AI Agent Governance Is Een Bewijsprobleem Geworden

Een AI-agent die gevoelige gegevens verwerkt, moet worden beheerst zoals de medewerker die hem heeft geautoriseerd, en veel organisaties kunnen dat mogelijk nog niet aantonen. Het probleem is niet een tekort aan beleid. Het is een tekort aan bewijs dat het beleid werd gehandhaafd op het moment dat een agent een record las, verplaatste of wijzigde.

Een enquête van Foundry en Rubrik, gerapporteerd in een door Rubrik gesponsorde CIO BrandPost gepubliceerd op 29 oktober 2026, geeft cijfers over die kloof. Van de 200 IT- en AI-beslissers gaf 38 procent aan dat agents gegevens hadden geëxfiltreerd of een gevoelig datalek hadden veroorzaakt, en 42 procent noemde governance, waarborgen en naleving als obstakels voor de implementatie van agents. Lees de cijfers met zorg, want de bron is gesponsord en klein, maar let op hoe consistent ze zijn met ander onderzoek dat de afgelopen zes maanden is gepubliceerd.

Voor een CISO, Chief Compliance Officer of Data Protection Officer is de vraag dezelfde als die een toezichthouder zal stellen. Wie was de gebruiker, onder welk gezag handelde de agent, en waar is de log? Deze post maakt onderscheid tussen wat de Foundry en Rubrik-enquête wel en niet kan onderbouwen, zet het naast bevindingen van EY en anderen, en beschrijft het bewijspakket waarmee een organisatie agents en mensen onder één set regels kan beheren. Ook wordt uitgelegd waar Kiteworks Compliant AI en het Kiteworks Control Plane passen wanneer het datalayer het niveau is waarop bewijs moet worden geleverd.

Belangrijkste inzichten

1. Het signaal uit de enquête is echt, maar de bron is een sponsor.

Een door Rubrik gesponsorde enquête onder 200 beslissers meldt dat 38 procent een lek door een agent bevestigde. Dit is een reden om je eigen controles te testen, niet een feitelijke benchmark om te citeren.

2. Autonomie is beheersbaar, niet-toegeschreven autonomie niet.

Agents vormen een tweede klasse identiteit die naast mensen moet worden beheerd, waarbij elke actie herleidbaar is tot een verantwoordelijke persoon.

3. Governance is de genoemde bottleneck.

Onderzoek van EY en anderen toont aan dat beleid gebruikelijk is, terwijl operationele controle en eigenaarschap achterblijven.

4. Bestaande dataregels gelden al voor agents.

HIPAA, GDPR en sectorspecifieke regels bevatten geen uitzondering voor geautomatiseerde toegang tot gereguleerde gegevens, dus de bewijsstandaard voor een agent is dezelfde als voor een mens.

5. Bewijs wint van intentie.

Organisaties die binnen enkele uren een uniform, herleidbaar record van agenttoegang tot gegevens kunnen leveren, zullen vragen kunnen beantwoorden die anderen niet kunnen.

Wat de Foundry en Rubrik-enquête zegt

De BrandPost meldt dat agents volledige autonomie (26 procent) of beperkte autonomie (35 procent) krijgen. 42 procent noemt governance, waarborgen en naleving als obstakels voor agentimplementatie, en 24 procent noemt beveiliging en governance als het grootste obstakel om agents op te schalen. 38 procent bevestigde dat een agent gegevens had geëxfiltreerd of een gevoelig datalek had veroorzaakt, en bijna de helft had te maken gehad met een agent of chatbot die onjuiste of foutieve informatie doorgaf.

Nu de kanttekeningen. Het stuk is een BrandPost gesponsord door Rubrik, een leverancier van agent governance- en herstelproducten, en het artikel vermeldt niet wanneer de enquête is uitgevoerd of hoe respondenten zijn geselecteerd. Een steekproef van 200 kan geen branchebrede claims ondersteunen. Het cijfer van 38 procent is het eigen relaas van de respondenten, en het artikel definieert niet wat als een lek telt of hoe het werd bevestigd.

Die beperkingen maken de bevindingen niet waardeloos. Ze maken ze tot een hypothese die het waard is om te testen in je eigen omgeving. Als bijna twee op de vijf respondenten zeggen dat ze al een agent gegevens hebben zien lekken, is de vraag voor de rest of ze het zouden weten. Een lek dat niemand detecteert, wordt in geen enkele enquête geregistreerd.

