Je data heeft geen papieren – Het datapaspoort en de Data Guardian, v0.1

Data reist zonder papieren

Zou je een medicijn innemen dat zonder bijsluiter kwam? Geen werkzame stof, geen dosering, geen waarschuwingen, geen fabrikant. Natuurlijk niet. Toch nemen organisaties elke dag beslissingen, trainen ze AI-modellen en migreren ze systemen op basis van data die precies zo binnenkomt.

Een dataset verlaat zijn bron en begint aan een tweede leven. Hij wordt gekopieerd naar een datawarehouse, gekoppeld aan andere data, gedeeld met een partner, aan een AI-agent gevoerd, gemigreerd naar een nieuw platform. Bij elke stap raakt hij verder verwijderd van de mensen die weten wat de data betekent. Wat meereist is de data zelf, alleen de data. Wat achterblijft is de kennis die haar bruikbaar maakt: hoe ze is opgebouwd, wat de waarden betekenen, welke regels gelden, wat je ermee mag doen en waar ze vandaan komt.

Dus gaat de ontvanger raden. Hij leidt de betekenis af uit kolomnamen en voorbeeldwaarden, ontdekt de regels door ze te overtreden en hoopt dat de licentie toestaat wat hij doet. Het resultaat is wat de data lijkt te zijn, niet wat de bron zegt dat ze is.

Dit is geen nicheprobleem. Het komt terug als:

• Hergebruik dat misgaat omdat het oorspronkelijke doel, de definities en de beperkingen nooit zijn doorgegeven
• Migraties die technisch slagen, terwijl de betekenis stilletjes achterblijft in het oude systeem
• AI die met grote stelligheid fout zit, omdat de context die ze nodig had er nooit was
• Compliancerisico, omdat niemand kan aantonen wie verantwoordelijk is voor de data of onder welke voorwaarden ze gebruikt mag worden

In veel organisaties reist sturing al mee met de data: toegangsrechten, classificaties, bewaartermijnen. Betekenis zou ook mee moeten reizen, en net zo goed de regels en de verklaringen over de herkomst van de data. Daar is het datapaspoort voor.

Een paspoort alleen is echter niet genoeg. Een echt paspoort werkt omdat er twee dingen bestaan: het document dat je bij je draagt, en de grenscontrole die het controleert. Data heeft beide nodig: een datapaspoort dat met de data meereist, en een Data Guardian die ernaar handelt.

Waarom een paspoort?

Denk eens na over wat je eigen paspoort doet. Het is uitgegeven door een autoriteit, niet door jezelf geschreven. Het zegt wie je bent, waar je vandaan komt en waar je recht op hebt. Het reist met je mee, waar je ook gaat. En bij elke grens hoeft een beambte je niet vanaf nul te onderzoeken: hij leest het paspoort, controleert het aan de hand van jou en beslist binnen enkele minuten. Visa voegen voorwaarden toe voor een specifieke bestemming. Stempels bouwen een geschiedenis op van waar je bent geweest.

Precies die combinatie ontbreekt aan data zodra ze haar bron verlaat:

• Uitgegeven door een autoriteit — de eigenaar van de data, niet wie haar toevallig ontvangt
• Reist mee met de houder — de beschrijving gaat mee met de data, in plaats van achter te blijven in het bronsysteem
• Gecontroleerd aan de grens — de ontvanger controleert, in plaats van terug te redeneren
• Voorwaarden per bestemming — wat je met de data mag doen hangt af van waar ze heen gaat en waarom
• Een spoor van stempels — elke integratie, transformatie en overdracht laat een registratie achter

Het idee is buiten de datawereld niet nieuw. Overal waar dingen bewegen tussen partijen die elkaar niet kennen, reizen papieren mee:

• Logistiek. Een container gaat niet op vertrouwen de grens over. Het cognossement, de paklijst en de douaneaangiften beschrijven wat erin zit, wie het verstuurde, wie de eigenaar is en onder welke voorwaarden het vervoerd mag worden. Niemand opent elke container om te raden wat erin zit.
• Productpaspoorten. De EU voert digitale productpaspoorten in, te beginnen met batterijen: een registratie van materialen, herkomst, CO₂-voetafdruk en reparatie-informatie die het product volgt door zijn hele levensloop, tot aan recycling.
• Luchtvaart. Een vliegtuigonderdeel zonder vrijgavecertificaat geldt als niet-goedgekeurd, hoe goed het er ook uitziet. Geen papieren, geen inbouw.

