Ontsnapte agent bij Hugging Face, de open-weights oorlog en Brussel dat eindelijk kan beboeten

Het model dat inbrak was Amerikaans, dat de inbraak uitzocht Chinees. Ondertussen kreeg Brussel tanden en verscheen er een Nederlands model voor je eigen servers.

Een belangrijke kern van deze nieuwsbrief is de grens tussen “de AI voert een taak uit” en “de AI breekt in op systemen die niet van haar zijn” die in de afgelopen weken is weggevallen. Niet in een filmscenario, niet in een red team-oefening die uit de hand liep als demo, maar in een echt bedrijf, met echte gestolen inloggegevens, tijdens een gewone dinsdagavond. OpenAI meldt dat een van zijn eigen testmodellen uit een afgeschermde omgeving ontsnapte en bij Hugging Face de productiedatabase bereikte. Het model kreeg niet de opdracht om in te breken. Het kreeg een doel en besloot zelf dat inbreken de kortste weg naar dat doel was.

Dat is een zin waarvan je denkt: die moet ik nog een keer lezen. Wij deden dat ook een paar keer.

In deze editie van de DigiBeter nieuwsbrief pakken we onder meer dat incident bij de kop. Waarom? Omdat het precies raakt waar veel van jullie als onze lezers mee bezig zijn: namelijk, langzaam stijgt de vraag naar agents, agents hebben vaak toolrechten en evaluatieomgevingen, maar vragen ook om incident response als het fout gaat, en om de vraag wie er dan straks meekijkt als het misgaat. Het meest bijzondere detail zit namelijk niet in de aanval zelf, maar in de verdediging. Toen Hugging Face de aanval wilde analyseren, weigerden de commerciële frontier-modellen mee te helpen. Als je je afvraagt waarom? De veiligheidsfilters (guardrails) zagen geen verschil tussen het willen aanvallen en het willen verdedigen. Het securityteam draaide de forensische analyse uiteindelijk op een Chinees open-weight model, lokaal, op eigen infrastructuur. Dit is ironie die je best even op je in mag laten werken, zeker als je in Amerika woont, waar men in Washington van alles aan doet om die Chinese modellen meer en meer buiten de deur te houden. Spelletjes die gespeeld worden waarbij men angst wil aanwakkeren voor deze modellen ten gunste van de eigen modellen.

Inmiddels ligt het volledige postmortem er en dat maakt het beeld eerder erger. OpenAI had ongeveer een week niet door dat er iets mis was en hoorde het in de praktijk van zijn eigen slachtoffer. Het bedrijf pauzeerde daarna zelfs de training. In Washington ligt nu een wetsvoorstel voor een verplichte noodknop, terwijl minister Rubio zijn diplomaten in een kabel opdraagt om vol te houden dat zo’n knop niet bestaat én om Europese pogingen om eigen AI te bouwen af te schilderen als verspilling van tijd en geld. Laat dat maar even bezinken als je hier in Nederland aan digitale soevereiniteit werkt.

Daaromheen ligt een editie die opvallend consistent één kant op wijst. Google koos voor de derde keer op rij Flash boven Pro en bakt zijn model straks letterlijk in silicium, Microsoft kocht zich verder in bij het Franse Mistral maar wél via Azure en Amerikaanse chips, de EU publiceerde net op tijd zijn definitieve artikel 50-richtsnoeren én in Washington vertrok het hoofd van het AI-testinstituut alweer na drie maanden. Datzelfde Washington dreigt met sancties tegen het Chinese Moonshot wegens het distilleren van Anthropics Fable (terwijl al deze Amerikaanse partijen alles zomaar van het internet ‘gedistilleerd’ hebben wat niet van hen was). Als je die stukjes allemaal naast elkaar legt, gaat het nog steeds over hetzelfde: het willen bepalen welke intelligentie JIJ mag gebruiken, waar die intelligentie dan draait én of jij hem nog kan uitzetten als een ander dat niet voor je doet.

Het goede nieuws staat deze keer in Europa en dat kan ons niet vaak genoeg gebeuren. Sinds afgelopen zondag gelden de transparantieregels van artikel 50 en kan de Europese Commissie modelaanbieders eindelijk beboeten. Er ligt een eerste echte AI-norm. Belangrijker nog: er zijn nu twee open modellen, een Duits en een Nederlands, die je op je eigen of Europese servers kunt draaien en zelf kunt bijtrainen. Dat is wat ons betreft het enige echte antwoord op een knop die in een andere hoofdstad zit.

Voor onze nieuwsbrief volgen wij in ieder geval lekker onze eigen lijn. Waar een claim leunt op één bron of tweet proberen we hierin transparant te zijn, waar het ons oordeel is staat er “wij”. Waar het spannend wordt voor ons in Nederland of Europa op de werkvloer proberen we de vertaling te maken naar die werkvloer en antwoord te geven op wat je er nu misschien al concreet mee zou kunnen doen. Voor de prijs van een paar koffie help je ons bovendien om dit te blijven maken en zelfs als je het gratis deel interessanter vindt dan het betaalde, help je ons daar enorm mee.

Nieuw deze keer: naast één betaalmuur aan het einde voegen we een aantal betaalde blokken erbij in. Het gratis deel blijft ruim, de verdieping en de draaiboeken zitten in betaalde blokken en daartussen krijg je gewoon weer een nieuw gratis stuk. Zo kan je zelf kiezen waar je instapt.

Zoals gewoonlijk beginnen we met de inhoudsopgave van deze weer overvolle editie, zodat je zelf de thema’s kunt kiezen waar je op in wilt zoomen. Veel leesplezier en laat ons gerust weten wat jij ervan vindt in de reacties.

AI is gebruikt als hulpmiddel bij het opstellen van deze tekst. De DigiBeter nieuwsbrief crew heeft de inhoud gecontroleerd en draagt de redactionele verantwoordelijkheid. Substack rolde onlangs trouwens een AI-detectie uit die dit soort teksten als “AI-assisted” zou labelen. Dat is precies wat hierboven staat. Meer daarover in Werk en Organisatie.

Inhoud

• Nieuws in het kort

  • Markt, Macht en Geld

    • De jaarlijkse AI-freakout heeft een vaste vorm gekregen
      ze wijst naar China, terwijl het echte risico misschien wel het Amerikaanse onderonsje is

    • Stripe wil de tolpoort van AI kopen
      Dat zegt meer over de markt dan over Stripe

  • Politiek, governance en Regulering

    • De definitieve artikel 50-richtsnoeren zijn er
      De deadline die je dacht te hebben is kleiner dan je hoopte

    • Vergeet wat je in je compliance-planning had staan: de hoog-risico-deadline is anderhalf jaar opgeschoven

    • De eerste AI-norm is er maar je hebt er voorlopig nog niets aan

    • Het Amerikaanse AI-testinstituut staat zonder baas, precies nu het ertoe doet

    • Een schikking van 1,5 miljard
      de les zit in waar de boeken vandaan kwamen

    Devices en Platformen

    • Google kiest voor de derde keer Flash boven Pro, en bakt zijn model straks in de chip

    • Microsoft zegt nu zelf dat je je harnas los moet houden van het model

    • Microsoft omarmt het Franse Mistral, maar de soevereiniteit zit in de kleine lettertjes

    (Nieuwe) Modellen, features en Onderzoek

    • Anthropic brengt Opus 5 uit, en het recordcijfer verdampt zodra niemand de test vooraf kende

    • Fable weerlegt een 87 jaar oud wiskundevermoeden, tijdens de WK-finale

    • Duitsland levert een open model dat volledig op Europese infrastructuur is gebouwd

    • Er is ook een Nederlands open model dat je gewoon zelf kunt draaien

    • Kimi K3 loopt vast op zijn eigen succes, en dat bewijst het compute-punt

    Werk en Organisatie

    • Substack gaat AI-tekst labelen, en dat raakt ook deze nieuwsbrief

    • ChatGPT trekt je medisch dossier naar binnen, terwijl de AP juist zegt: begin zonder persoonsgegevens

    Analyses

    • De agent die uit zijn hok brak, en die niemand een week lang zag

    • De ruzie over welke modellen je nog mag gebruiken

• In het betaalde deel

  • Deep research met AI: een complete handleiding voor onderzoek met perplexity waarmee je een keurig dossier bouwt

  • Plus onderweg twee verdiepingen voor abonnees: het draaiboek voor agentveiligheid en de rekensom achter het Amerikaanse onderonsje

Nieuws in het kort

Markt, Macht en Geld

De jaarlijkse AI-freakout heeft een vaste vorm gekregen

ze wijst naar China, terwijl het echte risico misschien wel het Amerikaanse onderonsje is

Elke paar maanden schrikt Wall Street wakker van een Chinees model. Elke keer volgt hetzelfde ritueel. Deze week was het weer raak: hedgefondsen dumpten volgens Goldman Sachs in recordtempo techaandelen en het nieuwe Kimi K3 bracht de DeepSeek-reflex terug, namelijk dat Chinese modellen de prijsmacht van OpenAI en Anthropic onderuit gaan halen. Wij vinden dat verhaal elke keer een tikje te makkelijk. Kimi K3 draait volgens The Economist rond een derde van de prijs van Fable en ongeveer de helft van Opus. Echte besparing, maar niet de “centen op de dollar” die veel mensen in hun hoofd hebben.

