De afgelopen weken kreeg ik uit diverse hoeken signalen dat de markt wil aanhaken bij onze Pilot Informatieautonomie. Dat is natuurlijk fantastisch, bedrijven die de overheid willen "helpen." We kregen vragen over ons verdienmodel, uit de markt en, opvallend genoeg, ook vanuit de overheid zelf. Blijkbaar is dat de normaalste zaak van de wereld in de markt, maar bij ons niet. We draaien lean en mean, met maar één doel: met zo weinig mogelijk budget zoveel mogelijk oplossen. Op dezelfde manier als waarop we al vijf jaar de Maand van de Digitale Fitheid organiseren, en al voor de vierde keer de Europese PKM Summit.

Ik pionier al meer dan twintig jaar in de maatschappelijke voorhoede rond technologie, en dat soort vragen interesseert me geen bal. De mensen die ik in het projectteam heb verzameld evenmin. Bij de Pilot Informatieautonomie houden we ons met één ding bezig: de verborgen kosten van de informatiegewoonten van de overheid in kaart brengen. Onze huidige schattingen zitten tussen de twintig en de vijftig miljard euro per jaar. We onderzoeken hoe dat fors beter, slimmer, goedkoper en vooral autonomer kan. Zonder externe partijen erbij. En we delen onze bevindingen, via de website, via praktische boekjes en binnenkort ook met code, zodat geeks bij elke overheidsorganisatie er meteen mee aan de slag kunnen en zelf zien hoe makkelijk het tegenwoordig is. We stellen onze kennis, inzichten en code zoveel mogelijk beschikbaar in het publieke domein: vrij te gebruiken, aan te passen en te verspreiden, ook commercieel. We willen geen auteursrechtelijke voorwaarden aan dat hergebruik verbinden.

Voor de markt zie ik daarin echter geen rol. Als de markt dit probleem kon oplossen, was het al lang gebeurd. Ik denk dat de markt het probleem ís. Een bedrijf hebben betekent onder de streep geld overhouden, en dat gun ik iedereen, ook de leverancier die dit nu leest. Alleen is de tijd voorbij dat we die winst onnodig spekken met maatschappelijk geld dat op andere plekken hard nodig is.

Vanuit informatieautonomie is de eerste vraag hoeveel van die systemen en leveranciers we nog nodig hebben.

Herman Kopinga, een van onze onderzoekers, zag haarscherp waar het ooit misging. IT-bedrijven gingen hun sollicitatiegesprekken houden in de showroom van de autodealer, en zetten de overheid als werkgever daarmee behoorlijk buitenspel. Tekende je het arbeidscontract bij zo'n IT-leverancier, dan kon je gelijk een glimmende auto meenemen.

Mooi voor een programmeur aan het begin van zijn carrière. Tot je wat dieper nadenkt over wat er eigenlijk in de belevingssfeer van een lease-auto gebeurt: iets van tijdelijkheid, gebrek aan eigenaarschap en minder zorg dan voor een auto die je zelf bezit.

En op de een of andere manier is die mentaliteit overgenomen door de overheid: ze ging systemen leasen in plaats van dat ze die zelf bouwde. De kennis die van buiten werd ingehuurd, bleef daardoor ook buiten en werd niet overgedragen. Daarnaast werd onderhoud in één keer iemand anders een probleem.

Dit patroon zie je overal bij elke overheidslaag. Een contract voor het scannen van documenten, voor opslag, voor een heel documentmanagementsysteem: de beschikbaarheid staat erin, de uptime, de beveiliging. Of je er over zeven jaar nog makkelijk bij kan zonder de software van de leverancier, blijft onbenoemd. Ik zie het bij de meeste organisaties niet eens op de radar staan.

Pas bij een overstap, jaren later, word je geconfronteerd met het probleem dat je de informatie niet eenvoudig, of soms zelfs helemaal niet, kunt meenemen naar een nieuw systeem. En dan is het te laat.

De juiste term daarvoor is vendor lock-in: een bewuste bedrijfsstrategie, gericht op het voorkomen dat IT-klanten makkelijk naar een andere leverancier kunnen overstappen. Vooral Microsoft heeft daar een handje van. Het is het tegenovergestelde van informatieautonomie, het vermogen om bij je eigen informatie te kunnen zonder dat daar een derde partij voor nodig is.

Dat los je niet snel op met regelgeving. Het regeerakkoord van januari 2026 verheft digitale autonomie zelfs tot leidend principe voor inkoop en aanbesteding, maar informatieautonomie zelf ontbreekt daarin volledig: de vraag of je bij je eigen informatie kunt zonder de software van de leverancier, staat nergens in die tekst. Dat is niet alleen een uitvoeringsprobleem. Digitale autonomie is nog niet eens vertaald naar informatieautonomie: de politieke wil is er, het concrete begrip voor zelfstandigheid over je eigen informatie nog niet. Dus vraag ik me af: waarom nemen we dat niet gewoon als standaardeis op in de aanbesteding? Dan voorkom je dat die afhankelijkheid ongemerkt onderdeel van de opdracht wordt. Toch gebeurt dat bijna nooit.

