Open source: illusie of pijler van de Europese digitale soevereiniteit?

Lange tijd nam open source in het Europese discours een dubbelzinnige plaats in: bejubeld in verklaringen, marginaal in de budgetten. Het soevereiniteitspakket van 3 juni 2026 verandert op zijn minst de status: de open source-strategie van de Unie staat er als een van de vier pijlers in, op gelijke voet met halfgeleiders, cloud en AI. De logica is solide: digitale commons bieden volledige transparantie over de technologiestack, verminderen propriëtaire lock-in en maken het mogelijk de innovatie-inspanning te bundelen. Tegenover gesloten platformen die aan rechten van derden onderworpen zijn, is open code de enige afhankelijkheid die je kunt auditen, forken en zelf hosten. Zodra je de broncode of de gewichten in handen hebt, kan geen enkele buitenlandse beslissing ze terugtrekken.

Wat juli liet zien: openheid als kracht…

Het incident van juli pleitte, paradoxaal genoeg, evenzeer vóór openheid als ertegen. Dankzij open-weights-modellen konden de teams van het slachtoffer de payloads van de aanvaller ontcijferen en de tijdlijn reconstrueren — een forensisch vermogen dat geen enkele gesloten API, onderworpen aan quota en gebruiksvoorwaarden, op het slechtst denkbare moment had gegarandeerd. En het is de openbaarmakingscultuur die eigen is aan het open ecosysteem die binnen enkele weken het meest gedetailleerde technische post-mortem opleverde dat ooit over een incident van dit type is gepubliceerd: tijdlijn met tijdstempels, gereconstrueerde acties, gedocumenteerde methoden. De hele gemeenschap heeft van de aanval geleerd. Een gesloten speler had vier alinea’s gepubliceerd.

… en als aanvalsoppervlak

Maar eerlijkheid gebiedt om ook naar de andere kant te kijken. Een open platform, ontworpen om externe bijdragen te versnellen, stelt structureel meer oppervlak bloot dan een gesloten tuin: publieke repository’s, evaluatiepijplijnen, componenten van derden — het was trouwens een blootgestelde en kwetsbare infrastructuurcomponent van een derde die als toegangspoort diende. Het incident is een centraal stuk geworden in het debat over het beleid rond open source-AI: voorstanders van controle zien er het bewijs in dat de verspreiding van krachtige capaciteiten moet worden beperkt; voorstanders van openheid het bewijs dat collectieve verdediging alleen werkt door transparantie. Beide kampen hebben op één punt gelijk: openheid zonder investering in beveiliging is een ongefinancierde belofte.

De Europese voorwaarde: de commons financieren

Hier zal de Europese strategie zich beslissen. Open source wordt alleen een pijler van soevereiniteit onder drie voorwaarden. Eén: het onderhoud en de beveiliging van kritieke componenten financieren — niet alleen de innovatie, maar het loodgieterswerk. Storingen komen bijna altijd voort uit obscure bouwstenen die door drie vrijwilligers worden onderhouden. Twee: een Europees vermogen tot audit en respons op de commons opbouwen (code review, systematische SBOM’s, CVE’s behandeld met de snelheid die de Cyber Resilience Act vereist). Drie: dat publieke inkopers een voorkeur voor open oplossingen durven uit te spreken waar die bestaan, en zo het discours omzetten in orderportefeuille.

Het antwoord op de vraag in de titel is dus voorwaardelijk. Pijler, ja — als Europa het behandelt als infrastructuur die je onderhoudt. Illusie, zeker — als het het blijft behandelen als een gratis bron die je consumeert.