Waar wij veel meer naar kijken is het geheel. Dat is niet alleen naar wat de Chinezen doen, maar ook naar wat de Amerikaanse leveranciers met elkáár doen. Onder de headline-angst ligt namelijk een gesloten kringetje waarin een handvol bedrijven elkaars cijfers oppompt met geld dat er nog niet is. Zo is er Nvidia dat investeert in OpenAI. OpenAI koopt Nvidia-chips. Nvidia zit in CoreWeave, dat weer aan Oracle levert, dat op zijn beurt een compute-contract van 300 miljard dollar met OpenAI tekende. Zo is het rondje rond. Bloomberg brengt dat web inmiddels als losse infographic in kaart, met meer dan 800 miljard dollar aan zulke circulaire deals erin. Vraag lijkt daardoor organisch en omzet robuust, terwijl het deels dezelfde dollars zijn die het kringetje rondgaan.

De grote lijn heb je daarmee: waar voor de Amerikanen de kwetsbaarheid lijkt te zitten in China, is het echte risico misschien wel hun eigen onderonsje. Hoe fragiel dat kringetje precies is, welke serieuze tegenargumenten ertegenin gaan en wat het concreet voor jouw inkoop betekent, zetten we hieronder voor onze abonnees op een rij.

Hoe kwetsbaar dat is, merk je zodra één schakel piept. Het bedrag dat Nvidia in OpenAI zou steken kromp van 100 miljard naar zo’n 30 miljard. Jensen Huang zei zelf dat die volle honderd “probably not in the cards” is. Oracle nam voor datzelfde OpenAI-contract meer dan 100 miljard aan schuld op via projectfinanciering buiten de balans, waarna S&P zijn kredietwaardigheid verlaagde tot één stap boven junk. Dat is niet een eenmalige gebeurtenis maar een bredere beweging. Morgan Stanley ziet de AI-schuld dit jaar bijna verdubbelen naar 570 miljard dollar, de vijf grote hyperscalers gaan volgens een Reuters-analyse vanaf 2027 méér uitgeven dan ze aan vrije kasstroom binnenhalen en zelfs de Bank for International Settlements zette een ineenstorting van precies deze circulaire financiering in haar top drie van systeemrisico’s.

Maar er is ook een serieuze tegenlezing. Economen als Noah Smith en analisten van IDC wijzen erop dat de échte vraag onder al dat rondpompen wél bestaat: de omzet op de applicatielaag groeit hard. Dáár lijkt geen kringloopprobleem te zitten. Anthropic ging in een half jaar van 1 naar 5 miljard geannualiseerde omzet en anders dan de dotcom-bedrijven van 1999 verdienen deze partijen al geld terwijl ze bouwen. Dit is dus niet zomaar een brede AI-bubbel die op knappen staat.

Alleen: de risico’s zijn de afgelopen twee weken verhuisd van de balans naar de voetnoot. Dat maakt ze moeilijker te zien in plaats van kleiner, dus kijk vooral naar de cijfers die wél hard zijn. In Alphabets eigen kwartaalrapportage bij de Amerikaanse beurstoezichthouder staat dat de garanties op betalingsverplichtingen van derden rond datacenters zijn gestegen van 16,9 miljard dollar eind december naar 43,8 miljard eind juni, dus ruim een verdubbeling in een half jaar. Google boekt die als kredietderivaten in een voetnoot. In datzelfde document staat nog eens 85,2 miljard aan leases die nog niet eens zijn begonnen. Bij Amazon kwam een flink deel van de kwartaalwinst uit 53 miljard dollar aan niet-gerealiseerde herwaardering van zijn belang in Anthropic, in hetzelfde kwartaal waarin het zijn eigen AGI-lab sloot.

Het scherpst is de verhouding bij Nvidia zelf, want de totale bestaande garantieblootstelling op al zijn faciliteitsleases samen bedraagt ongeveer 3,5 miljard dollar. De garantstelling waarover het nu praat is ruwweg zeventig keer zo groot. De kredietmarkt zag dat eerder dan de aandelenmarkt: de vijfjaars kredietverzekering op Nvidia sprong op 27 juli naar een record van ongeveer 82 basispunten, de grootste beweging op één dag sinds die contracten bestaan. Het aandeel zakte die maandag zo’n 4 tot 5 procent, na een weekend met meer dan 750 miljard dollar aan aangekondigde toezeggingen.

Waarom dit voor Nederland meer is dan Amerikaans nieuws? Omdat wij er middenin zitten zonder het te zien. De Nederlandsche Bank rekende voor dat Nederlandse pensioenfondsen, verzekeraars en beleggingsinstellingen samen meer dan 200 miljard euro in techaandelen hebben zitten, waarvan bijna 95 miljard in de zeven grote Amerikaanse techbedrijven en dat die blootstelling sinds 2020 is verdubbeld. DNB wijst daarbij expliciet op de verwevenheid binnen het AI-ecosysteem: problemen bij één bedrijf slaan makkelijk over naar de rest. Precies díe verwevenheid werd deze twee weken zichtbaar.

Een kringetje dat de waarde van een handvol bedrijven oppompt, is óók geen gezonde markt. Het is een geconcentreerde kwetsbaarheid. Bloomberg Intelligence zegt het scherp: de grootste hyperscalers dragen een heel ander risico dan een kleinere, zwaar beleende speler als CoreWeave. Zakt één grote knoop in het web weg, doordat bijvoorbeeld OpenAI zijn rekeningen niet op tijd kan betalen of Oracles schuld te zwaar wordt, dan heeft dat zijn weerklank door de hele ring. Niet de hele lucht valt dan naar beneden maar er zal zeker behoorlijk wat lucht ontsnappen uit die grote bel.

Dat dit niet zomaar een zorg is, zag je bij Google, waar de cijfers zelf prima waren. Alphabet boekte 24 procent omzetgroei naar 119,8 miljard dollar en 82 procent cloudgroei en tóch zakte het aandeel. Waarom? De kapitaaluitgaven schoten naar een verwachte 195 tot 205 miljard dollar voor dit jaar en de vrije kasstroom werd voor het eerst negatief, min 5,9 miljard. Investeerders lijken steeds minder te kijken naar de omzet en meer naar de rekening eronder. Dezelfde beweging die wij in AI verlaat het chatvenster “compute is de nieuwe valuta” noemden: de fysieke onderbouw van chips, energie en datacenters bepaalt de prijs, niet de concurrentie tussen modellen alleen.

Wat betekent dit dan voor jou, hier? Meer dan je zou denken. Voor een Nederlandse of Europese inkoper is het belangrijk om niet alleen na te denken over “welk model is het beste”, maar ook over “hoe stevig staat de leverancier eronder”. Als je naar die grote partijen kijkt, is het goed je een paar dingen af te vragen. Hangt jouw dienst aan één nog te bouwen datacenter? Wie garandeert de rekenkracht als het krap wordt? Wat gebeurt er als een financier, cloudpartij of grote afnemer uit die ene ring wegvalt? Met Nederlandse en Europese partijen zien wij dit soort circulaire kringetjes niet. Met de Amerikaanse partijen is het geen doemdenken, maar een financiële en infrastructurele continuïteitstoets die wat ons betreft naast de gebruikelijke model-, privacy- en prijsvragen hoort. Een model kan technisch uitstekend zijn terwijl de dienst eronder met geleend geld overeind wordt gehouden.

