Artificiële Intelligentie & Recht
Innovation, Quantum-AI Technology & Law
0

Blog over Kunstmatige Intelligentie, Quantum, Deep Learning, Blockchain en Big Data Law

Blog over juridische, sociale, ethische en policy aspecten van Kunstmatige Intelligentie, Quantum Computing, Sensing & Communication, Augmented Reality en Robotica, Big Data Wetgeving en Machine Learning Regelgeving. Kennisartikelen inzake de EU AI Act, de Data Governance Act, cloud computing, algoritmes, privacy, virtual reality, blockchain, robotlaw, smart contracts, informatierecht, ICT contracten, online platforms, apps en tools. Europese regels, auteursrecht, chipsrecht, databankrechten en juridische diensten AI recht.

Berichten in AI Recht
Portretrecht voor de stem: de Japanse leidraad en het Europese etiket
Portretrecht voor de stem: de Japanse leidraad en het Europese etiket

Japan bracht op 7 augustus 2026 de menselijke stem uitdrukkelijk onder de bescherming van zijn publiciteits- en portretrechten. Het definitieve rapport van het ministerie van Justitie verheldert wanneer ongeautoriseerd stemgebruik inbreuk kan maken op die rechten: wie zonder instemming een herkenbare stem door AI laat klonen en daarmee inkomsten genereert, kan civielrechtelijk aansprakelijk zijn, waarbij herkenbaarheid, de mate van stemgelijkenis en de context van het gebruik de beoordeling dragen. Een menselijke imitator die open is over wie hij nadoet, zal die toets doorgaans doorstaan. De juridische techniek valt op: een interpretatieve, niet-bindende leidraad op bestaande rechtspraak, verankerd in het Pink Lady-arrest van 2012 over de klantaantrekkende kracht van beroemdheden.

Leidraad tegenover etiket

Europa reguleert dezelfde technologie met een ander instrument. Sinds 2 augustus 2026 verplicht AI Act artikel 50 aanbieders om synthetische audio machineleesbaar te markeren en deepfakes kenbaar te maken; voor systemen die eerder al op de markt waren geldt voor de markeringsplicht een overgangstermijn tot 2 december 2026. Dat etiket vertelt de luisteraar dát een stem kunstmatig is; over de vraag of die stem er had mogen zijn, zwijgt de verordening. De toestemmingsvraag ligt daarmee bij het nationale recht van de lidstaten, en juist daar wordt het voor Nederland interessant.

Het Nederlandse lappendeken

Artikel 21 Auteurswet beschermt het gezicht, en de Hoge Raad erkende in het Cruijff-arrest de verzilverbare populariteit van bekende personen. De stem valt daar naar de letter buiten: een portret is een afbeelding. Bescherming loopt vandaag via de onrechtmatige daad en via de AVG, die een herkenbare stem als persoonsgegeven behandelt en pas als biometrisch gegeven wanneer de verwerking op unieke identificatie is gericht. Dat regime raakt in de praktijk vooral de gebruiker van een kloon; de positie van de modelaanbieder, overleden stemmen en de commerciële waarde van een stem blijven onderbelicht. De Japanse leidraad en het METI-aansprakelijkheidshandboek adresseren alle drie, telkens als factorafhankelijke beoordeling.

Vijf vragen voor de praktijk

Het artikel vertaalt de vergelijking naar een beslisinstrument voor mediabedrijven, marketingteams en inkopers van voice-AI: van gedocumenteerde toestemming voor stemklonen tot de vrijwarings- en trainingsdataclausules in het leverancierscontract, met de menselijke inzet, van stemacteurs tot telefoonfraude bij ouderen, als maatstaf voor waarom dit dossier haast heeft.

Meer lezen
AI Recht, AI GovernanceMauritz Kopportretrecht, stemklonen, AI Act, publiciteitsrechten, AVG, AI-aansprakelijkheid, deepfakes
When Science Policy Becomes Law: The White House Report "Science: A New Golden Age" and the Genesis Mission, Seen from Europe
When Science Policy Becomes Law: The White House Report "Science: A New Golden Age" and the Genesis Mission, Seen from Europe

In July 1945, Vannevar Bush handed President Truman "Science: The Endless Frontier." The manifesto is what people remember; what endured was the legal machinery that followed: most directly the National Science Foundation statute, and later, through separate statutes and administrative practice, the funding conditions that governed university research for generations. In July 2026 the White House Office of Science and Technology Policy published "Science: A New Golden Age," a report to the President by OSTP Director Michael Kratsios that deliberately echoes Bush's title and form. This analysis reads the new report the way Bush's deserved to be read at the time: as a preview of the legal instruments that will follow it.