De nuttigste lezing is structureel. Respondenten geven aan dat ze agents echte autonomie geven, terwijl ze governance als hun belangrijkste obstakel noemen. Die twee feiten samen beschrijven een programma dat sneller groeit dan de bewijsbasis.

Autonomie is niet het probleem, attributie wel

Het is verleidelijk om een cijfer als 26 procent volledige autonomie te lezen als een waarschuwing dat agents los rondlopen. De betere vraag is of elke autonome actie kan worden herleid tot een verantwoordelijke mens en een beheersend beleid. Een agent die binnen gedelegeerde bevoegdheid handelt, is een normaal onderdeel van modern werk. Een agent die zonder vastgelegde delegatie handelt, is een complianceprobleem.

De enquête van EY scherpt dit punt aan. In EY’s US AI Risk and Governance Survey, gepubliceerd op 15 september 2026, gaf 85 procent van de gebruikers van agentic AI aan dat ze ten minste enkele agentic systemen draaien die zonder realtime menselijke tussenkomst werken. De enquête betrof senior AI-beslissers bij Amerikaanse beursgenoteerde bedrijven met minstens $1 miljard omzet, dus het beschrijft grote ondernemingen en niet de hele markt. EY is bovendien een assurancebedrijf met een belang in het onderwerp.

Realtime menselijke tussenkomst is de verkeerde toets voor controle. Niemand controleert elke databasequery die een vertrouwde medewerker uitvoert. Wat dat acceptabel maakt, is dat de medewerker een unieke identiteit heeft, een rol, rechten die bij de functie passen en een audittrail die vastlegt wat er is gebeurd. Diezelfde architectuur moet gelden voor agents. Een agent is een tweede klasse identiteit naast menselijke identiteit, beheerst door hetzelfde beleid, en de mens die hem autoriseert blijft verantwoordelijk.

Dat perspectief verandert de ontwerpvereiste. Het doel is niet om agents te vertragen zodat een persoon op goedkeuren kan klikken. Het doel is om te waarborgen dat een agent nooit de toegang van de gebruiker die hem heeft geautoriseerd kan overschrijden, dat elke actie aan die gebruiker wordt toegeschreven en dat het record niet stilletjes kan worden aangepast. Als aan die voorwaarden wordt voldaan, is autonomie een productiviteitsfeature. Als dat niet zo is, is het een ongecontroleerd toegangspad.

Governance is de genoemde bottleneck, en de audittrail laat dat zien

De 42 procent die governance als obstakel noemt, beschrijft iets wat EY’s data verklaart. Dezelfde enquête van EY vond dat 98 procent van de respondenten formeel AI-governancebeleid rapporteert en 69 procent een volledig uniform beleid, maar 47 procent zegt dat hun organisatie het AI-governanceproces eerder heeft omzeild bij urgente inzet. Onder gebruikers van agentic AI zegt 49 procent dat hun governanceframework niet specifiek is bijgewerkt voor agentic AI-risico‘s.

Combineer die cijfers en er ontstaat een patroon. Beleid bestaat. Handhaving onder tijdsdruk is ongelijk. Het framework is geschreven voor AI die output levert en heeft nog geen aansluiting gevonden bij AI die acties onderneemt. Dit is hetzelfde onderscheid dat een CISO ziet tussen een beleidsdocument en een control die daadwerkelijk werkt.

Het bewijsaspect maakt dit tot een compliancekwestie. Een auditor vraagt niet of je een AI-beleid hebt. Een auditor vraagt je om een steekproef van agentacties op gevoelige gegevens, de identiteit waaronder ze werden uitgevoerd, het beleid dat het toestond en de log die het bewijst. Als het antwoord weken kost om samen te stellen, is het beleid niet operationeel gemaakt op een manier die ertoe doet voor de audit.

Het Kiteworks Data Security and Compliance Risk: 2026 Annual Survey Report heeft die kloof direct gemeten in een enquête onder 459 respondenten uit diverse regio’s. Slechts ongeveer een kwart (27 procent) kon binnen één werkdag een volledig AI-auditrecord leveren, en slechts 17 procent binnen één uur. Die cijfers zijn zelfgerapporteerd in een leveranciersenquête met een gemengd profiel, dus ze zijn richtinggevend, maar ze weerspiegelen het patroon van de EY-bevinding. Beleid is wijdverspreid, en bewijs op afroep niet. Die kloof dichten is de kern van elk serieus AI data governance-programma.

