In IT-architecturen voor datasoevereiniteit moeten transparantie en traceerbaarheid standaard worden ingebouwd
Tot nu toe is de adoptie van AI sneller gegaan dan de ontwikkeling van wet- en regelgeving. Hierdoor hebben organisaties grotendeels zelf kaders en richtlijnen moeten opstellen. Dat gebrek aan duidelijkheid heeft de opmars van AI echter niet afgeremd. Uit het meest recente onderzoek van McKinsey blijkt zelfs dat 88% van de organisaties AI inmiddels inzet binnen ten minste één bedrijfsfunctie. Toch is het innovatietempo afgevlakt en wordt het steeds duidelijker dat organisaties een cruciale voorwaarde voor veilige en betrouwbare AI over het hoofd hebben gezien: datasoevereiniteit.
Tegelijkertijd is de wet- en regelgeving bezig aan een inhaalslag, waarbij steeds vaker dezelfde uitgangspunten centraal staan: datasoevereiniteit en transparantie in AI. De AI Act van de Europese Unie is daar een goed voorbeeld van. Deze wet stelt strikte, risicogebaseerde regels aan de ontwikkeling en toepassing van AI-systemen binnen organisaties in de EU, met als doel de transparantie van AI te vergroten.
In plaats van AI zonder duidelijke koers verder te omarmen, doen organisaties er goed aan eerst te investeren in transparante, traceerbare IT-architecturen waarin datasoevereiniteit vanaf het ontwerp is verankerd. Anders lopen zij niet alleen het volledige potentieel van AI mis, maar dreigen zij ook achterop te raken bij het naleven van wet- en regelgeving.
Niet alle data is waardevolle data
Logischerwijs draaien zowel digitale soevereiniteit als AI-innovatie uiteindelijk om data. Dat AI grote hoeveelheden data nodig heeft, is inmiddels algemeen bekend. Aan data is dan ook geen gebrek: volgens IDC werd er in 2025 wereldwijd ongeveer 181 zettabytes aan data gecreëerd, gekopieerd en geconsumeerd. Toch blijkt de beschikbaarheid van enorme hoeveelheden data geen garantie voor succes. Generatieve AI (GenAI)-projecten stranden nog altijd op grote schaal. Uit onderzoek blijkt zelfs dat tot 95% van de GenAI-pilots nooit de productiefase bereikt of geen aantoonbaar rendement oplevert. De belangrijkste oorzaak? Hardnekkige problemen met de kwaliteit en het beheer van data.
Mede dankzij de opkomst van AI groeit de hoeveelheid data exponentieel. Veel organisaties zijn er echter niet in geslaagd die ontwikkeling bij te benen. De hoeveelheid data is veel sneller gegroeid dan de bestaande processen voor opslag en databeheer konden bijbenen, waardoor organisaties het overzicht deels zijn kwijtgeraakt. Het gevolg is dat 'vervuilde' of irrelevante data naast waardevolle data wordt opgeslagen. AI-systemen zijn niet alleen een reflectie van de data zelf, maar ook van de kwaliteit van de dataset en de structuur ervan. Zijn de trainingsdatasets slecht gestructureerd of bevatten ze veel irrelevante data, dan gaat dat ten koste van de kwaliteit van de resultaten en de bruikbaarheid van het AI-systeem.
Gebrekkig databeheer heeft ook grote gevolgen voor compliance en naleving van wet- en regelgeving. Hoewel toezichthouders nog geen uniforme aanpak voor AI-regelgeving hebben vastgesteld, wordt het steeds duidelijker dat transparantie een centrale rol zal spelen in toekomstige eisen. Alleen al in Europa laten de AI Act en de NIS2-richtlijn zien dat de nadruk steeds meer komt te liggen op sterkere governance, meer transparantie en meer controle over operationele data en trainingsdata. Zonder een goede basis voor datasoevereiniteit zijn organisaties echter niet in staat hun datalandschap volledig in kaart te brengen en te doorgronden. Hierdoor kunnen zij moeilijk voldoen aan zowel de huidige als toekomstige regelgeving.
De juiste data selecteren
De enorme groei van datasets kan voor veel organisaties overweldigend voelen. Voordat organisaties hun datakwaliteit kunnen verbeteren, moeten zij eerst inzicht krijgen in hun data en deze classificeren. Dit geldt zowel voor de inhoud als voor de gevoeligheid van de data. Data kan op zichzelf waardevol zijn voor een GenAI-pilot, maar wanneer deze te gevoelig is, zoals personeel- of financiële gegevens, mag deze niet worden gebruikt. Dit niveau van inzicht voorkomt niet alleen dat gevoelige data onbedoeld in GenAI-toepassingen terechtkomt, maar is ook een belangrijke randvoorwaarde om het volledige potentieel van generatieve AI te benutten. In plaats van modellen te trainen op een mix van waardevolle en irrelevante data, kunnen organisaties AI voeden met uitsluitend de informatie die nodig is.
Zodra dit is ingericht en organisaties precies weten met welke data zij werken, kunnen zij per datacategorie de vereisten voor datasoevereiniteit bepalen. Dit geldt ook voor regelgeving en locatiegebonden eisen. In sommige gevallen is de eerste reflex om het gebruik te beperken tot de strengste eisen van datalokalisatiewetgeving. De GDPR van de Europese Unie schrijft echter geen opslag voor in een specifiek EU-land, maar wel binnen de Europese Economische Ruimte (EER). Tegelijkertijd gelden er strikte voorwaarden voor de overdracht van persoonsgegevens buiten de EER, wat in de praktijk zorgt voor een vorm van ‘soft localisation’.
Dit speelveld kent veel nuance. Daarom kiezen veel organisaties voor hybride of multi-cloudarchitecturen om flexibiliteit te behouden in waar workloads worden verwerkt en opgeslagen. Zo kunnen zij data waar nodig afschermen om aan lokalisatie-eisen te voldoen, terwijl zij tegelijkertijd datamobiliteit behouden, iets wat essentieel wordt naarmate de regelgeving verder evolueert.
Deze flexibiliteit en transparantie stellen organisaties niet alleen in staat om te monitoren waar hun data zich bevindt, maar ook wie er toegang toe heeft. Dat is cruciale kennis, niet alleen voor compliance, maar ook voor informatiebeveiliging.
Niet alleen een formaliteit
Tot nu toe is datasoevereiniteit vaak onderaan de prioriteitenlijst beland en is het vooral gezien als een compliance-oefening. Organisaties hebben het wel afgevinkt, maar vooral als onderdeel van een langere lijst met wettelijke vereisten in plaats van het te beschouwen als een essentieel onderdeel van hun datastrategie. Wanneer datasoevereiniteit echter goed wordt begrepen en strategisch wordt ingezet, in lijn met de bredere bedrijfsstrategie, kan het veel meer waarde opleveren.
Het kan niet alleen bijdragen aan de datagovernancekaders die de operatie ondersteunen, maar ook bijdragen aan het vormgeven en inrichten van AI-governance. Met schone, gestructureerde en geclassificeerde data kunnen organisaties eindelijk hun GenAI-pilots in productie brengen.
Datasoevereiniteit werd lang onderschat, maar nu de innovatie rond generatieve AI stokt en wet- en regelgeving een inhaalslag maakt, kunnen organisaties zich dat niet langer veroorloven.
Door: Michael Cade (foto), Global Field CTO, Veeam Software