In elk van deze domeinen is de les dezelfde: je beoordeelt niet wat iets is door ernaar te kijken. Je leest wat de verantwoordelijke partij heeft verklaard, en je controleert het. Data is nog steeds de uitzondering: we accepteren haar zonder papieren en besteden onze tijd aan raden. Dat hoeft echter niet zo te blijven.

Het datapaspoort: vier facetten, zeven elementen

Hoe ziet een datapaspoort er dan uit? Een datapaspoort is alles wat een ontvanger moet weten om een dataset met vertrouwen te gebruiken, aangeleverd door de bron en meereizend met de data. Het beantwoordt vier vragen, de vier facetten:

• Model — hoe is het opgebouwd?
• Betekenis — wat stelt het voor?
• Regels — wat moet er waar zijn, en wat mag ik ermee?
• Herkomst — waar komt het vandaan?

Voor praktisch gebruik zijn de vier facetten opgedeeld in zeven elementen. Elk facet heeft een kernelement met dezelfde naam; Model en Regels hebben daarnaast nog extra elementen. Elk element is genoemd naar wat het de ontvanger laat doen:

Twee ontwerpkeuzes zijn hier belangrijk.

1. Begrijpen is doelonafhankelijk. Het paspoort beschrijft de dataset zoals hij is, niet of hij geschikt is voor jouw gebruik. Geschiktheid voor een specifiek doel beoordeelt de ontvanger daarna, met behulp van het paspoort.
2. Het paspoort is functioneel, niet technisch. Het zegt wat bekend moet zijn, niet welk formaat je moet gebruiken. Een concreet paspoort kan worden opgebouwd uit bestaande standaarden, zolang het leesbaar en uitwisselbaar is.

Het resultaat: de ontvanger werkt met wat de bron zegt dat de data is:

• Sneller, omdat hij leest in plaats van terugredeneert en raadt.
• Eerder, omdat go/no-go-beslissingen aan het begin genomen kunnen worden.
• Correcter, omdat betekenis en regels gezaghebbend zijn.
• Veiliger, omdat gebruiksvoorwaarden en eigenaarschap expliciet zijn.
• Schaalbaar, omdat de producent één gezaghebbende beschrijving onderhoudt die elke afnemer hergebruikt.

Voorbeeld: grondwaterstanden

Hoe ziet dat er in de praktijk uit? Een illustratief paspoort v0.1 voor een fictieve dataset: grondwaterstandmetingen van een waterschap, gedeeld met een gemeente die ze wil gebruiken voor het plannen van nieuwbouw. De laatste kolom wordt in de volgende paragraaf uitgelegd.

Zonder dit paspoort had de gemeente waarschijnlijk aangenomen dat de standen in meters waren, of ten opzichte van maaiveld, en had ze die gebruikt voor besluiten over individuele percelen. Elk daarvan is een aannemelijke gok. Elk daarvan is fout. Het paspoort maakt van drie dure fouten drie minuten lezen.

Autoriteit en bewijs: wie tekent?

Je zou kunnen zeggen: veel hiervan doen we al. Dat klopt. Het paspoort introduceert weinig nieuwe elementen; het brengt bestaande samen in één concept. Wat nieuw is, is wat een echt paspoort toevoegt: verantwoording. Uitspraken kunnen worden ondertekend door een verantwoordelijke eigenaar, zodat ze gezag hebben, en bij elke uitspraak is zichtbaar op welk bewijs die rust.

Een paspoort is zo sterk als de handtekening eronder. Iedereen kan een beschrijving van een dataset schrijven; een paspoort draagt de verklaring van iemand die er verantwoordelijk voor is.

Daarom legt een paspoort bij elke uitspraak twee dingen apart vast.

Basis — hoe weten we dit?

• Verklaard — vastgesteld door mensen die de data kennen: de eigenaar of het bronteam
• Waargenomen — gemeten in de data zelf, bijvoorbeeld door profilering
• Aangenomen — afgeleid, bijvoorbeeld door een tool of een AI die een definitie voorstelt

Bekrachtiging — wie staat erachter?

