In Europa laten steeds meer softwareontwikkelaars de laatste maanden hun zorgen horen over generatieve AI. Zij noemen tools als OpenAI’s ChatGPT, GitHub Copilot van Microsoft en Google Gemini bij naam. De kern is twijfel over codekwaliteit, licenties en privacy op de werkvloer. De Europese AI-verordening gevolgen overheid en bedrijven spelen daarbij mee.
Ontwikkelaars vrezen codekwaliteit
Veel ontwikkelaars melden dat AI-assistenten sneller code schrijven, maar ook vaker fouten maken. Generatieve AI is software die nieuwe tekst of code maakt op basis van voorbeelddata. De tools geven soms zelfverzekerde antwoorden die onjuist of onveilig zijn. Dit leidt tot extra werk voor reviews en tests.
Bij codevoorstellen uit ChatGPT, GitHub Copilot of Gemini duiken geregeld verouderde API’s en gemiste randgevallen op. Teams zien compilatiesucces, maar pas later productieproblemen. Testdekking en peer review blijven dus verplicht. AI vervangt die stappen niet.
Een veelgenoemd probleem is hallucinatie, een fout waarbij het model niet-bestaande functies of feiten verzint. Zulke suggesties lijken plausibel, maar vallen door de mand bij integratietests. Zeker in beveiligde omgevingen kan dit risico’s vergroten. Ontwikkelaars vragen om strengere linting en statische analyse op AI-code.
Hallucinatie is wanneer een AI-systeem met grote zekerheid een onjuist of verzonnen antwoord geeft.
Licenties en data blijven lastig
Open-source licenties stellen voorwaarden aan hergebruik van code. Ontwikkelaars vrezen dat AI-assistenten korte fragmenten opleveren die te veel lijken op gelicentieerde broncode. Bij onduidelijke herkomst kan een organisatie licentievoorwaarden schenden. Dit speelt vooral bij strengere licenties zoals GPL.
De Europese auteursrechtrichtlijn kent een uitzondering voor tekst- en datamining, mits rechthebbenden zich niet hebben afgemeld. Toch willen bedrijven weten of modellen die regels hebben gevolgd. GitHub Copilot, ChatGPT en Gemini bieden weinig zicht op individuele trainingsbronnen. Dat maakt compliance en due diligence moeilijk.
Privacy is een tweede pijnpunt onder de AVG. Wanneer ontwikkelaars bedrijfs- of persoonsgegevens in een prompt plakken, is er gegevensverwerking door een externe aanbieder. Dat vraagt om dataminimalisatie, versleuteling en een verwerkersovereenkomst. Steeds meer teams schakelen daarom over op enterprise-varianten met “no training” en logcontrole.
Europese AI-verordening stuurt bij
De AI-verordening (AI Act) legt algemene plichten op aan aanbieders van generatieve modellen. Aanbieders van general-purpose AI, zoals OpenAI, Google, Anthropic, Meta en Mistral, moeten onder meer documentatie en samenvattingen van trainingsdata publiceren. Ook moeten zij rekening houden met auteursrechten. Dat moet herkomst en verantwoordelijkheden verduidelijken.
Voor gebruikers van AI in softwareontwikkeling geldt meestal geen hoog-risicoklasse. Toch blijven zorgplichten uit andere regels gelden. Denk aan de AVG, beveiligingseisen en sectorale normen. Overheden moeten bovendien transparanter zijn in inkoop en gebruik.
Publieke instellingen in Nederland vallen onder de BIO, de basisnormen voor informatiebeveiliging. Zij moeten risico’s van AI-assistenten aantoonbaar beperken. Een DPIA, een beoordeling van privacyrisico’s, kan nodig zijn als broncode of logdata herleidbaar is tot personen. Dit vergt heldere contracten en technische waarborgen.
Organisaties scherpen beleid aan
Bedrijven passen hun ontwikkelproces aan nu AI-assistenten gemeengoed zijn. Veel teams behandelen AI-voorstellen als externe code en onderwerpen die aan dezelfde licentie- en securitychecks. Tools voor SCA (software composition analysis) en geheime-detectie draaien standaard mee. Zo verkleinen zij het risico op lekken of licentieconflicten.
Leveranciers spelen daarop in met zakelijke pakketten. ChatGPT Enterprise en GitHub Copilot for Business beloven geen trainingsgebruik van klantdata. Ook bieden zij beheermogelijkheden voor logging en dataretentie. Dat vergemakkelijkt AVG-naleving.
Toch blijft menselijke toetsing centraal staan. Senior reviews en uitgebreide tests blijven nodig om kwaliteitsverlies te voorkomen. Teams investeren in richtlijnen voor prompts en code-acceptatie. Dit voorkomt dat schijnbare tijdwinst omslaat in technische schuld.
Nederlandse keuzes en alternatieven
In Nederlandse organisaties groeit de vraag naar Europese of on-premises opties. Open modellen als Code Llama (Meta), StarCoder 2 (BigCode/Hugging Face/ServiceNow) en Codestral (Mistral AI) zijn aantrekkelijk vanwege datacontrole. Ze kunnen in een eigen datacenter draaien, dicht bij broncode en CI/CD. Wel vragen ze beheer, rekenkracht en beveiliging.
Voor overheden is dat aantrekkelijk als persoonsgegevens of staatsgevoelige code meespelen. Europese datalokalisatie en duidelijke verwerkersafspraken maken implementatie eenvoudiger. Combineer dit met auditlogboeken en versleuteling in transit en rust. Zo blijft aanvoer én uitvoer van modellen controleerbaar.
Onderwijs- en onderzoeksinstellingen testen vergelijkbare opstellingen, vaak binnen bestaande privacykaders. Zij koppelen AI-assistenten aan interne documentatie en API’s, met strikte toegangsrechten. Dit beperkt datalekken en verhoogt relevantie. De les: klein beginnen, meten en bijstellen.
Trend zet druk op aanbieders
De groeiende kritiek van ontwikkelaars vergroot de druk op modelbouwers. Transparantie over trainingsdata en herkomst van codevoorstellen staat hoog op het verlanglijstje. Ook worden kwaliteitssignalen per regel of bestand gevraagd. Dat helpt ontwikkelaars om een voorstel snel te wegen.
Leveranciers reageren met citeerfuncties en bronverwijzingen, maar die zijn nog niet uniform. Sommige producten tonen alleen documentatie, geen codebron. Voor compliance schiet dat tekort. Europese regels kunnen dit versnellen.
Uiteindelijk verschuift de vraag van “werkt het” naar “is het aantoonbaar veilig en rechtmatig”. Dat sluit aan bij de AI-verordening en de AVG. Wie AI-assistenten inzet, moet kunnen uitleggen hoe beslissingen tot stand komen. Zonder die verantwoording blijft het vertrouwen broos.