A report with legal edges

The report asks for reproducibility, transparency, and falsifiability to become working conditions of federal science funding, and its flagship Genesis Mission, launched by executive order in November 2025, connects the Department of Energy's seventeen national laboratories, an initial two dozen partner organizations, and an American Science Cloud of AI-ready federal datasets into one discovery engine. Machinery of that size generates contract questions faster than it generates papers. Who owns the outputs of a foundation model trained on national-laboratory data? Under which license does AI-ready federal data reach a commercial partner, and who answers for machine-generated error that fails downstream? The public record answers less of this than the announcements suggest, and the gap is where counsel will spend the next two years.

Watching from Europe

European organizations watch this build-out with a rulebook already in force on their own side, from the EU AI Act transparency duties that apply since August 2026 to the trigger-specific data rules of the Data Act. Which of these instruments actually reaches a U.S.-linked AI-for-science collaboration, which arrives later through procurement clauses and standards obligations, and why the report's quantum thread points at the next mission-scale build: the full analysis walks through each, with a watch-list for counsel advising research-intensive organizations this year.

Meer lezen
AI Recht, AI GovernanceMauritz KopAI Act, AI-beleid, Genesis Mission, quantum governance, wetenschapsbeleid, AI for science, data governance
Na 17.000 machinehandelingen begint het juridische incidentdossier
Na 17.000 machinehandelingen begint het juridische incidentdossier

Een aanval die bleef doorwerken

Hugging Face meldde op 16 juli 2026 een cyberincident dat volgens het bedrijf van begin tot eind door een autonoom agentsysteem werd uitgevoerd. Een kwaadaardige dataset misbruikte twee code-executiepaden in de dataverwerking. Daarna volgden toegang op nodeniveau, het verzamelen van credentials en laterale beweging door interne clusters. Het bedrijf reconstrueerde meer dan 17.000 gebeurtenissen uit de aanvallerslog. Hugging Face vond geen aanwijzingen dat openbare modellen, datasets, Spaces of de software supply chain waren gemanipuleerd.

De melding laat één belangrijk gat open: het gebruikte taalmodel is niet bekend. Dat is juridisch gezond. Een autonome campagne bestaat uit een model, een uitvoeringsharnas, tools, accounts, kwetsbare software en toegekende bevoegdheden. Wie meteen een modelmerk aanwijst, slaat de causale keten over. De verdedigende kant gebruikte eveneens AI: Hugging Face analyseerde de logs lokaal met een open-weight model, omdat commerciële API's echte aanvalspayloads blokkeerden en omdat credentials en aanvallersdata zo binnen de eigen omgeving bleven.

Vier routes, vier verschillende vragen

Het label AI-incident bepaalt nog geen meldplicht. Artikel 55 AI Act richt zich op aanbieders van general-purpose AI-modellen met systeemrisico en noemt adversarial testing, risicobeheersing, incidentdocumentatie en cyberbeveiliging. Artikel 73 ziet op aanbieders van high-risk AI-systemen en koppelt melding aan wettelijk omschreven ernstige gevolgen. Wanneer een onderzoeksingreep het systeem zo zou wijzigen dat latere oorzaakevaluatie wordt beïnvloed, moet de aanbieder de bevoegde autoriteiten daar vooraf over informeren; deze regel blokkeert onmiddellijke containment of noodzakelijke correctie niet.

NIS2 beoordeelt significante incidenten bij entiteiten die binnen haar sectorale scope vallen. De Nederlandse Cyberbeveiligingswet is inmiddels gepubliceerd en treedt op 15 augustus 2026 in werking; zij vervangt dan de Wbni. De AVG kijkt naar een inbreuk in verband met persoonsgegevens en het risico voor betrokkenen. Contracten kunnen al bij gestolen credentials of ongeautoriseerde toegang een melding eisen. Eén technisch incident kan daardoor verschillende klokken starten, met andere adressaten en drempels. De gedeelde tijdlijn moet vastleggen wanneer een team iets zag, wat het toen wist en waarom een route wel of niet is geactiveerd.

Van actielog naar controleerbaar bewijs

Een machine kan duizenden gebeurtenissen snel samenvatten. Een toezichthouder heeft daarnaast bronlogs, tijdstempels, systeem- en modelversies, accountrechten, beslissingen en resterende onzekerheden nodig. De ruwe feiten en de interpretatie horen in afzonderlijke lagen. Wie alleen de door een model geschreven tijdlijn bewaart, kan later niet meer aantonen welke gebeurtenis is weggelaten of verkeerd verbonden. Forensisch bewijsbehoud omvat daarom ook de versie en configuratie van het verdedigende model.

Een overdraagbaar incidentdossier verbindt per gebeurtenis de actor, bevoegdheid, getroffen component, bronlog, impact, juridische route, maatregel en externe melding. Die structuur maakt onderscheid tussen de aanvallende agent, het verdedigende analysemodel en een eventueel getroffen AI-product. Zij maakt ook zichtbaar wie een agent kon stilzetten en welke leverancier toegang tot de relevante logs had. De juridische arbeid begint dus op het moment dat de technische reconstructie snel genoeg lijkt.