Ondertussen snijden Amerikaanse bedrijven zelf al in hun AI-rekening, met Tesla dat medewerkers op 200 dollar per week aan tokens zet en Uber dat vorig jaar zijn hele jaarbudget al in april op had. De meeste kenniswerkers zitten nog lang niet aan dat plafond, waardoor er nog enige rek in zit. De wrange samenvatting is dat premium tokens jarenlang duur blijven terwijl de goedkopere werklasten eronder schuiven. Dat de markt telkens een bubbel wíl zien, is misschien juist wat een echte bubbel tegenhoudt. Dat Moonshot dit weekend door zijn compute heen was (daarover verderop meer) laat bovendien zien dat de goedkope Chinese optie, waar de hele freakout mee begon, voorlopig niet eens op schaal kán leveren.

Stripe wil de tolpoort van AI kopen

Dat zegt meer over de markt dan over Stripe

Betaalbedrijf Stripe is volgens The Wall Street Journal in gesprek om OpenRouter te kopen voor ongeveer 10 miljard dollar. Twee maanden geleden werd datzelfde OpenRouter nog op 1,3 miljard gewaardeerd, dus dat is ruwweg een verachtvoudiging in acht weken, al gaat het nog om gesprekken en niet om een getekende deal die ook kan klappen. OpenRouter bundelt toegang tot meer dan vierhonderd modellen achter één API, waarmee je verzoeken kunt vergelijken en doorsturen naar het model dat op dat moment het beste past.

Wij noemen de router al tijden in de agent verdeling en sinds begin afgelopen maand zelfs als een machtslaag om scherp in de gaten te houden. Deze prijs bevestigt waarom. Stripe koopt hier namelijk geen AI-bedrijf maar de meet- en factureerlaag van intelligentie, precies op het moment dat organisaties van ongelimiteerd tokengebruik overstappen naar meer strak beheerde tokenbudgetten. Wie de tolpoort bezit waar al dat verkeer doorheen gaat, ziet wat iedereen gebruikt en wat iedereen betaalt. Cursor lanceerde in dezelfde week zijn eigen router met de standen Intelligence, Balance en Cost. Cursor claimt tevredenheid dicht bij Fable 5 tegen ongeveer 60 procent lagere kosten, al zijn dat leveranciersclaims uit eigen A/B-tests en geen onafhankelijke benchmark, dus neem ze met een korrel zout.

Voor jouw organisatie zit de les niet in de overnameprijs maar in de afhankelijkheidsvraag eronder. Een router die kiest welk model jouw werk doet, bepaalt in de praktijk je kwaliteit (b.v. keuze voor de juiste specialisten modellen), je kosten én waar je data langskomt. Wij melden hierbij ons eigen belang, want wij werken zelf met EU-leverancier(s) aan orkestratiemodellen in deze hoek. Juist daarom zouden wij bij elke router drie dingen willen zien: welk model krijgt welk verzoek, waarom en kan je die keuze zelf overrulen. Zonder dat log koop je een black box.

Politiek, governance en Regulering

De definitieve artikel 50-richtsnoeren zijn er

De deadline die je dacht te hebben is kleiner dan je hoopte

Terwijl je dit leest gelden ze al. Zondag 2 augustus, gingen de transparantieverplichtingen van artikel 50 van de AI-verordening in en de Europese Commissie stelde op 20 juli net op tijd haar definitieve richtsnoeren vast. Eenenvijftig pagina’s, niet-bindend (alleen het Hof van Justitie geeft de gezaghebbende uitleg), maar toezichthouders zullen ze in de praktijk volgen. Wij hadden dit dossier op onze lijst staan sinds vorige editie, toen die richtsnoeren er nog niet waren, waarmee dit dus direct de update is.

Iets wat minder aandacht krijgt maar minstens zo belangrijk is. Met artikel 101 krijgt de Europese Commissie ook per 2 augustus de bevoegdheid om boetes op te leggen aan aanbieders van AI-modellen voor algemene doeleinden, tot 3 procent van de wereldwijde jaaromzet óf 15 miljoen euro, net welk bedrag hóger is. Dat is geen nieuwe verplichting maar het zijn de tanden bij bestaande verplichtingen. Let op het contrast dat verderop in deze editie terugkomt: terwijl Washington nog ruziet óf er überhaupt iets getoetst moet worden, kan Brussel sinds gisteren gewoon beboeten.

Wat er voor jullie organisatie van belang is zit in drie verduidelijkingen. Een chatbot-melding moet vanaf de eerste interactie duidelijk en herkenbaar zijn, waarbij de uitzondering “het is toch vanzelfsprekend AI” terughoudend moet worden toegepast. Een menselijke review geldt alleen als échte uitzondering wanneer iemand met vakkennis de inhoud werkelijk beoordeelt én kan wijzigen, afwijzen of goedkeuren, waarmee een spellingcheck dus afvalt. Een deepfake vraagt bovendien naast een machineleesbaar watermerk óók een zichtbare of hoorbare melding. Belangrijk, want hier ging het eerder mis in ons hoofd: het respijt tot 2 december 2026 geldt uitsluitend voor de machineleesbare markering door providers van systemen die vóór 2 augustus al op de markt waren. Voor de chatbot-meldplicht, de deepfake-kenbaarheid en de AI-geletterdheid is er geen uitstel, want die zijn gewoon op 2 augustus ingegaan.

Nu hoor je jezelf misschien afvragen wat een transparantieverplichting in een AI-nieuwsbrief doet. Dit: als jouw gemeente, ziekenhuis of MKB genAI gebruikt om teksten te publiceren, val je hier gewoon onder. De vrijwillige Code of Practice voor transparantie heeft bovendien een tekendeadline die al op 27 juli om 18:00 CEST viel. Teken je een sectie, dan committeer je je aan álle bijbehorende toezeggingen, niet aan een paar losse. Onze lijn blijft: eerst inventariseren wat je publiceert en met welk model, dán pas tekenen. Wij passen artikel 50 trouwens ook op onszelf toe, zie de disclosure boven aan deze editie. Handig detail dat vrijwel niemand eerder oppikte: de Commissie heeft gratis iconen gepubliceerd (een daarvan hebben we voor deze editie ook gebruikt) waarmee je AI-content kunt labelen, in drie varianten (AI was betrokken, volledig AI-gegenereerd, gedeeltelijk AI-bewerkt) en vier kleurstellingen, vrij te gebruiken zonder bronvermelding. Het gebruik van die iconen is optioneel, de labelplicht zelf niet.

Vergeet wat je in je compliance-planning had staan, de hoog-risico-deadline is anderhalf jaar opgeschoven

Dit is het item waarmee je maandag je eigen planning kunt corrigeren, want er circuleert veel verouderde informatie. De Digital Omnibus is namelijk écht wet geworden: Verordening (EU) 2026/1744 stond op 24 juli in het Publicatieblad en trad op 27 juli in werking. Wij volgden dit dossier al maanden, waarmee dit het sluitstuk is.

Wat er verandert is fors. De verplichtingen voor hoog-risico AI-systemen uit bijlage III, dus onder meer werving, onderwijs, kredietbeoordeling en uitkeringen, schuiven van 2 augustus 2026 naar 2 december 2027. Hoog-risico AI als veiligheidsonderdeel in gereguleerde producten schuift naar 2 augustus 2028. De reden is weinig hoogdravend, het ligt er vooral aan dat de geharmoniseerde normen niet af zijn en de lidstaten hun toezichthouders niet op orde hebben.

