AI veran­dert momen­teel vrijwel elk aspect van het techno­lo­gie­land­schap. Deze trans­for­matie is nergens ingrij­pender of dringender dan bij cyber­se­cu­rity. AI staat vandaag centraal, zowel aan de kant van aanval­lers als van verde­di­gers, en versnelt de wapen­wed­loop tussen cyber­cri­mi­nelen en de organi­sa­ties die hen proberen tegen te houden. Doordat de ontwik­ke­lingen elkaar razend­snel opvolgen, wordt innova­tie­ver­mogen een cruciale factor om de natio­nale veilig­heid en de concur­ren­tie­kracht te beschermen.

Het is daarom bemoe­di­gend om te zien dat regel­ge­vende instan­ties, zoals recen­te­lijk de EU, stappen onder­nemen om hun strenge beleid ten aanzien van AI aan te passen. Krach­tige bescher­mings­maat­re­gelen moeten blijven bestaan, maar het is net zo belang­rijk om innovatie mogelijk te maken die onze veilig­heid helpt waarborgen. Daarbij moet worden gezorgd dat de ‘vangrails’ die het publiek beschermen niet de techno­lo­gieën aantasten die hen verdedigen.

AI ontwikkelt zich snel, wet- en regelgeving van oudsher niet

Een van de grootste uitda­gingen voor beleids­ma­kers is dat de AI-ontwik­ke­lingen zeer snel gaan, maar dat wet- en regel­ge­ving dit tempo niet bij kan houden. Daarbij geldt boven­dien dat als wet- en regel­ge­ving erin slaagt om een inhaal­slag te maken, aanval­lers zich zelden – eigen­lijk nooit – aan de regels houden.

Er is tientallen jaren aan bewijs die deze claim onder­steunt. Zo proberen overheden over de hele wereld de drugs­handel te reguleren en te bestrijden. Crimi­nele organi­sa­ties gaan echter gewoon door met hun praktijken omdat ze zich niks van de regels aantrekken. Cyber­cri­mi­nelen en door staten gesteunde aanval­lers gedragen zich niet anders. Ze houden zich niet aan ethische kaders, tijde­lijke verboden of inter­na­ti­o­nale overeenkomsten. 

Dit betekent echter niet dat AI verder moet ontwik­keld worden zonder enige vorm van toezicht. Toen geneti­sche modifi­catie praktisch mogelijk werd, hebben de VS het gebruik ervan geregu­leerd om medische doorbraken mogelijk te maken en tegelij­ker­tijd het risico op misbruik te beperken. Dezelfde balans is nu ook nodig: sterke bescher­mings­maat­re­gelen, duide­lijke standaarden en ethische kaders die innovatie mogelijk maken en tegelij­ker­tijd misbruik tegen­gaan. We mogen er niet van uitgaan dat die bescher­mings­maat­re­gelen de dreigingen echt zullen terug­dringen. Net daarom is het cruciaal dat de innovatie aan defen­sieve kant niet vertraagt.

De cyberwapenwedloop is nucleair geworden

Cyber­se­cu­rity is altijd al een wapen­wed­loop geweest, maar AI heeft de snelheid en omvang van die wapen­wed­loop funda­men­teel veran­derd. AI-bedrijf Anthropic meldde onlangs het eerste gedocu­men­teerde geval van een groot­scha­lige cyber­aanval die groten­deels via AI werd uitge­voerd. Hierbij gebruikten cyber­cri­mi­nelen AI niet alleen als ‘denkhulp’, maar ook om de cyber­aanval zelf te orkestreren.

Met de modellen die vandaag beschik­baar zijn kunnen aanval­lers in hoog tempo kwets­baar­heden opsporen, geavan­ceerde en sterk geper­so­na­li­seerde phishing-aanvallen genereren, volle­dige digitale ecosys­temen automa­tisch in kaart brengen en openbare data misbruiken om boodschappen te creëren die nauwe­lijks nog te onder­scheiden zijn van legitieme communicatie.

