DHS AI-strategie onthuld: Kiteworks biedt de oplossing
Het Department of Homeland Security doet niets kleinschalig. Tweeëntwintig onderdeelagentschappen. 260.000 medewerkers. Missies die zich uitstrekken over grensbewaking, cyberbeveiliging, immigratie en rampenbestrijding. En nu een formeel mandaat om AI op verantwoorde wijze te implementeren in al deze domeinen.
Belangrijkste inzichten
- DHS bouwt een gecentraliseerde AI Gateway met continue autorisatie. De DHS AI-strategie voor OMB Memorandum M-25-21 schrijft een enterprise AI-as-a-Service API-gateway voor—één enkele, beheerde pijplijn waarlangs elk onderdeel toegang krijgt tot goedgekeurde AI-mogelijkheden. De gateway vervangt verspreide, per onderdeel geïmplementeerde oplossingen door gecentraliseerde beveiligingshandhaving en continue monitoring, in plaats van periodieke beoordelingen.
- Data Provenance Tracking is nu een federale vereiste, geen beste practice. DHS eist een verifieerbare chronologische documentatie voor elke dataset—waar deze vandaan komt, wie er toegang toe had, hoe deze is aangepast. De GAO stelde vast dat DHS documentatie van databronnen en betrouwbaarheidstoetsing niet volledig had geïmplementeerd. De strategie maakt provenance tracking verplicht voor alle AI-systemen.
- De GAO vond dat de eigen AI-praktijken van DHS tekortschoten. Meerdere GAO-audits toonden aan dat DHS belangrijke AI-verantwoordingspraktijken niet volledig had geïmplementeerd. In één audit bleek zelfs dat de AI-inventaris van het departement niet accuraat was—een use case werd als AI bestempeld terwijl het dat helemaal niet was. De strategie is een directe reactie op deze bevindingen en verplicht levenscyclusverantwoording van ontwikkeling tot productie.
- 57% van de organisaties mist een gecentraliseerde AI Data Gateway. Volgens het Kiteworks 2026 Forecast Report beschikt slechts 43% van de organisaties momenteel over een gecentraliseerde AI data gateway. De overige 57% is gefragmenteerd, heeft slechts gedeeltelijke of helemaal geen specifieke controles. Zeven procent heeft AI geïmplementeerd zonder enige governance over hoe deze systemen toegang krijgen tot gevoelige data.
- Kiteworks levert nu al wat de DHS-strategie beschrijft. Het Kiteworks Private Data Network omvat een productie MCP-server die fungeert als gecentraliseerde AI-gateway, een Data Policy Engine die RBAC en op attributen gebaseerde toegangscontrole (ABAC) afdwingt bij elke handeling, onveranderlijke audittrails en een FedRAMP-inzetpad—precies de architectuur die DHS nodig zegt te hebben.
In september 2025 bracht DHS zijn AI-strategie uit voor OMB Memorandum M-25-21—het operationele plan van het departement om AI op te schalen, terwijl governance, beveiliging en verantwoording vóór de technologie blijven staan, niet erachteraan. De strategie benoemt drie pijlers: een geconsolideerde AI-as-a-Service gateway met continue autorisatie, een gegevensbeheerframework gebaseerd op provenance tracking en controles voor delen tussen onderdelen, en governance-mechanismen die elke AI-investering koppelen aan meetbare missie-uitkomsten.
Dat is de strategie. Wat het de moeite waard maakt, is niet de ambitie. Het is de specificiteit. DHS noemt de architectuur die het nodig heeft. En Kiteworks heeft die al gebouwd.
22 agentschappen, nul uniforme AI-infrastructuur—tot nu
DHS heeft een wildgroeiprobleem. CISA, CBP, ICE, TSA, USCIS, de Secret Service, de Coast Guard—elk koopt en bouwt AI-tools zelfstandig. Het resultaat is dubbel werk, inconsistente beveiligingsstatussen en geen uniforme manier om te beheren wat deze systemen kunnen benaderen of produceren.
Het antwoord van de strategie is een gecentraliseerde AI-as-a-Service API-gateway. Eén hub. Elk onderdeel sluit erop aan. Elk verzoek loopt via één handhavingspunt voor beveiliging, compliance en toegangscontrole. De gateway vermindert niet alleen dubbele contracten—het creëert het architecturale knelpunt waar beleid en uitvoering samenkomen.
