Wat gebeurt er werkelijk met de uitrol van AI-agents?
Organisaties rollen AI-agents sneller uit dan ze die kunnen besturen. In 2026 worden de uitgaven aan AI-agentsoftware geraamd op 206 miljard dollar, 139 procent meer dan in 2025. Tegelijkertijd meldde 88 procent van de organisaties het afgelopen jaar een bevestigd of vermoed beveiligingsincident met een AI-agent, en slechts 14,4 procent van de agents ging live met volledige goedkeuring van IT en beveiliging. De kloof tussen de snelheid van uitrol en de gereedheid op het gebied van governance wordt niet kleiner. Hij wordt groter.
Dit is geen technologisch falen. AI-agents werken. Het falen zit in de governance: organisaties behandelen AI-agents als gewone software en rollen ze op grote schaal uit zonder in kaart te brengen welke toegang ze erven, welke beslissingen ze nemen of welke systemen ze raken.
Waarom uniforme governance faalt
Gartner stelde het in mei 2026 duidelijk: het toepassen van uniforme governance op alle AI-agents, ongeacht hun autonomieniveau en reikwijdte, zal leiden tot het mislukken van AI-agents in ondernemingen. De reden is structureel. Een agent die een agenda leest, vormt niet hetzelfde risico als een agent die transacties kan uitvoeren, gegevens kan bijwerken of berichten kan versturen namens een leidinggevende. Ze met identieke controles behandelen, beperkt ofwel de risicoarme te veel en doodt de productiviteit, ofwel beperkt het de risicovolle te weinig en laat het de organisatie kwetsbaar achter. Geen van beide uitkomsten is aanvaardbaar.
Het juiste model is proportioneel. Elke agent hoort bij een autonomieniveau. Elk niveau heeft een bijbehorende vertrouwensgrens en governance-eis: waartoe hij toegang heeft, welke beslissingen hij zelfstandig mag nemen, wanneer hij opschaalt naar een mens, en hoe zijn acties worden gelogd en controleerbaar zijn.
Hoe ziet gedisciplineerde governance van AI-agents er werkelijk uit?
Het begint met zichtbaarheid. Voordat enig governancekader betekenis heeft, moet een organisatie elke agent kennen die ze heeft uitgerold, weten welke systemen die raakt, welke rechten die heeft en wie verantwoordelijk is voor zijn gedrag. De meeste organisaties die incidenten hebben gehad, beschikten niet over dit overzicht. Ze hadden agents in productie draaien die IT niet had goedgekeurd en niet volledig kon zien.
Vanuit zichtbaarheid wordt het werk classificatie en controle. Agents met een lage autonomie die alleen lezen en rapporteren, vereisen licht toezicht. Agents met een hoge autonomie die schrijven, uitvoeren of beslissen, vereisen gedocumenteerde reikwijdtegrenzen, escalatiepaden en regelmatige toetsing. De organisaties die dit werk nu doen, terwijl de uitrol nog beheersbaar is, zullen het veel makkelijker hebben dan zij die op schaal aankomen zonder structuur en met een groeiend incidentenlogboek.
Lees hierna: ISO 42001 is nu een inkoopvereiste. Is jouw AI-programma er klaar voor? · De deadlines van de EU AI Act zijn net verschoven. Is dat goed nieuws of een valstrik?