Een overheid die haar dienstverlening grotendeels bij één technologiebedrijf onderbrengt, tast de nationale veiligheid volgens de Rijksbrede Risicoanalyse Nationale Veiligheid 2026 in catastrofale mate aan. Het Analistennetwerk Nationale Veiligheid (ANV) beoordeelt de gevolgen van het combinatiescenario "De duistere kanten van Big Tech" in het hoofdrapport van de RbRa 2026 in totaal als catastrofaal, de hoogste klasse op zijn impactschaal. Het scenario zelf noemt het ANV voorstelbaar maar op dit moment onwaarschijnlijk. De kwetsbaarheden waarop het scenario is gebouwd, zijn dat niet: lock-in bij één leverancier, algoritmische besluitvorming die niet transparant is, en buitenlandse wetgeving die toegang tot gegevens of diensten bepaalt. Die zien wij bij TIL nu al in de juridische praktijk, op kleinere schaal.
Wat de RbRa 2026 is en waar het Big Tech-scenario staat
Minister Van Weel van Justitie en Veiligheid bood de analyse op 16 oktober 2026 met een Kamerbrief aan de Tweede Kamer aan (Kamerstukken II 30821, nr. 354). Het ANV voerde de analyse uit in opdracht van de NCTV. De RbRa 2026 actualiseert de analyse uit 2022 en vormt de basis voor de Veiligheidsstrategie voor het Koninkrijk. Het kabinet informeert de Kamer begin 2027 over de beleidsopvolging, in het kader van de midterm review van die strategie. Een aantal scenario's is niet openbaar gemaakt omdat publicatie de internationale betrekkingen zou kunnen schaden; die liggen vertrouwelijk ter inzage voor Kamerleden.
Naast het hoofdrapport verschenen twaalf themarapporten, acht over dreigingsthema's en vier over combinatiescenario's, waaronder het themarapport over het combinatiescenario Big Tech. Het scenario bouwt voort op de trend uit de Trendanalyse Nationale Veiligheid 2024 die technologie beschrijft als machtsinstrument, wapen en kwetsbaarheid. Het combineert drie ontwikkelingen. Een fictief bedrijf, OpenSphere, verwerft technologische dominantie en AI wordt op grote schaal in overheidssystemen ingebouwd. Transparantie, opgevat als de norm dat menselijk gedrag zichtbaar en openbaar hoort te zijn, wordt een leidend maatschappelijk beginsel. En de overheid besteedt publieke diensten goeddeels uit aan dat ene bedrijf en verliest daar de grip op. De uitgewerkte verhaallijn staat niet in het openbare rapport; die is volgens het ANV op aanvraag beschikbaar voor professionals en inhoudelijk belanghebbenden.
Hoe de democratische rechtsstaat in het scenario wordt geraakt
Het scenario verloopt geleidelijk. Data concentreren zich bij steeds minder partijen, overstappen wordt steeds moeilijker en het bedrijf neemt stap voor stap onderdelen van het dagelijks leven en van de publieke taak over. Beleid wordt in het scenario gestuurd door de algoritmes van OpenSphere, waardoor transparantie en democratische controle afnemen. Het themarapport concludeert dat de impact op de democratische rechtsstaat groot is en dat de aantasting van de digitale ruimte structureel is en niet tijdelijk. Ook het multilaterale stelsel komt onder druk, omdat een particulier bedrijf in het scenario taken van internationale instituties overneemt. Binnenlands Bestuur wijst erop dat het hoofdrapport daarnaast een aanval op een groot cloudbedrijf aanmerkt als een scenario met zowel hoge waarschijnlijkheid als grote impact.
Opvallend is wat het rapport niet uitwerkt. Rechtspraak, openbaar ministerie en advocatuur komen in het scenario niet afzonderlijk aan bod. Een onafhankelijke rechtspraak is in de methodiek wel een van de criteria waarmee het ANV de aantasting van de democratische rechtsstaat meet. Wij lezen het scenario daarom ook als een opdracht aan de juridische sector zelf om na te gaan hoe afhankelijk de instellingen die rechtsbescherming moeten bieden van dezelfde leveranciers zijn.
