Een satelliet zei dat een depot onder water stond. Het was de schaduw van een wolk, en de parametrische trigger stond op één klik van een automatische uitkering van $1,2M.

Een satelliet keek naar Mesa Junction Depot, zag een donkere vlek waar droge grond hoorde te zijn en markeerde de locatie als overstroomd. Een parametrische overstromingspolis beschouwde die trigger als een feit en zette een uitkering van $1,2M klaar om automatisch af te gaan, zonder schade-expert, zonder telefoontje, zonder nacontrole. De donkere vlek was de schaduw van een wolk. Zes dagen later was hij van de beelden verdwenen, en de grond eronder was nooit nat geweest.

Ik heb exact die casus met opzet gebouwd, omdat het degene is die één enkel satellietbeeld nooit kan vangen. Ik ben Ashutosh en ik leid Veriprajna. TriggerProof is een demo die ik heb gebouwd om een specifieke stelling te bewijzen: het gevaarlijke moment bij een parametrische overstromingsverzekering is niet de detectie, het is de beslissing om uit te keren. Elke locatie, tegel, waterpeilmeter en elk veldrapport daarin bestaat uit synthetische, natuurgetrouwe stand-ins die ik heb geschreven om de faalmodi zuiver in scène te kunnen zetten. Je kunt de demo openen en alles zelf uitproberen op veriprajna.com/nl/demos/satelliet-overstromingsintelligentie-beoordeel-de-parametrische-trigger-voor-de-uitkering. Mesa Junction Depot is waar ik wil beginnen, want dat is de casus die me leerde wat ik eigenlijk aan het bouwen was.

Vier verschillende dingen maken dezelfde pixels donker

Ik besefte het werkelijke probleem pas toen ik ging zitten om de synthetische beelden te genereren en vier dingen er op één beeld identiek uit moest laten zien. Parametrische overstromingsverzekeringen vervingen de schade-expert door een trigger: een satelliet meldt dat een locatie onder water staat en het geld komt in beweging. Het probleem is dat op één enkel optisch beeld of één radarpassage echt overstromingswater, de schaduw van een wolk, een radar- of terreinschaduw en een permanent waterreservoir allemaal op dezelfde manier donker worden. Eén enkel beeld kan ze niet uit elkaar houden, omdat de informatie die hen onderscheidt niet in één enkel beeld aanwezig is.

Dat herkaderde voor mij de hele demo. De catastrofale fout in deze sector is niet de overstroming die de trigger mist. Het is de overstroming die de trigger verzint, een zelfverzekerde uitkering van $2M op basis van een schaduw, zonder enig bewijsspoor om de beslissing te verdedigen wanneer een herverzekeraar er een jaar later naar vraagt. TriggerProof detecteert geen overstromingen en produceert geen satellietgegevens. Het neemt een trigger die al is afgegaan en beoordeelt of er daadwerkelijk moet worden uitgekeerd.

Eén beeld zei overstroming; het volgende zei dat de grond nooit nat was geweest

Ik weet nog goed dat ik voor het eerst door de filmstrook van Mesa Junction bladerde toen die correct werd gerenderd. In de interface kun je een gemarkeerde locatie openen en de opnamebeelden één voor één doorlopen, optisch bovenaan, radar eronder. In het triggerbeeld is de donkere vlek direct zichtbaar, watersignaal-groen, precies wat het alarm liet afgaan. Stap door naar de volgende opname en hij is verdwenen. Stap terug en de radar-backscatter onder diezelfde vlek toont in elk beeld normale waarden, omdat de radar de hele tijd dwars door de wolk heen droge grond zag.

De schaduw bewoog; het water zou zijn gebleven. Dat zie je alleen door de tijd heen en over sensoren heen, nooit op het enkele beeld dat de trigger liet afgaan.

De fysica is niet subtiel zodra je de beelden naast elkaar legt. De schaduw van een wolk is van voorbijgaande aard en beweegt met de snelheid van de wolken mee, waardoor hij in de ene opname donker is en in de volgende verdwenen. Echt overstromingswater blijft over opeenvolgende opnamen heen aanwezig en toont tegelijkertijd donker op optische beelden en laag op radar. Twee regels leggen precies dat vast: temporele persistentie en radar-optische overeenstemming. Bij Mesa Junction leveren ze beide FAIL op, en de classifier komt uit op wolkenschaduw met een betrouwbaarheid van 1,00. De $1,2M had nooit in de wachtrij mogen worden gezet.