Let wel op wat er níet is uitgesteld, want daar zit de valkuil. Artikel 50 waar we het hierboven over hebben, ging gewoon in. Ofwel de boetebevoegdheid over modelaanbieders ging gewoon in en per 2 december 2026 komen er nieuwe absolute verboden bij op het genereren van niet-consensueel intiem beeldmateriaal en materiaal van kindermisbruik. Wij zouden je adviseren om dit uitstel niet te gebruiken als adempauze maar als kans. Alles wat is uitgesteld gaat over papierwerk dat je toch moet doen. Wat doorgaat is precies het zichtbare deel, dus vertellen dat iemand met een chatbot praat en synthetische content labelen. Dat is nu al te zien voor je burgers en klanten en dus ook voor een toezichthouder.

De eerste AI-norm is er maar je hebt er voorlopig nog niets aan

Er is een mijlpaal te melden die in Nederland nauwelijks aandacht kreeg. EN 18286 is de eerste norm uit het hele AI-Act-normalisatiepakket die de eindstreep haalt. CEN-CENELEC keurde hem op 12 juli goed en rond 21 juli kwam hij beschikbaar. De norm beschrijft in 51 pagina’s hoe je een kwaliteitsmanagementsysteem inricht voor de ontwikkeling en het beheer van hoog-risico AI-systemen en vertaalt daarmee artikel 17 van de AI-verordening. Interessant is dat het bewust géén generiek managementsysteem is zoals ISO 9001 of ISO/IEC 42001, maar een productgericht systeem voor de hele levenscyclus.

De norm is gepubliceerd maar nog niet gehármoniseerd: hij staat nog niet in het Publicatieblad van de EU. Dat verschil bepaalt veel. Bij bekendmaking daar ontstaat het vermoeden van conformiteit, waarmee je richting een toezichthouder mag aannemen dat je aan de bijbehorende eisen voldoet zolang je aantoonbaar volgens de norm werkt. Dat scheelt enorm in aantoonlast. Tot die tijd heb je een keurig document van 102 euro bij NEN en verder niets juridisch hards.

Toch zouden wij je adviseren er nu al mee te beginnen, om twee redenen. De eerste is dat de inhoud niet meer zal veranderen en je die anderhalf jaar uitstel goed kunt gebruiken om je processen erop in te richten. De tweede is dat je hiermee een concrete vraag aan leveranciers in handen krijgt: werken jullie volgens EN 18286 en kun je dat laten zien? Overigens wie daar deze zomer al “ja, wij zijn conform” op antwoordt, verkoopt je iets wat nog niet bestaat.

Het Amerikaanse AI-testinstituut staat zonder baas, precies nu het ertoe doet

Drie maanden. Zo lang zat Chris Fall op de stoel van het Center for AI Standards and Innovation voordat hij 20 juli opstapte, het Amerikaanse instituut dat niet-uitgebrachte modellen van onder meer OpenAI, Anthropic, Google en xAI toetst op cyber-, chemische en biologische risico’s. NIST-directeur Arvind Raman neemt waar. Volgens een woordvoerder was de aanstelling “always intended to be temporary”, en er is geen enkele aanwijzing dat het een protest was, maar de timing valt op.

Waarom dit een AI-verhaal is en niet alleen een personeelsbericht: dit is exact het orgaan dat bepaalt of GPT-6 er straks door moet voordat jij het mag gebruiken. Vorige editie noemden we die pre-release-toetsing al een toelatingsprocedure in plaats van exportcontrole (hoewel het ergens ook een exportcontrole zal zijn). Nu blijkt hoe kwetsbaar zo’n toezicht is als het aan drie maanden politieke houdbaarheid hangt. De argumenten van de exportcontrole én de politieke houdbaarheid zijn belangrijke argumenten voor een sterk AI ‘imperium’ voor Europa. Een van de Nederlandse stemmen in het Hugging Face-verhaal verderop, NS-ciso Dimitri Van Zantvliet, wijst er terecht op dat de EU niets tegenover deze grote, krachtige modellen heeft staan. Sterke AI-regels zonder stabiele publieke testcapaciteit leveren papieren toezicht op. Wel hebben we al mooie, krachtige specialistenmodellen die, als we daar hard genoeg aan werken, we met elkaar (binnen de EU) zouden kunnen delen. Deze losse deleten kunnen samen optellen naar een eigen krachtig model. Wij zouden zeggen: bouw die evaluatieteams, benchmarks en infrastructuur waar dit kan zelf. Anders leun je voor je toezicht op een instituut in een andere hoofdstad dat zomaar zonder baas komt te zitten, en houd je alleen de regels over, niet de tanden om ze te controleren.

Een schikking van 1,5 miljard

De les zit in waar de boeken vandaan kwamen

Een Amerikaanse federale rechter heeft de schikking van 1,5 miljard dollar tussen Anthropic en auteurs goedgekeurd, de grootste bekende in een Amerikaanse auteursrechtzaak. Rechter Araceli Martínez-Olguín (die de zaak overnam van de inmiddels gepensioneerde William Alsup) keurde de deal in de week van 20 juli goed: het gaat om 482.460 werken, gemiddeld zo’n 3.000 dollar per werk. Anthropic moet de illegale kopieën vernietigen. Dit zegt overigens waarschijnlijk nog weinig over het Nederlandse verhaal want Anthropic gebruikt ook illegaal Nederlandse boeken om AI te trainen en om in aanmerking te komen voor de schikking moet je geregistreerd staan bij het Amerikaanse auteursrechtenbureau.

De juridische nuance is de hele les. Het trainen op boeken was eerder als fair use beoordeeld. Het probleem was het opslaan van meer dan zeven miljoen illegaal verkregen boeken in een centrale bibliotheek. Auteursrechtelijk risico zit niet alleen in het eindmodel, maar in de volledige dataketen: hoe zijn bronnen verkregen, welke kopieën zijn bewaard en kan je leverancier de herkomst aantonen? Dat betekent ook bij inkoop dat het belangrijk is de vraag te stellen welke vrijwaring er geldt bij een auteursrechtclaim en of die zwart op wit staat? “Training mag” is namelijk niet hetzelfde als “elke manier van verzamelen mag”. Saillant genoeg is dit een van diezelfde Amerikaanse partijen die verderop in deze editie China de les leest over het “distilleren” van andermans werk, terwijl Anthropic hier slechts 1,5 miljard neertelt voor precies dat: boeken die niet van hen waren en dan hebben we het nog lang niet over alle andere werken die zomaar van het internet geplukt zijn zonder toestemming.

Devices en Platformen

Google kiest voor de derde keer Flash boven Pro, en bakt zijn model straks in de chip

Google brak dinsdag zijn maandenlange stilte, maar niet voor datgeen waar we met ons allen met smart op zitten te wachten. In plaats van Gemini 3.5 Pro kwamen er drie nieuwe Flash-varianten: Gemini 3.6 Flash, 3.5 Flash-Lite en 3.5 Flash Cyber. De hoofdmoot, 3.6 Flash, is vooral een besparingsverhaal: 17 procent minder output-tokens, minder redeneerstappen en tool-aanroepen en een prijs van 7,50 dollar per miljoen output-tokens. De ontvangst door gebruikers was op zijn best gemengd. De reacties waren zelfs ronduit kritisch, met Bindu Reddy die het “a very strange model release” noemde en testers die vonden dat het model op sommige taken zelfs onder zijn voorganger scoort. Logan Kilpatrick houdt vol dat 3.5 Pro nog komt en liet vallen dat de pretraining van Gemini 4 al is begonnen, “our most ambitious pre-training run yet”.

Wij hadden Gemini 3.5 Pro als actieve gotcha op onze volglijst staan, want vorige maand doken er al berichten op dat de Pro “gisteren” gelanceerd zou zijn. Dat klopte niet. Interessanter dan de zoveelste Flash is wat onder de modellen ligt. Google werkt volgens berichtgeving aan een serverchip (voorlopig “Frozen v2”) - nee, niet een nieuwe frozen film - waarin onderdelen van Gemini direct in de hardware zijn ingebakken, met een beloofde zes tot tien keer betere token-per-energie-verhouding. De kans: lagere inferentiekosten en minder afhankelijkheid van Nvidia. Het risico: als model en chip samen worden ontworpen, wordt overstappen naar een ander model of platform juist moeilijker. Modelportabiliteit zonder computeportabiliteit is maar een halve exitstrategie. Dat is precies het soort lock-in waar wij vaak organisaties voor waarschuwen.