Net zo belangrijk: de strategie maakt een einde aan het model van “eenmalig autoriseren en hopen op het beste”. AI-systemen moeten continu worden gemonitord, getest en opnieuw geautoriseerd in productie. Niet eens per drie jaar bij hercertificering. Continu. Dat is een fundamenteel ander werkmodel dan waar de meeste agentschappen—en de meeste bedrijven—vandaag op draaien.
Gegevensbeheer: waar de meeste organisaties de mist in gaan
De tweede pijler is waar de strategie ongemakkelijk wordt voor iedereen die gegevensbeheer als een afvinkoefening heeft behandeld.
DHS erkent het voor de hand liggende: AI is slechts zo goed als de data die het verwerkt. Als de data die je AI-systemen voedt onbetrouwbaar, dubbel, verkeerd geclassificeerd of opgesloten in gescheiden silo’s is, zullen de uitkomsten dat weerspiegelen. De strategie reageert met vier toezeggingen: moderniseren van databeleid in elk onderdeel, implementeren van gemeenschappelijke datakwaliteitsnormen, versterken van provenance tracking en het wegnemen van barrières voor het delen van data tussen onderdelen.
Dat laatste punt is een van de meest hardnekkige operationele tekortkomingen van DHS. Onderdelen moeten regelmatig inlichtingen, dossiers en operationele data delen over organisatorische grenzen heen. Maar het delen van gevoelige data tussen agentschappen—elk met eigen classificatiesystemen, toegangsbeleid en complianceverplichtingen—was traag, handmatig en ontoereikend. De strategie eist een architectuur die deelbeleid automatisch afdwingt, niet via e-mailgoedkeuringen en spreadsheettrackers.
De GAO dringt bij DHS precies hierop aan. Meerdere audits toonden aan dat het departement AI-verantwoordingspraktijken niet volledig had geïmplementeerd—vooral rond documentatie van databronnen en betrouwbaarheidstoetsing. In één audit bleek zelfs de AI-inventaris onjuist. De nadruk van de strategie op provenance is niet ambitieus. Het is een plan van aanpak.
Missie-uitvoering: DHS is klaar met betalen voor AI die niet werkt
De derde pijler is degene die elke leverancier zenuwachtig zou moeten maken.
DHS eist governance-mechanismen die AI-investeringen koppelen aan meetbare missie-uitkomsten. Geen pilotprojectstatistieken. Geen demo’s. Werkelijke verbeteringen in de uitvoering van de missie van het departement—met ingebouwde controlemomenten om projecten die niet leveren te stoppen.
Dit omvat paraatheid van het personeel (mensen opleiden om met AI te werken, niet alleen tools inzetten en hopen), gerichte R&D gekoppeld aan specifieke operationele behoeften en resourceplanning die aantoonbare resultaten vereist vóór de volgende begrotingsronde. De boodschap is duidelijk: DHS is het zat om AI-projecten te financieren die indrukwekkend klinken in een presentatie en vervolgens verdwijnen in het inkoopproces. Als je geld uitgeeft aan AI en geen concreet missievoordeel kunt aantonen, heb je hetzelfde probleem dat DHS probeert op te lossen.
De cijfers laten zien dat de meeste bedrijven niet klaar zijn
De DHS-strategie beschrijft hoe verantwoorde AI-infrastructuur eruitziet. Het Kiteworks 2026 Data Security and Compliance Risk Forecast Report laat zien hoe ver de meeste organisaties hiervan verwijderd zijn.
Slechts 43% van de organisaties beschikt over een gecentraliseerde AI data gateway. De overige 57% is gefragmenteerd, voert slechts gedeeltelijke controles uit of heeft helemaal niets. Zeven procent heeft AI geïmplementeerd zonder enige specifieke governance over hoe deze systemen toegang krijgen tot gevoelige data. Ze hebben AI. Ze hebben het alleen niet beheerd.
Zestig procent kan een AI-agent die zich misdraagt niet snel uitschakelen. Drieënzestig procent heeft geen limieten op wat agents mogen doen. Drieëndertig procent mist audittrails van bewijskwaliteit volledig. En 78% kan de data die hun AI-trainingspijplijnen binnenkomt niet valideren.