Meer lezen
AI Recht, AI Governance, CybersecurityMauritz KopAI Act, AI-agenten, cyberincident, NIS2, AVG, incidentrespons, GPAI
Dezelfde software, een andere AI Act-datum
Dezelfde software, een andere AI Act-datum

Drie routes voor hoog risico

Verordening (EU) 2026/1744, het Digitale Omnibus over AI, is op 24 juli 2026 gepubliceerd en trad op 27 juli in werking. De wijziging geeft delen van het high-risk regime twee verschillende toepassingsdata. Voor AI-systemen die via artikel 6, lid 2, en Annex III als hoog risico gelden, gaan hoofdstuk III, afdelingen 1, 2 en 3, vanaf 2 december 2027 gelden. Voor AI die via artikel 6, lid 1, onder Annex I valt, is dat 2 augustus 2028. De rechtstreekse Section A-route vereist dat AI een gereguleerd product of veiligheidscomponent is én dat een conformiteitsbeoordeling door een derde verplicht is. Machines zijn naar Section B verplaatst: daar gelden slechts enkele AI Act-bepalingen rechtstreeks en worden de materiële eisen via de Machineverordening ingevoerd. AI Act-classificatie hangt af van beoogd doel, gebruikscontext en de precieze productrechtelijke route.

Uitstel geldt per bepaling

De AI Act is als geheel niet opnieuw uitgesteld. Hoofdstukken I en II gelden in hoofdzaak sinds februari 2025, de GPAI-regels sinds augustus 2025 en transparantieverplichtingen hebben een eigen spoor. De Omnibus bepaalt bovendien dat aanbieders van bepaalde vóór 2 augustus 2026 op de markt gebrachte systemen voor synthetische audio, beelden, video of tekst uiterlijk 2 december 2026 de nodige stappen voor artikel 50, lid 2, zetten. Hoofdstuk VII, het governancekader van de AI Act, geldt sinds 2 augustus 2025. De vanaf 27 juli 2026 geldende artikelen 102 tot en met 110 zijn slotbepalingen die sectorale EU-wetgeving wijzigen. Een planning met één algemene “AI Act-datum” kan daarom verplichtingen missen die al lopen of eerder ingaan.

Het portfolio wordt het bewijs

Bedrijven hebben een versiegebonden portfoliokaart nodig. Die noemt per toepassing het beoogde doel, de gebruikers, Annex III-categorieën, relevante Annex I-wetgeving, plaatsing in Section A of B, model- en productversie, eerste marktintroductie en triggers voor herbeoordeling. Artikel 111 maakt ontwerpwijzigingen belangrijk: een significante verandering kan een bestaand high-risk systeem onder de volledige verplichtingen brengen. Contracten horen daarom te benoemen wie classificeert, wie technische informatie levert en wie nieuw gebruik of een ontwerpwijziging meldt. Een algemene leveranciersbelofte over compliance biedt daarvoor te weinig houvast. De high-risk implementatieroute moet herleidbaar blijven tot één functie, configuratie en datum, zodat inkopers, toezichthouders en getroffen personen kunnen zien welke waarborgen al gelden.

Meer lezen
AI Recht, AI Act, AI GovernanceMauritz KopAI Act, Digital Omnibus, hoog-risico AI, Annex III, Annex I, productrecht, AI governance
De energierekening van AI krijgt een juridisch adres
De energierekening van AI krijgt een juridisch adres

Van model naar meter

Op 22 juli 2026 presenteerde het Amerikaanse Department of Energy de eerste geselecteerde projecten van de Genesis Mission. AI, nationale laboratoria en energieonderzoek kwamen daar zichtbaar in één programma samen. Voor Europa is dat vooral een bruikbare spiegel. Een AI-model bestaat juridisch vaak als software of dienst, terwijl het fysiek draait op accelerators, opslag, netwerken en koeling. De elektriciteitsrekening van het datacenter vertelt nog niet welk deel bij één model, klant of antwoord hoort. Training, finetuning en inferentie hebben verschillende belastingsprofielen; ook de keuze tussen chip, server of heel gebouw als meetgrens verandert de uitkomst. AI-energieverbruik wordt daardoor pas betekenisvol wanneer modelversie, hardware, rekenlocatie, meetperiode en systeemgrens erbij staan.

