Een deepfake, een uit zijn verband gerukt fragment, een bericht dat sneller reist dan je weerwoord: reputatie die in jaren is opgebouwd, kan tegenwoordig in een middag beschadigd raken. De neiging is dan om nog meer te communiceren, meer woordvoering, meer weerwoord in te zetten. Maar dat behandelt informatie-weerbaarheid als een communicatievraag, en dat is het niet.

Een architectuurvraag, geen communicatievraag

Informatie-integriteit gaat over hoe je je informatiestromen ontwerpt, ver voordat er een crisis is. Wie mag namens jou spreken, waar komt je informatie vandaan, en kan een buitenstaander controleren of iets echt van jou komt. Dat zijn geen vragen die je tijdens een crisis nog beantwoordt, dat zijn vragen die je vooraf hebt ingericht of niet.

Hoe actueel dit risico is, bleek in mei 2026 in Singapore. Een zakenman kreeg via WhatsApp een uitnodiging voor een overleg met premier Lawrence Wong en nam deel aan een Zoomgesprek waarin ook de president, een minister en vertegenwoordigers van de Monetary Authority of Singapore leken mee te doen. Volgens de politie waren die gezichten gemaakt met deepfake-AI. Het gesprek ging over de spanningen rond de Straat van Hormuz en over dringende financiële steun aan de overheid, die binnen vijftien dagen zou worden terugbetaald. Hij maakte ten minste 4,9 miljoen Singaporese dollar over. Pas daarna nam hij contact op met de Kabinetssecretaris, en bleek het nep.

Zelfs het gezag van een zittend regeringsleider bleek dus na te maken, en dat is precies waarom vertrouwen op wie iemand zegt te zijn nooit meer voldoende is. Geen enkele technische maatregel had dit voorkomen, want de aanval kwam niet binnen via een gehackt systeem maar via een overtuigend gesprek. Wat wel had geholpen: een vaste afspraak dat een verzoek van dit gewicht nooit op basis van één videogesprek wordt uitgevoerd, maar altijd via een tweede, onafhankelijk kanaal wordt bevestigd. De controle die de zaak uiteindelijk onthulde, een telefoontje naar de echte Kabinetssecretaris, kwam pas na de overschrijving. Precies het soort verifieerbare afspraak waar vertrouwensarchitectuur om draait, en precies het soort afspraak die je niet tijdens het gesprek zelf nog kunt bedenken.

Vertrouwensarchitectuur: verifiëren in plaats van geloven

In mijn boek noem ik dat vertrouwensarchitectuur. Je bouwt vertrouwen zo op dat stakeholders het zelf kunnen verifiëren, in plaats van dat ze je op je woord moeten geloven. Dat houdt stand als het erop aankomt. Vertrouwen dat alleen op je reputatie leunt, houdt dat niet vol zodra iemand een overtuigende vervalsing laat zien.

Het verschil zit in de vraag die een stakeholder zichzelf kan stellen op het moment dat het erop aankomt. “Ik geloof dat dit klopt, want ik ken en vertrouw deze organisatie” is een ander soort zekerheid dan “ik kan zelf nagaan dat dit klopt, via een kanaal dat niet te vervalsen is”. De eerste vorm van vertrouwen is precies wat een deepfake of een vervalst bericht aanvalt. De tweede vorm laat zich niet zo makkelijk ondermijnen, ook niet als de vervalsing zelf overtuigend is.

Dat verifiëren hoeft geen ingewikkelde techniek te zijn. Het kan een vast kanaal zijn waarlangs officiële mededelingen altijd lopen, zodat mensen weten waar ze moeten kijken als ze twijfelen. Het kan ook een simpele afspraak zijn: bij twijfel bel je een vast nummer terug, nooit het nummer dat in het verdachte bericht zelf staat. Het is een kleine afspraak, maar juist zulke afspraken maken het verschil op het moment dat iemand voor het eerst twijfelt.

Waarom dit pas op de agenda komt na het incident

Bij overheden, corporates en onderwijsinstellingen komt informatie-weerbaarheid vrijwel altijd pas op de agenda na het eerste incident. Dan wordt het ineens urgent, en dan is het te laat om nog een fundament te bouwen. Je kunt geen vertrouwensarchitectuur optrekken tijdens de storm, daarvoor is ze te traag om op te tuigen en te afhankelijk van afspraken die je vooraf had moeten maken: wie mag er namens de organisatie spreken, via welk kanaal, en hoe controleert een buitenstaander dat.

Dezelfde volgorde die ik bij cyberincidenten zie, zie ik hier terug: eerst de paniek, dan de communicatie, en pas veel later de vraag hoe je dit de volgende keer voorkomt. Alleen is de schade bij informatie-weerbaarheid vaak lastiger te herstellen dan bij een technisch incident. Systemen kun je patchen, een verspreid gerucht niet zomaar terugdraaien: tegen de tijd dat de rectificatie er is, heeft het origineel zijn ronde al gemaakt.

De vijf werkvormen die het fundament leggen

In de Leiderschapstoolkit werk ik dit thema uit in vijf concrete werkvormen. Het Informatie-Weerbaarheid Assessment brengt in kaart waar een organisatie kwetsbaar is voor desinformatie, voordat iemand anders die zwakte vindt. Het 30-Minuten Crisis Protocol zorgt dat de respons bij een informatiecrisis binnen een half uur staat, in plaats van dat er die middag nog wordt overlegd wie mag reageren. De Vertrouwensarchitectuur Builder maakt van vertrouwen een bouwwerk met een fundament, in plaats van iets waarvan je hoopt dat het er is als het erop aankomt. De Informatieversplintering Monitor laat zien waar een boodschap begint te versnipperen, voordat de verwarring een eigen leven gaat leiden. En de Digitale Geletterdheid Niveaumatrix maakt per doelgroep helder welke digitale bagage nodig is, want niet iedereen heeft hetzelfde nodig: een woordvoerder heeft andere kennis nodig dan een medewerker op de vloer.

Samen bouwen deze vijf werkvormen aan hetzelfde: een fundament dat er staat vóór de storm, niet erna. Geen van de vijf vraagt om een nieuwe afdeling of een groot project, het zijn werkvormen die je met een klein team in een paar sessies kunt doorlopen.

Wat dit van leiderschap vraagt

Bouw vertrouwen dat tegen een stootje kan, vóór het incident. Dat is precies waar hoofdstuk acht van Modern leiderschap is geen algoritme over gaat: informatie-weerbaarheid als leiderschapskwestie, niet als een dossier dat je bij communicatie neerlegt zodra het misgaat. Verkrijgbaar bij Managementboek.

Bronnen over de zaak in Singapore: Mothership, 17 mei 2026, The Independent Singapore over de verklaring van de Singapore Police Force en SCMP.

Elke maand een update over leiderschap in het AI-tijdperk, met een concreet ding om maandag mee te beginnen. Je kunt me altijd mailen, ik lees en beantwoord alles zelf. Aanmelden voor de nieuwsbrief