Heldere taal doet wonderen, dus laten we deze eis voortaan gewoon vendor lock-out noemen. In de cybersecurity-wereld betekent dat woord al iets, buitengesloten worden van je eigen data doordat een leverancier omvalt of de stekker eruit trekt. Ik stel voor dat we dat woord een nieuwe betekenis gaan geven: niet iets dat je overkomt, maar iets dat je zelf afdwingt. Bij de eerste aanbesteding wordt de leverancier vooraf de macht ontnomen om je later vast te houden, door te eisen dat informatie in een formaat staat dat elke computer kan lezen: platte tekst, Markdown, een open standaard. Word-bestanden zijn technisch weliswaar open, maar notoir onbetrouwbaar zodra je ze snel en in bulk wilt verwerken. Een database-export die alleen de leverancier zelf kan openen, is dat probleem in zijn zwaarste vorm.

Zo kun je te allen tijde overstappen en je data gewoon meenemen, zoals dat bij een telefoonnummer allang de normaalste zaak van de wereld is. De overheid verplichtte telecombedrijven zelf tot die nummerportabiliteit. Diezelfde overheid past het principe alleen nog niet toe op haar eigen IT-inkoop.

Er is overigens best een verklaarbare reden waarom overheidsbestuurders zo'n eis niet stellen. Een grote, bekende leverancier inhuren voelt veilig, niet alleen voor het systeem maar ook voor de bestuurder zelf. Gaat het mis, dan ligt het aan de leverancier en niet aan jou als bestuurder die hem koos. Ik snap het, dat is een aantrekkelijke gedachte. Maar je koopt er schijnzekerheid mee, en op de langere termijn ondermijn je de kennisontwikkeling in je eigen organisatie. Het risico verdwijnt niet, het wordt alleen pijnlijk zichtbaar op het moment dat je wilt overstappen.

Er is nog een tweede, even begrijpelijk motief. Als inkopende organisatie kun je aan een geldkraan draaien, en dat is een machtsinstrument. Veel bestuurders hebben daardoor het gevoel dat ze precies kunnen bepalen wat de leverancier moet doen. Ze kunnen hem erop aanspreken, of vervangen, als het niet bevalt. Dat voelt een stuk comfortabeler dan zelf mensen opleiden, wat nu eenmaal traag gaat. Maar precies daardoor bouw je onvoldoende kennis op in je eigen organisatie.

Als je deze twee motieven niet benoemt, verkeer je in de veronderstelling dat lock-in voor jou geen risico is. Het probleem is alleen dat je het in je hoofd hebt afgekocht, maar niet hebt opgelost in de praktijk.

Het businessmodel van een groot deel van de IT-sector is jarenlang op precies dat mechanisme gebouwd. Hoe ingewikkelder een systeem is, hoe meer licenties, consultants en maatwerktrajecten een klant nodig heeft om het draaiende te houden. Ik noem die leveranciers al langer merchants of complexity: partijen die verdienen aan complexiteit die er eigenlijk niet hoeft te zijn. Zolang eenvoud hun omzet verlaagt en afhankelijkheid die verhoogt, is het commerciële belang bij informatieautonomie gering.

Toch zie ik nog één toekomst voor de markt, en die begint bij het omdraaien van het eigen businessmodel: van vendor lock-in als verdienmodel naar vendor lock-out als aanbod, overheden proactief helpen om dingen zelf te kunnen. Daar is nog altijd een verdienmodel in te vinden, op een manier die eerlijk is tegenover de klant.

Dat kan ook bijna niet anders, want het oude model staat onder druk. De mogelijkheden om informatie op te slaan, te bewaren en veilig toegankelijk te houden voor de juiste mensen zijn de afgelopen jaren fors simpeler en veel goedkoper geworden. Een gemeente met kennis in huis kan verreweg de meeste van die dure diensten inmiddels zelf bouwen, met open formaten. Waar vroeger een compleet IT-bedrijf nodig was voor opslag, archivering en toegangsbeheer, volstaat nu vaak een klein team met de juiste kennis en het juiste formaat. De leercurve is bovendien minder steil geworden, en dat geldt nog sterker zodra overheden niet ieder voor zich het wiel opnieuw uitvinden, maar van en met elkaar leren, zoals we met de Pilot Informatieautonomie proberen te doen.

Neem personeels- en salarisverwerking, iets waar elke overheidsorganisatie mee te maken heeft. Het onderliggende datamodel, contracten, functies, roosters, loonregels, oogt overzichtelijk. Wat vroeger veel programmeerwerk vroeg, is inmiddels veel eenvoudiger te realiseren. En de data kun je gewoon exporteren als je naar een andere leverancier overstapt.

Maar het echte kapitaal zit ergens anders. Heb je twintig jaar lang kennis opgebouwd over cao-uitzonderingen, grensgevallen en interpretaties van wetgeving, dan wil je die kennis ook kunnen meenemen. Die blijft doorgaans in handen van de leverancier. Kun je bij vertrek ook zelfstandig vaststellen hoe een salaris is berekend, welke uitzondering is toegepast en waarom? Als die kennis alleen in het leverancierssysteem bestaat, neem je de invoer en de uitkomsten mee, maar niet de kennis om het werk voort te zetten.