Twee Europese meetlagen

Europa heeft al een fysieke meetlaag. Artikel 12 van de Energie-efficiëntierichtlijn verlangt gegevens over de energieprestaties van datacenters. Gedelegeerde Verordening (EU) 2024/1364 werkt de indicatoren uit voor datacenters met een geïnstalleerd IT-vermogen van ten minste 500 kW, waaronder energie, water, temperatuur, hergebruik van restwarmte en hernieuwbare energie. De Europese databank maakt geaggregeerde beoordeling mogelijk. Deze route kijkt naar de exploitant en de locatie. De AI Act legt een tweede laag bij het model: GPAI-aanbieders moeten technische documentatie bijhouden, waarbij bijlage XI ook bekend of geschat energieverbruik noemt. Hoofdstuk V geldt sinds 2 augustus 2025; aanbieders van modellen die al vóór die datum op de markt waren, hebben volgens artikel 111, lid 3, tot 2 augustus 2027 om te voldoen. Artikel 53, lid 2, bevat daarnaast onder voorwaarden een uitzondering voor bepaalde vrije en opensource-GPAI zonder systeemrisico. Een datacenterrapport en een modelschatting sluiten alleen op elkaar aan wanneer de betrokken partijen dezelfde meetgrens en allocatiemethode gebruiken.

Het contract verbindt de keten

Een energiebijlage bij een AI- of cloudcontract kan vastleggen welke partij de gebouwmeter, rekentaak en gebruikslogs beheert. Zij benoemt training, finetuning en inferentie afzonderlijk; maakt zichtbaar welke waarden gemeten of geschat zijn; registreert hardware- en locatieveranderingen; en regelt audit, bewaartermijnen en correctie van duurzaamheidsclaims. Dat is ook van belang voor publieke inkoop en netcongestie. Schaarse capaciteit raakt gemeenten, netbeheerders, burgers en kleinere marktpartijen, terwijl gedetailleerde belastingprofielen vertrouwelijk of beveiligingsgevoelig kunnen zijn. Een goede regeling scheidt openbare indicatoren van auditgegevens en klantgebonden toerekening. Zo krijgt de juridische meetketen voor AI één verantwoordelijke partij zonder technisch gevoelige informatie onnodig openbaar te maken.

Meer lezen
AI Recht, AI Governance, EnergieMauritz KopAI Act, energie, datacenters, GPAI, aanbesteding, netcongestie, AI governance
Wie krijgt de afgeleide neurodata? Het recht achter commerciële herseninterfaces
Wie krijgt de afgeleide neurodata? Het recht achter commerciële herseninterfaces

Van hersensignaal naar gegevensketen

Op 13 juli 2026 kreeg een patiënt met een dwarslaesie in het Huashan Hospital in Shanghai een geïmplanteerde hersen-computerinterface. Volgens China Daily was dit de eerste implantatie nadat het Chinese NEO-systeem in maart als klasse III-hulpmiddel markttoelating kreeg. Het implantaat leest epidurale EEG-signalen, een algoritme vertaalt die naar motorische bedoelingen en een pneumatische handschoen ondersteunt de hand. Het systeem maakt uit één meting meerdere gegevensobjecten: een gefilterd signaal, een bewegingslabel, een apparaatcommando, een persoonlijk kalibratieprofiel en prestatiegegevens voor kliniek of fabrikant. Onder de AVG kunnen die stromen gezondheidsgegevens, biometrische gegevens of gewone persoonsgegevens zijn. Afgeleide neurodata vragen daarom per gegevensstroom om een eigen kwalificatie, doel, bewaartermijn en ontvangerslijst.

Twee Europese toelatingsroutes komen samen

Een actief implantaat dat een beperking compenseert valt in Europa in beginsel onder de Medical Device Regulation. De AI Act komt daar via artikel 6, lid 1, bij wanneer de decoder een product of veiligheidscomponent onder de MDR is en een beoordeling door een derde vereist; die productgebonden hoog-risicoroute geldt na de Digital Omnibus on AI van juni 2026 vanaf 2 augustus 2028. Inkoop in 2026 moet al rekening houden met modeldocumentatie, logs en wijzigingsrechten, omdat die gegevens achteraf zelden betrouwbaar zijn te reconstrueren. Toestemming voor de ingreep beantwoordt bovendien niet de AVG-vraag of ziekenhuis of leverancier kalibratiegegevens later voor productverbetering of hertraining mag gebruiken.

Een contract moet de afleiding vasthouden

Een praktische neurodatabijlage benoemt per stroom de bron, inferentie, doelbinding, AVG-kwalificatie, ontvangers, bewaartermijn, modelversie en herstelroute. Portabiliteit hoort daarbij: een patiënt moet van leverancier kunnen wisselen zonder jaren persoonlijke kalibratie te verliezen. De nieuwe EU-richtlijn productaansprakelijkheid, die lidstaten uiterlijk 9 december 2026 omzetten, behandelt software en functioneel verbonden digitale diensten als onderdelen van de veiligheidsketen voor producten die vanaf 9 december 2026 op de markt komen of in gebruik worden genomen. De contractuele neurodataketen verbindt patiëntinformatie met technische bewijsstukken en afspraken over hertraining, beveiligingsupdates, audit, incidentmelding en exit. Patiënt, arts, auditor en toezichthouder moeten kunnen achterhalen wat uit het signaal is afgeleid en waarom het apparaat daarna handelde.

