9 juni 2026: Anthropic lanceert Claude Fable 5 — het meest geavanceerde AI-model ooit beschikbaar gesteld voor algemeen gebruik, state-of-the-art op bijna alle benchmarks, met grote sprongen in software engineering, kenniswerk en wetenschappelijk onderzoek. Drie dagen later, op 12 juni om 17:21 ET, ontvangt Anthropic een exportcontrolebevel van de Amerikaanse overheid: alle toegang voor buitenlandse onderdanen moet onmiddellijk worden opgeschort. Het gevolg: Fable 5 en Mythos 5 worden abrupt uitgeschakeld voor álle klanten wereldwijd. Anthropic voldeed aan het bevel maar bestreed het publiekelijk — de gedemonstreerde jailbreak betrof bekende, beperkte kwetsbaarheden die ook via andere modellen gevonden kunnen worden. Dit is de eerste keer dat een AI-model zelf wordt behandeld als strategische exporttechnologie.

Michael en Nadine werken vier concrete scenario's uit die direct ontstaan op het moment van de blokkade: een EU AI Act-audit waarbij een toezichthouder vraagt welke AI-versie welke beslissing ondersteunde, een juridische procedure waarbij een klant een AI-gedreven beslissing betwist, leveranciersafhankelijkheid en bestuurdersaansprakelijkheid onder NIS2 en de Cyberbeveiligingswet, en een cyberverzekeringsclaimwaaarbij bewijs van operationele impact vereist is. In elk scenario is de kernvraag dezelfde: kun je bewijzen wat er werkelijk is gebeurd — ook als het model er niet meer is?

Attesto voorkomt niet dat een model verdwijnt of een overheid exportcontroles oplegt. Maar Attesto zorgt ervoor dat elke AI-interactie — modelidentiteit, versie, timestamp, prompt hash, output hash, digitale handtekening — cryptografisch onweerlegbaar is vastgelegd via het Proof of Evolution-systeem. De cryptografische zwarte doos bovenop AI-systemen. De Nova/IVC-laag draait al live in productie.

Amerikaanse cloudproviders controleren meer dan 70% van de Europese cloud-infrastructuur. Microsoft bevestigde in 2025 onder ede in de Franse Senaat dat het bij een gerechtvaardigd Amerikaans bevel geen datasouvereiniteit kan garanderen voor Europese klanten. Het antwoord van de markt: Europese sovereign data lakes, die bedrijfsdata uit boekhouding, CRM, HR en ERP centraliseren in een privé database-omgeving zonder CLOUD Act-exposure. Sovereign cloud spending in Europa groeit in 2026 met 83% jaar-op-jaar.

Michael en Nadine leggen uit wat een Europese sovereign data lake doet — en wat het niet doet. Ze beschrijven hoe deze platforms EU-only dataresidentie, geen Amerikaanse sub-verwerkers, open standaarden en directe AI-connectiviteit leveren. Maar ze stellen ook de vraag die de meeste aanbieders niet beantwoorden: wat gebeurt er als een toezichthouder niet vraagt wáár uw data staat, maar wat er mee is gedaan — wanneer, door wie, op welke juridische grondslag?

Een audit log in een database is geen bewijs — het is een bestand dat aangepast kan worden. Logging zonder cryptografische verankering is niet tamper-evident. En de evolutie van compliance over tijd legt geen enkele data lake vast. Dat is de ontbrekende laag die organisaties blootstelt bij onderzoeken onder EU AI Act Article 12, NIS2, DORA en GDPR Hoofdstuk V — ook als ze volledig Europese infrastructuur gebruiken. Attesto levert die laag: cryptografisch onweerlegbaar bewijs via het Proof of Evolution-systeem, bovenop elke sovereign data lake. De Nova/IVC-laag draait al live in productie.