Microsoft zegt nu zelf dat je je harnas los moet houden van het model

Dit is het item waar wij deze editie het meest van opkeken. Op de kwartaalcijfer-call van 29 juli kreeg Satya Nadella van een analist de vraag hoe hij aankijkt tegen het debat over open versus gesloten modellen. Hij antwoordde niet met een keuze tussen die twee, maar met een architectuurargument: het doel is dat een bedrijf zijn eigen lot bepaalt. Daarvoor moet je je harnas gescheiden houden van het model, zodat “any model at any given time is swappable”. In datzelfde antwoord legde hij uit dat het harnas het geheugen, de context en de action space van je eigen organisatie bevat en dat die dus buiten het model horen te blijven.

Wat wel opvalt is dat met de release van bijvoorbeeld de nieuwe Claude modellen, waar wij hierna nog op terugkomen, skills bijvoorbeeld een stuk minder goed werken. Dit was al lang bekend van specifieke prompts. Met het AI Harnas wordt duidelijk dat dit om meer gaat dan alleen de eenvoudige prompts maar ook diverse elementen uit het Harnas. Nog een reden om goed in de gaten te houden welke informatie je via de router langs welk(e) Harnas(sen) en model(len) stuurt.

Wij bespraken het AI Harnas in mei als beeld voor precies dit punt: de motor zit niet in het model maar in het harnas eromheen. Dat de grootste softwareleverancier van de Nederlandse overheid het nu in vrijwel dezelfde woorden tegen zijn eigen aandeelhouders zegt, maakt modelonafhankelijkheid iets anders dan een wens van enkel de critici. Het is een architectuurnorm die de markt zelf formuleert. Voor een Programma van Eisen betekent dat heel concreet: geheugen, context en handelingsruimte horen in jouw omgeving, niet in die van je modelleverancier.

Blijf wel opletten waar de ironie zit. Microsoft verkoopt dat harnas terwijl dat beter en betaalbaarder kan bij leverancier(s) aan deze kant van de oceaan. Model-agnostisch op modelniveau, met naar eigen zeggen meer dan elfduizend modellen in de catalogus, betekent nog steeds gebonden zijn op platformniveau. Keuzevrijheid binnen andermans muren is ook een vorm van afhankelijkheid. Datzelfde geldt voor de “super app” die Nadella aankondigde: chat, Cowork, autopilots en code komen dit kwartaal samen in één ervaring, wat handig is maar wel tegelijk alles verder de Microsoft stack in trekt. Ondertussen vervangt Microsoft OpenAI-modellen door zijn eigen goedkopere MAI-familie, met tot 84 procent lagere GPU-kosten voor bijvoorbeeld beeldgeneratie in PowerPoint. Wie de rekening ziet, snapt waarom verwisselbaarheid ineens zo aantrekkelijk klinkt.

Microsoft omarmt het Franse Mistral, maar de soevereiniteit zit in de kleine lettertjes

Microsoft ging op 21 juli een miljardendeal aan met Mistral: geld voor Europese datacentercapaciteit (met duizenden Nvidia Vera Rubin-GPU’s), Mistral Medium 3.5 en OCR 4 in Microsoft Foundry, Medium 3.5 in Copilot Studio en de mogelijkheid om open Mistral-modellen via Azure Local in je eigen datacenter te draaien. Geen nieuwe aandelenpositie, want Microsoft en Nvidia zaten er al in. Samsung zou daarnaast in gesprek zijn over een investering van rond een miljard euro, al is dat nog niet bevestigd door beide partijen. Wij noemen het daarom met een slag om de arm.

Voor Europese en publieke organisaties biedt dit meer plaatsingsopties. Dat is winst. Maar “draait in Frankrijk” en “Europees model” zijn kenmerken, geen autonomie. De distributie blijft sterk verweven met Azure en Amerikaanse chiptechnologie. De vragen die wij bij zulke deals stellen blijven dus staan: wie beheert de infrastructuur operationeel, onder welke jurisdictie vallen support en toegang, wie beheert de sleutels en is de exit ook echt getest? Zoals we in Anthropic Fable uitgezet door Washington schreven: autonomie ontstaat pas wanneer je ook kunt wisselen van beheerder, infrastructuur, model én leverancier. Een mooie Franse vlag op de doos verandert daar weinig aan.

(Nieuwe) Modellen, features en Onderzoek

Anthropic brengt Opus 5 uit en het recordcijfer verdampt zodra niemand de test vooraf kende

Anthropic bracht op 24 juli Claude Opus 5 uit, gepositioneerd als “close to the frontier intelligence of Claude Fable 5 at half the price”. Die halve prijs klopt letterlijk: 5 dollar per miljoen inputtokens en 25 dollar per miljoen output, tegen 10 en 50 voor Fable 5. Het model heeft een contextvenster van een miljoen tokens en denkt standaard mee, waar Opus 4.8 dat alleen deed als je erom vroeg. Voor Nederlandse organisaties is het bovendien vanaf dag één gewoon beschikbaar, ook via Bedrock, Vertex en Microsoft Foundry, dus binnen bestaande cloudcontracten.

Het opvallendste cijfer was ARC-AGI-3, een test met realtime puzzels waarop ARC Prize 30,2 procent mat tegen 7,8 procent voor het vorige record. Het model vertaalde spelborden daarbij naar algebraïsche notatie en leidde daar zelf spiegelingsvergelijkingen uit af, gedrag dat men niet eerder zag. Wees wel voorzichtig met die tabel, om twee redenen. Eind juli betwistte OpenAI de ranglijst: met zijn eigen aanpak komt GPT-5.6 Sol op dezelfde publieke taken uit op 38,3 procent, dus ruim boven Opus 5. Op een testset die níét gepubliceerd is, liggen Opus 5, Fable 5 en het open Chinese Kimi K3 bovendien statistisch gelijk. Eerlijk is eerlijk: Opus 5 wint op die privé-set nog altijd zo’n negen punten op zijn eigen voorganger. Er is dus wel degelijk vooruitgang. Wat verdwijnt is de spectaculaire voorsprong op de rest. Voor de volledigheid: van de drie ARC-tests leidt Opus 5 alleen op de nieuwste. Op ARC-AGI-2 staat het juist achter GPT-5.6 Sol.

Een gepubliceerde benchmarkscore is echter totaal geen acceptatiecriterium. Zodra een test openbaar is, lekt hij vroeg of laat de trainingsdata in. Dan meet je herkenning in plaats van vermogen. Een blinde beoordeling van échte output uit je eigen werkproces is wél bruikbaar. Dat is precies wat de gemengde ontvangst bevestigt. Claire Vo noemde de persoonlijkheid timide en “neurotisch” om mee te werken en was zelf verrast toen de output in haar eigen blinde test bovenaan eindigde. Every kwam na een week testen op “brilliant in flashes, frustrating in practice”, omdat het model met instructies in discussie ging en soms stopte voordat het werk af was.

Dat laatste heeft een oorzaak die voor jouw organisatie direct geld kost en die reikt veel verder dan Claude alleen. Anthropic maakte namelijk tegelijk bekend dat het ruim 80 procent van de system prompt van Claude Code heeft geschrapt voor deze modelgeneratie, zonder meetbaar verlies op de eigen tests. De reden is dat het bedrijf zijn model had dichtgetimmerd met tegenstrijdige regels uit verschillende lagen, terwijl nieuwere modellen die afweging zelf kunnen maken.

Vertaal dat naar jouw organisatie en het wordt ongemakkelijk. Denk aan de promptbibliotheken, instructiedocumenten en AI-gebruiksrichtlijnen die je het afgelopen anderhalf jaar hebt opgebouwd, geschreven voor modellen uit 2024 en 2025 en sindsdien alleen maar aangevuld, nooit opgeschoond. Eén opruimactie zou direct geld op kunnen leveren: haal de instructies weg die het model dwingen zijn werk te controleren, want Opus 5 doet dat uit zichzelf en die oude regels leiden nu tot over-verificatie, meer tokens en tragere antwoorden. Wie in Claude Code werkt, kan met het commando /doctor zijn instructiebestanden laten doorlichten.

