Zo is KennisKluis beveiligd

"Onze AI draait lokaal" zegt op zichzelf nog weinig over beveiliging. Bepalend is waar de data staat, wie er toegang toe heeft, wat versleuteld is en wat het systeem vastlegt.

Bedrijfsdata blijft binnen het pand

KennisKluis is een computer die bij de klant staat. Documenten worden op die locatie ingelezen en verwerkt tot een doorzoekbare kennisbank.

KennisKluis beveiliging

01 Versleuteling Opslag en transport zijn versleuteld

02 Verbinding Geen uitgaand verkeer naar buiten

03 Toegang Rollen en rechten intern beheerd

04 Logging Elke handeling staat in een auditlog

05 Continuïteit Back-up blijft op eigen locatie

Verwerking blijft op het apparaat

Het taalmodel draait op het apparaat bij de klant. Documenten worden daar ingelezen in de kennisbank, ongeacht waar de bronbestanden staan. Een vraag beantwoorden gebeurt daardoor op die machine, niet daarbuiten.

Geen subverwerkers

Geen enkele externe partij, zoals een modelaanbieder, hostingpartij of analysedienst, heeft toegang tot de inhoud van documenten.

Zelf te controleren

Het apparaat maakt geen uitgaande verbinding naar een AI-dienst van derden. Dat is direct op het apparaat te controleren.

Beveiligingsmaatregelen op een rij

Zeven maatregelen beschermen het apparaat en het netwerkverkeer, en regelen de toegang.

Volledige schijfversleuteling: de opslag is versleuteld volgens de AES-256-standaard. De sleutel staat onder beheer van de klant en verlaat het pand niet.
Versleutelde privéverbinding: netwerkverkeer tussen portaal, mobiele app en apparaat loopt over een eigen versleuteld netwerk.
Geen blootstelling aan het publieke internet: het systeem is niet rechtstreeks bereikbaar van buitenaf en vereist geen open poorten in de router van het kantoor.
Persoonlijke toegang: iedere medewerker logt in met een eigen account, met gescheiden rollen voor beheerders en gebruikers.
Intrekbare leverancierstoegang: KennisKluis als leverancier heeft alleen toegang op verzoek van de klant, voor onderhoud of support. De klant kan die toegang op elk moment intrekken.
Activiteitenlog: het systeem legt in een auditlog vast welk document is geraadpleegd en welke functie is gebruikt. De antwoordtekst wordt niet vastgelegd; van een vraag alleen een korte samenvatting.
Versleutelde back-ups: incrementeel, met een bestemming die per klant wordt afgesproken.

Eigendom en erkende kaders

Het eigendomsmodel maakt de klant onafhankelijk van de leverancier. De inrichting volgt erkende kaders voor informatiebeveiliging en privacy.

Eigendom en continuïteit

De hardware is eigendom van de klant; op de software geldt een blijvende gebruikslicentie en de modellen zijn open source
Het apparaat werkt zonder internetverbinding door
De dienstverlening kan stoppen zonder dat het systeem stopt

Erkende kaders

NEN-ISO/IEC 27001/27002
Baseline Informatiebeveiliging Overheid
AVG artikel 25 en 32

KennisKluis draagt geen certificering voor deze normen. De inrichting volgt de principes ervan en is daarop te toetsen, bijvoorbeeld in een leveranciersbeoordeling.

De documentinhoud verlaat het pand niet. Daarom is voor de kern van de verwerking geen verwerkersovereenkomst nodig met een externe partij. Voor beheertoegang bij een supportcontract ligt een modelovereenkomst klaar.

Vergelijking met cloudgebaseerde AI

De tabel vergelijkt KennisKluis met een cloudgebaseerde AI-dienst op drie punten: subverwerkers, toepasselijk recht en controleerbaarheid.

	KennisKluis	Cloudgebaseerde AI
Subverwerkers voor de inhoud	Geen	Modelaanbieder en hostingpartij, vaak in de Verenigde Staten
Toepasselijk recht	Nederlands recht	Vaak (mede) Amerikaans recht via de Cloud Act
Controleerbaarheid	Geen uitgaande verbinding naar een AI-dienst, te controleren op het apparaat	Afhankelijk van de aanbieder

Een claim als "data in Nederland" of "data in de EU" zegt niets over wie de onderliggende cloudinfrastructuur beheert. Bij Amerikaanse clouddiensten blijft de Amerikaanse Cloud Act van toepassing, ongeacht waar de server fysiek staat. KennisKluis draait op eigen hardware bij de klant, buiten het bereik van elke buitenlandse Cloud Act.