Wanneer uw AI-codeerassistent uw hele repository uploadt

U hebt een AI-tool toegang tot uw editor gegeven. Hebt u daarmee ook toegang gegeven tot uw hele repository — de history, de config en de secrets die ooit per ongeluk zijn gecommit — gekopieerd naar de cloud van een leverancier? Voor veel teams bleek het eerlijke antwoord deze maand: ja.

Werkt u in een gereguleerde omgeving, dan is dat het moment waarop het gesprek over een self-hosted AI-codeerassistent — of op zijn minst een lokale die nooit 'naar huis belt' — ophoudt theoretisch te zijn. Dit gaat over de ene architectuurvraag die bepaalt of uw code uw netwerk verlaat, waarom het antwoord daarop steeds de verkeerde kant op gaat, en wat 'self-hosted' daadwerkelijk moet betekenen om iets waard te zijn.

Halverwege juli 2026 meldden securitymedia dat de codeertool Grok Build van xAI veel meer verstuurde dan alleen de code die u aanleverde. The Hacker News verwoordde het zo: "Grok Build uploaded entire Git repositories, full commit history and all, to xAI storage, not just the files the agent read." (Gemeld op 13–14 juli 2026.)

Eerlijk is eerlijk: xAI reageerde. Een nieuwe instelling stopt de upload, het privacycommando werd uitgebreid om retentie uit te schakelen en al gesynchroniseerde data te verwijderen, en Elon Musk zei dat de opgeslagen data zou worden gewist. Dit is dus geen aanval op één leverancier — zij ontdekten het en losten het op. Het is een uitgewerkt voorbeeld van een patroon.

Het Grok-verhaal is sprekend, maar staat niet op zichzelf:

• CamoLeak — Legit Security maakte op 8 oktober 2025 een kritieke kwetsbaarheid (CVSS 9.6) in GitHub Copilot Chat bekend, verholpen door GitHub, die stille exfiltratie van secrets en broncode uit private repositories mogelijk had kunnen maken.
• EchoLeak — een zero-click-kwetsbaarheid (CVE-2025-32711) in Microsoft 365 Copilot, in 2025 bekendgemaakt en door Microsoft verholpen, waarmee data zonder enige handeling van de gebruiker geëxfiltreerd had kunnen worden (analyse: Aim Security).
• "Traint Copilot op uw code?" — een terechte vraag, en het eerlijke antwoord is: dat hangt af van uw tier. In de eigen documentatie van GitHub staat dat Copilot Business en Enterprise niet trainen op uw private code of prompts. De wijziging die voor ophef zorgde, geldt voor de gratis en consumer-tiers, waar training standaard aanstaat tenzij u zich afmeldt — en zelfs ervaren developers noemden de communicatie erover verwarrend.

Verschillende tools, verschillende mechanismen, dezelfde vorm: uw code, of de mogelijkheid om erbij te komen, belandde ergens waar u die niet hebt neergezet.

Omdat de standaardarchitectuur het bijna onvermijdelijk maakt. Een cloud-AI-assistent moet iets sturen naar een model dat op de servers van de leverancier draait — en zodra uw code die grens overgaat, is het verschil tussen 'een snippet voor context' en 'de hele repo voor het gemak' een productbeslissing die wordt genomen aan de andere kant van een muur waar u geen zicht op hebt. U vertrouwt op een instelling, een privacybeleid en een roadmap die u niet in de hand hebt. Zodra een van die drie verschuift, verschuift uw code mee.

Voor een hobbyproject: prima. Voor een codebase die onder een toezichthouder, een klantcontract of een security review valt, is 'vertrouw op de schakelaar van de leverancier' geen beheersmaatregel die u in een audit kunt opnemen.

Haal de branding weg en elke AI-tool beantwoordt één vraag: verlaat mijn data mijn omgeving?

Draait het model in de cloud van de leverancier, dan verlaat uw data uw omgeving. Al het andere is voorwaarden en kleine lettertjes. Draait het model op infrastructuur die u beheert, dan gebeurt dat niet. Dat is het hele verschil.

Een lokale AI-codeerassistent (een model op uw eigen laptop of workstation) beantwoordt die vraag met 'nee' voor één developer. Een self-hosted opstelling beantwoordt haar met 'nee' voor een heel team, op uw eigen servers, achter uw eigen netwerkgrens — en dat is wat een gereguleerde organisatie daadwerkelijk nodig heeft.

'Self-hosted' wordt zo ver opgerekt dat het niets meer betekent, dus hier is de lat waar een tool aan zou moeten voldoen:

• Draait op uw infrastructuur, op het model dat u kiest. Uw servers, uw LLM-endpoint — cloud-hosted of volledig on-prem en air-gapped.
• Eén uitgaande grens, en u kunt die zien. Er verlaat precies één verbinding uw omgeving: de aanroep naar het model-endpoint dat u hebt geconfigureerd. Verder belt niets naar huis — geen telemetriekanaal, geen 'sync voor het gemak', geen tweede bucket.
• U kunt de code lezen. Is die source-available, dan kunnen uw engineers verifiëren wat de tool doet en waar data heen gaat, in plaats van te vertrouwen op een marketingpagina. (Source-available, niet 'open source' — u kunt de code lezen en draaien onder een duidelijke licentie; het gaat om verifieerbaarheid.)
• Een audit trail die u zelf bewaart. Elke actie herleidbaar tot een named principal, gelogd aan uw kant, exporteerbaar naar uw eigen systemen — want 'we hebben uw data nergens heen gestuurd' is een bewering die uw auditors mogen controleren, niet op goed vertrouwen hoeven aannemen.