Het verschil tussen governance en containment is veelzeggend. Organisaties hebben geïnvesteerd in observeren—loggen, monitoren, dashboards bouwen. Ze hebben niet geïnvesteerd in stoppen. Doelbinding ontbreekt bij 63% van de organisaties. Kill switches ontbreken bij 60%. Netwerkisolatie ontbreekt bij 55%. Dit zijn geen governanceproblemen. Het zijn containment-falingen. En containment voorkomt dat een slechte AI-interactie uitgroeit tot een datalek.
Hoe het eruitziet als iemand het daadwerkelijk bouwt
Kiteworks heeft de architectuur gebouwd die de DHS-strategie beschrijft. Niet op een stappenplan. In productie.
Centraal staat een productie-MCP-server die AI-agents verbindt met bedrijfscontent binnen het Kiteworks Private Data Network. Het is de private data gateway die de DHS-strategie voor ogen heeft: agents verbinden via deze gateway, en elk verzoek—elke bestandsbenadering, elke zoekopdracht, elke datahandeling—loopt eerst door de Kiteworks Data Policy Engine voordat er iets gebeurt. De agent doet het werk. De Data Policy Engine handhaaft de regels.
De Data Policy Engine dwingt rolgebaseerde toegangscontrole (RBAC) en op attributen gebaseerde toegangscontrole (ABAC) af bij elke handeling. Dit is geen logging achteraf. Het is autorisatie vóór uitvoering. Voordat een AI-agent een bestand mag lezen, een document mag aanpassen of content mag delen over een organisatorische grens, beoordeelt de policy engine het verzoek aan de hand van alle relevante regels—wie vraagt, wat wordt benaderd, welke classificatie het heeft en of de handeling is toegestaan onder het huidige beleid.
Content verlaat nooit de beheerde perimeter tenzij dit expliciet is toegestaan. Dat is een wezenlijk verschil met platforms die databewegingen pas achteraf loggen en hopen dat de audit problemen opmerkt voordat ze incidenten worden.
Kiteworks koppelen aan het DHS-framework
AI-as-a-Service Gateway. De MCP-server is de gecentraliseerde, continu geautoriseerde gateway. AI-agents verbinden via deze gateway. De Data Policy Engine autoriseert elk verzoek in realtime. Content blijft binnen de beheerde perimeter tenzij beleid expliciet verplaatsing toestaat. Dit is de gatewayarchitectuur die DHS beschrijft—geïmplementeerd, niet gepland.
Data Provenance en cross-component governance. Elke bestandsbewerking bevat volledige metadata: classificatietags, toegangsverleden, wijzigingsgeschiedenis, organisatorische context. RBAC en ABAC dwingen automatisch deelbeleid af over organisatorische grenzen heen. Data lineage wordt niet achteraf gereconstrueerd. Het wordt vastgelegd bij elk contactmoment—de verifieerbare chronologische documentatie die DHS nu vereist.
GAO Accountability Framework Alignment. Onveranderlijke auditlogging die niet kan worden aangepast of verwijderd creëert audittrails van bewijskwaliteit die voldoen aan de eisen van auditors en onderzoekers. Een FedRAMP-inzetpad en AI-levenscyclusverantwoordingscontroles adresseren de specifieke aanbevelingen die de GAO aan DHS deed—niet algemene principes, maar de daadwerkelijke lacunes die de GAO vond.
Cross-border en multi-framework compliance. Flexibele inzetopties—on-premises, private cloud, hybride, FedRAMP—stellen organisaties in staat gevoelige content binnen hun eigen rechtsbevoegdheid op te slaan. Encryptiesleutelbeheer blijft binnen de rechtsbevoegdheid. Geofencing handhaaft dataresidentie. Vooraf geconfigureerde compliance-sjablonen voor GDPR, DORA, NIS 2, HIPAA, CMMC en meer leveren het continue compliance-bewijs dat toezichthouders eisen.
Wat elke federale aannemer en CISO nu moet doen
Leg je AI-infrastructuur naast het driepijlerframework van DHS. Als je geen enkele, beheerde gateway kunt aanwijzen waarlangs alle AI-agents toegang krijgen tot gevoelige data, heb je hetzelfde fragmentatieprobleem dat DHS probeert op te lossen—en dezelfde compliance-risico’s. Deze strategie is geen vrijblijvende richtlijn. Het is het sjabloon voor inkoopvereisten en contractvoorwaarden onder OMB M-25-21 en M-25-22.