De vijf regels beslissen, niet het taalmodel

In een vroeg stadium probeerde ik het taalmodel deze beslissing te laten nemen, en ik ben blij dat ik dat deed, want het faalde op de meest leerzame manier denkbaar. Ik liet een agent hetzelfde bewijsmateriaal lezen en vroeg feitelijk of de locatie werkelijk overstroomd was. Bij een twijfelgeval schreef het een vloeiende, zelfverzekerde alinea waarin het pleitte voor een overstroming; het had het mis, en niets in de toon verried dat het fout zat. Die middag bezegelde een ontwerpbeslissing die ik sindsdien nooit meer heb heropend.

De beslissing bevindt zich dus in gewone Python, in vijf inspecteerbare discriminatoren, zonder dat er zich ergens een model bevindt in het pad dat over geld gaat. Temporele persistentie (R1) scheidt een overstroming van een voorbijtrekkende wolkenschaduw. Radar-optische overeenstemming (R2) scheidt een overstroming van zowel een wolkenschaduw als een radarschaduw. DEM-helling (R3) verwerpt water dat op steil terrein zou moeten blijven staan. Een permanente-watermasker (R4) sluit bekende reservoirs uit. Hydrologische koppeling (R5) controleert of het natte gebied daadwerkelijk aansluit op het afwateringsnetwerk. De verifier beslist; het taalmodel adviseert alleen. De adviserende agent is gebouwd op Pydantic AI, model-uitwisselbaar, met als standaard claude-opus-4-8, en hij toetst het fysica-oordeel aan onafhankelijke grondsignalen en retourneert corroborates, contradicts of inconclusive. Hij kan worden overruled, en wanneer ik de API-sleutel intrek, draait de demo volledig offline op een deterministische fallback, want het onderdeel waaraan ik een uitkering toevertrouw, mag niet het onderdeel zijn dat in zelfverzekerde alinea's spreekt.

Wanneer de fysica zelf onzeker is, escaleert het systeem in plaats van te gokken

Ik hecht meer waarde aan de gevallen waarin het systeem zegt "ik weet het niet" dan aan welke vlekkeloze vangst dan ook. Canal Street Hub is zo'n casus. De optische en radarsignaturen zijn twijfelachtig, het overstromingssignaal blijft in twee van de drie beelden aanwezig en de onafhankelijke rivierpeilmeter kwam nooit boven het bankfull-niveau. Het bewijsmateriaal spreekt elkaar daadwerkelijk tegen. De betrouwbaarheid komt uit op 0,151, ver onder de automatiseringsdrempel van 0,65 die ik op de gelabelde set heb afgesteld, en de grond-agent spreekt de satellietclassificatie regelrecht tegen.

De beleidspoort stuurt die $0,8M door naar een mens met al het bewijsmateriaal bijgevoegd, gemarkeerd als "bewijs nodig", in plaats van een muntje op te gooien en het automatisering te noemen. Een overstromingstrigger die werkelijk dubbelzinnige gevallen escaleert, komt op sommige kopers over als het zwakkere product. Ik zie dat juist andersom. Het is de enige versie die ik onbeheerd zou laten draaien, want het alternatief voor escalatie is hier een snelle gok met echt geld, vermomd als een beslissing.

Het portefeuillecijfer waar ik steeds op terugkom

Ik blijf de portefeuille van acht locaties erbij pakken, omdat die de belangen tastbaar maakt op een manier die geen enkele individuele casus kan. Een storm trekt over een portefeuille van acht gebieden. De traditionele single-frame trigger gaat af bij zes daarvan en zet $8,0M aan automatische uitkeringen in de wachtrij. TriggerProof beoordeelt de portefeuille: twee echte overstromingen bevestigd en uitbetaald voor $4,0M, drie fout-positieven onderdrukt (een wolkenschaduw van $1,2M, een radarschaduw van $1,0M, een permanent reservoir van $1,0M) waarmee $3,2M wordt tegengehouden, en het ene twijfelgeval geëscaleerd voor $0,8M.

De helft van wat de traditionele trigger zou hebben uitgekeerd, $4,0M van de $8,0M, is tegengehouden of aangehouden voor nader bewijs. Dat is het cijfer, en ik wil heel precies zijn over de reikwijdte ervan: dit is de synthetische portefeuille van de demo, acht casussen die ik heb opgesteld om fysisch waarheidsgetrouw te zijn, geen portefeuille met echte schadeclaims. Het mechanisme is echt en inspecteerbaar. De claims zijn geënsceneerd zodat je het mechanisme aan het werk kunt zien.