Meer lezen
AI Recht, Privacy, AI GovernanceMauritz Kopneurodata, brain-computer interface, AI Act, AVG, medische hulpmiddelen, productaansprakelijkheid, AI governance
De stille verkeersleider: AI-toezicht op quantumfoutcorrectie
De stille verkeersleider: AI-toezicht op quantumfoutcorrectie

Een veiligheidslaag die bijna niemand ziet

In een klassiek seinhuis grepen stangen en sloten fysiek in elkaar voordat een spoorwegsein op groen kon. Twee conflicterende rijwegen konden daardoor niet tegelijk worden vrijgegeven. Quantumfoutcorrectie heeft een verwante functie. Een quantumcomputer meet foutpatronen, waarna een decoder onder hoge tijdsdruk kiest welke correctie nodig is. NVIDIA publiceerde op 13 juli 2026 dat een machine-learningdecoder voor color codes in één specifieke testconfiguratie een logical error rate van circa 1/347,7 van die van Chromobius behaalde, met een gemelde runtimeverbetering van 7,3×. Die cijfers zijn leveranciersresultaten, gebonden aan codeafstand, fysieke foutkans en testopstelling. Toch is de bestuursvraag nu concreet: zodra AI in deze stille veiligheidslus terechtkomt, moeten kopers weten welke versie besliste en onder welke ruisveronderstellingen zij is getest.

De AI Act begint bij de juiste kwalificatie

Een neuraal netwerk in een technische stack valt niet automatisch onder alle regels voor hoog-risico-AI. Beoogd gebruik, marktrol, productvorm en sector bepalen de route. Als de decoder wel als hoog-risicosysteem kwalificeert, sluiten artikelen 9, 12, 15, 17 en 72 van de AI Act opvallend goed aan. Zij verbinden risicobeheer met vooraf bepaalde testdrempels, logging, kwaliteitsbeheer, robuustheid, cyberveiligheid en monitoring gedurende de levenscyclus. Voor AI-toezicht op quantumfoutcorrectie betekent dat dat een recordscore nooit los mag raken van model, hardware, codeafstand, ruisprofiel, latency en foutverdeling. De Cyber Resilience Act, NIS2 en DORA kunnen daarnaast relevant zijn, afhankelijk van product- en sectorscope.

Inkoop moet de veranderlijke component vasthouden

NVIDIA stelt modelgewichten, trainingsrecepten, synthetische-datahulpmiddelen en een trainingspipeline openbaar beschikbaar. Dat helpt onderzoek en reproductie, maar open code levert geen automatische onafhankelijke validatie. Een werkbaar dossier koppelt de prestatieclaim aan code, model, compiler en hardware; bewaart testdata en onzekerheden; legt incidentdrempels en logs vast; verdeelt wijzigingsrecht en hertestkosten; en regelt migratie naar een andere leverancier. Vooral die laatste stap telt. Een decoder kan diep vergroeien met het ruisprofiel en de interfaces van één processorarchitectuur. Quantumdecoder governance vraagt daarom om exporteerbare logs, gedocumenteerde koppelingen en een contractuele plicht om na relevante updates opnieuw te testen. Zo blijft een onzichtbare technische laag leesbaar voor inkoper, auditor en toezichthouder.

Meer lezen
AI Recht, Quantumrecht, AI GovernanceMauritz KopAI governance, quantumfoutcorrectie, quantumcomputing, AI Act, cybersecurity, inkoop, logging
Een ijkmerk voor AI: nauwkeurigheid van demo tot toezicht
Een ijkmerk voor AI: nauwkeurigheid van demo tot toezicht

Een score krijgt pas betekenis door haar maatstaf

Op een marktplein werd een weegschaal pas vertrouwd nadat zij met een bekend gewicht was beproefd en verzegeld. Bij AI ontbreekt zo'n zichtbaar ijkmerk. Een leverancier presenteert 92 procent nauwkeurigheid, een inkoper neemt het getal over in een offerte en enkele maanden later draait een gewijzigde versie op een andere populatie. De Europese AI Act behandelt nauwkeurigheid daarom als een verklaarde systeemeigenschap. Zodra de hoog-risicoregels toepasselijk zijn — vanaf 2 december 2027 voor zelfstandige systemen en 2 augustus 2028 voor systemen in gereguleerde producten — moeten het relevante niveau en de gebruikte maatstaven in de gebruiksinstructies staan, samen met omstandigheden die de verwachte prestatie beïnvloeden. AI-nauwkeurigheid hoort bij een taak, dataset, drempel, versie en meetmoment.