• Ondertekend — een verantwoordelijke eigenaar heeft het beoordeeld en neemt er de verantwoordelijkheid voor
• Niet ondertekend — (nog) door niemand met verantwoordelijkheid bekrachtigd

De twee staan los van elkaar. Een verklaarde definitie kan nog niet ondertekend zijn terwijl het bronteam eraan werkt. Een waargenomen aantal rijen kan door de eigenaar worden ondertekend als juist voor deze release. En een ondertekende verklaring kan nog steeds worden tegengesproken door wat in de data wordt waargenomen. Gezag komt van de handtekening; bewijs komt van de basis. Een sterk paspoort heeft beide.

Met AI wordt dit onderscheid essentieel. AI-tools worden steeds beter in het genereren van metadata: definities voorstellen, eenheden herkennen, classificaties suggereren. Dat is waardevol. Maar AI kan het bewijs vergroten; het kan nooit het gezag leveren. Een gegenereerde beschrijving blijft aangenomen en niet ondertekend totdat een verantwoordelijke persoon haar beoordeelt en ondertekent.

Het maakt ook het best meetbare deel van datakwaliteit scherp: de afstand tussen wat iemand heeft verklaard en wat de data doet. Als de eigenaar verklaart dat elke klant een geldige postcode heeft en het profiel laat 4% leeg zien, dan is dat gat een kwaliteitsprobleem dat iedereen kan zien en meten. Afnemers kunnen daar hun eigen eisen aan toevoegen, voor hun eigen doel. Maar het gat tussen verklaring en data is waar elk kwaliteitsgesprek kan beginnen: op feiten in plaats van meningen.

Zo kan een paspoort stap voor stap groeien: begin met wat waargenomen en aangenomen is, voeg verklaringen toe, en verzamel handtekeningen naarmate eigenaren verantwoordelijkheid nemen.

De Data Guardian: de politie, niet de rechter

Een paspoort dat niemand controleert, is een document in een la. Daarom heeft het paspoort een tegenhanger nodig: de Data Guardian, software die handelt op basis van het paspoort op de plek waar data binnenkomt — in een datawarehouse, een data lake, een datacentrische applicatie, bij een export of een grens waar data wordt gedeeld, of vóór een AI-agent.

Denk aan een trias politica:

De Guardian is niet de autoriteit. Hij past toe wat het paspoort zegt, en als iets onduidelijk is, escaleert hij naar mensen.

Zijn reacties zijn gegradeerd, niet alleen ja of nee:

• toestaan
• toestaan onder voorwaarden
• aanbevelen
• waarschuwen
• weigeren
• escaleren
• vastleggen

Hoe streng hij is, hangt af van beleid en risico. Het verklaarde beleid bepaalt wat er gebeurt; bewijs is wat het in gang zet. Een geschonden kwaliteitsregel leidt misschien alleen tot een waarschuwing, omdat de data voor de meeste doelen nog bruikbaar is. Maar als de Guardian iets waarneemt dat op persoonsgegevens lijkt in een dataset die als veilig deelbaar is verklaard, houdt een verstandig beleid de export tegen tot iemand ernaar heeft gekeken, ook al is de waarneming nog niet zeker. Zo blijft de Guardian behulpzaam waar dat kan, en streng waar dat moet.

Overerving is waar de Guardian echt zijn waarde bewijst. Als twee datasets worden gecombineerd, heeft de nieuwe dataset ook een paspoort nodig. De Guardian stelt dat op. Hij neemt de gebruiksvoorwaarden van elke bron mee, controleert of ze met elkaar verenigbaar zijn, en escaleert conflicten die hij niet kan oplossen, want twee licenties kunnen elkaar simpelweg tegenspreken. Hij signaleert conflicten in betekenis of eenheid (is “omzet” in beide sets hetzelfde?) en legt de lineage vast. Maar hij stelt op; hij tekent nooit. Het gezag blijft bij mensen.

Terug naar het grondwatervoorbeeld. De gemeente koppelt de metingen aan haar eigen perceelgegevens. De Data Guardian stelt een paspoort op voor de gecombineerde set: hij neemt de verplichte naamsvermelding en het verbod op juridische besluiten per perceel mee, controleert of de eigen voorwaarden van de gemeente daarmee verenigbaar zijn, en signaleert het verschil tussen centimeters en meters voordat iemand er een rapport op bouwt.

Grenspolitie en wijkagent

Zoals een land verschillende soorten politie kent, werkt de Data Guardian in twee modi, afhankelijk van waar hij staat.