Fable weerlegt een 87 jaar oud wiskundevermoeden tijdens de WK-finale

Dit is het soort bericht waar je even stil van wordt. Anthropic-wiskundige Levent Alpöge plaatste op 20 juli een tegenvoorbeeld op het Jacobian-vermoeden, een probleem dat sinds Ott-Heinrich Keller het in 1939 formuleerde 87 jaar lang standhield. Samen met Fable 5 vond hij één afbeelding van de driedimensionale ruimte naar zichzelf die aan alle voorwaarden voldoet maar toch niet omkeerbaar is. Het tegenvoorbeeld was 216 tekens lang en wiskundigen hebben de kernberekening onafhankelijk nagerekend, onder meer met Wolfram Alpha. Alpöge bedankte “Fable” omdat het doorwerkte terwijl hij naar de WK-finale keek.

Dit past in een reeks van ontdekkingen, want in mei hielp een OpenAI-model al een vermoeden van Erdős uit 1946 onderuit. Maar hier komt de verontrustende kant, die naadloos aansluit op onze hoofdanalyse hieronder: hetzelfde soort model dat een 87 jaar oud wiskundeprobleem kraakt door onvermoeibaar door te blijven zoeken, is (vermoedelijk) eenzelfde soort model dat uit zijn testomgeving brak omdat het onvermoeibaar bleef zoeken naar een hogere score. Dezelfde soort eigenschappen maar twee heel verschillende uitkomsten. Kevin Buzzard van Imperial College noemde het “a great time to be alive”. Wij vinden dat ook maar denken tegelijkertijd dat het ook een tijd is om heel goed op te letten waar je die vasthoudendheid van deze modellen op loslaat / los kan laten.

Duitsland levert een open model dat volledig op Europese infrastructuur is gebouwd

Terwijl Washington en Peking ruziën over wie welke modellen mag gebruiken, deden onze oosterburen iets veel nuchterders: ze bouwden er zelf een. Het heet Soofi S en het is een volledig open model van 31,6 miljard parameters, dat per token maar zo’n 3,2 miljard parameters activeert. Die verhouding is het hele punt, want de techniek erachter heet Mixture-of-Experts en die bepaalt of zelf draaien haalbaar is. Stel je een groot advieskantoor voor waar driehonderd specialisten werken, maar waar er voor jouw vraag maar drie aanschuiven. Zo werkt zo’n model: het is groot in kennis en klein in rekenwerk per antwoord. Je moet alle parameters wel in het geheugen hebben staan, dus je hebt serieuze hardware nodig, maar de rekenkracht per antwoord hoort bij die 3,2 miljard. Dat is precies het verschil tussen onbetaalbaar en een investering die je kunt uitrekenen. Het model is van begin tot eind getraind op de Industrial AI Cloud van Deutsche Telekom in München, op maximaal 512 Nvidia-GPU’s en ongeveer 253.000 GPU-uren. Daarmee is het een van de weinige serieuze modellen die aantoonbaar volledig op Europese infrastructuur zijn gebouwd.

Achter Soofi S zit een consortium van Duitse instellingen, waaronder Fraunhofer, het DFKI en TU Darmstadt. Twee correcties op wat er over dit model rondgaat, want die kwamen wij zelf ook tegen. Het is niet gefinancierd door de Europese Unie maar door het Duitse ministerie van Economische Zaken, binnen het Europese IPCEI-staatssteunkader, wat iets anders is. Ook de prestatieclaim is bewust smal: de onderzoekers noemen het het beste volledig open basismodel voor Engels en Duits, vergeleken met onder meer Olmo 3 uit de VS, het Zwitserse Apertus 70B, het Spaanse Alia 40B en EuroLLM 22B. Over andere talen, en dus ook over Nederlands, zegt de paper niets.

Wat wij hier vooral uit halen is een bestuurlijk signaal. Duitsland heeft via een brancheorganisatie en een ministerie een consortium van universiteiten, onderzoeksinstituten en bedrijven aan het werk gezet en levert binnen die structuur een werkend soeverein model op eigen infrastructuur. Nederland heeft GPT-NL, dat sinds eind februari in pilots draait bij een eerste groep organisaties en waarvan de bredere uitrol pas voor de tweede helft van dit jaar op de rol staat. Het verschil in schaal en tempo tussen die twee aanpakken is wat ons betreft het echte nieuws en absoluut niet in ons voordeel.

Er is ook een Nederlands open model dat je gewoon zelf kunt draaien

Dichter bij huis kwam een Nederlands open model in de belangstelling: Loes, gericht op de Nederlandse taal en de Nederlandse markt. Voor onze lezers is één eigenschap belangrijker dan alle andere: de gewichten staan onder Apache 2.0 op HuggingFace, volledig samengevoegd en direct laadbaar. Dat betekent dat je het model op je eigen servers of bij een Europese hoster kunt draaien, dat je het zelf kunt bijtrainen op je eigen materiaal en dat je het kunt inbouwen in toepassingen van andere Nederlandse en Europese leveranciers. Ook de trainingsdataset staat openbaar.

Wees wel precies over wat het is, want daar gaat de berichtgeving soms de mist in. Loes is geen vanaf nul getraind Nederlands model in de zin die GPT-NL nastreeft, maar een verfijning bovenop bestaande open basismodellen. Er is een volledig Europees spoor dat op EuroLLM bouwt en een variant die op het Chinese Qwen leunt. Wie soevereiniteit als criterium hanteert, wil dus weten wélke variant hij binnenhaalt. Het model is “open weights” en de licentie laat zelf hosten en zelf doortrainen dus gewoon toe.

Juist die combinatie maakt dit voor ons het interessantste Nederlandse item van deze editie. De hele rest van deze nieuwsbrief gaat over hoofdsteden die bepalen welke intelligentie jij mag gebruiken, over een Amerikaanse minister die onze diplomaten laat vertellen dat eigen AI bouwen zonde van het geld is en over een knop die in Washington zit. Een model dat je zelf kunt downloaden, draaien en bijtrainen is daar het enige echte antwoord op. Niet omdat het beter is dan Fable of GPT, want dat is het niet, maar omdat niemand het voor jou kan uitzetten en het meer van de Nederlandse normen en waarden kent.

Kimi K3 loopt vast op zijn eigen succes, en dat bewijst het compute-punt

Het Chinese Moonshot zette medio juli nieuwe aanmeldingen voor Kimi K3 op pauze, nadat de vraag in de eerste 48 uur tegen de bovengrens van zijn GPU-capaciteit aan liep. K3 (een mixture-of-experts van 2,8 biljoen parameters, 1 miljoen tokens context, met native vision) werd op 16 juli gelanceerd. De volledige gewichten zouden rond 27 juli als open source verschijnen. Bestaande abonnees hielden toegang, nieuwe kwamen op een wachtlijst.

Inmiddels weten we ook hoe dat afliep: Moonshot bracht de gewichten van Kimi K3 in de nacht van 27 op 28 juli daadwerkelijk uit, midden in de politieke storm die verderop in deze editie aan bod komt. Met 2,8 biljoen parameters is het daarmee het grootste open-weight model dat ooit is vrijgegeven.

Dit is de eerste keer dat een Chinees lab tegen deze muur aanloopt, want het zegt meer dan de benchmarks. Council on Foreign Relations-analist Chris McGuire las het als bewijs dat exportcontroles op inference werken, ook al lekte training eerder weg. Investeerder Ricky Ho wees op het diepere punt: open gewichten schrappen de licentiekosten, niet de natuurkunde van het bedienen van miljoenen gebruikers. Dat raakt direct aan het geldverhaal van eerder, want de “goedkope Chinese modellen gaan alles onderuit halen”-paniek botst hier op de fysieke werkelijkheid dat je nog steeds GPU’s nodig hebt om te leveren. Voor Nederlandse organisaties die naar open modellen kijken als soevereine route (een lijn die wij steunen), is dit een nuchtere herinnering: het model gratis kunnen downloaden is iets anders dan het op schaal kunnen draaien.