Een hoog gemiddelde kan zeldzame maar ernstige fouten verbergen. In een test met 10.000 dossiers en 100 fraudegevallen scoort een model dat ieder dossier als niet-frauduleus aanmerkt 99 procent accuracy en toch 0 procent recall voor fraude. Bij krediet, zorg, werk en publieke dienstverlening dragen fout-positieven en fout-negatieven verschillende gevolgen. De leverancier meet op modelniveau; de betrokken burger ervaart de fout als een afwijzing, extra controle of gemiste toegang.

Consumentenclaim en zakelijk contract vragen elk hun grondslag

Het FTC-voorstel van 7 juli 2026 ziet primair op verborgen objectiefsturing en onderscheidt die ontwerpkeuze van gewone technisch veroorzaakte hallucinaties. In de EU gelden productvereisten, informatieplichten en levenscyclustoezicht voor hoog-risico-AI. De Richtlijn oneerlijke handelspraktijken begrenst consumentgerichte claims; zakelijke inkoop vraagt daarnaast een eigen contractuele analyse van prestatieverklaringen, garanties, wijzigingen en remedies. Een algemene belofte van “industry-standard accuracy” zegt weinig wanneer basismodel, databron of gebruik veranderen. Modeldrift in contracten wordt concreet zodra partijen vastleggen wanneer een oude claim ophoudt te gelden.

De demo begint een meetgeschiedenis

Artikel 72 verlangt voor de betrokken hoog-risicosystemen, zodra die regels volgens het genoemde tijdpad toepasselijk zijn, een post-market monitoringsysteem dat prestatiegegevens gedurende de levensduur actief en systematisch verzamelt en analyseert. Een versieregister, toepassingsbereik, referentiedataset, drempelwaarden en incidenten vormen samen een geschiedenis die inkoper, auditor, rechter of toezichthouder kan lezen. Een patiënt, werknemer, student of ondernemer moet kunnen achterhalen welke versie hem beoordeelde en welke foutmarge daarbij hoorde. Marktvertrouwen groeit uit leesbare beperkingen: de nauwkeurigheidsclaim blijft geloofwaardig zolang meetmethode, versie en menselijke gevolgen samen worden bewaard.

Meer lezen
AI Recht, AI Governance, ComplianceMauritz KopAI Act, AI-nauwkeurigheid, AI governance, modeldrift, procurement, misleidende handelspraktijken, post-market monitoring
Als tijd bewijs wordt: quantumveiligheid in het AI-toezichtdossier
Als tijd bewijs wordt: quantumveiligheid in het AI-toezichtdossier

Waarom de klok juridisch wordt

Een AI-dossier rust op volgorde: wanneer is een model gewijzigd, wanneer kwam een waarschuwing binnen, wanneer is een besluit herzien? Zodra tijdsignalen, certificaten of oude encryptie twijfel oproepen, wordt quantumveiligheid een vraag van bewijs. Voor AIRecht is dat de praktische brug tussen AI Act logging, privacy, aanbesteding en post-quantum cryptografie. De klok onder het dossier bepaalt of een organisatie later nog kan uitleggen wat er precies is gebeurd.

Van PQC-standaard naar bestuursdossier

NIST heeft post-quantum cryptografie met FIPS 203 en verwante standaarden concreet gemaakt, terwijl cloudpartijen migratiepaden voor CISO's en leveranciers beschrijven. Daarmee verschuift het onderwerp naar contracten, auditrechten, technische documentatie en leverancierstesten. Een onderneming die hoog-risico AI inkoopt, moet weten welke sleuteluitwisseling, handtekening, tijdstempel, logopslag en back-up onder het systeem liggen. Anders blijft het compliancepakket afhankelijk van infrastructuur die later zijn bewijskracht kan verliezen.

Wat inkopers nu moeten zien

De relevante vraag is niet alleen of een leverancier “quantum-safe” zegt te zijn. Bestuurders, juristen en inkopers moeten vragen naar cryptografische inventaris, migratieplanning, tijdsynchronisatie, incidentmeldingen en bewijs van testmomenten. Zeker bij krediet, zorg, HR, publieke dienstverlening en fraudedetectie hebben logs en persoonsgegevens een lange levensduur. Ook bewijs over menselijke tussenkomst en modelupdates moet later nog leesbaar zijn. Een compacte quantumveilig toezichtdossier-review verbindt daarom AI Act-documentatie, privacybewaartermijnen, PQC-migratie en contractclausules in één leesbare route, zodat burgers, bedrijven en toezichthouders later niet afhankelijk zijn van een zwarte doos of een vergeten certificaatketen.

