Het gesprek over datasoevereiniteit gaat daardoor vaak vooral over locatie. Waar staan de servers? Onder welke wetgeving valt de opslag? Wie kan er in noodgeval bij? Terechte vragen, zegt Ferran Rohaan, oprichter van Artific, dit jaar bekroond tot AI Company of the Year. Maar ze dekken volgens hem slechts een deel van het probleem. “Je kunt je data keurig in een Nederlands datacenter zetten en toch de controle verliezen zodra het AI-model een black box is, extern wordt aangestuurd of morgen zonder overleg van gedrag verandert.”

Dat is de blinde vlek in veel AI-strategieën. Organisaties regelen de dataopslag, vinken de AVG af en denken dat de soevereiniteit daarmee geborgd is. Ondertussen loopt gevoelige informatie via een model waarvan de leverancier de voorwaarden, de prijs en de beschikbaarheid eenzijdig bepaalt. Beperkt die leverancier de toegang, faseert hij het model uit of verhoogt hij de prijs fors, dan staat de organisatie met lege handen. Data soeverein, AI niet.

“Soevereiniteit is geen opslagvraag, het is een regievraag”, zegt CEO Ivo Rupert. “De discussie is jarenlang blijven hangen bij datalocatie. Maar de echte vraag voor een bestuurder is: houd ik grip op wat mijn AI doet, ook als de wereld om me heen verandert?” Op dat vraagstuk richt Artific zich. Het platform fungeert als controlelaag tussen organisaties en grote taalmodellen, waar governance, veiligheid en regie samenkomen. Het platform is bewust model-agnostisch: Artific bindt zich niet aan één aanbieder, maar laat organisaties kiezen uit alle grote taalmodellen en daartussen wisselen wanneer dat nodig is.

Van opslag naar regie

Soevereiniteit draait volgens Artific om regie: wat gebeurt er met de data, en wie bepaalt dat? Ook gaat het om de kennis die in getrainde modellen besloten ligt en de logica achter geautomatiseerde beslissingen. Getrainde modellen bevatten immers afgeleide informatie, zijn lastig te corrigeren en zitten vaak vastgeklonken aan het platform waarop ze zijn ontstaan. Wie daar geen grip op heeft, heeft geen soevereiniteit, hoe Nederlands het datacenter ook is. Voor bestuurders is dat een continuïteitsvraagstuk. Hoe meer AI doet, hoe groter de risico’s. Artific brengt die risico’s terug tot drie vragen die een organisatie altijd moet kunnen beantwoorden.

“Is het veilig?” AI krijgt toegang tot gevoelige gegevens. Wie bepaalt waar het model bij kan en waar die informatie naartoe gaat?

“Is het voorspelbaar?” Zonder monitoring en audittrail is niet zichtbaar of gedrag verandert zodra AI onderdeel wordt van een kritisch proces.

“Is het transparant?” Kun je achteraf herleiden wat de AI heeft gedaan en waarom? Zonder dat inzicht wordt verantwoording lastig.

Die drie vragen, veiligheid, voorspelbaarheid en transparantie, vormen het ontwerpprincipe van het platform. Toegang tot data is afgebakend, gedrag wordt gemonitord, en handelingen zijn herleidbaar. Daarbij kunnen gebruikers kiezen uit ruim veertig taalmodellen zonder aan één leverancier vast te zitten: schakelen kan zodra een model duurder, trager of onbeschikbaar wordt. ISO 27001-certificering en AVG-compliance zijn het uitgangspunt, niet de sluitpost.

Drie lagen, één regie

Volgens Artific bestaat een AI-toepassing uit drie afzonderlijk te borgen lagen. De intelligentie, gebaseerd op de taalmodellen, vormt de basis maar is inwisselbaar. De expertise is de domeinkennis die een organisatie of haar partners inbrengt. En de context is alle organisatie-specifieke informatie die AI relevant maakt. “Het taalmodel is niet de motor, het is de basis”, zegt Rohaan. “Wat een organisatie onderscheidt, zit in haar eigen kennis en context. Door die lagen te scheiden, blijven deze kennis en context van de organisatie, ook als het onderliggende model wisselt.”

Bij organisaties als ROC van Twente en Stichting Hartekind draaien toepassingen die op eigen data en context zijn gebouwd, zonder dat die kennis het eigen platform verlaat. De winst zit volgens Artific niet alleen in compliance, maar ook in een AI die de eigen processen kent.

Dat sluit aan bij een bredere kentering. Waar driekwart van de organisaties soevereiniteit lange tijd vooral zag als een verplicht nummer richting de EU AI Act, groeit nu het besef dat het ook een strategische kans is. “Wie zijn AI aantoonbaar onder eigen regie heeft, kan dat uitleggen aan een klant en aan een toezichthouder”, zegt Rupert. “Dat vertrouwen kun je niet kopen bij een generieke aanbieder.”

Bestuurders moeten dus niet alleen vragen naar de datalocatie, maar ook of je kunt zien wat je AI doet, of hij blijft doen wat je verwacht, en of je van model kunt wisselen zonder je toepassing opnieuw te bouwen. Het is, zo vat Rupert het samen, “het verschil tussen AI die het vandaag even doet, en AI die werkt en blijft werken.”