Ik wed dat veel leveranciers vinden dat die kennis van hen is, dat zij hem hebben ontwikkeld. Maar hij is ontstaan door de jarenlange interactie met diezelfde overheden, op regels die aan die overheden zelf worden opgelegd. De overheid moet de regels die op haar eigen werk worden toegepast zelfstandig kunnen kennen en gebruiken. En eigenlijk is dit precies hetzelfde mechanisme als vendor lock-in: de gegevens, definities en verwerkingsregels blijven verweven met hun systemen, in plaats van er zelfstandig van los te staan. De vraag aan zo'n leverancier is daarom: waarom zijn die regels en interpretaties niet zelfstandig beschikbaar voor de overheid?

Voor het deel van de IT-sector dat overblijft, is dat een waarschuwing en een kans tegelijk. Wie op lock-in blijft leunen, concurreert straks met gemeenten die het zelf kunnen bouwen. Wie lock-out omarmt, verandert wat hij verkoopt: niet langer de afhankelijkheid van een klant, maar de kwaliteit van zijn dienst, met de garantie dat je altijd kunt vertrekken. De macht verschuift toch al. Het was: kennis is macht. Het wordt: kennis delen is macht. Wie klanten het best helpt om zelf te begrijpen en te kunnen, bewijst zijn waarde, en mag daarvoor goed worden beloond. De tijd van makkelijke omzet uit afhankelijkheid is voorbij. Wat overblijft, moet hij blijvend verdienen met waarde die aantoonbaar is.

Een markt die lock-out beloont, verandert het gedrag van leveranciers sneller dan welke aanbestedingsregel dan ook. Vraag je er bij de aanbesteding gewoon om, dan is dat geen wantrouwen, het is een normale voorwaarde. Biedt een leverancier het uit zichzelf al aan, dan hoeft hij zich later nergens meer voor te verdedigen. Het signaal is simpel: afhankelijkheid is een keuze die een leverancier ooit heeft gemaakt, geen vaststaand gegeven.

Onder de laag van het bestandsformaat zit nog een laag, en die wordt makkelijk over het hoofd gezien. Een organisatie kan een contract natuurlijk altijd formeel opzeggen, maar dat is niet hetzelfde als feitelijk kunnen weggaan. Losse bestanden zijn niet genoeg als hun betekenis en onderlinge verbanden alleen in het systeem van de leverancier bestaan: je krijgt dan de ruwe data mee, niet de samenhang die haar pas bruikbaar maakt. Wil je die cruciale informatie ook echt kunnen gebruiken, dan moeten die verbanden zelfstandig leesbaar worden vastgelegd, los van het systeem waarin ze zijn ontstaan. Vendor lock-out die alleen op het formaat let, lost daarom maar de helft van het probleem op.

Dat hoeft geen blinde vlek te blijven tot het moment van vertrek. Toets eerst jezelf: kun je, zonder het oorspronkelijke systeem, nog bij je informatie en de samenhang erin? Pas daarna is het zinvol om ook een andere partij periodiek te laten bewijzen dat ze het werk kan overnemen. Dan ken je het risico vooraf, niet pas als je er middenin zit.

SharePoint is daar een herkenbaar voorbeeld van, zeker wanneer het met Teams en andere Microsoft 365-diensten is verweven. Wie zo'n omgeving wil verlaten, moet meer meenemen dan de losse documenten. Toegangsrechten, versiegeschiedenis, metadata en werkprocessen zijn niet automatisch onderdeel van de bestanden die je downloadt. Ze bepalen wel wie welke informatie kan vinden, begrijpen en gebruiken. Bestanden exporteren is daarom iets anders dan zelfstandig met dezelfde informatie verder kunnen. Hoe meer de organisatie haar werk rond het platform heeft ingericht, hoe ingrijpender het vertrek kan worden. De afhankelijkheid zit niet alleen in het bestand, maar ook in de praktijk. Het werkt een beetje zoals Sauron in In de Ban van de Ring de Ringen van Macht uitdeelde: een schitterend geschenk, vol krachtige mogelijkheden, en pas te laat kom je erachter dat je in feite afhankelijk bent geworden van degene die je die mogelijkheden gaf.

Lock-in ontdek je vaak pas als je wilt vertrekken, met kennis waar je nooit zelfstandig over kon beschikken. Lock-out regel je vooraf, bij de aanbesteding, terwijl de leverancier nog aan tafel zit. Niet alleen het bestandsformaat leg je dan vast, maar ook dat de kennis die jullie samen opbouwen zelfstandig beschikbaar en bruikbaar blijft voor jouw organisatie. Het bedrijf dat dat vanzelf al aanbiedt, voordat de klant erom vraagt, is het bedrijf waar de markt over tien jaar naartoe loopt.

Bedrijven die de overheid willen "helpen", ik hoorde het deze weken vaak genoeg. Meestal betekent het: help ons om te blijven zoals we zijn. Een leverancier die het echt meent, laat juist zien wat hij weet, en geeft dat mee in plaats van het vast te houden. Dat zou voor de verandering pas fantastisch zijn.