Private AI voor Arnhem: energie-sovereignty, netbeheerdersdata, kritieke infra

Arnhem is de energiehoofdstad van Nederland. Alliander heeft er het hoofdkantoor, TenneT runt vanuit de regio het hoogspanningsnet en Liander beheert het grootste distributienet van het land vanuit hetzelfde cluster. Daarnaast zit Vitens als grootste drinkwaterbedrijf van Nederland in Arnhem gevestigd. Deze concentratie is niet toevallig: de regio is historisch het zwaartepunt van de Nederlandse energie-infrastructuur, van de Kema-testlabs tot het Arnhems Nuts Bedrijf dat aan de basis van Alliander stond. Dat historische gewicht wordt nu een digitale uitdaging: al deze organisaties werken met data die fundamenteel niet naar publieke AI-diensten mag, maar waar LLM-toepassingen wel enorme operationele waarde kunnen leveren.

Private AI is voor Arnhem-Nijmegen geen IT-trend maar een juridisch en operationeel hard randvoorwaarde. Volgens de NIS2-richtlijn die per oktober 2024 in werking trad en momenteel in Nederland wordt omgezet via de Cyberbeveiligingswet (Cbw), vallen netbeheerders, energieproducenten, drinkwaterbedrijven en toeleveranciers van kritieke infrastructuur onder het strengste regime "essentiele entiteiten". Dat betekent onder andere: risico-analyses op alle digitale processen, incident-meldplicht binnen 24 uur, bestuurdersaansprakelijkheid en verplichte supply-chain-security. Voor AI-toepassingen impliceert dit dat het inzetten van een cloud-LLM buiten de EU feitelijk onmogelijk is: de data-flow naar een Amerikaanse provider is een nieuw supply-chain-risico dat formeel geassessed, gemonitored en gedocumenteerd moet worden, en in de praktijk niet door het CIO-office wordt goedgekeurd.

De NCSC-richtlijnen voor AI-security gaan nog een stap verder. Het NCSC adviseert kritieke-infra-organisaties expliciet om bij LLM-inzet rekening te houden met data-leakage via prompts, model-inversie-aanvallen en supply-chain-dependencies op de modelleverancier zelf. In de praktijk betekent dit dat een netbeheerder die ChatGPT of Copilot gebruikt voor het analyseren van storingsrapporten, impliciet SCADA-observaties, capaciteitsknelpunten en congestie-locaties deelt met OpenAI en Microsoft. Zelfs met de enterprise-varianten die "no-training" contracten bieden, blijft de juridische en operationele risico-exposure fundamenteel groter dan de interne security-teams acceptabel vinden. Private AI lost dit op door het model in de eigen perimeter te brengen.

Use-case 1: LLM op SCADA- en smart-grid-data voor Alliander, TenneT en Liander. Nederlandse netbeheerders kampen met ongekende netcongestie. Volgens Netbeheer Nederland is een groot deel van het middenspannings- en hoogspanningsnet "vol" en moeten bedrijven soms jaren wachten op een aansluiting. De analyse-werkzaamheden die daarbij komen kijken — congestie-prognoses, capaciteitsverzoeken van grootverbruikers, onderhoudsplanning, storingsanalyse, transformator-load-forecasting — zijn data-zwaar en tekst-zwaar tegelijk. Een sovereign LLM-stack (Mistral, Llama 3, of Falcon on-prem) getraind op historische storingsrapporten, netconfiguratie-documenten en asset-management-dossiers kan de analisten aanzienlijk versnellen: een storingsrapport uit het SCADA-systeem wordt automatisch gecorreleerd aan vergelijkbare incidenten uit de afgelopen 10 jaar, de root-cause-hypothese wordt voorgesteld met bronverwijzingen naar de originele documenten, en de conceptbriefing voor de ochtendstand-up wordt opgesteld. Dat alles zonder dat een enkele byte SCADA-data de netbeheerder-perimeter verlaat.

