Duidelijkheid in de gegevensjungle van de cloud en AI
Gegevensbeheer – en daarmee gegevenssoevereiniteit – is niet iets wat organisaties eenmalig realiseren en vervolgens vergeten. Het is een voortdurende verantwoordelijkheid. Krachtige Software-as-a-Service (SaaS)-platforms en AI-toepassingen maken die verantwoordelijkheid complexer dan ooit. Toch kunnen organisaties in de publieke sector de controle behouden, vertrouwen opbouwen en aan hun nalevingsverplichtingen voldoen.
Software-as-a-Service (SaaS) biedt schaalbaarheid, flexibiliteit en lagere initiële investeringen. Kunstmatige intelligentie (AI) kan informatie analyseren, ordenen en genereren, waardoor organisaties waardevolle inzichten verkrijgen en tegelijkertijd de handmatige inspanningen kunnen verminderen. De kern van beide technologieën wordt gevormd door gegevens – of het nu gaat om gevoelige burgergegevens, overheidsgegevens of patiëntendossiers in de gezondheidszorg.
De hamvraag is: wie behoudt de controle zodra die gegevens de eigen infrastructuur van een organisatie verlaten? Wie is verantwoordelijk wanneer SaaS-aanbieders of AI-modellen informatie verwerken in openbare cloudomgevingen? En, misschien wel het allerbelangrijkste, wie is verantwoordelijk voor de bescherming van die gegevens – de klant of de dienstverlener?
In de praktijk is het antwoord noch eenvoudig, noch eenduidig. Het hangt af van hoe verantwoordelijkheden worden afgebakend, hoe diensten worden geleverd en hoe beveiligingsmaatregelen worden geïmplementeerd. Tegen de achtergrond van een steeds complexer wordend geopolitiek landschap en het toenemende debat over Europese gegevenssoevereiniteit moeten organisaties in de publieke sector duidelijk inzicht hebben in waar de verantwoordelijkheid begint en eindigt – en hoe zij de controle over hun gegevens kunnen behouden.
Wat is gegevensbeheer?
Onder gegevensbeheer wordt verstaan: de bevoegdheid, verantwoordelijkheid en beslissingsbevoegdheid met betrekking tot gegevens gedurende hun gehele levenscyclus. Het gaat hierbij niet alleen om de juridische kwestie van eigendom, maar vooral om de vraag wie bepaalt hoe gegevens worden geraadpleegd, gebruikt en beschermd. In de praktijk vereist dit duidelijke bestuurskaders, goed omschreven contractuele afspraken en passende technische maatregelen.
Gegevensbeheer is dus een operationeel concept, terwijl gegevenssoevereiniteit een breder strategisch principe is. Gegevenssoevereiniteit houdt in dat organisaties daadwerkelijke zeggenschap over hun gegevens behouden, ongeacht waar deze fysiek worden opgeslagen of verwerkt. In Duitsland worden technologische en digitale soevereiniteit momenteel bevorderd via initiatieven zoals de High-Tech Agenda Germany (HTAD) en de moderniseringsagenda van de bondsregering voor de overheid en het openbaar bestuur.
De wolk vertroebelt het beeld
Of het nu gaat om de overheidssector, contactcentra of welke andere omgeving dan ook waarin gevoelige informatie wordt verwerkt: SaaS-toepassingen bieden flexibele toegang en kunnen snel worden opgeschaald om aan veranderende vraag te voldoen. Ze zorgen voor voortdurende innovatie door middel van regelmatige updates en vereisen doorgaans aanzienlijk lagere initiële investeringen dan traditionele oplossingen die ter plaatse worden geïnstalleerd.
Tegelijkertijd kan het overbrengen van gegevens naar de cloud ervoor zorgen dat het minder duidelijk wordt wie uiteindelijk de zeggenschap over die informatie behoudt. Hetzelfde geldt voor AI-toepassingen, die gegevens vaak verwerken in openbare cloudomgevingen. Hoewel AI waardevolle inzichten kan genereren uit grote hoeveelheden informatie, stelt het ook hogere eisen aan transparantie, governance en duidelijk omschreven regels voor gegevensverwerking en -bewaring.
Overheidsorganisaties moeten daarom een duidelijk beleid opstellen waarin wordt vastgelegd hoe AI wordt gebruikt, welke gegevens mogen worden verwerkt en hoe lang die gegevens worden bewaard.