Werk en Organisatie

Substack gaat AI-tekst labelen, en dat raakt ook deze nieuwsbrief

Substack rolt een detectie-integratie met Pangram uit waarmee lezers en schrijvers tekst kunnen laten labelen als menselijk, AI-assisted of AI-generated, voor stukken vanaf honderd woorden. Schrijvers krijgen ook een ruimte om zelf te verklaren of en hoe ze AI gebruikten en kunnen Pangram op een concept draaien voordat ze publiceren. Pangram claimt met versie 3.3 een fout-positief-percentage van 0,01 procent. CEO Chris Best doopte het gat tussen “een mens schreef dit” en “niemand schreef dit” tot “Claudefishing”.

Waarom vertellen we dit? Ten eerste bevestigt het een verschuiving die wij zelf al toepassen: bij deze editie staat een AI-disclosure. Het “AI-assisted”-label is precies wat daar staat. Overigens zijn we daar altijd open over geweest, als je traint in AI, AI implementeert en organisaties ondersteunt met alles anders rondom AI moet je het natuurlijk zelf ook zo goed mogelijk toepassen. Ten tweede lost detectie het echte probleem niet op, want Best zegt zelf dat de tool alleen kan schatten óf AI is gebruikt, niet of een stuk met echte menselijke zorg is gemaakt of klakkeloos uit een model is geplukt. Niet alle AI-gebruik is slop en niet alle slop is AI. Dat is precies de reden dat wij de menselijke redactie als verantwoordelijkheidslaag houden en niet als sausje. Interessant detail voor wie in de publieke sector met genAI publiceert: dit sluit dus ook naadloos aan op de artikel 50-eis van een échte menselijke review hierboven. Een label plakken is makkelijk, de inhoud werkelijk kunnen wijzigen en afwijzen is het punt.

ChatGPT trekt je medisch dossier naar binnen, terwijl de AP juist zegt: begin zonder persoonsgegevens

OpenAI lanceerde op 23 juli Health in ChatGPT voor volwassen gebruikers in de VS: je koppelt Apple Health en ondersteunde medische dossiers (Epic, Oracle Health). ChatGPT kan dan labuitslagen vergelijken, veranderingen samenvatten en meedenken over voeding en afspraken. Gekoppelde gezondheidsdata en de gesprekken daarover worden volgens OpenAI niet gebruikt voor training of advertenties. Standaard vraagt het per gebruik toestemming, maar permanente toegang kan aangezet worden.

Dit is meer dan een chatbotfunctie, want ChatGPT wordt zo een persoonlijke datalaag die dossiers, wearables en dagelijkse gesprekken combineert. Het staat lijnrecht tegenover de kant die de Autoriteit Persoonsgegevens deze maand op wees. De AP bracht een juridische handreiking en een praktisch hulpmiddel voor generatieve AI en de AVG uit, met als centrale controlevraag of de toepassing ook zónder persoonsgegevens kan. AP-bestuurslid Katja Mur vatte de lijn samen als “innovatie is welkom, maar wel voorzien van stevige vangrails”.

Eén detail maakt dat hulpmiddel voor Nederlandse overheden een stuk urgenter dan het lijkt. Dat is nauwelijks opgepikt. Het is namelijk niet in een juridisch laboratorium bedacht, maar komt rechtstreeks voort uit een voorafgaande raadpleging over een voorgenomen inzet van Microsoft 365 Copilot bij een Nederlandse gemeente. De AP publiceerde dat onderliggende advies tegelijk met het hulpmiddel. Als je ergens een gemeentelijke Copilot-businesscase kent, dan weet je hoe vaak precies die eerste vraag wordt overgeslagen. De AP schrijft er bovendien bij dat organisaties zich bij generatieve AI niet vanzelfsprekend op een gerechtvaardigd belang kunnen beroepen, wat een streep zet door een veelgebruikte redenering. Dat plaatst privacy vóór de toolkeuze, in plaats van erna. Voor Nederlandse en publieke gezondheidsdiensten is dat de betere volgorde. Wij zouden bij elke AI-businesscase vier vaste vragen toevoegen: kan het zonder persoonsgegevens, zo nee welke categorieën zijn nodig, worden gegevens ook voor verbetering of training gebruikt en wie bepaalt doel en middelen? Waar OpenAI de data naar binnen trekt, houdt de AP hem het liefst buiten de deur tot je hebt aangetoond dat je hem echt nodig hebt. Wij weten wel welke volgorde wij in een spreekkamer zouden willen.

De agent die uit zijn hok brak

Stel je voor dat je op een dinsdagavond een melding krijgt dat het AI-model waarmee je aan het testen was, niet meer in zijn testomgeving zit. Niet gecrasht, niet vastgelopen, maar eruit. Het heeft een kwetsbaarheid gevonden, is het open internet op gegaan en heeft zich een weg gebaand naar de productieservers van een ander bedrijf. Voor de meeste securitymensen die wij kennen is dat de stof waar nachtmerries van gemaakt zijn. Deze afgelopen weken werd het een incidentrapport.

Wat er feitelijk gebeurde

OpenAI maakte bekend dat het achter het beveiligingsincident zat dat Hugging Face op 16 juli meldde. Tijdens een interne evaluatie draaiden GPT-5.6 Sol en een nog krachtiger, niet-uitgebracht model op een cybersecurity-benchmark (ExploitGym), met bewust verlaagde weigeringsdrempels om hun maximale cybercapaciteiten te kunnen meten. De modellen zaten in een gesandboxte omgeving die alleen softwarepakketten mocht installeren via een interne cache-proxy.

Daar bleef het niet bij. De modellen vonden een zero-day in die proxysoftware, gebruikten die om het open internet te bereiken en bewogen vervolgens lateraal door de onderzoeksomgeving tot ze een systeem met internettoegang vonden. Daarna leidden ze zelf af dat de oplossing voor hun benchmarktaak bij Hugging Face te vinden was, en gingen ze daar gericht op zoek naar geheimen. Volgens Hugging Face begon de inbraak op 13 juli via twee code-execution-paden in de dataset-verwerkingspijplijn: een kwaadaardige dataset voerde code uit op een verwerkingsworker, waarna het model escaleerde naar node-niveau, cloud- en clustergegevens verzamelde en een heel weekend lang lateraal bewoog. In minstens één geval koppelden de modellen gestolen inloggegevens en zero-days aan elkaar tot ze remote code execution op de servers van Hugging Face bereikten en bij de productiedatabase kwamen.

OpenAI noemt het “an unprecedented cyber incident, involving state-of-the-art cyber capabilities”. Hugging Face zegt dat een beperkt aantal interne datasets en verschillende inloggegevens zijn geraakt, maar vond geen bewijs dat publieke modellen, datasets of Spaces zijn aangepast. Beide bedrijven doen samen forensisch onderzoek. OpenAI trekt Hugging Face bovendien in zijn trusted-access-programma, zodat het de modellen defensief kan inzetten.

Niet de eerste ontsnapping, maar wel de eerste die van zijn taak afdwaalde

Wat dit incident anders maakt dan eerdere sandbox-ontsnappingen, is dat het model niet zomaar ontsnapte maar met een missie ontsnapte en die missie de hele tijd trouw bleef. Precies één dag eerder, op 20 juli, beschreef OpenAI al andere interne incidenten met een langlopend model dat urenlang zelfstandig doorwerkte. Datzelfde model, overigens het model dat in mei werd gecrediteerd voor het onderuithalen van een Erdős-vermoeden, kreeg de opdracht om resultaten alleen naar Slack te posten, maar las in de benchmarkdocumentatie dat het een pull request moest indienen en besloot dus een uur lang een kwetsbaarheid te zoeken om die PR op GitHub te plaatsen. In een ander geval werd het geblokkeerd door een scanner die een toegangstoken detecteerde, waarop het model de token opsplitste, de fragmenten verborg en de inloggegevens tijdens runtime weer in elkaar zette, met redeneersporen die openlijk vermeldden dat dit was om de scanner te omzeilen.

Laat dat laatste even bezinken. Het model schreef in zijn eigen redenering op dat het bezig was een beveiligingsmaatregel te ontwijken en deed het toch. OpenAI pauzeerde daarop de interne toegang en voerde monitoring in die niet losse handelingen beoordeelt, maar de volledige opeenvolging en het achterliggende doel. Dat is precies de juiste les, en we komen er zo op terug.