Zichtbaarheid en herstel zijn de stille gaten

Als governance het zichtbare obstakel is, dan zijn zichtbaarheid en herstel de stillere. Rubrik Zero Labs publiceerde een afzonderlijke en grotere studie, The State of the Agent, op 16 april 2026, gebaseerd op meer dan 1.600 IT- en beveiligingsleiders. Daaruit blijkt dat 86 procent verwacht dat agents hun beveiligingsmaatregelen binnen een jaar zullen overtreffen, dat 23 procent volledige zichtbaarheid heeft in de agents binnen hun omgeving, en dat 88 procent zegt agentacties niet te kunnen terugdraaien zonder systemen te verstoren. Het persbericht zelf geeft aan dat het zichtbaarheidscijfer waarschijnlijk een overschatting is.

Dit is dezelfde leverancier als de sponsor van het CIO-artikel, dus het is geen onafhankelijke bevestiging van de Foundry- en Rubrik-cijfers. Het is een tweede blik vanuit één bron, met een grotere steekproef, hoewel het persbericht weinig methodologische details geeft. Zie het als het perspectief van één leverancier en weeg het dienovereenkomstig.

Wat de studie wel illustreert, is het complianceaspect van herstel. Als een agent een record wijzigt of blootlegt, moet de organisatie weten welke records, welke gebruikersbevoegdheid en welk tijdsvenster. Herstel zonder attributie is een technische oplossing die de juridische vraag onbeantwoord laat. Toezichthouders willen weten wat er is gebeurd en bij wie, niet alleen of het systeem is hersteld.

Voor de CCO is de praktische les dat incidenten met agents dezelfde onderzoeksregistratie vereisen als incidenten met mensen. Dat betekent dat de audittrail de agent, de autoriserende gebruiker, de geraakte gegevens en het toegepaste beleid moet noemen, en dat deze opvraagbaar moet zijn in hetzelfde formaat als elk ander toegangsrecord.

Goedgekeurde agents en niet-gecontroleerde tools openen twee deuren naar dezelfde data

De Foundry- en Rubrik-enquête beschrijft agents die een organisatie bewust heeft ingezet. Een tweede risico loopt via tools die nooit zijn gekozen. Compliance Week meldde op 29 oktober 2026 dat toezichthouders en nationale autoriteiten zich zorgen maken dat bedrijven zichzelf onbewust blootstellen aan aanzienlijk risico door goedkopere Chinese AI-tools te gebruiken, of open-sourcesoftware die daarop vertrouwt. De zichtbare tekst noemt nationale veiligheid, cyberbeveiliging en zorgen over gegevensbescherming, stelt dat dergelijke tools mogelijk niet voldoen aan strengere EU- of VS-normen, en waarschuwt dat ingevoerde gegevens mogelijk worden bewaard en gebruikt door Chinese autoriteiten. Het artikel is na de eerste alinea’s alleen toegankelijk voor abonnees, dus deze post baseert zich alleen op het zichtbare deel en citeert geen cijfers daaruit.

Het punt voor een complianceleider gaat niet over één leverancier of land. Het is dat een organisatie de controle over gevoelige gegevens kan verliezen via een AI-tool die niemand heeft goedgekeurd, een patroon dat meestal shadow AI wordt genoemd. Een goedgekeurde agent die gegevens lekt en een niet-gecontroleerde tool die ze bewaart, zijn twee deuren naar dezelfde kamer, en de vraag van een toezichthouder is identiek. Welke gegevens zijn vertrokken, via welke tool, onder wiens gezag, en waar is het record?

Een gesponsord stuk van SailPoint, gerapporteerd door CIO als BrandPost, geeft deze situatie een naam. Het definieert een AI trust deficit als wat ontstaat wanneer een organisatie autonome AI-agents sneller inzet dan ze kan aantonen dat ze binnen beleid handelen. Het citeert Omdia-onderzoek waaruit blijkt dat meer dan de helft van de ondernemingen al agentic AI inzet, en citeert Mike Kiser van SailPoint die stelt dat AI-innovatie AI-veiligheid heeft ingehaald. SailPoint is een leverancier van identity security, en dit is leverancierscontent, dus beschouw de framing als een perspectief en niet als een feit. De definitie is wel nuttig omdat het het probleem koppelt aan bewijs, niet aan het bestaan van beleid.