Publieke bronnen zijn geraadpleegd op 8 juli 2026, waaronder de EU AI Act, NIST PQC-publicaties, AWS post-quantum migratiegidsen en privacyanalyse rond post-quantum cryptografie. De kern is eenvoudig: AI-governance wordt pas overtuigend wanneer het onderliggende bewijs, inclusief tijdstempels en certificaten, de levensduur van het besluit kan dragen. Dat vraagt geen paniek over quantumcomputers, maar wel contractuele en organisatorische discipline voordat oude systemen en archieven vastlopen.

Meer lezen
AI Recht, Quantum Governance, ComplianceMauritz Koppost-quantum cryptografie, AI Act, quantum governance, PNT, tijdstempels, toezichtdossier, procurement
Quantum-AI vraagt om een dubbel technisch dossier
Quantum-AI vraagt om een dubbel technisch dossier

Waarom dit nu telt

Quantum-AI-systemen zijn niet langer alleen een onderzoeksmotief. Zodra een AI-dienst een quantumprocessor, quantumsimulator, quantum sensor of quantum-geïnspireerde optimalisatielaag gebruikt, verandert de documentatievraag. De koper wil niet alleen weten welke data, modelkeuzes en toezichtmaatregelen bij het AI-systeem horen. Hij wil ook weten wat het quantumdeel precies doet, onder welke meetcondities het is getest, en of de prestatieclaim reproduceerbaar is buiten de demonstratieomgeving.

Het dubbele dossier

De EU AI Act maakt die vraag scherper. Voor hoog-risico AI-systemen draait technische documentatie om risicobeheer, logging, nauwkeurigheid, robuustheid, cybersecurity en menselijk toezicht. Een quantumcomponent ontsnapt daar niet aan. Zij voegt een tweede bewijsvlak toe: hardware of simulator, ruis, kalibratie, meetherhaling, foutmarge, backend-wijzigingen en de grens tussen quantum-geïnspireerde code en echt quantumgebruik. Zonder dat tweede vlak kan een systeem juridisch netjes lijken terwijl een beslissende technische laag onleesbaar blijft.

De actuele onderzoekslijnen laten zien waarom dit geen theoretische luxe is. Quantumalgoritmen voor thermal-state preparation, quantum-versterkte federated learning en industriële quantumroadmaps brengen AI, sensoren, privacy en hardwareprestaties dichter bij elkaar. Voor Europese procurement betekent dat: vraag niet alleen of een leverancier AI Act-ready is, maar welk bewijs hij geeft voor de quantumlaag. De kern is technische documentatie voor quantum-AI: welke rol speelt het quantumdeel, welke prestatie is geclaimd, wie valideert die claim en wat gebeurt er na een hardware- of modelwijziging? Juist die laatste vraag hoort al in de aanbesteding, omdat een backendwissel of herkalibratie de betrouwbaarheid van het hele systeem kan raken.

Contractuele vertaling

Een bruikbaar dossier heeft vijf velden: rolafbakening, meet- en testbewijs, data- en privacyrouting, wijzigingsbeheer en contractuele verantwoordelijkheid. Die velden halen de magie uit de verkooptaal zonder de technologie kleiner te maken dan zij is. AIRecht vertaalt zulke claims naar due diligence, compliance en contracttaal: niet als brede strategiepresentatie, maar als leesbaar dossier voor legal, procurement, security en productmanagement. Juist bij frontiertechnologie is sober bewijswerk vaak de beste bescherming tegen overdreven claims.

Meer lezen
AI Recht, Quantum Governance, ComplianceMauritz KopQuantum-AI, EU AI Act, technische documentatie, quantum governance, procurement, compliance
Quantumveilig is nog geen lekvrij: ML-KEM als inkoop- en auditvraag
Quantumveilig is nog geen lekvrij: ML-KEM als inkoop- en auditvraag

De vraag na de standaard

ML-KEM is inmiddels een vaste naam in post-quantum migratie. NIST FIPS 203 geeft organisaties een herkenbaar anker voor sleuteluitwisseling in een wereld waarin klassieke cryptografie onder druk komt te staan. Toch begint de juridische vraag pas na de keuze voor de standaard. Een nieuwe studie naar hardware-implementaties wijst op mogelijke power- en elektromagnetische leakage bij de Fujisaki-Okamoto-verificatiestap in ML-KEM. Voor bestuurders, inkopers en juristen betekent dit dat post-quantum cryptografie niet alleen een algoritmebesluit is, maar ook een bewijsprobleem rond ontwerp, testen en leveranciersinformatie. De kernvraag wordt eenvoudiger en scherper: welke productvariant voert de standaard uit, en hoe weet de klant dat die uitvoering niet via het apparaat zelf informatie prijsgeeft?