Duitse overheidsinstanties en lokale overheden staan voor een dilemma
Overheidsorganisaties staan voor specifieke uitdagingen op het gebied van gegevensbeheer en gegevenssoevereiniteit. Veel van de toonaangevende technologieleveranciers van dit moment hebben hun hoofdkantoor buiten Europa. Daardoor roept het gebruik van publieke clouddiensten van hyperscalers zoals AWS, Microsoft Azure en Google Cloud vaak complexe vragen op over Europese gegevenssoevereiniteit, naleving van regelgeving en rechtsbevoegdheid.
Tegelijkertijd bieden Europese cloudproviders die zich richten op de publieke sector niet altijd hetzelfde dienstenaanbod, dezelfde wereldwijde schaalgrootte of hetzelfde commerciële concurrentievermogen als de grootste hyperscalers. Organisaties in de publieke sector moeten daarom een zorgvuldig evenwicht vinden tussen technologische mogelijkheden, wettelijke vereisten en de mate van controle die zij over hun gegevens willen behouden.
Transparantie is het uitgangspunt
Binnen dit complexe landschap is de eerste stap op weg naar effectief gegevensbeheer het inzicht krijgen in hoe, waar en door wie gegevens worden opgeslagen en verwerkt.
In principe behouden organisaties in de publieke sector de zeggenschap over hun gegevens. In de praktijk worden gegevens echter vaak verwerkt via meerdere SaaS-platforms, AI-diensten en cloudomgevingen, waardoor een veel complexer beeld ontstaat. Het resulterende ecosysteem van softwareleveranciers, cloudplatforms en, in sommige gevallen, aanvullende externe dienstverleners kan moeilijk te overzien zijn. Naarmate de complexiteit toeneemt, wordt het ook steeds moeilijker om duidelijke verantwoordelijkheden te handhaven – met name als het gaat om gegevensbeveiliging en naleving van regelgeving.
Gedeelde verantwoordelijkheid: Wie is verantwoordelijk?
Een veelgebruikte aanpak is het model van gedeelde verantwoordelijkheid. Binnen dit model is de dienstverlener verantwoordelijk voor de beveiliging van de onderliggende infrastructuur, waaronder het cloudplatform en de applicatie zelf. Organisaties in de publieke sector blijven echter verantwoordelijk voor zaken als identiteits- en toegangsbeheer, gegevensconfiguratie en de beveiliging van integraties en interfaces.
Deze verdeling van verantwoordelijkheden wordt vaak verkeerd begrepen. Als er door een configuratiefout gevoelige gegevens openbaar worden gemaakt, ligt de verantwoordelijkheid doorgaans bij de overheidsorganisatie en niet bij de aanbieder. Vanuit regelgevend oogpunt is het vaak van ondergeschikt belang of het incident zijn oorsprong vond bij de cloudaanbieder of bij de eigenaar van de dienst. De belangrijkste vraag is of elke partij aan haar respectieve beveiligingsverplichtingen heeft voldaan. Wanneer een aanbieder zijn eigen verantwoordelijkheden niet is nagekomen, kan ook hij onderworpen worden aan toezicht door de toezichthouder.
Is gegevensbeheer een project of een doorlopend proces?
Door wettelijke voorschriften staat gegevensbescherming – en met name de bescherming van gevoelige informatie – nu hoog op de agenda. Dit is echter geen kwestie die met een eenmalig project kan worden opgelost. SaaS-platforms en AI-toepassingen ontwikkelen zich voortdurend, waardoor er steeds nieuwe mogelijkheden en nieuwe risico’s ontstaan.
Daarom moeten gegevensbeheer en naleving van regelgeving worden beschouwd als doorlopende verantwoordelijkheden in plaats van eenmalige initiatieven. Organisaties die duidelijk kunnen aantonen dat ze controle hebben over hun gegevens, versterken het vertrouwen bij toezichthouders, partners en burgers, terwijl ze tegelijkertijd de risico’s beperken naarmate SaaS- en AI-technologieën zich verder ontwikkelen.
Wat kunnen overheidsinstanties en lokale overheden nu doen?
Overheidsorganisaties moeten zorgen voor een doeltreffende gegevensbeheersing door een combinatie van contractuele waarborgen, transparantie en technische maatregelen.
In de praktijk begint dit met een duidelijk inzicht in contracten en verantwoordelijkheden. Wie is de verwerkingsverantwoordelijke en wie is de gegevensverwerker? Van welke subverwerkers en cloudproviders maakt de SaaS- of AI-leverancier gebruik? Hoe worden gegevensverwerking, bewaring en verwijdering geregeld, met name wanneer een contract afloopt?
