Van de organisaties die de afgelopen drie jaar met een soevereiniteitsvraagstuk te maken kregen, moest 81 procent formeel bewijs van controle leveren. Hoewel 82 procent erop vertrouwt dat te kunnen, haalt 26 procent het hoogste niveau in een nieuwe index van IBM. AI-gerelateerde problemen zijn de meest genoemde uitdaging.
IBM publiceerde het onderzoek onder de titel Proof, Not Promises: The Digital Sovereignty Index. De Index brengt in kaart in hoeverre organisaties controle houden over vier pijlers: AI, technologie, bedrijfsvoering en data. Daarbij kijkt het onderzoek ook of organisaties die controle kunnen aantonen wanneer omstandigheden veranderen of afhankelijkheden onder druk komen te staan. Het onderzoek is gebaseerd op een internationale enquête onder 2.003 senior beslissers, aangevuld met 25 interviews met beleidsmakers, toezichthouders en experts, inzichten van 17 klantvertegenwoordigers uit vijf landen en een analyse van 27 bronnen, waaronder wetgeving, standaarden en academisch onderzoek.
Van de ondervraagde organisaties kreeg 94 procent de afgelopen drie jaar te maken met minstens één uitdaging rond digitale soevereiniteit. Voorbeelden zijn problemen bij AI-leveranciers, conflicterende regelgeving, verstoringen bij leveranciers, exportcontroles en problemen met datatoegang. Van die groep moest 81 procent formeel bewijs van controle aanleveren aan toezichthouders, klanten, auditors of interne belanghebbenden.
Zes dimensies
De Index beoordeelt organisaties op zes onderdelen. Verantwoordelijkheid gaat over de vraag wie waarvoor verantwoordelijk was, traceerbaarheid over het kunnen reconstrueren van wat er gebeurde. Bij beheersing draait het om bewijs dat ingestelde controles werkten, bij interventie om de reactie en het herstel. Legitimiteit meet of organisaties beslissingen onder kritisch toezicht kunnen uitleggen. Uitstapmogelijkheden gaan over het aantonen dat een organisatie van leverancier kan wisselen of de bedrijfsvoering kan herstellen.
Volgens IBM zit het probleem meestal niet in ontbrekende controle, maar in het ontbreken van een aanpak om die controle onder druk snel aan te tonen. Slechts 33 procent van de respondenten test regelmatig of dat lukt, bijvoorbeeld als onderdeel van governance- en controleprocessen.
AI meest genoemde uitdaging
AI-gerelateerde problemen zijn met 44 procent de meest genoemde uitdaging. Het gaat om onjuiste AI-resultaten, beperkte uitlegbaarheid, storingen bij modellen of leveranciers en tekortkomingen in governance. Daarna volgen formele audits of toezicht door regelgevers (38 procent), wijzigingen bij belangrijke leveranciers (35 procent), problemen met toegang tot of overdracht van data (33 procent) en overheidsbeperkingen zoals exportcontroles en sancties (30 procent).
Emmanuel Frenehard, Chief Digital Officer bij Sanofi, stelt dat digitale soevereiniteit geen afvinklijst voor compliance is, maar een onderdeel van de bedrijfsvoering. Nu AI verder in organisaties wordt geïntegreerd, is het volgens Frenehard voor de continuïteit van belang om rekening te houden met de verschillende aspecten ervan.
Vertrouwen en praktijk lopen uiteen
Gemiddeld 82 procent van de respondenten heeft veel tot zeer veel vertrouwen in het kunnen aantonen van digitale soevereiniteit. Slechts 26 procent bereikt het hoogste niveau van de Index. Organisaties in die categorie lossen hun grootste soevereiniteitsuitdaging vaker op zonder grote verstoringen van de bedrijfsvoering: 52 procent, tegenover 22 procent bij organisaties die hun bewijsvoering nog opbouwen.
Regelmatig testen maakt daarbij verschil. Van de koplopers test 63 procent regelmatig of continu of zij soevereiniteit kunnen aantonen. Bij organisaties die hun bewijsvoering opbouwen is dat 29 procent, bij organisaties in de beginfase 9 procent.
De knelpunten zijn vooral operationeel. Ruim de helft (56 procent) noemt het handmatig verzamelen van bewijs of de tijd die dat kost als belemmering. Een vergelijkbaar deel (53 procent) wijst op versnippering van bewijs over teams en systemen, afhankelijkheid van derden voor het aanleveren van gegevens en verouderde systemen of uiteenlopende standaarden. De helft geeft aan dat controles, herstelprocedures en mogelijkheden om van leverancier te wisselen onvoldoende zijn getest.
Jonathan Adashek, Senior Vice President en Chief Global Affairs Officer bij IBM, geeft aan dat bestuurders moeten kunnen laten zien hoe zij zich aanpassen, hun strategie wijzigen of overstappen naar een andere kritieke leverancier wanneer een bedrijfsrisico uitgroeit tot een soevereiniteitsvraagstuk. Volgens Adashek is de volgende stap niet meer governance of regelgeving, maar sterker bewijs dat bestaande governance werkt. Hij noemt daarbij het testen van overstapmogelijkheden, inzicht in kritieke afhankelijkheden en aandacht voor de onderdelen waar controleverlies de grootste gevolgen heeft.
Het volledige rapport is te lezen via Proof, Not Promises: The Digital Sovereignty Index.
