Autonome AI agents veilig inzetten: het eerlijke antwoord voor 2026

Een AI-agent die zelfstandig door je systemen beweegt, is nooit veiliger dan de controle die je eromheen hebt gebouwd. Autonome AI-agents veilig inzetten betekent niet dat je het model vertrouwt. Het betekent dat je vooraf vastlegt wat een agent mag opvragen, wat hij mag beslissen, en wat er gebeurt zodra hij een grens nadert. Bij de meeste bedrijven bestaat die vastlegging nog niet. Dat blijkt uit onderzoek van Gartner en McKinsey, en uit een paar incidenten die de afgelopen maanden internationaal het nieuws haalden.

Een autonome AI-agent is geen chatbot die op een vraag wacht. Het is software die zelf beslist welke volgende stap nodig is, zelf inlogt op de systemen die daarvoor nodig zijn, en doorgaat tot de taak klaar is, zonder dat iemand elke tussenstap goedkeurt.

Autonome AI-agents veilig inzetten draait om drie dingen die apart geregeld moeten worden. Toegang: kan de agent technisch bij een systeem? Toestemming: mag de agent, namens wie hij ook werkt, deze specifieke actie uitvoeren? En controle: is er een plek die dat vooraf checkt, in plaats van achteraf te ontdekken dat het misging? De meeste bedrijven regelen alleen het eerste. Toegang geven is het makkelijke deel: een wachtwoord, een API-key, een integratie die een leverancier al voor je gebouwd heeft. Toestemming en controle vragen om iets dat er meestal nog niet is: een laag die per aanvraag beslist, niet één keer bij de installatie.

Bij een groothandel met een man of zestig op de loonlijst zou dat er zo uitzien: een inkoop-agent mag zelfstandig een besteladvies opstellen op basis van voorraad- en verkoopdata, maar mag nooit zelf een bestelling boven een bepaald bedrag plaatsen zonder dat een inkoper akkoord geeft. Dat onderscheid (mag hij het zien, mag hij het adviseren, mag hij het uitvoeren) wordt in de meeste implementaties nooit apart vastgelegd. Het staat er gewoon niet.

xAI lanceerde deze maand Grok Bot: een altijd-aan agent die zelf inlogt op je bestaande bedrijfstools en een taak van begin tot eind afwerkt. Hij meldt zich pas weer als er iets goedgekeurd moet worden Techopedia, augustus 2026. Dat is geen gekke uitschieter. Dat is precies de fase waar de hele markt nu in zit: kijk wat ik heb gebouwd, alles gaat sneller, ik hoef er zelf niet meer bij te zijn.

De cijfers vertellen een ander verhaal dan de lanceringsvideo's. Gartner's Hype Cycle for Agentic AI van dit jaar laat zien dat pas 17% van de organisaties daadwerkelijk agents in productie heeft. Meer dan 60% verwacht dat wel te doen binnen twee jaar. Gartner voorspelt bovendien dat ruim 40% van de agentic AI-projecten voor eind 2027 alweer wordt geschrapt, niet door gebrek aan ambitie, maar door kosten die uit de hand lopen en risicobeheersing die er nooit was voordat het project live ging Gartner, Hype Cycle for Agentic AI 2026. Een flink deel van wat nu "agent" heet, is bovendien een chatbot of een RPA-scriptje met een nieuw label. Geen zelfstandige besluitvorming, alleen een nieuwe naam op iets bestaands.

McKinsey vindt in hetzelfde jaar iets vergelijkbaars: bijna twee derde van de organisaties is nog niet begonnen met AI daadwerkelijk op te schalen door de hele onderneming heen, en slechts ongeveer 10% van de bedrijfsfuncties gebruikt op dit moment echt een AI-agent. Het gat tussen de demo en de dagelijkse praktijk is dus groter dan de meeste LinkedIn-feeds doen vermoeden.

Onderzoeksbureau Gravitee vond in hun State of AI Agent Security-rapport van dit jaar een kloof die het probleem nog scherper maakt. 82% van de bestuurders is ervan overtuigd dat hun beleid ongeautoriseerde agent-acties tegenhoudt. Tegelijkertijd draait meer dan de helft van de agents zonder enige logging of toezicht, en heeft maar 21% van de bestuurders volledig zicht op welke rechten en systemen hun agents daadwerkelijk gebruiken. 88% van de organisaties meldde het afgelopen jaar een bevestigd of vermoed beveiligingsincident met een AI-agent. Vertrouwen hebben en zicht hebben zijn dus twee heel verschillende dingen, en bijna niemand heeft het tweede.

In maart meldden meerdere securitymedia een incident bij Meta. Een interne agent kreeg een kortstondig verzoek om iets intern te beantwoorden, maar zette dat verzoek om in een permanente, publieke actie, zonder stopconditie. Een collega werkte verder op basis van het verkeerde antwoord. Bijna twee uur lang stond gevoelige data open voor mensen die er niets mee te maken hadden. Meta heeft dit zelf niet officieel bevestigd, maar het patroon dat analisten beschrijven is precies wat er gebeurt als een agent wel toegang heeft, en niemand vooraf heeft vastgelegd wat hij daarmee mag doen.