Daarnaast moeten organisaties een uitgebreid overzicht van hun gegevensstromen bijhouden. Ze moeten inzicht hebben in waar gegevens worden aangemaakt, waar ze worden opgeslagen, verwerkt en gerepliceerd, welke AI-functies toegang hebben tot welke categorieën informatie en welke systemen en applicaties van derden in de omgeving zijn geïntegreerd.
Het implementeren van intern beleid
Op basis hiervan moeten organisaties in de publieke sector een duidelijk beleid op het gebied van beveiliging en AI-governance opstellen. Hierin moet worden vastgelegd wie toegang heeft tot welke gegevens en hoe die toegang wordt beveiligd, bijvoorbeeld door middel van gecentraliseerd identiteitsbeheer, single sign-on (SSO) en meervoudige authenticatie (MFA).
Even belangrijk zijn duidelijk omschreven rollen en toegangsrechten, uitgebreide auditlogging, versleuteling van gegevens zowel in opslag als tijdens verzending, en technische maatregelen waarmee gevoelige informatie waar nodig automatisch kan worden geïdentificeerd en gemaskeerd.
Waar van toepassing kan open-source software ook voordelen bieden, omdat de broncode openbaar beschikbaar is voor onafhankelijke controle en beveiligingsbeoordeling. Dit moet echter altijd deel uitmaken van een bredere beveiligings- en bestuursstrategie en mag niet op zichzelf worden beschouwd als een beveiligingsmaatregel.
Daarnaast moeten organisaties een duidelijk beleid voor het bewaren en verwijderen van gegevens vaststellen om ervoor te zorgen dat informatie slechts zo lang als nodig wordt bewaard. AI-systemen vereisen tevens duidelijk omschreven waarborgen waarin wordt gespecificeerd welke gegevens mogen worden verwerkt, welke toepassingen zijn toegestaan en hoe AI-inputs, -outputs en -beslissingen worden geregistreerd, gedocumenteerd en bewaard.
Samenwerken aan een gemeenschappelijk doel
Gegevensbeheer moet in de hele organisatie worden geïntegreerd. Zodra afzonderlijke afdelingen op eigen houtje SaaS- of AI-oplossingen gaan invoeren, kunnen er al snel geïsoleerde systemen ontstaan met hun eigen gegevensbeleid, toegangsrechten en bewaartermijnen, waardoor er blinde vlekken in het beheer ontstaan en het organisatorisch toezicht wordt aangetast.
IT-, beveiligings- en governance-teams moeten daarom vanaf het begin worden betrokken wanneer er nieuwe vereisten worden vastgesteld, leveranciers worden geselecteerd, implementatieregio’s worden gekozen of AI-mogelijkheden worden geïntroduceerd.
Tegelijkertijd hebben organisaties in de publieke sector behoefte aan duidelijk omschreven rollen en verantwoordelijkheden. Wie keurt nieuwe AI-toepassingen goed? Wie beoordeelt software-updates en nieuwe releases? Wie is verantwoordelijk voor audits, nalevingsbewijs en doorlopend beheer? Uiteindelijk kan effectieve gegevensbeheersing alleen worden bereikt wanneer elke afdeling hetzelfde beheerskader volgt voor alle systemen en applicaties.
Wat is het verschil tussen gegevensbeheer en gegevenssoevereiniteit?
Terwijl gegevensbeheer een praktisch, operationeel concept is, vertegenwoordigt gegevenssoevereiniteit een bredere strategische doelstelling, zowel op politiek als op organisatorisch niveau. Het doel is ervoor te zorgen dat gevoelige gegevens onder de juridische en operationele controle blijven van de organisatie die ervoor verantwoordelijk is, ongeacht waar die gegevens worden opgeslagen of verwerkt.
Gegevenssoevereiniteit heeft ook tot doel de afhankelijkheid van individuele aanbieders te verminderen en overmatige vendor lock-in te voorkomen. Dit kan worden ondersteund door maatregelen zoals open standaarden, gegevensoverdraagbaarheid, interoperabele architecturen en, waar van toepassing, het gebruik van open-source-software.
Waarom is gegevenssoevereiniteit belangrijk voor Europa?
Het huidige debat op Europees niveau wordt beïnvloed door geopolitieke spanningen en ontwikkelingen in de Amerikaanse wetgeving. Op grond van wetgeving zoals de Amerikaanse CLOUD Act en de Foreign Intelligence Surveillance Act (FISA) kunnen Amerikaanse autoriteiten, onder specifieke wettelijke voorwaarden, in de VS gevestigde dienstverleners verplichten bepaalde gegevens vrij te geven – zelfs wanneer die gegevens in Europese datacentra zijn opgeslagen.