Agentic AI Governance blijft achter bij adoptie in het VK: Wat het Salesforce 2026 Connectivity Benchmark Report betekent voor enterprise compliance

U kunt een dozijn AI-agenten inzetten binnen uw organisatie. U kunt een groei van 67% over twee jaar voorspellen. U kunt het een digitale transformatie-initiatie noemen en opnemen in het jaarverslag.

Maar als de helft van die agenten draait in gescheiden afdelingen en u een toezichthouder niet kunt vertellen welke agenten afgelopen dinsdag toegang hadden tot persoonsgegevens, dan heeft u geen AI-strategie. U heeft een compliance-incident dat zijn trigger nog niet heeft gevonden.

Dat is het ongemakkelijke beeld achter Salesforce’s 2026 Connectivity Benchmark Report, geproduceerd door MuleSoft (onderdeel van Salesforce) in samenwerking met Vanson Bourne en Deloitte Digital. Het onderzoek omvatte 1.050 IT-professionals uit negen landen tussen oktober en november 2025, waaronder 100 uit het VK. De bevindingen signaleren niet alleen een governance-leemte. Ze kwantificeren een crisis die ontstaat op het snijvlak van snelle AI-adoptie, gefragmenteerde datainfrastructuur en een regelgevend klimaat dat “vertrouw ons” niet langer als compliance-positie accepteert.

Dit laten de cijfers zien—en daarom zouden ze de manier waarop elke CISO, compliance officer en leider digitale transformatie nadenkt over de AI-inzetstrategie van hun organisatie moeten veranderen.

Vijf Belangrijkste Inzichten

1. Adoptie Heeft Governance Ingehaald. De Kloof Is Groot. Volgens het Salesforce 2026 Connectivity Benchmark Report zet 89% van de organisaties in het VK en Ierland AI-agenten in—maar slechts 54% heeft een gecentraliseerd governance framework met formeel toezicht. Bijna de helft van de ondernemingen die AI-agenten inzetten, kan een toezichthouder niet vertellen welke agenten toegang hadden tot persoonsgegevens, wanneer, of onder welke controles. Dat is geen kloof. Het is een open deur.

2. De Helft van Alle AI-Agenten Draait in het Donker. Vijftig procent van de ingezette agenten is opgesloten in gescheiden afdelingen—niet geïntegreerd, niet onder governance, niet zichtbaar op ondernemingsniveau. Dit zijn agenten die toegang hebben tot gevoelige data zonder gecentraliseerd toezicht. Als u niet weet waar uw agenten bij kunnen, kunt u het niet beschermen. En u kunt zeker niet bewijzen dat u het beschermd heeft als de auditor daarom vraagt.

3. De Voetafdruk van Agenten Staat op Uitbreken. Governance Houdt Geen Gelijke Tred. Organisaties draaien gemiddeld 12 AI-agenten. Dat aantal zal naar verwachting met 67% groeien in twee jaar. Ondertussen maakt 75% van de respondenten zich zorgen dat agenten meer complexiteit dan bedrijfswaarde zullen creëren. Die zorg is terecht. Zonder governance betekent meer agenten meer risico—en dat risico groeit exponentieel, niet lineair.

4. Shadow AI Is Shadow IT Met Regulerende Tanden. Werknemers uploaden contracten, klantgegevens en intellectueel eigendom naar consumenten-AI-tools zonder medeweten van IT. In tegenstelling tot de shadow IT-problemen van tien jaar geleden, leidt shadow AI tot directe overtredingen van de EU AI-wet, GDPR Artikel 25 en NIS2—allemaal met boetes die kunnen oplopen tot tientallen miljoenen euro’s. Het risicoprofiel is niet vergelijkbaar. Het is een orde van grootte erger.

5. De Datainfrastructuur Kan Niet Ondersteunen Wat Organisaties van Agenten Verwachten. Zevenennegentig procent van de organisaties rapporteerde barrières bij het gebruik van data voor AI. Dat cijfer is geen artefact van de enquête. Het is een bijna-universele erkenning dat de infrastructuur niet aansluit bij de ambitie. Organisaties draaien gemiddeld 796 applicaties, waarvan slechts een derde is geïntegreerd. AI-agenten hebben data nodig. De infrastructuur is niet klaar om die veilig te leveren.

89% Ingezet. 50% Zonder Governance. Reken Het Uit.

Laten we beginnen met de bevinding die de rest van het rapport in een nieuw perspectief plaatst.