Data die op een Europese server staat is niet automatisch Europees. De Amerikaanse CLOUD Act verplicht Amerikaanse cloudproviders om data te overhandigen aan de VS-overheid — ongeacht de serverlocatie. Europese toezichthouders legden in 2025 meer dan €7,1 miljard aan GDPR-boetes op, een groot deel voor schendingen van grensoverschrijdende doorgifte. De vraag is niet meer óf data de EU verlaat — de vraag is of organisaties het kunnen bewijzen als het gebeurt, en of ze kunnen aantonen dat de juridische grondslag op dat moment geldig was.

Michael en Nadine leggen het volledige wetgevingskader uit: GDPR Hoofdstuk V met de Schrems II-verplichtingen (Transfer Impact Assessment verplicht bij elke Artikel 46-doorgifte), de EU Data Act (Verordening EU 2023/2854, van toepassing per 12 september 2025) met zijn verplichting voor cloudproviders om EU-data te beschermen tegen niet-EU-overheidstoegang, en de Data Governance Act als basis voor Europese dataruimten. Ze bespreken GAIA-X Trust Framework 3.0 "Danube" (november 2025) en de meer dan 15 operationele Europese dataruimten — van Catena-X in de maakindustrie tot GAIA-X Health. En ze leggen het cruciale onderscheid uit: dataresidensy betekent dat data op een Europese server staat. Datasouvereiniteit betekent dat data aantoonbaar onder Europees recht valt — en dat zijn twee fundamenteel verschillende dingen.

Het centrale inzicht: contracten, SCCs en TIA's bewijzen intentie, niet uitvoering. Toezichthouders vragen naar technisch bewijs van feitelijk datatransport. Attesto levert die laag — tamper-evidente logging van elk data-event als cryptografisch onweerlegbaar bewijs via het Proof of Evolution-systeem. De Nova/IVC-laag draait al live in productie.

De Cyber Resilience Act — Verordening EU 2024/2847 — is op 10 december 2024 in werking getreden en verandert de spelregels voor iedereen die software of hardware op de EU-markt brengt. Van slimme thermostaten tot industriële firewalls: alle producten met digitale elementen moeten voortaan voldoen aan verplichte cybersecurity-eisen. Wie dat niet kan aantonen, mag zijn product niet meer verkopen in Europa. Boetes lopen op tot €15 miljoen of 2,5% van de wereldwijde jaaromzet.

Michael en Nadine leggen de vier risicocategorieën uit — van de standaardcategorie (circa 90% van alle producten, zelfbeoordeling toegestaan) tot Belangrijk Klasse I en II (identiteitsbeheersystemen, firewalls, intrusion detection — verplichte derde-partijbeoordeling) en Kritiek (Annex IV). Ze gaan diep in op de kernverplichtingen uit Annex I: secure-by-design, kwetsbaarhedenbeheer over de volledige levenscyclus, verplichte SBOM-documentatie, minimaal 5 jaar beveiligingsupdates, en meldingsdeadlines van 24 uur (vroegwaarschuwing) en 72 uur (volledig rapport) via het ENISA Single Reporting Platform. Twee CRA-verplichtingen gelden al vóór de einddatum van 11 december 2027: vanaf 11 juni 2026 moeten conformiteitsbeoordelingsinstanties aangemeld zijn, en vanaf 11 september 2026 is de meldingsplicht actief.

Het centrale inzicht van deze aflevering: de CRA eist geen momentopname, maar doorlopend aantoonbaar bewijs van beveiliging over de volledige productlevenscyclus. Attesto levert die bewijslaag — via tamper-evidente logging voor alle Annex I-verplichtingen en via het Proof of Evolution-systeem voor aantoonbare evolutie van kwetsbaarhedenbeheer en beveiligingsupdates over tijd. De Nova/IVC cryptografische laag draait al live in productie.

