Kabinetsvisie AI 2026: wat het betekent voor IT-managers

De kabinetsvisie op AI van 6 november 2026 verandert geen enkele regel voor bedrijven en brengt geen nieuw geld voor middelgrote organisaties. Wat ze wel doet: in gewone woorden de norm vastleggen die het kabinet aan de AI-afhankelijkheden van het land stelt, voldoende eigen kennis en capaciteit, geen onafhankelijkheid. Die ene zin is voor een IT-directeur meer waard dan alle koppen over soevereiniteit bij elkaar.

Wij lazen de volledige Kamerbrief "Kiezen voor AI voor iedereen" van 28 pagina's in plaats van het persbericht, want die twee verschillen. Het persbericht gaat over grip en soevereiniteit. De brief gaat over budgetten, datums en inkoopvoorwaarden, en het meeste daarvan is gericht aan de overheid zelf. Dit artikel sorteert de brief in wat besloten is, wat voor later is aangekondigd en wat een IT-organisatie van 250 tot 5.000 mensen er dit kwartaal mee kan.

Wat de visie besluit en wat ze openlaat

Besloten, met een bedrag of een datum erbij:

• €120 miljoen voor Nederlandse deelname aan een IPCEI voor AI, een Important Project of Common European Interest, om AI-technologie, infrastructuur en toepassingen te ontwikkelen in grensoverschrijdende consortia. De brief noemt geen jaar; het geld staat in de ontwerpbegroting van EZK voor 2027, meldt AIwereld, en projecten en ontvangers zijn nog niet gekozen.
• Een doel van 75 procent. Ten minste driekwart van het mkb moet in 2030 geavanceerde digitale technologie gebruiken, waarbij AI, cloud en data-analyse als één categorie tellen. Ter vergelijking: het CBS meet voor 2025 AI-gebruik bij 13,8 procent van de microbedrijven, 29,8 procent van de bedrijven met 10 tot 250 werkzame personen en 66,2 procent van de bedrijven met 250 of meer.
• Twee brieven in Q1 2027. Een over AI-infrastructuur en rekenkracht, die ook de motie beantwoordt over AI-modellen lokaal op overheidssystemen draaien, en een met de titel Regie op datacenterontwikkeling, over nationale sturing van datacentercapaciteit.
• Een AI-veiligheidsinstituut, in onderzoek. Een adviesrapport over een Nederlands instituut naar voorbeeld van het Britse AI Security Institute wordt in december 2026 in de Tweede Kamer verwacht. Het instituut is een verkenning, geen besluit.
• Voor overheden: uniforme inkoopvoorwaarden voor AI, een auditeerbaar Algoritmekader, een voller Algoritmeregister, voorbereiding op de Fundamental Rights Impact Assessment, meer gezamenlijke inkoop en een digitale marktplaats met gevalideerde AI-toepassingen en bouwblokken. Toepassingen die worden opgeschaald: Vlam.AI, GemChat, Omgevingschat, HOSAN en GPT-NL binnen GEM.

Opengelaten: elke nieuwe verplichting voor bedrijven naast de AI-verordening die al geldt, elke wijziging in wie toezicht houdt, en elke subsidie of voucher voor bedrijven boven de mkb-grens. De belemmeringen die het mkb van AI afhouden worden genoemd, maar de maatregelen ertegen zijn, zoals Accountancy Vanmorgen dezelfde dag schreef, nog niet concreet uitgewerkt. Hoeveel rekenkracht het land nodig heeft, waar die komt en op welke stroom, wacht op de brief van Q1.

Open strategische autonomie is een inkoopcriterium dat u kunt overnemen

De brief definieert wat ze onder soevereiniteit verstaat, en die definitie is smaller dan de berichtgeving. De EU hoeft niet zelfvoorzienend te zijn in de hele AI-stack. Ze heeft voldoende basiscapaciteit nodig op een paar kritieke punten, waaronder halfgeleiderproductie, hoogwaardige rekeninfrastructuur, betrouwbare dataopslag en cloud, en generieke AI-modellen. Al het andere mag van partners komen. De brief noemt Canada, Japan, Singapore en Zuid-Korea als gelijkgezinde partners en zegt dat de relaties met de Verenigde Staten en China stabiel en voorspelbaar moeten blijven, Pax Silica incluis.