Negenenachttig procent van de organisaties in het VK en Ierland zet al AI-agenten in. Niet als pilot. Niet als evaluatie. Ingezet. Deze agenten draaien in productieomgevingen en hebben toegang tot klantgegevens, financiële data, contracten, intellectueel eigendom en operationele systemen, verspreid over afdelingen, business units en geografische gebieden.

Maar de helft van die agenten—vijftig procent—is opgesloten in gescheiden afdelingen. Ze zijn niet geïntegreerd op ondernemingsniveau. Ze rapporteren niet aan een gecentraliseerd governance framework. Geen enkel team heeft inzicht in welke data deze agenten benaderen, hoe ze die verwerken of of die verwerking voldoet aan de regelgeving waaraan de organisatie onderworpen is.

Lees dat nog eens. De helft van de AI-agenten die vandaag in Britse ondernemingen actief zijn, is onzichtbaar voor enterprise governance.

Slechts 54% van de organisaties heeft een gecentraliseerd governance framework met formeel toezicht op hun AI-agenten. Dat betekent dat bijna de helft van de ondernemingen deze systemen draait zonder de basiscontroles die toezichthouders—onder de EU AI-wet, GDPR, NIS2 en de Cyber Resilience Act—nu vereisen.

Andrew Comstock, SVP en algemeen directeur van MuleSoft, schetste de uitdaging: “Het echte succes van een agentic enterprise zit niet in het aantal ingezette agenten, maar in de effectiviteit van die agenten. We moeten nadenken over hoe ze worden ontdekt, bestuurd en georkestreerd om samen te werken.”

Die orkestratie vindt niet plaats. En de regulerende klok wacht niet.

Shadow AI Is Geen Shadow IT. De Inzet Is Veel Hoger.

De governance-leemte in het Salesforce-rapport heeft een parallel waar securityteams het afgelopen jaar al voor waarschuwen. De meeste bestuurskamers luisteren nog niet.

Shadow AI ontstaat wanneer medewerkers en business units AI-agenten inzetten, gevoelige data uploaden naar consumenten-AI-tools en AI-ondersteunde workflows bouwen—allemaal zonder medeweten of goedkeuring van IT. Het is het voorspelbare gevolg van het verlagen van de technische drempel om AI-mogelijkheden te bouwen, terwijl governance-frameworks zijn blijven steken op het niveau van drie jaar geleden.

Kurt Anderson, managing director en API transformation leader bij Deloitte Consulting, erkende de spanning tijdens de persbriefing van het rapport: “Er is een belangrijk leiderschapsprincipe om kennis in handen te leggen van de mensen die het kunnen inzetten.” Maar hij voegde er een waarschuwing aan toe die op elk CIO-scherm geplakt mag worden: “We moeten leren van het verleden en zorgen dat we de juiste governance hebben. We weten wat er gebeurt als je individuele medewerkers de vrijheid geeft om systemen te bouwen zonder security of betrouwbaarheid, of die zorgen voor hoge licentiekosten.”

De vergelijking met shadow IT is leerzaam, maar onderschat het risico. Tien jaar geleden was het ergste scenario bij het gebruik van een niet-goedgekeurde SaaS-tool een licentieprobleem of een datasilo. Maar als een medewerker nu een klantcontract, een financieel model of een set patiëntgegevens uploadt naar ChatGPT of Claude, is het gevolg een GDPR-overtreding, een transparantiefout onder de EU AI-wet en mogelijk een datalek—tegelijkertijd. Drie regelgevingskaders. Eén ondoordachte upload.

De Salesforce-data maakt de bodem juist vruchtbaar voor dit soort incidenten. Organisaties draaien gemiddeld 796 applicaties, waarvan slechts 33% is geïntegreerd. In een omgeving waar honderden systemen los van elkaar opereren, verschijnt shadow AI niet alleen aan de randen. Het vult de gaten die door gescheiden systemen ontstaan. En dat zijn er veel.

Vier Regels. Eén Governance-leemte. Oplopende Boetes.

De governance-leemte in dit rapport is niet alleen een operationele hoofdpijn. Het is een probleem van regulerende blootstelling—en de financiële rekensom is confronterend.

Europese ondernemingen staan nu voor een samenkomend geheel van regels die elk specifieke vereiste opleggen aan hoe AI-systemen toegang krijgen tot, omgaan met en bescherming bieden aan gevoelige data. Gescheiden AI-agenten zonder gecentraliseerd toezicht falen niet slechts één van deze kaders. Ze falen ze allemaal tegelijk.