Verde­di­gers kunnen AI natuur­lijk ook inzetten om detectie, corre­latie, triage en respons aanzien­lijk te verbe­teren. Moderne cloud-cyber­se­cu­ri­ty­plat­forms combi­neren AI steeds vaker met groot­scha­lige dataver­wer­king om enorme hoeveel­heden securi­ty­tele­me­trie van endpoints, netwerken, identi­teiten en cloud­wor­kloads te verwerken en te analy­seren. Hierbij is het belang­rijk dat de AI-modellen zo veel mogelijk worden getraind met echte opera­ti­o­nele teleme­trie i.p.v. synthe­ti­sche samples. Zo kunnen teams snel en nauwkeurig afwij­kingen identi­fi­ceren, events in verschil­lende omgevingen met elkaar corre­leren en automa­tisch bepalen wat hun directe aandacht vereist. In de praktijk fungeert AI als een ‘force multi­plier’ voor Security Opera­tions Centers (SOC) door een snellere analyse, slimme priori­te­ring en een nauwkeu­ri­gere respons­ac­ties mogelijk te maken.

Het belang­rijkste is dat beide zijden in sneltempo vooruit­gaan. Maar zodra AI-innovatie wordt afgeremd of ingeperkt – hoe goed bedoeld ook – komen cyber­se­cu­rity-teams op achter­stand te staan, terwijl aanval­lers gewoon verder versnellen. AI-innovatie beperken via regel­ge­ving is dus geen neutrale ingreep, maar werkt ongewild in het voordeel van de aanval­lers.De koers­wij­zi­ging van de 

EU is belangrijk

Dit maakt de recente voorstellen van de EU zo noemens­waardig. Europa heeft tradi­ti­o­neel gezien een strenge techno­lo­gie­re­gu­le­ring. Zo is de Algemene Veror­de­ning Gegevensbescherming(AVG)wereldwijd een voorbeeld geworden voor de bescher­ming van privacy en belooft de AI Act hetzelfde te doen voor AI-techno­logie. In een recent voorstel wil de Europese Commissie de AVG-beper­kingen vereen­vou­digen, bureau­cratie vermin­deren en elementen van de AI Act versoe­pelen. Het voorstel laat zien dat Europese regel­ge­vers zich reali­seren dat overre­gu­le­ring innovatie kan belem­meren. Europa heeft juist deze innovatie nodig om wereld­wijd te kunnen concur­reren én om veilig te blijven. 

Natuur­lijk laat de EU de bescher­mings­maat­re­gelen niet los: privacy en grond­rechten blijven een centraal uitgangs­punt. Tegelijk erkent Europa dat toegang tot data essen­tieel is voor het trainen van veilige en doeltref­fende AI-modellen, dat veilig­heids­maat­re­gelen praktisch en werkbaar moeten blijven, dat bedrijven nood hebben aan duide­lijk­heid en flexi­bi­li­teit om te kunnen innoveren en dat Europa niet het risico mag lopen dat tegen­stan­ders sneller vooruit­gang boeken.

Dit is geen deregu­le­ring. Dit is moder­ni­se­ring. Het is precies die houding die toelaat om AI verant­woord te ontwik­kelen zonder aan veilig­heid in te boeten.

Balans tussen veiligheid en innovatie met de snelheid van data

Om zich effec­tief te kunnen verde­digen tegen AI-gerela­teerde dreigingen, moeten overheden en leiders van techno­lo­gie­be­drijven zich aanpassen aan het tempo van AI-ontwik­ke­lingen. Regel­ge­ving kan alleen effec­tief blijven als deze even snel mee ontwik­kelt. Beleidma­kers en bedrijven die markt­lei­ders zijn moeten samen­werken om ervoor te zorgen dat bescher­mings­maat­re­gelen gelijke tred houden met innovatie. Als aanval­lers opereren met de snelheid van data, moeten verde­di­gers en het beleid dat hen onder­steunt dat ook. 

Beleids­ma­kers moeten burgers blijven beschermen, privacy waarborgen en ethische normen handhaven. Maar ze moeten ook een simpele waarheid onder ogen zien: veilig­heid vereist innovatie en innovatie kan niet floreren als deze wordt belem­merd door verou­derde of te traag evolu­e­rende regel­ge­ving. De verschui­ving binnen Europa is een veelbe­lo­vend teken dat regel­ge­vers dit begrijpen. Nu is het moment voor overheden, techno­lo­gie­le­ve­ran­ciers en security-leiders om samen te werken en AI zo te ontwik­kelen dat vooruit­gang en veilig­heid hand in hand blijven gaan.