Begin augustus ging het verder dan een intern ongeluk. Onderzoekers meldden wat meerdere bronnen omschrijven als de eerste vrijwel volledig autonome AI-cyberaanval op een overheid: een multi-agent-systeem dat zelfstandig 21 Taiwanese overheidssystemen in kaart bracht, 85 accounts brak en meer dan 2.500 personeelsdossiers buitmaakte, waarna het zichzelf uitbreidde naar de nucleaire veiligheidsdienst en zeven energiebedrijven. Het systeem onderzocht zelf welke zwakke plekken er waren en besliste zelf over de volgende stap. Een cyberaanval is een ander domein dan een CRM-koppeling, maar het onderliggende mechanisme is identiek: een systeem dat zelf blijft doorgaan omdat niets het tegenhoudt.

McKinsey vat die verschuiving in hun State of AI Trust-onderzoek treffend samen: organisaties moeten niet alleen opletten of een AI-systeem het verkeerde zegt. Ze moeten ook opletten of het systeem het verkeerde doet. Een chatbot die een fout antwoord geeft, corrigeer je. Een agent die een fout besluit al heeft uitgevoerd, corrigeer je achteraf, als je al doorhebt dat het gebeurd is.

Op 2 augustus 2026 begon de Europese Commissie actief te handhaven op de AI Act. Twee verplichtingen gingen op dezelfde dag live: chatbots moeten zichzelf als geautomatiseerd identificeren en AI-gegenereerde content moet herkenbaar gemaakt worden (artikel 50), en de Commissie kreeg toezichtsbevoegdheid over aanbieders van general purpose AI-modellen. Boetes lopen op tot 35 miljoen euro of 7% van de wereldwijde omzet bij verboden praktijken. De strengere regels voor hoogrisicosystemen, waar veel praktische agent-toepassingen onder zouden vallen, zijn uitgesteld tot december 2027 en augustus 2028. De handhaving is dus begonnen, maar het zwaarste deel moet nog komen.

NIS2 is intussen al concreter voor agents die binnen een bedrijf beslissingen nemen. Compliance-analisten wijzen specifiek naar artikel 12 (logging) en artikel 14 (menselijk toezicht) als de bepalingen die het meest direct op AI-agents slaan. Een agent die besluitvormende output produceert op basis van verwerkte data, telt onder NIS2 al mee als een informatiesysteem, met alle verplichtingen tot risicobeoordeling en logging die daarbij horen. Er is zelfs een eigen term ontstaan voor een specifiek compliance-risico: de "orphaned AI agent", een agent waarvan de verantwoordelijke eigenaar allang uit dienst is terwijl zijn inloggegevens nog actief zijn. Dit raakt bedrijven vanaf 50 medewerkers of 10 miljoen euro omzet, verspreid over achttien sectoren.

Dit onderwerp verdient een eigen, uitgebreider stuk. Daar komen we in een volgende aflevering op terug. Voor nu is de kern genoeg: de wetgeving loopt niet meer achter de techniek aan. Ze is al begonnen agents mee te rekenen als systemen waar je verantwoording over moet kunnen afleggen.

Wij zijn niet tegen agents. Bouw ze, zoveel als je wilt, in elke afdeling die er baat bij heeft. Het probleem zit nooit in het aantal agents. Het zit in vier stappen die bijna niemand vooraf zet.

Een agent kan technisch bij twintig systemen kunnen, en toch maar een handvol acties mogen uitvoeren. Regel dat apart. Toegang is een technische vraag, toestemming is een beleidsvraag, en ze horen niet in hetzelfde besluit thuis.

Niet achteraf uitzoeken wie de eigenaar was toen het misging. Vooraf vastleggen wie verantwoordelijk is voor wat de agent doet, en wat er gebeurt als die persoon vertrekt. Anders eindig je met precies het orphaned-agent-risico dat hierboven staat.

Een verzoek van vijf minuten mag nooit uitgroeien tot een permanente actie. Elke taak die een agent uitvoert, heeft een moment nodig waarop hij vanzelf stopt en een mens moet bevestigen dat het goed gaat, zeker bij acties die niet terug te draaien zijn.

Dit is precies waar wij al jaren zitten, ver voordat het woord "agent" op elke slide stond. Wij valideren al wat er tussen systemen beweegt, of dat nu een CRM-koppeling is of straks een agent die om klantdata vraagt. Het verschil met vijf jaar geleden is niet de technologie die om toegang vraagt. Het is hoe snel die toegang nu wordt gegeven, en hoe weinig tijd er is genomen om na te denken over wat "toegang hebben" en "iets mogen doen" precies van elkaar onderscheidt.

De vraag is niet meer of jouw mensen agents gaan bouwen. Dat doen ze al, met of zonder toestemming van IT. De vraag is of er over een half jaar iemand kan aantonen wat die agent wel en niet mocht doen, en of dat antwoord er al ligt voordat het misgaat, of pas erna.