De schorsing van Anthropic is een waarschuwing voor het risico dat gepaard gaat met de levering van AI-oplossingen.

By Dan Raywood • 7 juli 2026 • 6 minuten leestijd

Wat gebeurt er als je cruciale bedrijfsprocessen bouwt rondom één enkele AI-service, en die service van de ene op de andere dag verdwijnt? Eerder dit jaar werden organisaties die de Claude Fable 5- en Mythos 5-modellen van Anthropic gebruikten, gedwongen om precies die vraag te beantwoorden.

De modellen, die begin juni 2026 zouden verschijnen, werden slechts enkele dagen na de lancering opgeschort na een bevel van de Amerikaanse overheid. Anthropic verklaarde dat het "Fable 5 en Mythos 5 abrupt moest uitschakelen voor al onze klanten om te voldoen aan" een richtlijn die vermoedelijk betrekking had op het omzeilen, of "jailbreaken", van Fable 5.

Het model zou in staat zijn geweest om kwetsbaarheden in cybersystemen te detecteren en werd opgeschort vanwege de vrees dat het misbruikt zou kunnen worden. Hoewel het alleen beschikbaar was gesteld aan gecontroleerde organisaties, vaardigde de Amerikaanse overheid een exportcontrolebevel uit dat de toegang tot Fable 5 en Mythos 5 voor alle buitenlandse staatsburgers opschortte.

In een verklaring zei Anthropic dat de richtlijn geen specifieke details bevatte over de nationale veiligheidszorgen van de overheid. Het bedrijf voegde eraan toe dat, na een demonstratie van de gebruikte techniek om een klein aantal reeds bekende, kleine kwetsbaarheden te identificeren, deze kwetsbaarheden relatief eenvoudig leken.

Anthropic verklaarde verder dat het in de weken voorafgaand aan de lancering van Fable had samengewerkt met de Amerikaanse overheid, diverse externe organisaties en interne teams om de beveiligingsmechanismen van het model duizenden uren lang grondig te testen. "Deze tests toonden aan dat de beveiligingsmechanismen van Fable aanzienlijk effectiever zijn dan die van elk eerder ingezet model."

Op 1 juli werden de beperkingen op Fable 5 en Mythos 5 opgeheven nadat het ministerie van Handel had verklaard dat Anthropic ermee had ingestemd om proactief beveiligingsrisico's in verband met de modellen op te sporen en aan te pakken, samen te werken aan toekomstige AI-releases en de overheid te waarschuwen voor kwaadwillige activiteiten.

Onderdeel van de onderneming

De opschorting was wellicht tijdelijk, maar bracht wel een veel bredere vraag aan het licht: wat gebeurt er als een AI-dienst die is ingebed in de bedrijfsvoering plotseling niet meer beschikbaar is?

Sommige organisaties hebben de nieuwste modellen van Anthropic wellicht al vroeg in gebruik genomen, maar dat is niet ongebruikelijk. Bedrijven zijn steeds sneller geneigd nieuwe AI-mogelijkheden te implementeren wanneer deze een concurrentievoordeel of operationeel voordeel bieden. De kern van de zaak is niet hoe nieuw een dienst is, maar hoe afhankelijk een organisatie ervan is geworden.

Als AI-diensten bedrijfskritisch zijn geworden, kan een plotselinge stopzetting ervan aanzienlijke operationele verstoringen veroorzaken. Het Anthropic-incident werpt daarom een belangrijke vraag op: moeten AI-tools nu als kritieke leveranciers worden beschouwd?

Graham Pottie, informatiebeveiligingsmanager en vCISO bij ClubCISO, zegt dat het belang van AI volledig afhangt van hoe het wordt gebruikt. Als het alleen wordt gebruikt om een e-mail op te schonen, is het geen kritieke toepassing. "Maar als je het gebruikt om informatie over klanten te verzamelen en te achterhalen wat ze doen om je pitch te verbeteren, of om bedrijfsprocessen te automatiseren," zegt hij, "dan wordt het een kritieke dienst."

Hij wijst er ook op dat organisaties de verborgen afhankelijkheden bij hun leveranciers moeten begrijpen. "Wanneer je standaard leveranciersrisicobeheer uitvoert, kan er AI ingebouwd zijn in de producten waar ze van afhankelijk zijn. Als die AI uitvalt en het een belangrijke leverancier betreft met ingebouwde AI, kan dat je bedrijf schade berokkenen."

