AI voor overheid en onderwijs? zo voorkom je dat compliance innovatie vertraagt

AI biedt enorme kansen voor overheden, onderwijsinstellingen en andere organisaties die grote hoeveelheden informatie verwerken. Denk aan intelligente zoekfuncties, digitale assistenten en applicaties die medewerkers helpen om sneller en beter onderbouwd beslissingen te nemen.

De techniek is daarbij vaak niet het grootste obstakel. Een werkend AI prototype kunnen we tegenwoordig verrassend snel realiseren. De echte uitdaging ontstaat wanneer zo’n prototype moet uitgroeien tot een veilige, schaalbare en verantwoord ingerichte productieapplicatie.

Want waar wordt de data verwerkt? Wie heeft toegang? Worden prompts en antwoorden opgeslagen? Kan de verwerking binnen Europa plaatsvinden? En hoe voorkom je dat gevoelige informatie via een onbeveiligde API sleutel toegankelijk wordt?

Dat zijn vragen die je niet pas vlak voor de lancering moet stellen.

Van experiment naar productieomgeving

Tijdens de ontwikkeling van een AI applicatie voor een klant uit het onderwijs liepen we bij Coffee IT precies tegen deze vraagstukken aan.

In de eerste fase maakten we gebruik van Google AI Studio. Dat is een toegankelijke omgeving waarmee ontwikkelaars snel kunnen experimenteren met AI modellen en prompts. Ideaal om een concept te onderzoeken en te valideren, maar niet automatisch de juiste keuze voor iedere zakelijke productieomgeving.

Omdat de applicatie binnen het onderwijs wordt gebruikt, moesten we rekening houden met strengere eisen rondom privacy, gegevensverwerking, toegangsbeheer en governance. Daarom zijn we samen met de klant overgestapt naar Vertex AI, eveneens onderdeel van Google Cloud.

Die overstap gaf ons veel meer controle over de technische en organisatorische inrichting van de AI toepassing.

De locatie van AI verwerking doet ertoe

Bij applicaties die persoonsgegevens, vertrouwelijke documenten of organisatiegegevens verwerken, is het belangrijk om te weten waar gegevens worden opgeslagen én waar de daadwerkelijke AI verwerking plaatsvindt.

Vertex AI biedt de mogelijkheid om de regio waarin AI verwerking plaatsvindt expliciet te configureren. Hierdoor kan de verwerking binnen Europese regio’s worden ingericht, mits het gekozen model en de gebruikte configuratie dit ondersteunen.

Daarbij is een belangrijke nuance nodig. Niet ieder model en niet iedere functionaliteit is in iedere Europese regio beschikbaar. Ook betekent het gebruik van een Europees cloudproject niet automatisch dat alle AI verzoeken binnen Europa worden verwerkt.

De gekozen regio, het model, de gebruikte endpoint en de configuratie moeten op elkaar aansluiten.

Daarom controleren we bij Coffee IT per toepassing onder meer:

• Welke gegevens naar het AI model worden gestuurd

• Of deze gegevens persoonsgegevens of vertrouwelijke informatie bevatten

• Waar de gegevens worden opgeslagen

• Waar de AI verwerking plaatsvindt

• Of het gekozen model beschikbaar is binnen de gewenste regio

• Welke logging en bewaartermijnen actief zijn

Een vinkje bij Europa is dus niet voldoende. De volledige gegevensstroom moet kloppen.

Europese verwerking is niet hetzelfde als GDPR compliance

Dat gegevens binnen Europa worden verwerkt, is belangrijk, maar maakt een applicatie niet automatisch volledig GDPR compliant.

De GDPR gaat onder andere over het doel van de verwerking, de hoeveelheid verzamelde gegevens, bewaartermijnen, beveiliging, transparantie, rechten van betrokkenen en afspraken met verwerkers.

Voor een verantwoorde AI applicatie moet daarom niet alleen naar de locatie van de servers worden gekeken. Ook de volgende vragen zijn relevant:

• Is er een geldige grondslag voor de verwerking?

• Is duidelijk welke gegevens naar het model worden gestuurd?

• Kunnen persoonsgegevens vooraf worden verwijderd of geanonimiseerd?

• Is er een verwerkersovereenkomst met de leverancier?

• Welke subverwerkers zijn betrokken?

• Hoe lang worden prompts, antwoorden en logbestanden bewaard?

• Worden gegevens gebruikt voor het trainen of verbeteren van modellen?

• Kunnen betrokkenen hun privacyrechten uitoefenen?

De techniek kan veel mogelijk maken, maar de organisatie blijft verantwoordelijk voor de manier waarop persoonsgegevens worden verwerkt.

Geen losse API sleutels in een productieapplicatie

Een ander belangrijk verschil tussen een experiment en een productieapplicatie is de manier waarop toegang tot het AI platform wordt geregeld.

Tijdens een prototype wordt regelmatig met een statische API sleutel gewerkt. Dat is eenvoudig, maar brengt risico’s met zich mee. Een sleutel kan per ongeluk in broncode, logbestanden of configuratiebestanden terechtkomen. Bovendien is het lastiger om precies te bepalen welke applicatie of medewerker welke handelingen mag uitvoeren.