Use-case 2: drinkwater-sovereignty voor Vitens en waterschappen. Vitens levert drinkwater aan circa 5,7 miljoen klanten in vijf provincies vanuit Arnhem. Drinkwater valt onder de Drinkwaterwet en daarnaast onder NIS2 als essentiele entiteit. De data die Vitens verwerkt — waterkwaliteits-metingen, lekkage-detectie-patronen, netconfiguraties van het drinkwaterdistributienet — is zowel veiligheids-gevoelig (een kaart van zwakke plekken in het net is letterlijk een terrorisme-doelwit-document) als privacy-gevoelig (verbruikspatronen per huishouden zijn persoonsgegevens onder de AVG). Een private LLM-omgeving kan waterkwaliteits-rapportages samenvatten, afwijkingen in meetdata corrigeren qua context, en klantvraag-analyses genereren voor de klantenservice — zonder dat deze data ooit op publieke cloud-infrastructuur terecht komt. Vitens heeft zelf beleid op datasoevereiniteit uitgeschreven dat expliciet EU-only eist voor gevoelige verwerkingen, wat publieke LLMs uitsluit.

Use-case 3: earth-observation en netplanning op sovereign stacks. De regio Arnhem-Nijmegen kent ook een sterke geo-informatie-cluster rond ITC (University of Twente) en Wageningen UR. Netbeheerders combineren steeds vaker satelliet-beelden met hun eigen assetdata om bijvoorbeeld vegetatie-risico op hoogspanningslijnen te monitoren, of om klimaat-adaptatie-scenarios door te rekenen voor transformator-locaties. Deze workflows zijn ideaal voor private AI: de open-source aardobservatie-data van Copernicus/Sentinel kan worden gecombineerd met vertrouwelijke netconfiguratie-data in een model dat volledig on-premise draait. Stacks als Mistral 7B of Llama 3 70B, gefinetuned op Nederlandse domein-data, leveren voor deze use-cases performance die in de buurt komt van GPT-4-niveau, maar dan met volledige data-sovereignty.

Use-case 4: NIS2 en Cyberbeveiligingswet compliance voor toeleveranciers van kritieke infra. De Arnhemse energiecluster bestaat niet alleen uit netbeheerders en TenneT zelf — er zit een hele keten van toeleveranciers omheen, van engineering-bureaus (DNV, Witteveen+Bos, Royal HaskoningDHV) tot ICT-partners en asset-management-specialisten. Sinds NIS2 vallen ook deze toeleveranciers onder het regime "important entity" of "essential entity" afhankelijk van hun rol in de keten. Voor hen geldt een vergelijkbare eis: gevoelige klant-data, netconfiguratie-informatie en operationele SCADA-observaties mogen niet via publieke LLMs worden verwerkt. Private AI biedt deze toeleveranciers een pragmatische oplossing: een gedeelde of eigen sovereign-stack waarin zij hun werk voor meerdere netbeheerders kunnen doen zonder telkens een nieuw supply-chain-assessment te moeten doorstaan.

Waarom Arnhem een bijzonder hoge Private-AI-adoptie rechtvaardigt. De combinatie van Alliander-TenneT-Liander-Vitens in een straal van 20 kilometer is uniek in Europa. Het is niet alleen dat deze organisaties Private AI nodig hebben — het is dat de regio een ecosysteem van experts, toeleveranciers en opleidingen heeft rond energie-IT. De ElaadNL test- en innovatiecentrum (joint venture van de netbeheerders) zit in Arnhem en werkt actief aan AI voor smart grid en laadinfrastructuur. KEMA Laboratories is wereldwijd leider in test- en certificering van hoogspanningsapparatuur. Dit ecosysteem maakt dat nieuwe Private-AI-implementaties in Arnhem sneller van de grond komen dan in andere regios: de skills zijn er, de use-cases zijn concreet, en de infrastructuur-partners kennen elkaar.

Sovereign LLM-stack: keuze en architectuur. Voor Private AI-projecten in kritieke-infra-context gebruiken wij primair open-weight-modellen die on-premise of in sovereign EU-clouds kunnen draaien. Mistral (Frans, EU-gevestigd, expliciet positionering op Europese datasoevereiniteit) en Meta Llama 3 (open weights, commercieel bruikbaar) zijn de meest robuuste keuzes. Voor Nederlands-specifieke taken finetunen we op in-house corpora — NEN-normen, netbeheer-specifieke terminologie, kabel-technische documentatie. Voor RAG-toepassingen (retrieval-augmented generation) koppelen we de LLM aan een sovereign vector-database (Weaviate, Qdrant, pgvector op eigen Postgres) die volledig binnen de organisatie-perimeter draait. GPU-infrastructuur kan op NVIDIA A100/H100 hardware in een eigen datacenter, of via sovereign cloud-aanbieders als Leaseweb, Tilaa of OVHcloud die expliciet onder EU-jurisdictie vallen zonder CLOUD Act-exposure.

