Onderzoek vindt verzonnen bronnen in vier AI-rapporten van PwC

PwC Middle East stuurde potentiële klanten vier adviesrapporten over AI en elektrische auto's waarin bronnen, cijfers en zelfs een heel product verzonnen bleken, blijkt uit onderzoek van detectiebedrijf GPTZero dat de Financial Times deze week publiceerde.

Dat raakt iedereen die zulke rapporten gebruikt als onderbouwing voor een investering. Een adviesrapport is verkoopmateriaal: het bureau wil je binnenhalen, en het merk op de kaft geldt als kwaliteitsgarantie. In deze vier documenten verwijzen voetnoten naar artikelen die niet bestaan, staan cijfers onder bronnen die ze niet bevatten, en wordt een dienst opgevoerd die verder nergens te vinden is. De controle op de bronnen verschuift daarmee naar de lezer, en dat is precies het werk waarvoor je een adviesbureau inhuurt.

Een product dat nergens anders bestaat

Het zwaarste geval is Transforming Governance: Citizen Pulse uit 2025. Het rapport promoot een PwC-raamwerk genaamd "Citizen Pulse" en stelt dat de overheden van Denemarken, Saoedi-Arabië, de Verenigde Staten en Australië het gebruiken om publieke diensten te verbeteren. GPTZero vond buiten dit rapport nauwelijks publiek bewijs dat het raamwerk bestaat. Volgens de onderzoekers hallucineerde PwC Middle East daarmee zowel een compleet product als zakelijke betrekkingen met vier afzonderlijke landen.

De onderbouwing bevestigt dat beeld. Van de zeventien bronvermeldingen zijn er twee aantoonbaar nep en zeven onverifieerbaar of losjes gebaseerd op een bestaande bron. De Amerikaanse casus verwijst naar een persbericht van Qualtrics uit 2022 dat Citizen Pulse, Veterans Affairs noch de Social Security Administration noemt. De Deense casus linkt simpelweg naar de homepage van Borger.dk. De voetnoten staan bovendien niet op volgorde: zeven tot en met tien op pagina zeven, daarna één tot en met zes op pagina acht. De AI-detector van GPTZero geeft 84 procent kans dat het rapport volledig door AI is geschreven, en 100 procent wanneer de bronnenlijst buiten beschouwing blijft.

Verkeerde cijfers in de andere drie rapporten

De overige drie documenten laten hetzelfde patroon zien, met fouten die een lezer op waarde zou schatten als hij ze niet natrekt.

• Shaping the GCC Mobility Landscape (2026, 43 bronvermeldingen). Een grafiek wordt toegeschreven aan een rapport van het World Economic Forum dat de grafiek noch de onderliggende data bevat. Een tabel met wereldwijde megatrends heeft als bron een Duitstalige zienswijze van de Duitse touringcarbranche. En het rapport spreekt van 13 miljoen laadpunten in China, terwijl het International Energy Agency 3,58 miljoen publieke laadpunten telde in 2024. Dat getal van 13 miljoen slaat op het aantal elektrische auto's dat sinds 2010 in China is verkocht.
• Building a Cyber-Resilient eMobility Ecosystem (2025, 19 bronvermeldingen). Eén bron-URL bevat de parameter utm_source=chatgpt.com, het spoor van een link die uit ChatGPT is gekopieerd. Een VN-persbericht uit 2020 over voertuigregelgeving moet claims staven over "AI-gedreven cybersecurity-oplossingen" die er niet in staan.
• Agentic AI: The New Frontier in GenAI (2024, 32 bronvermeldingen). Een artikel van VentureBeat wordt opgevoerd als bron voor PwC's eigen CEO-enquête en een percentage van 73, die geen van beide in dat artikel voorkomen.

Computable vatte de vondst samen als rapporten met verzonnen bronnen, niet-bestaande artikelen en foutieve citaten.

De fabricaties komen terug uit de chatbot

De scherpste bevinding gaat niet over PwC maar over wat er met zulke teksten gebeurt zodra ze online staan. GPTZero legde claims uit het cybersecurity-rapport voor aan Perplexity Sonar 2, ChatGPT 5.5 Thinking en Gemini 3.5 Thinking, en alle drie herhaalden ze de verzonnen beweringen als feit. Een rapport hoeft geen menselijke lezer meer te vinden om schade aan te richten: geïndexeerd en toegankelijk voor bots is genoeg.

Dat maakt het risico ook praktisch voor een Nederlands bedrijf dat zelf nooit een PwC-rapport opent. Wie marktonderzoek via een AI-assistent doet, kan een verzonnen cijfer terugkrijgen met een gerenommeerde naam eronder, zonder enig spoor naar de oorspronkelijke fout. De vraag is dan niet of de bron betrouwbaar klinkt, maar of je de bewering tot een controleerbaar document kunt herleiden.

Wat PwC erover zegt

PwC Middle East telt zo'n 12.000 medewerkers en kantoren in twaalf landen. Het kantoor zegt het onderzoek serieus te nemen en gaat een beperkt aantal ondersteunende bronnen in de rapporten bijwerken. Er zijn kwaliteitsprocessen voor onderzoek en contentontwikkeling, aldus het kantoor, die aansluiten op de eigen aanpak van verantwoorde AI. De rapporten zijn niet ingetrokken.

Daarmee zijn binnen een jaar alle vier de grote adviesbureaus op ditzelfde probleem betrapt. Deloitte betaalde een deel van een Australische overheidsopdracht terug, EY trok een cybersecurity-studie in, en bij KPMG bleek dat slechts 5 van de 45 voetnoten in het ingetrokken rapport over agentic AI correct naar de geciteerde bron verwezen, inclusief casestudies over UBS en Emirates die de organisaties zelf tegenspraken. Wat begon als een reeks incidenten is nu een patroon dat de hele adviesmarkt raakt.

De verschuiving zit in wie de verificatie doet. Zolang een rapport handmatig werd geschreven, kostte het verzinnen van veertig bronnen meer moeite dan het opzoeken ervan. Die rem is weg, en dat verandert de waarde van een bronnenlijst: hij bewijst niets meer, hij nodigt uit tot steekproef. Twee voetnoten aanklikken voordat een rapport onder een investeringsbeslissing gaat, is geen wantrouwen meer maar de goedkoopste controle die er is. Dezelfde beweging speelt binnen bedrijven zelf, waar hallucinaties geen incidentele bug zijn maar een structureel bedrijfsrisico en het antwoord ligt in een vaste controlestap op AI-output voordat die de deur uitgaat. Het verschil tussen PwC en de gemiddelde ondernemer is niet de fout, maar het aantal lezers dat hem meekrijgt.