Aan de grens: binnenkomst en vertrek. Als data een platform binnenkomt of verlaat — een inname, een export, een uitwisseling met een partner, een verzoek van een AI-agent — gedraagt de Guardian zich als grenspolitie. Hij behandelt het verzoek: is er een paspoort, is het geldig, past het beoogde gebruik bij de voorwaarden? Dan beslist hij: doorlaten, doorlaten onder voorwaarden, tegenhouden of weigeren. Hier is de Guardian het meest actief, want een grens is het moment om een probleem te stoppen voordat het zich verspreidt.

Binnen het land: het datawarehouse of data lake. Is de data eenmaal binnen, dan werkt de Guardian meer als wijkagent. Hij observeert vooral. Hij houdt de data tegen het licht van het paspoort — gelden de verklaarde regels nog, is het profiel verschoven, wordt een kolom ineens gebruikt op een manier die de voorwaarden niet toestaan? — en hij controleert handelingen terwijl ze plaatsvinden: queries, koppelingen, nieuwe afgeleide datasets. Meestal waarschuwt hij, legt hij vast en doet hij aanbevelingen. Hij grijpt alleen in als het beleid daarom vraagt.

Beide werken vanuit hetzelfde paspoort. Het verschil zit niet in de wet, maar in het moment en de plek waar die wordt toegepast.

Een lichte Data Guardian, in adviserende modus binnen één datawarehouse of data lake, is vaak te bouwen met bestaande tooling. Een Guardian die werkt over platforms en organisaties heen, is een langere weg.

Een paspoort met een chip: machineleesbaar

Moderne paspoorten hebben een chip. De gedrukte pagina is er nog steeds voor mensen, maar de chip bevat dezelfde informatie in een vorm die een machine kan controleren, digitaal ondertekend door het land van uitgifte. Bij een automatische grenspoort leest de machine de chip, controleert de handtekening, vergelijkt het gezicht en opent de poort binnen enkele seconden. Beambten komen alleen in actie als iets niet klopt.

Een datapaspoort zou op dezelfde manier moeten werken: leesbaar voor mensen, en machineleesbaar voor software. Een pdf-beschrijving op een SharePoint-site is een gedrukte pagina zonder chip. Nuttig, maar niets kan er nauwkeurig en automatisch op handelen.

Hoe blijft het bij de data? In de praktijk kan een paspoort meereizen als manifestbestand naast een export, als verwijzing naar een catalogusitem dat het ontvangende platform opzoekt, of in de metadatalaag van moderne tabelformaten. Het concept schrijft geen mechanisme voor. Het vereist dat de koppeling tussen data en paspoort nooit verloren gaat.

Wat een machineleesbaar paspoort mogelijk maakt:

• Snelheid — de Data Guardian kan een routineverzoek in seconden controleren, in plaats van een mens in dagen.
• Schaal — duizenden datasets en verzoeken, zonder handmatige beoordeling van elk afzonderlijk. De producent onderhoudt één gezaghebbende beschrijving die elk systeem en elke afnemer hergebruikt.
• Gegenereerde controles — verklaarde regels kunnen direct worden omgezet in datakwaliteitstests en validaties, in plaats van ze in elke pipeline met de hand opnieuw te schrijven.
• Manipulatiebestendigheid — net als de handtekening op de chip laat een ondertekend paspoort zien of de uitspraken zijn gewijzigd nadat de eigenaar tekende.
• Context voor AI — agents en modellen kunnen betekenis, regels en gebruiksvoorwaarden lezen voordat ze de data aanraken, in plaats van te raden op basis van kolomnamen.
• Uitwisseling tussen organisaties — in dataspaces en datadeelafspraken kunnen paspoorten automatisch aan de grens worden gecontroleerd, zonder overleg voor elke dataset.
• Wijzigingsdetectie — als een nieuwe versie van een paspoort binnenkomt, kan software zien wat er veranderd is en de bekende afnemers waarschuwen die ervan afhankelijk zijn.
• Controleerbaarheid — elke controle, beslissing en uitzondering wordt vastgelegd, waardoor het veel eenvoudiger wordt om toezichthouders en auditors te laten zien hoe data is gebruikt.

Net als bij een echt paspoort doet de machine het routinewerk en handelen mensen de uitzonderingen af. Dat maakt de aanpak schaalbaar, mits de systemen gekoppeld zijn en de regels in machineleesbare vorm zijn vastgelegd.