Pottie voegt eraan toe dat als je tools of agentische applicaties hebt gebouwd bovenop een specifiek groot taalmodel (LLM), deze mogelijk niet werken op een ander platform. Er is ook het probleem van gegevensbeveiliging. "Wat gebeurt er met je gegevens? Heb je er nog steeds controle over, of ben je het eigendom kwijtgeraakt?"

In het risicoregister opnemen

Als AI essentieel is geworden voor uw bedrijfsvoering, moet het worden beheerd als elke andere kritieke leverancier, waarbij de bijbehorende risico's formeel worden vastgelegd in uw risicoregister. Hoewel dit incident Anthropic betrof, kan hetzelfde scenario elke AI-aanbieder treffen.

De belangrijkste les is het begrijpen van afhankelijkheidsrisico's. Organisaties moeten niet alleen weten waar AI direct wordt gebruikt, maar ook waar het is ingebed in diensten van derden die cruciale bedrijfsprocessen ondersteunen.

Volgens Pottie is een AI-platform cruciaal voor je bedrijf als je 90% van je helpdeskmedewerkers hebt vervangen door AI. Dit brengt een aanzienlijk operationeel risico met zich mee dat op de juiste manier beheerd moet worden.

Die beoordeling moet ook deel uitmaken van elk complianceprogramma. Als u werkt aan ISO 27001-certificering, moet het gebruik van externe AI-diensten worden weerspiegeld in uw register van informatiebeveiligingsrisico's.

Verschillende ISO 27001:2022-controles zijn in dit scenario bijzonder relevant. De controles met betrekking tot de relatie met leveranciers (A.5.19–A.5.22) vereisen dat organisaties de risico's begrijpen die verbonden zijn aan externe producten en diensten. Hierdoor zijn AI-leveranciers een logische keuze wanneer zij bedrijfskritische processen ondersteunen. Evenzo benadrukt A.5.23, dat betrekking heeft op het gebruik en de beëindiging van clouddiensten, de noodzaak om te overwegen hoe AI-afhankelijke diensten kunnen worden vervangen of gemigreerd als de toegang daartoe plotseling wordt ingetrokken.

Bedrijfscontinuïteit is eveneens van groot belang. De beheersmaatregelen A.5.29 en A.5.30 vereisen dat organisaties zich voorbereiden op technologische verstoringen door kritieke diensten te identificeren, responsplannen te onderhouden en deze regelmatig te testen. Hoewel weinig organisaties hadden verwacht dat een nieuw gelanceerd AI-model binnen enkele dagen na de release zou worden opgeschort, laat het voorbeeld van Anthropic zien waarom plannen voor het onverwachte een essentieel onderdeel is van een veerkrachtige AI-implementatie.

Al met al stimuleren deze maatregelen organisaties om te bepalen waar AI cruciale bedrijfsprocessen ondersteunt, leveranciers- en geopolitieke risico's te beoordelen en gedocumenteerde nood- en exitplannen op te stellen voor het geval de toegang tot een dienst wordt beperkt of ingetrokken. Ze helpen ook de afhankelijkheid van één enkele AI-aanbieder te verminderen door organisaties aan te moedigen hun opties te begrijpen voordat er verstoringen optreden.

Pottie zegt dat AI ook een rol kan spelen bij incidentpreventie, maar dat organisaties de basisprincipes nooit mogen verwaarlozen. Zoals hij het zelf zegt: "Houd pen en papier bij de hand."

The Bigger Picture

Hoewel Anthropic de bezwaren van de Amerikaanse overheid betwistte en de kwestie omschreef als een beperkte, niet-universele ontsnapping uit de beveiliging, liet het incident zien hoe snel de toegang tot een cruciale AI-dienst kan veranderen. OpenAI is ook onder strenger toezicht komen te staan van de Amerikaanse overheid, waarbij versie 5.6 van het GPT-model naar verluidt per klant wordt goedgekeurd.

Naarmate AI steeds meer verweven raakt met cruciale bedrijfsprocessen, moeten organisaties AI-leveranciers behandelen zoals elke andere strategische leverancier. Dat betekent inzicht in afhankelijkheden, het onderhouden van noodplannen en ervoor zorgen dat leveranciersrisico's worden weerspiegeld in het informatiebeveiligingsrisicoregister. ISO 27001 biedt al een groot deel van het benodigde kader; de uitdaging is ervoor te zorgen dat AI daarin wordt opgenomen.