde Must-Do Actions. Dat zijn concrete maatregelen op gebieden als governance, inkoop, apparatuur, toegankelijkheid, cloud en datacenters. Per maatregel wordt gekeken naar de verwachte impact en de moeilijkheidsgraad van de uitvoering. Ook kun je bijhouden of een actie nog moet beginnen, wordt onderzocht, in uitvoering is of inmiddels is afgerond.
Het tweede hulpmiddel gaat een stap verder en bevat 64 kpi’s. Die bestrijken drie gebieden: milieu, sociale aspecten en governance. Denk aan het energie- en materiaalgebruik van it-apparatuur, de toegankelijkheid van digitale diensten, de ethische toepassing van ai en verantwoord inkopen.
Dat klinkt misschien wat administratief, maar ik vind vooral de combinatie interessant omdat die typisch Europees is. Organisaties krijgen bovendien niet alleen een lijstje met dingen die ze zouden moeten doen, maar ook een methode om vast te stellen of hun inspanningen resultaat opleveren.
Cigref richt zich hiermee op verantwoord digitaal beleid in brede zin, dus niet uitsluitend op digitale soevereiniteit. Toch zit er een duidelijke overeenkomst met Safari. Beide initiatieven proberen een nogal abstract beleidsonderwerp om te zetten in concrete acties en meetbare resultaten. Misschien is dat wel precies wat we nodig hebben. Minder algemene ambities en meer inzicht in wat er daadwerkelijk verandert.
Zelf je dataplatform samenstellen
Via een collega-journalist kwam ik een interessant open source-project tegen: composable data stack (cds) van de Nederlandse ontwikkelaar Ronald Hensbergen. Het idee is dat je een dataplatform niet als één grote, geïntegreerde softwareomgeving van één leverancier hoeft af te nemen, maar zelf kunt samenstellen uit losse componenten. Denk aan PostgreSQL voor gegevensopslag, Dagster voor het organiseren van dataverwerking en Apache Superset voor analyses en dashboards. Cds helpt om die onderdelen via vooraf gedefinieerde interfaces aan elkaar te koppelen en controleert of de configuratie klopt. Hensbergen omschrijft het project als een soort Terraform voor dataplatformen.
Wat ik hier vooral interessant aan vind, is de relatie met digitale autonomie (ook al staat het project op Github en helaas niet bij een variant als het via een community gerunde Codeberg). Wie een dataplatform uit verwisselbare bouwstenen samenstelt, kan in principe gemakkelijker een onderdeel vervangen zonder meteen het hele platform opnieuw te moeten bouwen. Bijvoorbeeld een andere database kiezen of overstappen op een andere analysetool. Daarmee probeert cds vendor lock-in te beperken, al moet de aanpak zich natuurlijk in de praktijk nog bewijzen.
Banken willen meer grip op open source
Open source wordt vaak gezien als een belangrijk onderdeel van digitale autonomie. Maar open source gebruiken is één ding, ervoor zorgen dat de software waarop je vertrouwt ook op de lange termijn veilig blijft, is iets heel anders.
Daarom vind ik Osera een initiatief dat we goed moeten gaan volgen. Inmiddels steunen zes banken dit initiatief om de veiligheid van open source-software verder te verbeteren. Dat is niet zo vreemd. Financiële instellingen maken op grote schaal gebruik van open source-componenten, vaak zonder dat die voor eindgebruikers zichtbaar zijn. Het probleem is dat belangrijke softwarebibliotheken soms worden onderhouden door slechts een handjevol vrijwilligers, terwijl duizenden organisaties ervan afhankelijk zijn.
Voor digitale autonomie is dit een interessante ontwikkeling. We praten vaak over overstappen van gesloten software naar open source, maar daarmee verdwijnen afhankelijkheden niet automatisch. Ze veranderen alleen van karakter. Ook open source heeft onderhoud, financiering, beveiligingsonderzoek en professionele ondersteuning nodig. Misschien moeten we daarom bij discussies over Europese digitale autonomie ook wat vaker de vraag stellen wie de open source-software waarop we willen vertrouwen eigenlijk onderhoudt. En wie daarvoor betaalt.