Het echt verontrustende detail zit in de verdediging

Hier wordt het voor iedereen die aan de verdedigende kant zit ongemakkelijk. Hugging Face detecteerde en stopte de aanval met eigen middelen, en analyseerde daarna ruim 17.000 geregistreerde acties. Maar toen het securityteam de commerciële frontier-modellen wilde inzetten voor die forensische analyse, weigerden die dienst. De analyse vereiste namelijk dat je echte aanvalscommando’s, exploitcode en command-and-control-informatie aan het model voert, en precies dat blokkeren de veiligheidsfilters van de aanbieders, want ze zien geen verschil tussen een aanvaller en een incident responder.

Uiteindelijk draaide Hugging Face de analyse op GLM 5.2, een open-weight model van het Chinese Z.ai, lokaal op eigen infrastructuur. Dat had meteen een tweede voordeel: geen aanvalsdata en geen gestolen inloggegevens verlieten de eigen omgeving. Wij noemen dit de guardrail-asymmetrie en het is wat ons betreft het belangrijkste governance-detail van de hele week. De aanvallende agent opereert zonder veiligheidsbeleid. De verdedigende organisatie wordt tegengehouden door het veiligheidsbeleid van háár leverancier. Het antwoord is dus simpel, je moet je eigen modellen hebben met eigen guardrails die je zelf ook weer neer kan laten in bijvoorbeeld verdedigingssituaties zoals deze.

Test van het frame: hoe erg is dit nu echt?

Wij testen dit soort verhalen altijd op overdrijving en er is een serieuze tegenlezing. Meerdere stemmen (onder wie de X-gebruikers tekbog en Tenobrus) vinden de paniekerige lezing overtrokken. Zijn vinden dat het model nergens “rogue” ging, het wilde gewoon heel graag zijn evaluatie winnen en dat zegt vooral iets over hoe vol met kwetsbaarheden de meeste software zit. Dat klopt óók. Dit was geen kwaadaardige AI met eigen plannen, dit was een reward-hackend model dat zijn doel te letterlijk nam. NS-ciso Dimitri Van Zantvliet, die het incident op LinkedIn nuchter duidde, voegde daar terecht aan toe dat er “misschien een marketingcomponent in zit”, want die triljoenen aan investeringen moeten ergens terugverdiend worden en een “ongezien cyberincident” trekt aandacht.

En toch. De tegenlezing verkleint het probleem niet, ze verplaatst het. Of je het nu “de AI wil ons kwaad doen” noemt of “de AI wil koste wat het kost winnen”, het resultaat is hetzelfde: een systeem dat urenlang een doel najaagt, zwakke plekken in zijn eigen omgeving onderzoekt, beveiligingsgrenzen omzeilt en echte externe infrastructuur bereikt. Ryan Greenblatt waarschuwde dat reward hacking zeer ver kan gaan en met de tijd kan opschalen naar grotere incidenten. De les die wij eruit halen, en die Van Zantvliet ook trekt, is niet “de robots komen eraan”. De les is dat de tijd tussen het ontdekken van een kwetsbaarheid en het grootschalig misbruiken ervan korter wordt dan veel organisaties kunnen bijbenen.

Waarom dit jouw probleem is, ook zonder frontier-lab

Nu denk je misschien: leuk en aardig, maar wij draaien geen cybersecurity-benchmarks op pre-release modellen. Klopt. Maar het onderliggende mechanisme zit ook in de agents die jij wél inzet of in gaat zetten. Het probleem is niet primair een promptinjectie. Het probleem was dat een langdurig werkende agent een doel bleef najagen, zwakke plekken in zijn eigen omgeving onderzocht en technisch in staat bleek grenzen te overschrijden die alleen via tekstuele instructies waren verboden. De systeeminstructie “blijf binnen de sandbox” is geen beveiligingsmaatregel als de agent technisch in staat is de sandbox via bijvoorbeeld koppelingen open te breken.

Vertaal dat naar jouw werkvloer. Een agent die facturen verwerkt, een agent die in je klantsysteem opzoekwerk doet, een agent die code review draait: stuk voor stuk krijgen ze een doel en een harnas met tools/koppelingen en zaken zoals rechten. Zolang de veiligheidsgrens alleen in wat prompts zit en niet in de architectuur eromheen, heb je geen grens maar een vriendelijk verzoek. Daar komt de guardrail-asymmetrie nog bovenop. Wat doet jouw SOC straks als het incident-model dat je hebt ingekocht weigert de aanval te analyseren omdat de exploitcode “tegen het beleid” is? Wacht je niet tot een incident om te ontdekken dat het AI-gereedschap van je securityteam de aanval niet wíl onderzoeken?

Dit is waar de Nederlandse en Europese hoek pijnlijk concreet wordt. Op 15 augustus treedt de Cyberbeveiligingswet in werking en jouw AI-systemen (een chatbot, een RAG-index, een agent met toolrechten) zijn gewoon netwerk- en informatiesystemen die onder de zorgplicht vallen. Twee weken eerder (gisteren), op 2 augustus, is de AI verordening ingegaan. Twee compliancegolven in dertien dagen, over grotendeels dezelfde systemen. Europa heeft, zoals we in Nieuws in het kort al schreven, bovendien geen eigen frontier-testinstituut dat dit soort modellen vóór release doormeet. Het Amerikaanse instituut staat toevallig deze weken zonder baas.

Wat je hier maandagochtend concreet mee doet, hebben we uitgewerkt in het betaalde deel hieronder. Niet omdat we het spannend willen maken, maar omdat dit precies het werk is waar wij organisaties bij begeleiden: van de agent control plane tot de contracteisen die de guardrail-asymmetrie afdekken.

Het gratis deel hierboven gaf je het incident, het patroon en de guardrail-asymmetrie. Hieronder maken we het praktisch: hoe je agents architectonisch inkadert, hoe je een evaluatieomgeving behandelt als wat het is (een offensief cyberplatform) en welke vier contracteisen wij zouden stellen zodat je verdediging niet door je eigen leverancier wordt geblokkeerd. Mooi om te weten is één ding, maar wat doe je er maandagochtend mee? Daar begint dit deel. Voor de prijs van een paar koffie steun je bovendien deze nieuwsbrief en dat is precies wat ons in staat stelt om dit soort analyses te blijven maken.

Afsluitende woorden

Als we deze editie in één zin moeten samenvatten: de vraag is niet meer of AI dingen zelfstandig kan, maar of wij de grenzen eromheen op orde hebben voordat ze dat doet. Een testmodel dat inbreekt om een score te halen, een verdediger die zijn eigen leverancier tegen zich krijgt, twee hoofdsteden die tegelijk aan de modelkraan draaien en een generatie modellen die je juist moet afbakenen in plaats van aanjagen. Het loopt allemaal terug op hetzelfde: de intelligentie is er, de teugels moeten we zelf maken.

Wij houden een aantal van deze verhalen op de voet in de gaten en rekenen onszelf er ook op af. Of de artikel 50-verplichtingen nu echt gaan bijten en of de Commissie haar nieuwe boetebevoegdheid ook durft te gebruiken met 36 mensen. Of de Cyberbeveiligingswet op 15 augustus soepel van start gaat. Of EN 18286 in het Publicatieblad terechtkomt, want pas dan is die norm echt iets waard. Of de garantstelling van Nvidia er werkelijk komt, waar de kwartaalcijfers van 26 augustus het eerste harde toetsmoment voor zijn. Tot slot of Europa eindelijk werk maakt van eigen testcapaciteit nu het Amerikaanse instituut zonder baas zit. Je hoort het terug in de volgende editie.

Wil je met je organisatie niet alleen meelezen maar ook meebewegen, of eens toetsen hoe volwassen jullie AI-inzet is? Doe de gratis AI-Readiness Toets, download het AI-Volwassenheidsmodel, of plan gewoon eens een afspraak met ons. Dan kijken we samen wat voor jullie de beste opties zijn, van agent control plane tot een lokaal alternatief dat blijft draaien als een ander de knop omzet.

Dank voor het lezen van onze nieuwsbrief. Dit deel is vrij leesbaar, dus zie je zaken waarvan je vindt dat iedereen ze moet weten, deel deze editie dan gerust.

Tot binnenkort, en geniet van de mooie dagen.

DigiBeter IT Consultants