Vertex AI ondersteunt Google Cloud Identity and Access Management. Daarmee kunnen organisaties werken met service accounts, rollen en fijnmazige toegangsrechten.

Je kunt bijvoorbeeld instellen dat een bepaalde applicatie uitsluitend een specifiek model mag aanroepen, terwijl beheerders uitgebreidere rechten hebben. Toegang kan zo volgens het principe van minimale rechten worden ingericht.

Wanneer een applicatie vanuit een andere cloudomgeving communiceert, kan authenticatie bovendien via federatieve identiteiten worden ingericht. Daardoor hoeven geen langdurig geldige sleutels tussen verschillende omgevingen te worden uitgewisseld.

Dat maakt de omgeving veiliger en beter beheersbaar.

Logging, monitoring en kostenbeheersing

Een AI applicatie moet niet alleen veilig zijn. Je wilt ook begrijpen wat er gebeurt.

Hoe vaak wordt het model aangeroepen? Welke fouten ontstaan? Hoe lang duurt een antwoord? Welke gebruiker of applicatie heeft een verzoek uitgevoerd? En wat kost het gebruik per afdeling, klant of functionaliteit?

Een zakelijke omgeving zoals Vertex AI biedt mogelijkheden voor:

• Centrale logging en monitoring

• Beheer van rollen en toegangsrechten

• Inzicht in verbruik en kosten

• Schaalbaarheid bij toenemend gebruik

• Scheiding tussen ontwikkel, test en productieomgevingen

• Controle over modellen, configuraties en releases

Dit lijkt misschien technisch, maar het heeft directe invloed op de betrouwbaarheid van de applicatie. Zonder goede monitoring kan een onverwachte stijging in gebruik bijvoorbeeld leiden tot hoge kosten of verminderde beschikbaarheid.

Voor overheden gelden vaak aanvullende eisen

Voor overheidsorganisaties spelen naast de GDPR vaak aanvullende normen, beleidskaders en aanbestedingseisen.

Denk aan eisen rondom informatiebeveiliging, archivering, transparantie, leveranciersbeheer, digitale soevereiniteit en de uitlegbaarheid van geautomatiseerde processen. Ook de Europese AI regelgeving kan van toepassing zijn, afhankelijk van het doel en het risicoprofiel van de toepassing.

Daarom beginnen we bij Coffee IT niet direct met het selecteren van een AI model.

We beginnen met de context:

• Voor wie is de applicatie bedoeld?

• Welke beslissingen worden met AI ondersteund?

• Welke gegevens worden verwerkt?

• Kan de AI invloed hebben op rechten, toegang of dienstverlening?

• Moet een medewerker het resultaat altijd controleren?

• Welke eisen gelden voor de organisatie en haar leveranciers?

Pas daarna bepalen we welke technische inrichting en welk model passend zijn.

Regelgeving hoeft innovatie niet af te remmen

Regelgeving hoeft innovatie niet tegen te houden. Het zorgt er vooral voor dat organisaties bewustere keuzes moeten maken.

Een AI prototype kan nog steeds snel worden gebouwd en getest. Het is alleen belangrijk om vooraf te bepalen welke onderdelen tijdelijk zijn en welke eisen gelden voordat de applicatie daadwerkelijk door medewerkers, inwoners, leerlingen of klanten wordt gebruikt.

Bij Coffee IT zijn we enthousiast over de mogelijkheden van AI. Juist voor overheden, onderwijsinstellingen en maatschappelijke organisaties kan AI zorgen voor toegankelijkere dienstverlening, minder administratief werk en snellere toegang tot kennis.

Maar enthousiasme moet samengaan met verantwoordelijkheid.

Een goede AI applicatie bestaat daarom niet alleen uit een slim model. Het is een combinatie van een sterke gebruikerservaring, veilige software, passende infrastructuur, duidelijke governance en bewuste omgang met data.

Van werkend prototype naar betrouwbare applicatie

De overstap van Google AI Studio naar Vertex AI binnen dit klantproject laat zien hoe een AI traject zich in de praktijk kan ontwikkelen.

Je begint met het valideren van een idee. Vervolgens kijk je wat nodig is om het concept veilig en beheersbaar in de praktijk te brengen. Soms betekent dit dat je voor de productieomgeving andere keuzes maakt dan tijdens het eerste experiment.

Dat is geen beperking van innovatie. Dat is volwassen softwareontwikkeling.

Coffee IT helpt organisaties bij het ontwerpen en ontwikkelen van AI applicaties die niet alleen indrukwekkend zijn tijdens een demonstratie, maar ook veilig, schaalbaar en verantwoord gebruikt kunnen worden in de echte wereld.

Heb je als overheid, onderwijsinstelling of andere organisatie plannen voor een AI applicatie? Betrek privacy, beveiliging en gegevenslocatie dan vanaf de eerste ontwerpkeuzes bij het traject. Daarmee voorkom je dat een succesvol prototype later volledig opnieuw moet worden opgebouwd.

Dit artikel is bedoeld als praktische toelichting en vormt geen juridisch advies.

‍