De EU AI-wet vereist gegevensbeheer, transparantie en beveiligingscontroles voor hoog-risico AI-systemen. Agenten die in gescheiden afdelingen draaien—zonder audittrail, zonder toegangscontrole, zonder gecentraliseerde rapportage—voldoen per definitie niet aan deze verplichtingen. Niet per ongeluk. Maar door ontwerp. Boetes kunnen oplopen tot €35 miljoen of 7% van de wereldwijde omzet.

GDPR vereist gegevensbescherming door ontwerp onder Artikel 25 en dataminimalisatie onder Artikel 5. Als agenten in silo’s werken, kunnen organisaties de fundamentele vraag van toezichthouders niet beantwoorden: “Welke AI-systemen hadden toegang tot deze persoonsgegevens, en onder welke voorwaarden?” Als u dat niet kunt beantwoorden, bent u niet compliant. Het maakt niet uit wat uw privacybeleid zegt. Boetes kunnen oplopen tot €20 miljoen of 4% van de wereldwijde omzet.

De NIS2-richtlijn vereist dat organisaties risico’s beheren binnen hun digitale toeleveringsketen. AI-agenten zonder governance zijn een onbewaakt aanvalsoppervlak dat toegang heeft tot kritieke infrastructuurdata zonder zichtbaarheid of incidentrapportage. Boetes kunnen oplopen tot €10 miljoen of 2% van de wereldwijde omzet.

De Cyber Resilience Act verplicht security-by-design voor softwareproducten, waaronder AI-agenten. Agenten zonder formele beveiligingscontroles, toegangsbeheer of kwetsbaarheidsmonitoring schieten tekort. Geen uitzonderingen voor “we moesten snel gaan.”

De aankomende EU Digital Omnibus Bill zal deze kaders verder op elkaar afstemmen tot een onderling verbonden regelgevend web. Eén governance-fout zal doorwerken in meerdere compliance-verplichtingen. Organisaties die elke regel apart behandelen—of erger nog, aannemen dat AI-inzet nog niet onder deze regels valt—bouwen een blootstelling op die ze pas zien als het handhavingsverzoek binnenkomt.

97% van de Organisaties Heeft Databarrières voor AI. Dat Is Geen Typefout.

Het Connectivity Benchmark Report onthult een structurele laag onder de governance-crisis die alles moeilijker maakt om op te lossen: de datainfrastructuur zelf is niet klaar.

Zevenennegentig procent van de organisaties rapporteerde barrières bij het gebruik van data voor AI-toepassingen. Niet de meeste. Niet een meerderheid. Zevenennegentig procent. De grootste blokkade, genoemd door 35% van de respondenten, was verouderde IT-architectuur en infrastructuur door datasilo’s en losgekoppelde systemen.

Ondernemingen draaien gemiddeld 796 applicaties waarvan slechts een derde is geïntegreerd. AI-agenten hebben toegang tot data nodig om waarde te leveren. Maar in omgevingen waar honderden applicaties los van elkaar opereren, dwingt het geven van toegang zonder een uniforme governance-laag tot een keuze tussen twee slechte opties: agenten zo beperken dat ze nutteloos worden, of data openstellen zonder voldoende controles. De meeste organisaties kiezen voor het tweede—vaak zonder het te beseffen.

Beena Ammanath, wereldwijd leider van het Deloitte AI Institute, schetste de snelheid in het voorwoord van het rapport: “De snelheid van AI-adoptie heeft zelfs de voorspellingen van een jaar geleden overtroffen, waarbij 84% van de enterprise CIO’s gelooft dat AI net zo belangrijk zal zijn voor hun bedrijf als het internet.” Veertig procent van de organisaties zet al autonome agenten in. Nog eens 41% is dat van plan binnen een jaar. Het venster om governance-infrastructuur te bouwen sluit niet. Voor veel organisaties is het al dicht.

Dit is geen op zichzelf staande bevinding. Process mining-aanbieder Celonis publiceerde zijn eigen 2026 Process Optimisation Report—met onderzoeksresultaten onder 1.600 wereldwijde executives bij bedrijven met $500 miljoen of meer omzet—en vond hetzelfde patroon vanuit een andere invalshoek. Eenentachtig procent zegt dat AI-projecten zullen falen zonder proceszichtbaarheid. Zesenzeventig procent zegt dat hun huidige processen hen tegenhouden. Vijfentachtig procent wil binnen drie jaar een agentic enterprise zijn. De ambitie is universeel. De gereedheid niet.