Het Strafhof laat zien dat dit geen theorie is
Het themarapport geeft daarop deels zelf antwoord, met een voorbeeld uit Den Haag. Amerikaanse sancties tegen het Internationaal Strafhof hebben er volgens het rapport toe geleid dat Amerikaanse bedrijven in 2025 en 2026 beperkingen oplegden aan meerdere medewerkers van het Hof, waaronder beperkte toegang tot diensten van Amazon, Google en Microsoft. Het ANV gebruikt dit om te laten zien dat de thuisstaat van een technologiebedrijf afhankelijkheid als drukmiddel kan inzetten.
Het rapport wijst ook op de Amerikaanse CLOUD Act en sectie 702 van de Foreign Intelligence Surveillance Act, die inzage in gegevens van niet-Amerikanen bij Amerikaanse clouddiensten mogelijk maken. De kans dat dat daadwerkelijk gebeurt, schat het ANV laag in. Het stelt wel dat die wetgeving haaks staat op onder meer de AVG. Juristen met een geheimhoudingsplicht kennen die spanning; nieuw is dat ze nu als vaststelling in een rijksbrede veiligheidsanalyse staat.
Versnipperde regels en ongelijke procespositie
Een tweede punt raakt juristen direct. Het ANV noemt het beleid rond digitalisering versnipperd en somt onder meer de Cyberbeveiligingswet, de Wet weerbaarheid kritieke entiteiten, de AVG, de Digitaledienstenverordening en de AI-verordening op. Door gebrek aan coördinatie kunnen grote bedrijven volgens het rapport proberen door de mazen van de wet te kruipen, ook bij toepassingen die de AI-verordening uitdrukkelijk verbiedt, zoals social scoring. Daar komt bij dat Big Tech-bedrijven veel middelen hebben om te procederen, terwijl complexe Europese regels kleinere concurrenten harder kunnen raken.
Wij zien hierin de kern van de juridische opgave. Een verbod in de AI-verordening beschermt pas als toezichthouders handhaven en als iemand de samenhang met de andere regimes bewaakt. Dat het AI-toezicht bij de Autoriteit Persoonsgegevens nog in de steigers staat, maakt die kanttekening van het ANV actueel.
Van bedrijfscontinuïteit naar continuïteit van rechtsbescherming
Het handelingsperspectief in het themarapport begint met een verschuiving van business continuity naar societal continuity: het gaat volgens het ANV vooral om de kaders waaronder een organisatie AI-diensten van Big Tech gebruikt. Het ANV pleit voor strategische digitale autonomie met eigen Europese cloud-, data- en AI-capaciteit, voor interoperabiliteit en open standaarden om lock-in te voorkomen, voor sterker toezicht en handhaving, voor rijksbrede coördinatie en voor langetermijnkeuzes die op korte termijn minder voordelig kunnen zijn.
Voor juridische organisaties vertaalt die verschuiving zich naar continuïteit van rechtsbescherming. Een advocatenpraktijk, rechtsbijstandverlener of juridische afdeling die op één dag geen toegang meer heeft tot mail, dossiers en AI-tools, kan termijnen missen en cliënten niet bijstaan. Het Strafhof-voorbeeld laat zien dat zo'n afsluiting ook door een politiek besluit in een ander land kan ontstaan.
Aandachtspunten voor juridische organisaties
Breng in kaart welke clouddiensten en AI-tools je organisatie gebruikt, bij welke leverancier, onder welk recht en waar de gegevens staan. Neem daarbij ook de AI-functies mee die via updates in bestaande software terechtkomen.
Werk een scenario uit voor het geval een leverancier de dienst opschort, bijvoorbeeld omdat hij sanctieregels van zijn thuisstaat moet naleven. Leg vast hoe je bij dossiers, agenda en termijnoverzichten kunt als de hoofdomgeving wegvalt, en test dat.
Bekijk in contracten de bepalingen over opschorting, beëindiging en exit. Eerder schreven we dat digitale autonomie wordt gewonnen of verloren bij het tekenen van het IT-contract; dat geldt ook voor AI-tools.
Werk je voor of met de overheid, toets dan of algoritmische besluitvorming uitlegbaar en controleerbaar blijft als de techniek bij een externe partij ligt. Dat de overheid haar algoritmes nu al beperkt kan verantwoorden, maakt dat punt urgenter.
Leg de uitkomsten vast in je AI-beleid, zodat keuzes over leveranciers en afhankelijkheden niet per tool en per afdeling opnieuw worden gemaakt.