Vertaal dat van een land naar een bedrijf en u heeft een leverancierstoets die de meeste IT-organisaties nog niet doen. Niet "is deze leverancier Europees", maar "op welke punten in onze AI-stack hebben we genoeg eigen capaciteit nodig om weg te kunnen lopen". Vier punten, in de volgorde waarin ze meestal pijn doen:

• Het model. Draait de toepassing zonder herbouw op een tweede model van een tweede aanbieder? Dat vraagt een abstractielaag, evaluatiesets die van u zijn, en prompts in uw eigen repository in plaats van in de console van de leverancier.
• Het datapad. Waar reist een prompt heen, waar staat de retrieval-index, waar staan de logs? Ons artikel over dataresidentie voor AI loopt de vier paden na die een modelaanroep kan nemen.
• De gewichten. Voor sommige workloads is een open-weight model dat u zelf host de uitweg; voor de meeste niet. De vergelijking van open-weight en betaalde modellen en de kostenanalyse van zelf Mistral Large 4 hosten geven de afweging met cijfers.
• De mensen. Voldoende eigen kennis betekent iemand binnen die een evaluatierapport kan lezen en van aanbieder kan wisselen. Dat is een rol, geen licentie, en ons artikel over de evaluaties in eigen huis houden beschrijft wat de staat daar zelf over leerde.

De brief steunt ook de pragmatische inkoper. Het kabinet schrijft dat het toegang tot geavanceerde AI van niet-Europese aanbieders blijft veiligstellen waar Europa de capaciteit mist, via wat het AI-diplomatie noemt. Een bedrijf dat Amerikaanse modellen verbiedt in naam van soevereiniteit is strenger dan de staat die de term bedacht. Het beleid dat u kunt verdedigen is overstapbaarheid, niet herkomst. Waar data echt het pand niet uit mag, is de juiste vorm een private AI-assistent op eigen infrastructuur, gekozen om die reden en niet om een vlag.

Als u aan de overheid levert, of er een bent

Het concreetste deel van de brief gaat over de AI van de staat zelf. Uniforme inkoopvoorwaarden, een auditeerbaar Algoritmekader, de IAMA-mensenrechtentoets, FRIA-voorbereiding, het Algoritmeregister, een marktplaats, gezamenlijke inkoop. Voor een leverancier aan een gemeente, provincie, ministerie of uitvoeringsorganisatie is die lijst de aanbesteding van 2027 op voorhand. Reken op vragen naar een modelkaart met herkomst van trainingsdata die u echt kunt onderbouwen; een ontwerp voor menselijk toezicht, want de brief zegt dat AI niet mag leiden tot besluiten die volledig buiten menselijk toezicht of verantwoordelijkheid vallen; logging die een auditor kan lezen; documentatie die klaar is voor het Algoritmeregister; en een herbruikbaar bouwblok in plaats van maatwerk voor één klant, omdat een marktplaats hergebruik beloont. De clausules zelf staan in ons artikel over AI-inkoopvoorwaarden voor Nederlandse inkopers.

Voor een IT-afdeling bij de overheid is dezelfde lijst de backlog. Ons werk aan AI-audit en strategie is precies op dat papierwerk ingericht: de beoordeling die aan de bouw voorafgaat, zo geschreven dat een auditor en een inkoper hem allebei kunnen lezen.

Rekenkracht: wacht niet op de brief van Q1 2027

De brief belooft begin volgend jaar drie moties te beantwoorden: scenario's voor de rekenkracht die Nederland nodig heeft, een inventarisatie van de rekenkracht die de overheid tien jaar lang nodig heeft, en de mogelijkheden om modellen op overheidssystemen te draaien. Een bedrijf heeft het nationale antwoord niet nodig voor zijn eigen antwoord. Of u een model zelf host is een bezettingsvraag, en de gegevens daarvoor heeft u vandaag al: de uren die een GPU echt zou draaien, de mensen om hem te beheren, en de prijs van het gehoste alternatief bij uw volume.