AI-Agenten Hebben Nu Al Toegang tot Uw Meest Gevoelige Data. Elke Dag.

Als governance nog steeds voelt als een prioriteit voor de planningscyclus in plaats van een direct aandachtspunt, kijk dan waar AI-agenten nu al actief zijn—en tot welke data ze nu al toegang hebben.

Een afzonderlijk Salesforce-rapport, dezelfde week gepubliceerd—de zevende editie van het wereldwijde State of Sales-rapport—vond dat agentic AI tot de top drie verkooptechnieken in het VK voor 2026 behoort. Topverkopers gebruiken 1,7 keer vaker AI-agenten dan collega’s die hun targets niet halen. Zesenveertig procent van de Britse verkopers zegt al agenten te hebben gebruikt. Britse salesteams verwachten dat agenten de tijd voor prospectonderzoek met 38% en het opstellen van e-mails met 38% verkorten.

Dat zijn indrukwekkende productiviteitscijfers. Maar het is ook een governance-test die de meeste organisaties niet halen. Deze agenten hebben routinematig toegang tot klantdatabases, CRM-gegevens, communicatiegeschiedenis, prijsinformatie en contractdetails—allemaal met regulerende verplichtingen onder GDPR en, afhankelijk van de sector, onder NIS2 en de EU AI-wet.

Hier is het verschil dat telt: als deze agenten onder goede governance opereren—met uniforme toegangscontrole, audittrail, dataminimalisatie—leveren ze meetbare productiviteitswinst. Zonder governance worden ze compliance-risico’s die bij elke nieuwe inzet groter worden. Dezelfde technologie. Andere architectuur. Een totaal ander risicoprofiel.

Hoe Een Gereguleerde AI Data-architectuur Eruit Ziet—En Waarom De Meeste Organisaties Die Niet Hebben

De vraag is niet langer of u AI-agenten moet inzetten. Die beslissing is genomen. Negenenachttig procent van de Britse organisaties is daar al. De vraag is of governance er is vóór de volgende audit, het volgende datalek of de volgende handhavingsactie.

Daar komen vereist een fundamentele verschuiving in hoe organisaties denken over AI-data-toegang. Governance achteraf toevoegen aan bestaande inzet werkt niet—het Salesforce-rapport bewijst dat met 50% van de agenten nog steeds in ongecontroleerde silo’s. Organisaties hebben een gecentraliseerde data governance-laag nodig tussen AI-agenten en de gevoelige informatie waartoe ze toegang hebben. Die laag moet vijf mogelijkheden bieden.

Uniforme toegangscontrole voor AI-agenten. Eén platform dat bepaalt welke agenten toegang hebben tot welke data, onder welke voorwaarden, met welke rechten. Dit voorkomt gescheiden inzet die enterprise-beveiliging omzeilt en breidt zero-trust architectuur uit naar elke AI-agent interactie met gevoelige data.

Volledige audittrail voor elke AI-interactie. Wanneer toezichthouders vragen welke AI-systemen toegang hadden tot persoonsgegevens—en onder de EU AI-wet en GDPR zullen ze dat doen—moeten organisaties duidelijke, volledige antwoorden hebben. Geen drie weken durend forensisch onderzoek met zes verschillende tools. Antwoorden. On demand.

Handhaving van dataminimalisatie. AI-agenten mogen alleen toegang hebben tot de data die nodig is voor een specifieke taak. Granulaire controles voor redactie, maskering en tijdsgebonden toegang ondersteunen direct Artikel 5 van de GDPR—en voorkomen overtoekenning die elke agent tot een potentiële datalek maakt.

Shadow AI-preventie. Detecteer en blokkeer dat medewerkers gevoelige data invoeren in niet-goedgekeurde AI-tools—terwijl gereguleerde alternatieven voor AI-ondersteunde workflows worden geboden. Preventie van gegevensverlies moet zich uitstrekken tot AI-specifieke exfiltratiekanalen. Traditionele DLP was hier niet voor gebouwd. De tooling moet bijbenen.

Beheer van derde AI-leveranciers. Veilige protocollen voor data-uitwisseling, Data Processing Agreements en continue monitoring van toegang door derde AI-leveranciers. NIS2-vereisten voor supply chain security maken dit niet-onderhandelbaar—geen streven, maar een must.