De Digital Operational Resilience Act — Verordening EU 2022/2554 — is van kracht sinds 17 januari 2025 en geldt voor circa 22.000 financiële entiteiten in de EU: banken, verzekeraars, beleggingsondernemingen, betalingsinstellingen en hun kritieke ICT-leveranciers. Toch is slechts de helft volledig compliant. Boetes lopen op tot 10% van de jaarlijkse wereldwijde omzet, en nationale toezichthouders zijn begonnen met actieve handhaving.

In deze aflevering nemen Michael en Nadine de vijf DORA-pijlers systematisch door. Pijler 1 verplicht een volledig ICT-risicobeheerraamwerk met bestuurlijke verantwoordelijkheid op directieniveau. Pijler 2 eist gestandaardiseerde classificatie en onverwijlde melding van ernstige ICT-incidenten aan bevoegde autoriteiten. Pijler 3 stelt periodieke veerkrachttesten verplicht — inclusief Threat-Led Penetration Testing voor significante instellingen. Pijler 4 maakt financiële instellingen aansprakelijk voor de ICT-risico's van hun leveranciers: uitbesteding is geen excuus meer. Pijler 5 verplicht het gestructureerd delen van informatie over cyberdreigingen tussen financiële entiteiten.

Het centrale inzicht van deze aflevering: DORA vraagt geen éénmalige certificering, maar doorlopend aantoonbaar bewijs van operationele veerkracht. Precies dat levert Attesto — via tamper-evidente logging voor Pijlers 1 en 2, en via het Proof of Evolution-systeem voor Pijlers 3 en 4. De Nova/IVC cryptografische laag draait al live in productie.

2 augustus 2026 is geen stip op de horizon meer — het is nu. Michael en Nadine leggen uit wat Article 12 van de EU AI Act écht van organisaties eist, waarom de Nederlandse Cyberbeveiligingswet bestuurders persoonlijk aansprakelijk stelt, en hoe je aantoonbaar compliant wordt — niet alleen op papier, maar cryptografisch bewezen.

AI kan tegenwoordig afbeeldingen, video's, stemmen en documenten genereren die nauwelijks van echt te onderscheiden zijn. Nu synthetische content steeds vaker voorkomt, ontstaat een nieuwe vraag: hoe weten we nog wat authentiek is?

In deze aflevering duiken we in C2PA (Coalition for Content Provenance and Authenticity), de open standaard die transparantie en herkomstinformatie toevoegt aan digitale content. We leggen uit hoe Content Credentials werken, welke bedrijven deze technologie ondersteunen en waarom herkomstinformatie een van de belangrijkste bouwstenen van vertrouwen in het AI-tijdperk kan worden.

Van deepfakes en gemanipuleerde media tot journalistiek, compliance en digitaal bewijs: we onderzoeken hoe C2PA een antwoord probeert te geven op één van de belangrijkste vragen van deze tijd:

Kunnen we nog vertrouwen wat we online zien?

Kunstmatige intelligentie neemt steeds vaker beslissingen, cyberdreigingen worden geavanceerder en nieuwe wetgeving verandert het digitale landschap in hoog tempo. Toch vertrouwen veel organisaties nog steeds op een verrassend kwetsbare basis: vertrouwen.

In deze eerste aflevering van The Evidence Layer onderzoeken we waarom vertrouwen alleen niet langer voldoende is in een wereld van AI-systemen, cloudplatformen, geautomatiseerde besluitvorming en toenemende regelgeving. We bespreken de opkomst van bewijsbare systemen, cryptografisch bewijs, auditability en accountability, en waarom het kunnen aantonen van gebeurtenissen binnenkort belangrijker kan zijn dan simpelweg beweren dat ze hebben plaatsgevonden.

Daarnaast maken luisteraars kennis met Attesto, een Nederlands initiatief dat werkt aan cryptografisch bewijs voor AI-systemen en digitale processen.

Of je nu IT-professional, bestuurder, beleidsmaker of nieuwsgierige luisteraar bent: deze aflevering legt het fundament voor alles wat in deze serie volgt.