Eerst een datalek, dan een inkoopbesluit
Het Franse ministerie van Financiën maakte bekend dat de belastingdienst, de DGFiP, was getroffen door een cyberaanval waarbij gegevens van ongeveer 700.000 belastingbetalers werden gestolen, waaronder namen, geboortedata, post- en e-mailadressen, telefoonnummers, fiscale identificatienummers, inhoudingspercentages en correspondentie met ambtenaren. Enkele dagen later zei begrotingsminister David Amiel tegen journalisten, na een kabinetsvergadering in Parijs, dat de overheid zich zou wenden tot wat hij soevereine AI-bedrijven noemde, zoals Mistral, om overheidssystemen te testen op het soort kwetsbaarheden dat het datalek mogelijk had gemaakt. 'Dit sluit OpenAI uit', zei hij.
De volgorde is belangrijk: dit is geen abstract soevereiniteitsbeleid dat in een strategiedocument wordt aangekondigd, maar een concreet inkoopbesluit, genomen als directe reactie op een met naam genoemd veiligheidsfalen, met een met naam genoemde winnaar en een met naam genoemde uitsluiting.
Soevereiniteit was al het plan
Amiels aankondiging bouwt voort op een beleidslijn die Frankrijk al had ingezet. In juni 2026 onthulde hij 'Notre IA' ('Onze AI'), een overheidsplan om soevereine AI-tools te verspreiden binnen de Franse publieke dienstverlening. Het paradepaardje ervan, een assistent genaamd L'Assistant, gebouwd op het model van Mistral en gehost in SecNumCloud-gecertificeerde datacenters, werd al voor deze laatste aankondiging uitgerold naar bijna een miljoen ambtenaren.
Mistral, de in 2023 opgerichte Parijse startup die op meer dan 11 miljard euro wordt gewaardeerd, is Frankrijks standaardantwoord geworden telkens wanneer het land wil aantonen dat het gevoelige systemen kan draaien zonder afhankelijk te zijn van Amerikaanse technologie. Steun van chipapparatuurleverancier ASML heeft die positionering versterkt. De opdracht voor cyberbeveiligingstests is een nieuwe toepassing bovenop een bestaande relatie, geen op zichzelf staand besluit.
Waarom dit ertoe doet voor elke EU-leverancier die aan overheden verkoopt
Voor elk bedrijf dat AI-gerelateerde diensten verkoopt aan contracten in de Europese publieke sector of gereguleerde sectoren, is dit het moment waarop 'soevereine AI' ophield een slogan in een beleidsdocument te zijn en een concrete post werd in een echt inkoopbesluit, veroorzaakt door een echt datalek met een echt getal eraan verbonden. Een leverancier met hoofdkantoor in de VS werd met naam genoemd en uitgesloten van een specifieke, veiligheidsgevoelige taak, niet op grond van prestaties, maar op grond van soevereiniteit. Diezelfde vraag over afhankelijkheid van Amerikaanse leveranciers in de publieke sector speelt vandaag ook in Nederland en andere EU-landen.
| Datum | Ontwikkeling |
|---|---|
| Juni 2026 | Amiel onthult 'Notre IA', een plan om soevereine AI-tools, gebouwd op Mistral, te verspreiden binnen de Franse publieke dienstverlening |
| Medio augustus 2026 | Het ministerie van Financiën maakt de cyberaanval op de DGFiP bekend; gegevens van ongeveer 700.000 belastingbetalers gestolen |
| Enkele dagen later | Amiel kondigt aan dat de staat alleen soevereine AI-aanbieders zoals Mistral zal gebruiken, met uitdrukkelijke uitsluiting van OpenAI, om systeemkwetsbaarheden te testen |
Elke leverancier, of deze nu in de EU is gevestigd of niet, die meedingt naar overheids- of kritieke-infrastructuurcontracten ergens in het blok, moet er nu rekening mee houden dat een echte eis voor soevereine hosting of een soeverein model in aanbestedingsteksten verschijnt, niet slechts een vinkje voor dataresidentie, en moet een geloofwaardig, EU-gecontroleerd antwoord klaar hebben voordat erom wordt gevraagd.
Wat hiermee niet is opgelost
Eén ministerie dat één leverancier uitsluit van één testopdracht is geen algeheel verbod op Amerikaanse AI-tools binnen de hele Franse overheid, en het zegt niets over de vraag of Mistrals tools daadwerkelijk beter zullen zijn dan die van OpenAI in het opsporen van het soort kwetsbaarheid dat het lekken van 700.000 belastingdossiers in de eerste plaats mogelijk maakte. Soevereiniteit en beveiligingscapaciteit zijn twee aparte kwesties, en Frankrijk heeft tot nu toe publiekelijk alleen de eerste beantwoord.
De bredere EU-beweging richting soevereine cloud- en AI-infrastructuur, van Gaia-X tot de geplande AI-gigafabrieken van het blok, staat nog in de kinderschoenen en is in de praktijk grotendeels nationaal in plaats van eenduidig. Het Franse besluit is een datapunt binnen die bredere trend, geen bewijs dat deze al EU-breed is doorgevoerd.
Lees hierna: Een nep-denktank richtte zich met AI op Frankrijk en Duitsland | Mistral splitst soevereine AI in twee weddenschappen