Audit je data provenance en cross-boundary deelcontroles. De GAO stelde vast dat DHS databronnen niet kon documenteren of betrouwbaarheid kon verifiëren. Ben je een aannemer of partneragentschap en kun je geen provenance tracking en geautomatiseerde deelhandhaving aantonen, dan loop je hetzelfde auditrisico dat de GAO aanstipte—en de herstelklok tikt.
Sluit het containment-gat vóór het governance-gat. De meeste organisaties hebben geïnvesteerd in monitoring. Weinig hebben geïnvesteerd in stoppen. Doelbinding, kill switches en netwerkisolatie zijn de controles die voorkomen dat een AI-agent die zich misdraagt leidt tot een datalek. Zestig procent van de organisaties mist er minstens één. Zorg eerst voor containment. Governance zonder containment is slechts toezicht.
Eis audittrails van bewijskwaliteit die onafhankelijk bestaan van AI-agentgeheugen. Drieëndertig procent van de organisaties mist ze volledig. De rest heeft vaak gefragmenteerde logs verspreid over losstaande systemen. Onveranderlijke, gecentraliseerde audittrails zijn geen feature. Ze vormen de basis van elke verdedigbare compliancepositie.
De strategie beschrijft het. Kiteworks levert het.
De DHS AI-strategie is niet ambitieus. Ze is voorschrijvend. Ze benoemt de architectuur—gecentraliseerde gateways, continue autorisatie, data provenance, levenscyclusverantwoording—en benoemt de lacunes. Voor organisaties die gevoelige data over organisatorische grenzen heen verplaatsen, samenwerken met federale agentschappen of erkennen dat onbeheerde AI een risico is, is het stappenplan duidelijk.
De infrastructuur om aan deze vereisten te voldoen bestaat vandaag al. Het Kiteworks Private Data Network—met zijn MCP-server, Data Policy Engine, RBAC/ABAC-handhaving, onveranderlijke audittrails en FedRAMP-inzetpad—levert de beheerde AI-data-infrastructuur die DHS beschrijft en die de meeste organisaties nog missen.
De vraag is niet of jouw organisatie dit nodig heeft. De vraag is of je het hebt vóór de volgende audit, het volgende inkoopbesluit of het volgende incident het antwoord voor je geeft.
DHS schreef de vereisten. Kiteworks bouwde het platform.
Veelgestelde vragen
Federale aannemers die zich voorbereiden op AI-compliance-audits moeten weten dat de DHS AI-strategie drie capaciteiten verplicht stelt: een enterprise AI-as-a-Service gateway met continue autorisatie, gegevensbeheer met provenance tracking en controles voor delen tussen onderdelen, en governance die investeringen koppelt aan missie-uitkomsten. Deze vereisten komen voort uit OMB M-25-21 en zullen de inkooptaal en contractvoorwaarden bepalen voor alle DHS-onderdelen.
De DHS AI-strategie adresseert cross-component gegevensbeheer door geautomatiseerde beleidsafdwinging op organisatorische grenzen, provenance tracking en gemeenschappelijke kwaliteitsnormen te vereisen. Voor instanties die gevoelige data delen tussen onderdelen vervangt dit handmatige goedkeuringen door architecturale controles die deelregels afdwingen voordat data wordt verplaatst.
De GAO stelde vast dat DHS databronnen niet documenteerde, databetrouwbaarheid niet verifieerde en geen accurate AI-inventaris bijhield. Organisaties die zich voorbereiden op strengere controle moeten prioriteit geven aan onveranderlijke auditlogging, provenance tracking en levenscyclusverantwoordingscontroles. Kiteworks adresseert deze lacunes direct met audittrails van bewijskwaliteit, volledige metadatatracking en een FedRAMP-compliance-inzetpad.
Kiteworks voldoet nu al aan de DHS gateway-vereisten voor organisaties die AI-agents inzetten op gevoelige content. De productie-MCP-server fungeert als gecentraliseerde AI-gateway en de Data Policy Engine dwingt RBAC en ABAC af bij elk agentverzoek voordat data wordt verplaatst. Onveranderlijke auditlogs en een FedRAMP-inzetpad maken de compliancepositie compleet.
Slechts 43% van de organisaties heeft een gecentraliseerde AI data gateway, volgens het Kiteworks 2026 Forecast Report. De overige 57% mist een uniform handhavingspunt voor toegangscontrole, auditlogging en beleidsafdwinging—precies de capaciteiten die DHS, GAO en OMB nu vereisen voor verantwoorde AI-inzet bij federale agentschappen en hun aannemers.