Kiteworks: Gereguleerde AI Data-toegang. Vanuit Eén Platform. Niet Zes.

Dit is het probleem dat het Kiteworks Private Data Network oplost.

Terwijl organisaties hun AI-inzet opschalen, biedt Kiteworks de uniforme data governance-laag die elke AI-agent interactie met gevoelige data controleert, monitort en auditeert. Het werkt niet naast bestaande governance-tools in de hoop dat die met elkaar praten. Het vult de leemte ertussen—de ongecontroleerde ruimte waar AI-agenten toegang hebben tot contracten, klantgegevens, financiële data en intellectueel eigendom zonder gecentraliseerd toezicht, zonder audittrail en zonder bewijs van compliance als daar om gevraagd wordt.

Het onderscheid met andere benaderingen is belangrijk. Traditionele platforms voor beveiligde bestandsoverdracht—Box, Dropbox—zijn niet gebouwd met AI-specifieke governance-controles. Ze kunnen data-exfiltratie naar consumenten-AI-tools niet voorkomen. Ze bieden geen audittrail voor AI-agenttoegang. Ze adresseren de EU AI-wet niet. Ze lossen een probleem op dat twee jaar geleden al niet meer voldeed.

Detectie-only DLP-tools van Symantec, Forcepoint en anderen kunnen overtredingen signaleren nadat ze plaatsvinden. Ze bieden geen gereguleerde data-toegang voor goedgekeurde AI-workflows. Hun model is blokkeren of toestaan. Het AI-governanceprobleem vraagt om mogelijk maken én controleren. Dat zijn andere capaciteiten.

Opkomende AI-governanceplatforms richten zich op modelgovernance—monitoren van modelgedrag, bijhouden van modeluitvoer, beheren van modelrisico. Ze controleren niet de onderliggende gevoelige data waartoe AI-agenten toegang hebben. Modelgovernance zonder datagovernance is als de voordeur op slot doen terwijl de datakluis open blijft.

Kiteworks neemt de positie in die geen van deze benaderingen dekt: het beheren van de gevoelige data die AI-agenten nodig hebben, en zorgen dat elke interactie voldoet aan compliance-vereisten onder GDPR, NIS2, de Cyber Resilience Act en de EU AI-wet—vanuit één platform. Eén audittrail. Eén toegangscontrole-framework. Eén plek om de vraag van de toezichthouder te beantwoorden.

Voor CISO’s is het het gecentraliseerde controlepaneel dat het risico van gescheiden agent-inzet elimineert. Voor compliance officers is het de audittrail en transparantiedocumentatie die EU-toezichthouders eisen. Voor leiders digitale transformatie is het de governance-infrastructuur die AI-schaalbaarheid mogelijk maakt—zonder de business units die het het meest nodig hebben te vertragen.

Het Venster Sluit. Voor Sommige Organisaties Is Het Al Dicht.

Het Salesforce 2026 Connectivity Benchmark Report maakt de situatie concreet. Negenenachttig procent van de Britse organisaties heeft AI-agenten ingezet. De helft draait in ongecontroleerde silo’s. De agent-voetafdruk groeit 67% in twee jaar. Europese regelgeving groeit toe naar een uniform compliance-framework met boetes die kunnen oplopen tot honderden miljoenen euro’s.

Organisaties die nu een gereguleerde AI data-architectuur bouwen, kunnen AI veilig opschalen, voldoen direct aan de eisen van toezichthouders en AI-productiviteit omzetten in competitief voordeel. Organisaties die dat niet doen, ontdekken hun governance-leemte via een regulerend onderzoek, een datalek of een boete waardoor de kosten van governance in het niet vallen.

Dit is geen planningsvraagstuk meer. Het is een operationele vereiste. En de vraag is niet of uw organisatie een data governance-laag voor AI-agenten nodig heeft. De vraag is of u er een bouwt vóór de volgende audit u dwingt uit te leggen waarom u dat niet deed.

Aanvullende bronnen

• Blog Post Zero Trust Architectuur: Nooit Vertrouwen, Altijd Verifiëren
• Video Microsoft GCC High: Nadelen die Defensie-aannemers naar Slimmere Voordelen Drijven
• Blog Post Hoe U Geclassificeerde Data Beveiligt Zodra DSPM Het Signaleert
• Blog Post Vertrouwen Bouwen in Generatieve AI met een Zero Trust Benadering
• Video De Definitieve Gids voor Veilige Opslag van Gevoelige Data voor IT-Leiders