Wat de brief toevoegt is een route, geen antwoord. De nationale AI-fabriek in Groningen, met de supercomputer gepland voor 2027 en volledig in bedrijf begin 2028 volgens AIwereld, geeft bedrijven via EuroHPC toegang tot rekenuren en expertise, en de vijf Europese Digitale Innovatiehubs en zeven Nederlandse AI-hubs werken ernaast. Voor een R&D-intensief middelgroot bedrijf dat wil fine-tunen in plaats van huren, is dat een kanaal dat twee jaar geleden niet bestond. Het is ook een van de weinige plekken in de brief waar een bedrijf iets kan aanvragen.

Twee dingen die al gelden: cyber en geletterdheid

De brief herhaalt het statement van 24 september van AIVD, MIVD, NCSC, NCTV, CIO Rijk en de politie: AI versnelt de cyberdreiging, en digitale veiligheid is geen vraagstuk meer van alleen de CISO en de IT'ers. Dezelfde dag stuurde de minister van Justitie het actieprogramma Toekomstbestendige Digitale Weerbaarheid naar de Kamer. Voor organisaties onder NIS2 legt de Cyberbeveiligingswet die verantwoordelijkheid bij het bestuur; ons artikel over wat NIS2 betekent voor uw AI-leverancier geeft de vragen voor elke leverancier in de keten.

Geletterdheid is de andere plicht die al geldt. Artikel 4 van de AI-verordening vraagt sinds 2 februari 2025 AI-geletterdheid van elke organisatie die AI gebruikt, en de brief wil AI-vaardigheden in het mbo, hbo en wo verankeren. Onze gratis AI-geletterdheidscheck van drie minuten laat zien waar een team staat, en de trainingspagina is de stap erna.

De visie verandert niets aan de datums van de AI-verordening zelf. Na de Digital Omnibus, Verordening (EU) 2026/1744, gelden de hoog-risicoverplichtingen van Bijlage III vanaf 2 december 2027 en die van Bijlage I vanaf 2 augustus 2028. Twee toevoegingen aan de verboden van artikel 5 gelden vanaf 2 december 2026, en de transparantieplichten van artikel 50 gelden sinds 2 augustus 2026. De brief zegt dat het kabinet blijft aandringen op regels die duidelijk, uitvoerbaar en handhaafbaar zijn, wat in de praktijk geharmoniseerde standaarden betekent en een regulatory sandbox bij de nog aan te wijzen markttoezichthouders, geen nieuwe wet.

De kalender voor uw planning

• 13 november 2026: informele Europese Raad onder Iers voorzitterschap, waar het kabinet hoopt dat AI voor het eerst op regeringsleidersniveau wordt besproken.
• 2 december 2026: de nieuwe verboden van artikel 5 gelden.
• December 2026: adviesrapport over een Nederlands AI-veiligheidsinstituut naar de Tweede Kamer.
• Q1 2027: de Kamerbrief over AI-infrastructuur en rekenkracht, en de Kamerbrief Regie op datacenterontwikkeling.
• 2027: de IPCEI-deelname van €120 miljoen komt in de EZK-begroting, volgens de berichtgeving tot nu toe; burgerdialogen over AI in 2027 en 2028.
• 2 december 2027: de hoog-risicoverplichtingen van Bijlage III gelden.

Wat wij dit kwartaal zouden doen

• Schrijf de exittoets van vier punten in de volgende AI-uitvraag en scoor leveranciers erop naast de prijs.
• Zet prompts, evaluatiesets en retrieval-configuratie in uw eigen repository, zodat een wissel van aanbieder een deployment is en geen project.
• Levert u aan de overheid, stel dan nu het FRIA-klare dossier voor uw bestaande product samen, voordat een aanbesteding er in een venster van drie weken om vraagt.
• Doe de geletterdheidscheck per team en plan artikel 4-training waar hij zakt, want die plicht geldt al.
• Zet de brieven van Q1 2027 in de roadmap als beslismoment voor zelf hosten, niet als reden om te wachten.

Niets hiervan vraagt een soevereiniteitsprogramma. Het vraagt een AI-implementatie die gebouwd is om verplaatst te worden, door een partner die naast uw ICT-partner werkt en de sleutels bij u laat. Dat is de norm die het kabinet nu voor zichzelf heeft gesteld, en het is een redelijke norm om een leverancier aan te houden.

Veelgestelde vragen