Zero trust in het MKB als fundament voor AI-compliance

Zero trust en de EU AI Act worden zelden in één adem genoemd, maar ze steunen op hetzelfde principe: vertrouw niets op voorhand en zorg dat elke toegangsvraag verifieerbaar is. Dit artikel laat zien hoe een MKB-organisatie met de identiteitspijler een fundament legt dat tegelijk AI-geletterdheid, logging en menselijk toezicht ondersteunt.

Wat zero trust is — en niet is

Zero trust draait om één uitgangspunt: vertrouw niets en niemand op voorhand en verifieer elke toegangsvraag opnieuw. Het klassieke kasteel-en-slotgracht-model ging ervan uit dat alles binnen het bedrijfsnetwerk veilig was; dat model is achterhaald nu medewerkers hybride werken, data in tientallen clouddiensten staat en aanvallers binnenkomen met gestolen inloggegevens. Het Amerikaanse standaardeninstituut NIST legde de principes vast in publicatie SP 800-207; toezichthouder CISA werkte ze uit in een volwassenheidsmodel met vijf pijlers: identiteit, apparaten, netwerk, applicaties en data. Zero trust is een architectuurprincipe en een groeipad, geen product uit een doos.

De kloof tussen ambitie en uitvoering

• In het VPN Risk Report van Zscaler ziet 96% van de organisaties zero trust als voorkeursaanpak; 81% wil binnen twaalf maanden implementeren.
• Gartner telt 63% die zero trust gedeeltelijk of volledig heeft ingevoerd.
• Volgens Cybersecurity Insiders heeft slechts 17% zero trust volledig geïmplementeerd; Gartner voorspelde dat in 2026 amper 10% van de grote ondernemingen een volwassen, meetbaar programma operationeel heeft.
• IBM becijferde in het Cost of a Data Breach Report dat organisaties met een zero trust-architectuur gemiddeld 1,76 miljoen dollar minder kwijt zijn per datalek.
• Gestolen inloggegevens vormden volgens Verizon het startpunt van 22% van de datalekken; Zscaler meldt dat 56% van de organisaties het afgelopen jaar een inbraak via een VPN-kwetsbaarheid meemaakte.

Bronnen: Zscaler VPN Risk Report, Gartner, Cybersecurity Insiders, IBM Cost of a Data Breach Report, Verizon DBIR, Techaisle en Okta State of Zero Trust — samengevat in MSP Business (11 augustus 2026).

Waarom dit direct raakt aan de EU AI Act

AI-tools in het MKB draaien vrijwel altijd op dezelfde identiteits- en datalaag als de rest van de organisatie. Wie die laag niet op orde heeft, kan de AI-verplichtingen niet aantonen:

• Art. 15 (robuustheid en cyberbeveiliging) — beveiliging van het AI-systeem begint bij toegangsbeheer, niet bij het model.
• Art. 12 (logging) — traceerbaarheid vereist identiteiten die herleidbaar zijn tot personen of processen.
• Art. 26 (gebruiksverantwoordelijken) — u moet weten wie welke AI-tool met welke data gebruikt; zonder toelatingsproces is dat onbekend.
• Art. 4 (AI-geletterdheid) — geldt sinds 2 februari 2025 en vraagt om aantoonbare instructie van medewerkers.
• NIS2 art. 21 — beheersmaatregelen inclusief toeleveringsketen, waar clouddiensten en AI-providers onder vallen.

Een groeipad zonder de organisatie te overvragen

1. Identiteit. MFA, uitschakelen van legacy-authenticatie, conditional access en een eigenaar per account — inclusief de accounts en tokens die AI-tools en agents gebruiken.
2. Apparaten. Beheerde en compliant apparaten als voorwaarde voor toegang tot bedrijfsdata en AI-tooling.
3. Applicaties en data. Dataclassificatie bepaalt welke informatie überhaupt in een AI-tool mag; dit is tevens het antwoord op AVG-vragen over dataverlies naar externe providers.
4. Aantoonbaarheid. Logging, periodieke toetsing en een vastgelegd toelatingsproces voor nieuwe (AI-)tools — het bewijs waar een auditor, verzekeraar of toezichthouder naar vraagt.

Elke fase levert bewijsmateriaal op dat u hergebruikt in uw AI-dossier. Dat is de reden om de twee trajecten niet los van elkaar te draaien: het zero trust-groeipad en het AI Act-dossier putten uit dezelfde vastlegging.

Hoe VeriAi hierop aansluit

Wilt u weten welke verplichtingen nu al gelden en wat u vandaag kunt aantonen, dan is de VeriAi Light-audit (Artikel 4 en 50) het logische startpunt. Voor MKB-specifieke context ziet u onze MKB-pagina, en het artikel over beheersing van AI-agents gaat dieper in op autonome systemen binnen deze zelfde identiteitslaag.