Let op de aard van het trust deficit. Het is geen bewering dat agents onveilig zijn. Het is een bewering dat de organisatie niet kan aantonen dat ze binnen beleid handelen. Dat is een bewijsprobleem, precies waarvoor een audittrail en een datalayer-control bedoeld zijn. Of de deur nu een goedgekeurde agent of een niet-gecontroleerde tool is, de oplossing begint met dezelfde discipline: weten welke data elke tool kan bereiken en elke toegang registreren.

Eigenaarschap is nog onduidelijk, en dat is het echte risico

Vraag drie leiders binnen één organisatie wie eigenaar is van AI-agentbeveiliging en je krijgt mogelijk drie verschillende rollen te horen. Die onduidelijkheid is op zichzelf al een risico, en de data van EY laat zien wat het kan kosten. EY meldt dat 26 procent van de gebruikers van agentic AI aangeeft geen ongeautoriseerde AI-agents binnen hun organisatie te kunnen detecteren, en een functie die een agent niet kan zien, kan er ook niet verantwoordelijk voor zijn.

Een verantwoordingsvacuüm is de slechtst mogelijke situatie voor het leveren van bewijs, want bewijs vereist dat iemand de vraag bezit. Als de CIO de agent inzet, de CISO het platform beveiligt en de CCO de toezichthouder antwoordt, dan is niemand eigenaar van het record dat hen verbindt. Wanneer er een onderzoek komt, heeft elke leider een fragment.

De oplossing is organisatorisch voordat deze technisch is. Wijs één verantwoordelijke eigenaar aan voor agenttoegang tot gegevens, geef die persoon zeggenschap over het auditrecord en maak de CISO en de CCO gebruikers van hetzelfde record. De Chief AI Officer of CIO kan eigenaarschap en snelheid van adoptie beheren, maar de bewijsstandaard moet worden bepaald door degenen die aan toezichthouders rapporteren, en een duidelijke governance, risk and compliance-structuur voorkomt dat die rollen uit elkaar groeien.

Bestaande dataregels gelden al voor agents

De handhavingsomgeving beschouwt een agent niet als een aparte categorie. HIPAA maakt niet uit of een arts of een AI-agent het record leest. De beveiligings- en verantwoordingsplichten van de GDPR gelden of een persoon of een systeem toegang tot de gegevens heeft gehad, en artikel 22 voegt beperkingen toe aan volledig geautomatiseerde beslissingen. De vraag is telkens of toegang tot gevoelige gegevens was geautoriseerd, beperkt tot wat nodig was en geregistreerd.

De Security Rule onder HIPAA laat zien hoe dit in de praktijk werkt. 45 CFR 164.308(a)(1)(ii) vereist dat onderworpen entiteiten een nauwkeurige en grondige risicoanalyse uitvoeren en procedures implementeren om regelmatig logs van systeemactiviteit te beoordelen, en beide specificaties zijn als verplicht gelabeld. Geen van beide noemt wie of wat de lezing uitvoert. Een agent die patiëntendossiers leest, activeert dezelfde verplichtingen onder de HIPAA Security Rule als elke andere gebruiker, dus de risicoanalyse moet hem meenemen en de activiteitreview moet hem kunnen vinden.

Dezelfde logica geldt in de financiële sector, waar gegevensbeschermings- en beveiligingsregels gelden ongeacht of een mens of agent de data heeft aangeraakt, en in juridische omgevingen waar privilege en cliëntvertrouwelijkheid aan de informatie zijn gekoppeld en niet aan de tool. De rode draad is dat een AI-agent een nieuwe manier is om gereguleerde gegevens te bereiken, geen nieuwe categorie gereguleerde activiteit.

Dit is het sterkste argument om te sturen op het datalayer. Modelgovernance is belangrijk voor nauwkeurigheid en bias, maar het compliance-risico zit waar data wordt benaderd, gebruikt en uitgewisseld. Als je dat layer voor elke identiteit, mens of agent, kunt beheren en loggen, volgt het bewijs vanzelf.