Integratie-landschap netbeheerders- en kritieke-infra-specifiek. Naast de standaard enterprise-stack (SAP S/4HANA, Microsoft Azure, ServiceNow) deployen we Private AI met koppelingen op de domein-specifieke systemen: GE Grid Solutions en Siemens EMS/SCADA voor real-time netobservatie, IBM Maximo of SAP EAM voor asset-management, Esri ArcGIS voor geo-data, en OSIsoft PI System voor process-historian-data. Integratie-duur varieert van 4-12 weken per systeem afhankelijk van API-maturity. SCADA-koppelingen vereisen veelal aanvullende veiligheidsmaatregelen (airgap-zones, one-way data diodes) conform de IEC 62443 industriele security-standaard.

Data-residency en hardware-architectuur. Voor essentiele entiteiten onder NIS2 is on-premise of sovereign-EU-cloud feitelijk verplicht. We adviseren drie architectuur-opties: (1) on-premise GPU-cluster in eigen datacenter — volledige controle, hogere CAPEX, geschikt voor organisaties met bestaande datacenter-footprint; (2) sovereign dedicated cloud bij EU-provider zonder CLOUD Act-exposure — pragmatische tussenoplossing met EU-only contracten en datacenters; (3) hybride — on-prem voor modellen en SCADA-integraties, sovereign cloud voor RAG en bulk-data. Versleuteling in-transit (TLS 1.3) en at-rest (AES-256), role-based access control op kennisbank- en model-niveau, expliciete audit-logging van alle prompts en responses voor NIS2-incidentmelding-compliance, en pentests conform NCSC pentesting-richtlijnen.

Indicatieve investering. Voor een sovereign LLM-omgeving voor een mid-size toeleverancier aan kritieke infra (RAG op 50-100 GB interne documentatie, 20-50 gebruikers, sovereign cloud-deployment): 4.500-9.000 euro per maand exclusief implementatie. Voor een netbeheerder-grade setup met SCADA-integratie, multi-tenancy voor verschillende afdelingen en on-premise GPU-cluster: 15.000-40.000 euro per maand inclusief hosting, onderhoud en NIS2-audit-rapportages. Voor een Vitens- of drinkwater-bedrijf-opstelling met finetuning op waterkwaliteits-domein en koppeling op PI System: 8.000-20.000 euro per maand. Eenmalige implementatie 25.000-150.000 euro afhankelijk van scope, finetuning-inspanning en infrastructuur-keuze.

Implementatie-traject. Fase 1 (weken 1-4): architectuur-workshop, NIS2-risicoanalyse, keuze open-weight-model en infrastructuur-topologie. Fase 2 (weken 5-10): infrastructuur-setup (on-prem of sovereign cloud), base-model-deployment, security-hardening conform IEC 62443 en NCSC-richtlijnen. Fase 3 (weken 11-16): finetuning op domein-corpus, RAG-koppeling op interne documentatie, pilot-use-case (bijvoorbeeld storingsrapport-analyse voor 10 analisten). Fase 4 (weken 17-20): pentest, NIS2-audit-documentatie, roll-out naar bredere gebruikersgroep. Fase 5 (vanaf week 20): continu onderhoud, model-updates, RLHF-tuning op basis van gebruikers-feedback, en kwartaal-audits. Voor een volwaardige netbeheerder-deployment is 6-9 maanden tot productie realistisch.

Zie voor naastgelegen diensten en invalshoeken ook AI solutions Arnhem voor bredere data- en analyse-oplossingen in de energiecluster, AI security Arnhem voor NIS2- en IEC-62443-compliance van AI-systemen, en de hoofdpagina Private AI voor de algemene dienst-specificatie. Parent-pagina voor deze regio is /regio/arnhem met volledig overzicht van Arnhemse branche-focus en case-context.

Opgesteld met AI-tools en gecontroleerd door het redactieteam van CleverTech — tech-leads met ervaring in AI, procesautomatisering en IT-consulting.