Nul onveilige beslissingen, en het voorbehoud dat ik weiger te laten vallen

Ik heb een gedegen benchmark uitgevoerd omdat een portefeuille van acht een anekdote is, geen bewijs. De testomgeving beoordeelt 60 gelabelde casussen, variërend van overduidelijke signaturen tot ruis vlak bij de drempelwaarde. De belangrijkste uitkomst is geen nauwkeurigheidsscore, het is een veiligheidstelling: nul onveilige geautomatiseerde beslissingen, tegenover 48 bij een single-frame baseline die elke gemarkeerde casus uitbetaalt. Tachtig procent van de gevallen lost zichzelf automatisch op en de onzekere 20% escaleert. Onder de automatisch afgehandelde gevallen is de onderdrukking van fout-positieven 36 van de 36 en de overstromings-recall 12 van de 12, en elk van de 12 echt twijfelachtige gevallen escaleert in plaats van automatisch te worden beslist.

Het ging er nooit om een perfecte score te halen op mijn eigen testset. Het punt is dat het systeem nooit een onveilige geautomatiseerde beslissing neemt. Wanneer het niet zeker is, escaleert het.

Dat voorbehoud hoort bij elk van die cijfers, en ik weiger het te laten vallen. Ze zijn gemeten op een vaste, gelabelde set van 60 synthetische, fysisch waarheidsgetrouwe casussen, geen garantie in de open wereld en geen praktijkresultaat. De eerlijke volgende stap is geen grotere claim, maar validatie aan de hand van echte archieven zoals Sen1Floods11 en live Sentinel-opnamen. Dat is het eerste wat een echt project zou opleveren, niet iets wat deze demo al heeft gedaan. Juist door dat onomwonden te zeggen, kan ik achter de rest van de cijfers staan.

Een uitkering die je later niet kunt verdedigen is een aansprakelijkheid, zelfs wanneer hij terecht was

Het was aanvankelijk niet mijn bedoeling om het bewijsspoor tot het middelpunt te maken, maar uiteindelijk was dat het onderdeel waarvan ik het zekerst wist dat een verzekeraar er daadwerkelijk achter kon staan. Een correcte uitkering die je achteraf niet kunt reconstrueren blijft een aansprakelijkheid, want "de satelliet zei het" is geen verweer dat een herverzekeraar of accountant accepteert. Dus brengt elke beslissing, zowel een uitkering als een onderdrukking, een forensisch dossier voort: de data-lineage van elk beeld, het bewijsmateriaal per regel met de gemeten waarde van elke discriminator, het logboek van geëlimineerde fout-positieven, de onafhankelijke kruisverwijzing met grondsignalen en een SHA-256-herkomsthash van de beslissing.

Ik wil zorgvuldig zijn over wat die hash wel en niet is. Het is een content-hash die het record fraudebestendig maakt, zodat iedereen hem opnieuw kan berekenen en kan controleren of de beslissing achteraf niet is gewijzigd. Het is geen digitale PKI-handtekening, en het ophalen van satellietdata, de SAR-taakstelling, de grondfeeds en de integratie met het schadeplatform zijn in deze demo allemaal gestubd, gesimuleerd zodat het geheel op mijn laptop draait. Wat wel echt is, is de structuur van het dossier: voor elke geautomatiseerde uitkeringsbeslissing precies welke fysische regel wat zei, met welke betrouwbaarheid, gecontroleerd aan de hand van welk onafhankelijk signaal.

Parametrische verzekeringen maakten een wezenlijke afweging: het opgeven van de schade-expert om uitkeringen direct en zonder discussie te laten verlopen. Wat men daarmee erfde, was een fysisch probleem waar een enkel beeld niet doorheen kan kijken, en het falen waaraan die ruil je blootstelt is een snelle, zelfverzekerde uitkering op basis van een schaduw. De duurzame oplossing bevindt zich buiten het model: deterministische regels die de visuele dubbelgangers door de tijd heen en over verschillende sensoren scheiden, een poort die twijfelgevallen escaleert naar een mens, en een dossier dat elke beslissing verdedigbaar maakt. Een scherpere satelliet lost een beoordelingsprobleem niet op, en dit is een beoordelingsprobleem.

En als je het liever ziet dan dat je leest hoe ik het beschrijf: hier zie je het geheel van begin tot eind draaien.

Mesa Junction is de casus waar ik steeds op terugkom. Alleen de tweede opname wist het verschil tussen de schaduw en de overstroming, en de trigger ging af voordat die binnen was. Je kunt zelf door die filmstrook bladeren en de uitkering ontkrachten waarvan je dacht dat die had moeten afgaan, op veriprajna.com/nl/demos/satelliet-overstromingsintelligentie-beoordeel-de-parametrische-trigger-voor-de-uitkering. De vraag die ik aan iedereen zou voorleggen die een geautomatiseerde overstromingsportefeuille beheert, is een gerichte, beantwoordbare vraag: hoeveel van de triggers die je vorig seizoen automatisch hebt uitbetaald, zou je nu nog kunnen bewijzen als water en niet als een schaduw?