Waarom dit in contracten thuishoort

Een leverancier kan "quantum-ready" zeggen en toch weinig prijsgeven over de concrete implementatie. Dat is te mager voor organisaties die AI-systemen, modelgewichten, medische data, broncode, identiteitsmiddelen of lang bewaarde auditlogs beschermen. Zij moeten weten welke productvariant ML-KEM gebruikt, welke hardware- en firmwarepaden zijn getest, welke side-channel maatregelen zijn genomen en wat er gebeurt na een update. De nuttige vraag is dus niet alleen of NIST-standaarden op de roadmap staan. De vraag is welk bewijs de klant krijgt wanneer de veiligheid afhangt van chips, HSM's, edge-apparaten, compilerkeuzes en onderhoud. Daarmee hoort ML-KEM niet alleen bij security architecture, maar ook bij aanbesteding, garanties, meldplichten en vendor reviews.

Een bestuurbare auditroute

De praktische route is sober. Bouw per systeem een matrix met vijf velden: toepassing van ML-KEM, fysieke of logische blootstelling, side-channel testbewijs, contractuele garantie en resterende onzekerheid. Die matrix past naast bestaande AI Act-, NIS2-, privacy- en leveranciersdossiers. AIRecht koppelt dit aan een vaste AI- en quantumgovernance brief voor organisaties die hun cryptografische inventaris, ML-KEM leveranciersvragen en contractclausules brongebonden willen toetsen. Zo wordt ML-KEM leveranciersbewijs geen technisch bijschrift, maar een normaal onderdeel van inkoop, audit en bestuursverantwoording. De winst zit niet in grote woorden over quantumveiligheid, maar in betere vragen voordat een contract, firmwareversie of cloudcomponent te diep in de organisatie vastzit.

Meer lezen
AI Recht, Quantum Governance, ComplianceMauritz KopML-KEM, post-quantum cryptografie, AI governance, quantum governance, inkoop, audit, side-channel
De cryptografische inventaris wordt een bestuursdossier
De cryptografische inventaris wordt een bestuursdossier

Waarom dit nu bestuurlijk wordt

Post-quantum cryptografie is geen abstract laboratoriumonderwerp meer voor ondernemingen die AI-, cloud- en datadiensten inkopen. De Amerikaanse overheid heeft de migratie naar quantumveilige cryptografie omgezet in uitvoeringswerk, NIST werkt aan aanpassingen voor PIV-identiteitsstandaarden en leveranciers zullen steeds vaker moeten uitleggen welke algoritmen, certificaten en sleutelketens zij gebruiken. Voor Nederlandse organisaties is de praktische vraag welke afhankelijkheden zij delen met dezelfde cloud-, identity- en AI-infrastructuur, en welke gegevens nog gevoelig zijn wanneer quantumcapaciteit verder opschuift.

Wat de inventaris zichtbaar maakt

Dit artikel behandelt post-quantum cryptografie als bestuursdossier. De kern is een inventaris die bestuur, legal, security en inkoop samen kunnen lezen: welke gegevens blijven lang gevoelig, welke systemen beschermen AI-logs of modelgewichten, welke contracten noemen migratie of crypto-agility, en welke leverancier kan zijn routekaart bewijzen? Die inventaris is juridisch relevant omdat veel moderne complianceplichten draaien om aantoonbaarheid. Een AI-governanceprogramma dat technisch dossier, logging en risicobeheer serieus neemt, moet ook weten of het bewijs zelf cryptografisch houdbaar blijft.

De post legt een brug tussen NIST-standaarden, Amerikaanse PQC-uitvoering, IBM's quantumroadmap en bestaande AIRecht-thema's rond quantum governance en due diligence. De verrassend nuchtere conclusie is dat de eerste goede maatregel geen futuristische voorspelling is. Zij is een lijst: algoritmen, certificaten, systemen, leveranciers, bewaartermijnen, eigenaars en ontbrekende antwoorden. Zodra die lijst bestaat, kan het bestuur prioriteren zonder te vervallen in quantumhype of schijnzekerheid. Dat maakt het onderwerp bruikbaar voor contractonderhandelingen, auditcommissies en technische teams die anders langs elkaar heen praten.

Van leveranciersvraag naar dossier

Voor AIRecht-lezers ligt de commerciële waarde in een compacte review van AI- en quantumgovernance: een vaste briefing die cryptografische inventaris, leveranciersclausules, AI-bewijsstukken en bestuursvragen naast elkaar legt. Zo krijgt post-quantum migratie een controleerbare plek binnen AI Act-, cyber-, privacy- en contractgovernance. De bijdrage eindigt met concrete leveranciersvragen en een klein bestuurskader waarmee organisaties kunnen beginnen zonder hun hele securityprogramma opnieuw uit te vinden, juist bij lopende cloud- en AI-inkoop en nieuwe leveranciersreviews.

Meer lezen
AI Recht, Quantum Governance, ComplianceMauritz Koppost-quantum cryptografie, AI governance, quantum governance, cyber security, EU AI Act, bestuursdossier