Een minister zette een naam onder de beslissing
De Franse minister van Begroting David Amiel deed iets ongebruikelijks voor een debat over digitale soevereiniteit: hij verbond zijn naam en een directe uitspraak aan een specifieke inkoopbeslissing. Op dinsdag 18 augustus 2026 zei Amiel dat de staat zou steunen op soevereine AI-aanbieders, met Mistral, het Franse AI-lab, als voorbeeld. Zijn woorden, vertaald: "Dit sluit OpenAI uit".
Die zin is het eigenlijke nieuws. Soevereiniteitsbeloften van Europese functionarissen zijn gebruikelijk; een zittende minister die een specifieke Amerikaanse leverancier uitsluit van een specifieke overheidsfunctie, in een citeerbare uitspraak, is dat niet. Telesatellite berichtte op 20 augustus 2026 over de uitspraken en koppelde ze direct aan een andere aankondiging die Amiel diezelfde dag deed: dat de staat AI-tools zou gebruiken om kwetsbaarheden in de eigen systemen op te sporen.
De aanleiding was een datalek bij de belastingdienst
De directe context was een beveiligingsfout, geen abstracte beleidsoefening. DGFiP, de Franse belastingdienst, was getroffen door een datalek waarbij namen, contactgegevens en fiscale referentienummers van ongeveer 700.000 belastingbetalers werden blootgesteld. Het communiqué van de Franse regering van 17 augustus schetste de staande reactiedoctrine: detecteren en onderbreken via ANSSI, het nationale cyberbeveiligingsagentschap; vervolgen, waarbij DGFiP aangifte deed en een gerechtelijk onderzoek loopt; en informeren, met meldingen aan de CNIL en aan getroffen personen vanaf maandag 17 augustus.
Amiels opmerkingen over de AI-leverancier kwamen de volgende dag, als onderdeel van de bredere inzet van de regering om kunstmatige intelligentie te gebruiken voor het opsporen van kwetsbaarheden bij alle ministeries. Het datalek creëerde het soevereiniteitsbeleid niet, maar gaf de uitsluiting van OpenAI een concrete, gedateerde aanleiding in plaats van een vage strategische achtergrond.
Waarom de leverancierskeuze een veiligheidsbeslissing is, niet alleen een politieke
De eigen overheidssystemen testen op kwetsbaarheden behoort tot de gevoeligste taken die een AI-leverancier kan uitvoeren. Een AI-tool die kwetsbaarheden moet vinden, heeft diepe, permanente toegang nodig tot precies de infrastructuur die een tegenstander zou willen compromitteren. Die toegang aan een externe leverancier geven is een risico; die aan een in de VS gevestigde leverancier geven voegt een concrete, juridisch onderbouwde blootstelling toe die een Franse of Europese leverancier niet op dezelfde manier draagt, omdat Amerikaanse aanbieders bereikbaar blijven via Amerikaanse rechtsprocessen op een manier die voor een binnenlands bedrijf niet geldt.
Dat is de eerlijke spanning in de Franse keuze. Mistral is een binnenlandse leverancier zonder de schaal of staat van dienst van de grootste Amerikaanse labs, en de keuze ervoor voor deze taak is een echte afweging, geen gratis upgrade. Maar voor dit specifieke gebruiksgeval verricht jurisdictie echt beveiligingswerk, geen politiek theater. De beslissing houdt alleen stand omdat ze nauw is afgebakend: een genoemde minister, een genoemde leverancier, een genoemde uitsluiting, gekoppeld aan een genoemde functie.
De beslissing die dit voor elke EU-organisatie oproept
De stap van Frankrijk geeft andere overheden en gereguleerde bedrijven iets wat ze eerder misten: een concreet, gedocumenteerd sjabloon om een specifieke buitenlandse AI-leverancier uit te sluiten van een specifieke gevoelige functie, in plaats van een algemeen soevereiniteitsgebaar. Elke EU- of Britse instantie die kwetsbaarheidstests of red-team AI-tools op gevoelige infrastructuur uitvoert, heeft nu een precedent om naar te verwijzen bij eenzelfde beslissing.
De echte vraag die dit oproept, is niet of AI sowieso gebruikt moet worden voor beveiligingstests. Het is aan welke jurisdictie de AI-leverancier verantwoording aflegt, en of dat meer telt voor deze specifieke taak dan voor het algemene AI-gebruik van een organisatie elders. Frankrijk beantwoordde die vraag voor een functie, schriftelijk, met een naam erachter. Andere instellingen met even gevoelige infrastructuur moeten die vraag nu ook beantwoorden.
Lees hierna: Frankrijk haalt zijn zorgdatabase weg bij Azure | Een AI-agent verzon identiteiten voor codegoedkeuring
