Beveiligingsverantwoordelijken investeren fors in AI voor cybersecurity. De wereldwijde markt voor AI in cybersecurity wordt in 2026 geschat op 44 miljard dollar en zal naar verwachting groeien tot 213 miljard dollar in 2034, wat het vertrouwen weerspiegelt dat machine learning het gat tussen het aantal dreigingen en de capaciteit van menselijke analisten kan dichten.

Hoewel dit vertrouwen terecht is, ligt de focus bij organisaties vaak verkeerd wanneer AI-gedreven detectie faalt. De neiging is om het algoritme te verfijnen, het model opnieuw te trainen of een betere oplossing van de leverancier te eisen. In werkelijkheid ligt het probleem meestal stroomopwaarts in de datastromen, nog voordat een model een gebeurtenis analyseert. Gefragmenteerde telemetrie, inconsistente schema's en verouderde gedragsbaselines verminderen stilletjes de prestaties van AI-beveiligingssystemen binnen organisaties. Het verbeteren van het algoritme zonder de data aan te pakken is als het kalibreren van een weegschaal terwijl de invoer continu verandert.

De meeste grote ondernemingen werken niet met schone, uniforme beveiligingsdata, maar met decennia aan infrastructuurbeslissingen. Onderzoek toont aan dat een gemiddelde organisatie 83 verschillende beveiligingsproducten van 29 leveranciers gebruikt, waarbij SOC-teams dagelijks bijna 3.000 meldingen ontvangen, waarvan 63 procent onbehandeld blijft. Elk van deze tools genereert telemetrie in eigen formaten, met eigen veldnamen, tijdstempels en metadata-schema's. Waar menselijke analisten intuïtief omgaan met deze inconsistenties, kunnen machine learning-modellen dat niet. Een gedragsdetectiemodel dat authenticatiegebeurtenissen wil correleren over verschillende platforms, levert onbetrouwbare resultaten als dezelfde velden verschillend worden benoemd. Het model is niet defect, maar krijgt incoherente data aangeboden en moet patronen in de ruis vinden.

Schema drift, de geleidelijke verandering van dataformaten in beveiligingspijplijnen, veroorzaakt zelden waarschuwingen. Logformaten veranderen bij updates, nieuwe telemetriebronnen voegen velden toe en attributen worden hernoemd zonder melding aan beveiligingsteams. Hierdoor sluiten de data die modellen ontvangen niet meer aan bij de statistische patronen waarop ze zijn getraind. Dit leidt tot hogere false positives, vermoeidheid bij analisten en detectiegaten die vaak pas na een incident zichtbaar worden. Gartner voorspelt dat tot 2026 zestig procent van AI-projecten wordt stopgezet vanwege onvoldoende datakwaliteit, een trend die ook in security operations zichtbaar is.

Daarnaast wordt het probleem van verouderde baselines onderschat. Gedragsmodellen bouwen hun referentiekaders op historische data, maar in snel veranderende omgevingen raken deze snel achterhaald. Veranderingen zoals hybride werken, cloudadoptie en fusies zorgen voor nieuwe gebruikspatronen die niet meer overeenkomen met oude baselines. Dit veroorzaakt onnodige anomaliealerts bij legitiem gebruik en biedt aanvallers een voordeel doordat zij zich beter kunnen aanpassen aan de actuele situatie.