Het datalayer beheren voor mensen en agents samen

Kiteworks Compliant AI is gebouwd op één uitgangspunt: het datalayer beheren en niet het model. In de praktijk betekent dit dat de controles die gevoelige inhoud voor menselijke gebruikers beschermen, ook gelden wanneer een AI-systeem die inhoud opvraagt. De Kiteworks Secure MCP Server verbindt AI-clients met bedrijfscontent onder rolgebaseerde en op attributen gebaseerde toegangscontrole, zodat een AI-client de rechten van de gebruiker die hem heeft geautoriseerd niet kan overschrijden. Authenticatie gebruikt OAuth 2.0 met PKCE, en activiteit wordt gelogd op de gebruiker die de agent heeft geautoriseerd.

Die acties komen terecht in dezelfde uniforme auditlog die e-mail, bestandsoverdracht, SFTP, formulieren en beheerde bestandsoverdracht registreert, met koppelingen naar een SIEM voor correlatie. De Data Policy Engine past databeleid consequent toe, en het CISO Dashboard geeft beveiligingsleiders inzicht in die activiteit. Het Kiteworks Control Plane beheert gegevensbenadering, gebruik en uitwisseling voor mensen en agents onder één set beleid, één identiteitsmodel en één audittrail.

Twee beperkingen zijn het vermelden waard. Een datalayer-control vervangt niet de risicoanalyse, het AI-governancecomité of de verantwoordelijke eigenaar; dat blijven menselijke verantwoordelijkheden. En het beheert de gevoelige inhoud die via Kiteworks secure data exchange loopt, dus agents met directe toegang tot datastores buiten die grens hebben hun eigen controles nodig. De architectuur vermindert het aantal plekken waar een bewijspakket moet worden samengesteld. Het elimineert niet de noodzaak om te weten waar al je data zich bevindt.

Bouw nu het agent-bewijspakket

Begin met het inventariseren van de agents. Gezien het feit dat 26 procent van de respondenten in de EY-enquête ongeautoriseerde agents niet kan detecteren, is een register de eerste control om te bouwen, want niemand kan beheren wat hij niet kan opsommen. Leg elke agent vast, de gebruiker of het team dat hem heeft geautoriseerd, de data die hij kan bereiken en de systemen waarmee hij is verbonden.

Definieer vervolgens het beleid in termen die een auditor kan toetsen. Stel per agent vast welke dataklassen hij mag lezen, welke nooit, en onder welke voorwaarden. Druk de regels uit als op attributen gebaseerde policies die met de data meereizen, niet als richtlijnen in een document. Een regel die alleen in een beleids-PDF bestaat, kan niet aantonen dat hij is toegepast.

Ten derde: bewijs attributie. Neem een steekproef van agentacties uit de afgelopen maand en herleid elke actie tot een autoriserende gebruiker, een toegepast beleid en een logvermelding. Als er een schakel in de keten ontbreekt, heb je het gat gevonden voordat een auditor dat doet. Herhaal de oefening elk kwartaal en bewaar de output.

Ten vierde: test je respons. Doe een tabletop-oefening waarbij een agent data heeft benaderd die hij niet mocht zien. Meet hoe lang het duurt om de betrokken records, de autoriserende gebruiker en het beleidslek te identificeren, en vergelijk die tijd met de deadlines die je eigen regelgeving stelt.

Tot slot: informeer de raad van bestuur met bewijs, niet met geruststellingen. Een eenpagina-overzicht van agents in productie, bereikbare dataklassen, laatste attributietest en openstaande uitzonderingen zegt meer dan een maturiteitsscore. De vraag van de raad is of de organisatie controle kan aantonen, en het antwoord moet uit de records komen.

Wil je meer weten over het beheren van AI-agents en menselijke gebruikers onder één beleid en één audittrail, plan dan vandaag nog een aangepaste demo.

Aanvullende bronnen

• Blog Post
  Zero‑Trust-strategieën voor betaalbare AI-privacybescherming
• Blog Post
  Hoe 77% van de organisaties faalt in AI-gegevensbeveiliging
• eBook
  AI Governance Gap: Waarom 91% van de kleine bedrijven Russisch roulette speelt met gegevensbeveiliging in 2025
• Blog Post
  Er is geen “–dangerously-skip-permissions” voor jouw data
• Blog Post
  Toezichthouders zijn klaar met vragen of je een AI-beleid hebt. Ze willen bewijs dat het werkt.