Soevereiniteitswashing
De afgelopen weken heb ik flink geëxperimenteerd met lokaal draaiende llm’s. Met Python-scripts en twee parallel werkende open source/open weight-modellen automatiseer ik inmiddels behoorlijk wat werkzaamheden. Daar heb ik geen duur ai-cluster voor nodig. Een betaalbare Linux-server van een Spaanse leverancier volstaat. De truc? Ik gebruik alleen de modellen die ik daadwerkelijk nodig heb.
Als ik zie hoe sommige organisaties ai aanpakken, vraag ik me weleens af of ze niet met een kanon op een mug schieten. Eerst wordt een model gekozen, meestal van de huisleverancier. Daarna wordt gekeken wat je ermee kunt. Waarom niet andersom? Begin bij wat je wilt bereiken en onderzoek vervolgens welke technologie daarvoor nodig is. Misschien heb je helemaal geen peperduur model van OpenAI of Anthropic nodig. En misschien hoeft die AI-toepassing ook helemaal niet bij een hyperscaler te draaien.
En daarmee komen we wat mij betreft bij de kern van digitale soevereiniteit. Want soevereiniteit gaat niet alleen over waar je data staan of uit welk land je leverancier komt. Het gaat vooral over de vraag wie de keuzes maakt. Bepaal je als organisatie zelf welke technologie je gebruikt, welke gegevens je deelt en van wie je afhankelijk wilt zijn? Of laat je die keuzes feitelijk over aan een leverancier die je vooral zijn eigen oplossingen presenteert? Mijn experimenten met lokale llm’s laten in ieder geval zien dat er vaak meer alternatieven zijn dan je op basis van alle ai-marketing zou denken.
Ik heb er de afgelopen maanden met meerdere cio’s, it-managers en enterprise-architecten over gesproken. Wat opvalt? Ai staat hoog op de agenda, maar veel organisaties lijken voor hun kennis vooral op de huisleverancier te vertrouwen. Zelf alternatieven onderzoeken gebeurt lang niet altijd. En wie niet weet welke alternatieven er bestaan, heeft natuurlijk ook weinig te kiezen. Hoe soeverein ben je dan eigenlijk nog?
En dan is er nog iets: soevereiniteitswashing. De marketing van Big Tech lijkt soms verbazingwekkend goed te werken. Zo hoorde ik onlangs een enterprise-architect doodleuk beweren dat Webex soeverein kan worden ingezet, “want de versie die wij gebruiken draait in een Europese omgeving”. Alsof de locatie van een server ineens bepaalt wie de controle heeft over de technologie en de data. Er is kennelijk nog heel wat werk te verzetten.
Twee interessante tools
Tot slot nog twee open source-tools die misschien niet iedereen kent, maar die het dagelijks werken achter een computer een stuk inzichtelijker of eenvoudiger kunnen maken. Ook erg handig voor de werkplek thuis.
De eerste is ActivityWatch. Dit open source-programma houdt automatisch bij welke applicaties je gebruikt en hoeveel tijd je eraan besteedt. Met een browserextensie kun je ook inzicht krijgen in je websitegebruik. Handig als je aan het einde van een werkdag wilt weten waar al die uren eigenlijk gebleven zijn. Belangrijk: ActivityWatch slaat de gegevens lokaal op. Je hoeft je dagelijkse computergebruik dus niet met een commerciële clouddienst te delen.
Een ander hulpmiddel dat ik graag gebruik, is Espanso. Dat is een text expander. Je definieert korte codes die automatisch worden vervangen door langere teksten. Tik bijvoorbeeld ‘:adres’ en je volledige adres verschijnt. Of gebruik een afkorting voor een standaardantwoord dat je regelmatig in e-mails schrijft. Espanso werkt op Linux, Windows en macOS, en de tekstvervanging vindt lokaal plaats. Vooral voor mensen die veel rapporten, emails en dergelijke schrijven, lijkt me dit een bijzonder praktisch hulpmiddel.
Twee heel verschillende toepassingen dus. Maar ze laten allebei iets zien wat ik aantrekkelijk vind aan open source: je kunt met relatief kleine programma’s je dagelijkse werk verbeteren, zonder dat daar meteen een nieuw account, abonnement of cloudplatform dat veel privacygevoelige data verzameld voor nodig is.
