Datasoevereiniteit is een complexer vraagstuk dan op het eerste gezicht lijkt. Het gaat namelijk om veel meer dan alleen de theoretische ‘kill-switch’ — het scenario waarin een overheid besluit dat een leverancier plotseling niet meer mag leveren — of het risico dat een overheid toegang eist tot gevoelige data. Een cruciaal, maar vaak onderschat aspect is de vendor lock-in: wanneer een organisatie volledig afhankelijk wordt van één leverancier, stijgen de kosten vaak exponentieel terwijl de mogelijkheid om over te stappen naar een alternatief verdwijnt.
Open Source biedt op al deze punten een potentieel antwoord, al is dit niet zonder risico’s. Natuurlijk kan de ondersteuning voor een Open Source project plotseling wegvallen, maar dat risico bestaat bij propriëtaire software in gelijke mate; bedrijven kunnen simpelweg failliet gaan. Bovendien vereist een volledig Open Source-strategie doorgaans meer interne expertise om het beheer en de continuïteit te waarborgen.
Een specifiek risico binnen het Open Source-ecosysteem is de overname van projecten door grote commerciële spelers. Denk aan de overnames van MySQL en Java door Oracle, of recenter de overname van DuckDB door AWS. In dergelijke gevallen gebruik je in feite opnieuw software van een tech-gigant. Hoewel de data technisch gezien soeverein blijft — omdat deze op een Europees datacenter van een Europees bedrijf staat — ontstaat er een nieuwe kwetsbaarheid: de softwareondersteuning. Mocht een leverancier besluiten om bugfixes en enhancements voor Europese gebruikers te staken, dan is Europa gedwongen om razendsnel te reageren door een eigen ‘fork’ van de software te starten.
Tegenover deze softwarekeuzes staat een infrastructurele afhankelijkheid die nauwelijks wordt benoemd: de dominantie van platformen. Vrijwel alle Open Source-projecten worden gehost op GitHub, een dochteronderneming van Microsoft. De vraag is wat de impact zou zijn als de toegang tot GitHub plotseling wordt afgesloten. Hoewel er Europese alternatieven bestaan, is de community rondom die platformen nog nauwelijks ontwikkeld.
Deze systemische afhankelijkheid strekt zich uit tot de nieuwste technologieën. Wanneer we ons realiseren dat we voor AI grotendeels afhankelijk zijn van spelers als OpenAI en Anthropic (Claude), rijst de vraag wat we doen als deze diensten onbereikbaar worden. Is het alternatief het gebruik van Chinese AI? Dit zijn fundamentele strategische problemen waar we op dit moment nog geen sluitende antwoorden op hebben.
Op papier streven we naar datasoevereiniteit, maar in de praktijk staan we nog aan de startlijn. We zitten gevangen in een cyclus van eindeloos overleggen, gevoed door een managementlaag die de overstap naar autonomie als te complex beschouwt. Deze koudwatervrees is paradoxaal; we zijn bang voor de complexiteit van de oplossing, terwijl we blindelings accepteren dat onze data en processen in handen zijn van partijen waar we nul controle over hebben. Soevereiniteit begint niet bij de software, maar bij de beslissing om te stoppen met praten en te beginnen met bouwen. Zoals ik in het begin stelde: datasoevereiniteit is complexer dan op het eerste gezicht lijkt, maar de eerste stap naar die autonomie is verrassend eenvoudig.
Eerder gepubliceerd op Medium (nederlands).