Wat het niet is: nog een standaard

Het paspoort is geen nieuw bestandsformaat en concurreert niet met bestaande standaarden. Het beschrijft wat er met een dataset mee moet reizen. Bestaande standaarden kunnen veel van het hoe leveren:

Is dit niet gewoon een datacontract? Er is echte overlap, en een goed datacontract kan een groot deel van een paspoort invullen. Het verschil zit in de nadruk. Contracten worden meestal opgezet rond een bekende relatie tussen een producent en zijn afnemers. Het paspoort is gemaakt om context intact te houden waar niemand er rekening mee hield: toekomstige afnemers, integraties, migraties en hergebruik. En het zet expliciete verantwoording centraal: wie heeft wat ondertekend.

In termen van datamanagement brengt het paspoort samen wat de DAMA DMBOK over meerdere kennisgebieden verspreidt — metadata, datakwaliteit, governance, beveiliging — in één artefact dat met de data meereist.

Eén paspoort, veel plekken

Wat is er dan nodig om een datapaspoort te hebben? Minder dan je denkt. Een datapaspoort is een logisch geheel, niet per se één bestand. In de meeste organisaties bestaan de onderdelen al, verspreid: het model in het dataplatform, definities in een begrippenlijst, kwaliteitsresultaten in een monitoringtool, lineage in een catalogus, licenties in een contractregister.

Een eerste paspoort kan die onderdelen simpelweg verbinden: één ingang per dataset die aanwijst waar elk element staat, met een eigenaar die voor het geheel tekent. Zo geef je ook bestaande data achteraf haar papieren. Je hoeft niet te wachten op nieuwe data: verbind wat al bekend is over een dataset, vul de pijnlijkste gaten en laat de eigenaar tekenen.

Mettertijd kunnen de onderdelen samenkomen in één paspoortdocument: een databestand dat mensen kunnen lezen en bewerken via een prettige weergave, dat software kan controleren en dat AI kan helpen actueel te houden. Maar het logische paspoort komt eerst. Je kunt morgen beginnen, met de systemen die je al hebt.

Veel van het werk hoeft niet met de hand:

Die laatste rij is waar het om draait. Machines kunnen het grootste deel van het paspoort maken; alleen mensen kunnen er een paspoort van maken, door het te ondertekenen.

Klein beginnen: een paspoort v0.1

Een paspoort hoeft niet compleet te zijn om nuttig te zijn. Volledigheid groeit geleidelijk; het is geen alles-of-niets.

Een realistische eerste versie voor één dataset:

1. Herkomst — wie is eigenaar, uit welk systeem komt het, welke versie. Vaak binnen een uur bekend.
2. Model en Inhoud — grotendeels gegenereerd uit het platform en een profileringsrun.
3. Betekenis — de tien begrippen die de meeste verwarring veroorzaken, gedefinieerd en ondertekend. Niet alle tweehonderd kolommen.
4. Gebruiksvoorwaarden — licentie, persoonsgegevens en eventuele doelbinding.
5. Regels en Kwaliteit — een handvol verklaarde regels, met hun gemeten uitkomst.

De Data Guardian kan meegroeien, in drie volwassenheidsniveaus:

De meeste organisaties kunnen het adviserende niveau bereiken met bestaande tooling. Alleen dat al verandert het gesprek: mensen gaan om het paspoort vragen voordat ze de data gebruiken.

Een uitnodiging

Dit is versie 0.1. Het is een vertrekpunt, geen afgeronde standaard, en het wordt beter met jouw inbreng.

Drie manieren om mee te doen:

1. Bekritiseer het. Wat ontbreekt er? Wat zou in jouw organisatie niet werken? Waar overlapt het met wat je al doet?
2. Probeer het. Kies één dataset die vaak wordt hergebruikt of binnenkort wordt gemigreerd, en schrijf het paspoort v0.1. Let op hoe lang het duurt, en hoeveel je niet wist.
3. Stuur me een dataset. Mail me op ronald@ronaldbaan.com, dan stel ik samen met jou het paspoort op en deel ik, met jouw toestemming, wat we leren.

Eén vraag om mee terug te nemen naar je organisatie: kijk naar de data achter je volgende grote beslissing. Wie heeft ervoor getekend?

Ronald Baan — Mastering Data, ronaldbaan.com