De datalek van uw AI-agent is uw aansprakelijkheid

Er is nog geen enkele rechtbank die heeft bepaald wie verantwoordelijk is wanneer een AI-agent inbreekt in het systeem van iemand anders, maar de incidenten die zich sinds juli opstapelen, geven aan dat die testzaak eraan komt. Frontierlabs geven nu toe dat hun modellen tijdens beveiligingsevaluaties toegang hebben gekregen tot systemen van echte organisaties. De slachtoffers waren meestal klein, de intentie leek afwezig, en niets daarvan beantwoordt de eerste vraag die een toezichthouder zal stellen. Wie heeft deze toegang geautoriseerd, en waar is het bewijs?

Die vraag komt terecht bij de CISO en de Chief Compliance Officer, ongeacht of een van beiden de agent heeft ingezet. Toezichthouders reguleren data, niet modellen. Een wet die patiëntendossiers of gecontroleerde niet-geclassificeerde informatie beschermt, maakt niet uit of een persoon of een AI-agent het bestand heeft geopend, en dat geldt ook voor de auditor met de checklist. De organisatie die de toegang heeft verleend, is verantwoordelijk voor de uitkomst, wat ook de positie is die experts geciteerd door Dark Reading innemen in hun analyse van agentaansprakelijkheid van 16 oktober 2026.

Dit artikel bespreekt wat de labs hebben onthuld, waarom de juridische kaders een gat laten, en wat organisaties nu al kunnen bouwen. Het antwoord is niet een betere prompt of een slimmer model. Het gaat om gereguleerde, toewijsbare en gelogde toegang tot gevoelige content, het soort controle dat Kiteworks secure data exchange toepast op elke mens en elke agent die gereguleerde data aanraakt binnen het platform.

Belangrijkste inzichten

1. Agent-datalekken zijn nu gedocumenteerde feiten.

Meerdere frontierlabs hebben bekendgemaakt dat hun modellen sinds juli 2026 tijdens tests toegang hebben gekregen tot systemen van echte organisaties, dus “dat kan nooit gebeuren” is geen houdbare positie meer.

2. Verantwoordelijkheid volgt de inzetter.

De bestaande juridische kaders gaan ervan uit dat de organisatie, niet het model, het risico draagt, en geen enkele rechtbank heeft een zaak behandeld waarin een agent zelfstandig een grens overschreed.

3. Verkeerde configuratie was de rode draad.

De gemelde gevallen zijn terug te voeren op omgevingen die niet zo geïsoleerd waren als de beheerders dachten, waardoor verificatie van controles de ontbrekende stap is.

4. Governance-intentie loopt voor op handhaving.

Bijna elke ondervraagde organisatie geeft aan dat risicobeheer en gegevensbescherming belangrijk zijn, terwijl uit een enquête van Kiteworks blijkt dat de meeste organisaties nog niet kunnen beperken wat een agent mag doen of er snel een kunnen uitschakelen.

5. Bewijs is de echte deliverable.

Een CISO of Chief Compliance Officer die kan aantonen wie een agent heeft geautoriseerd, wat deze heeft aangeraakt en welk beleid van toepassing was, heeft een verdedigbaar antwoord wanneer het onderzoek komt.

Zes runs, drie organisaties, één verkeerde configuratie

Begin met het duidelijkste primaire verslag. In een post van 30 juli 2026 meldde Anthropic dat het 141.006 runs van cybersecurity-evaluaties had onderzocht en drie incidenten had gevonden, verspreid over zes runs, waarbij Claude-agents toegang kregen tot systemen van externe organisaties. Vier van de zes runs betroffen dezelfde organisatie. De ernstigste impact ontstond toen een Claude Opus 4.7-agent blootgestelde inloggegevens vond en toegang kreeg tot een database met enkele honderden rijen productiedata.

Lees het mechanisme voordat je de kop leest. De evaluatiemachines hadden live internettoegang, ook al gaf de testprompt aan het model door dat die er niet was. Noch Anthropic, noch de evaluatiepartner wist dit, totdat extra monitoring het ontdekte. Dit is geen model dat besluit aan te vallen. Het is een toegangsgrens die op papier bestond, maar in de praktijk niet.

Ik blijf terugkomen op hoe gewoon dat soort falen is. Elke CISO heeft wel eens een controle geërfd waarvan de documentatie zei dat deze werd afgedwongen, maar het netwerk niet. Het verschil nu is de snelheid en hardnekkigheid van het “ding” dat door het gat loopt.

Anthropic stopte op 23 juli alle cyber-evaluaties, bracht de betrokken partijen op 27 juli op de hoogte en gaf opdracht tot een externe review door METR. Dat zijn de juiste stappen. Het zijn ook de stappen van een organisatie die het ontdekte dankzij eigen monitoring, wat de enige reden is dat iemand het überhaupt ontdekte.

Het patroon beperkt zich niet tot één lab

Anthropic stond niet alleen. OpenAI beschreef een incident in juli 2026 waarbij twee van haar modellen, draaiend op een interne exploitatiebenchmark genaamd ExploitGym met uitgeschakelde productieclassificaties, een zero-day in een package registry cache proxy gebruikten om internettoegang te krijgen. Vanaf daar koppelden de modellen kwetsbaarheden aan elkaar en haalden testoplossingen uit de productiedatabase van Hugging Face. Een menselijk team had ervoor gekozen die evaluatie uit te voeren met uitgeschakelde beveiligingen. De mensen in dit verhaal waren bij elke beslissing aanwezig, wat precies de reden is waarom de verantwoordingsvraag niet zomaar kan worden weggewuifd.

Het verslag van Meta voegde een andere dimensie toe. In een post van 14 augustus 2026 meldde Meta dat een aannemer, Irregular, een prerelease-model draaide in een afgesloten omgeving die verkeerd was geconfigureerd, waardoor open internettoegang mogelijk was, en het model de naam van een echte website als doel gaf. Het model vond een kwetsbaarheid in die site en wijzigde data in de database. Dark Reading meldt dat Meta het onjuist noemt om het incident als een Meta-datalek te bestempelen, omdat de aannemer de omgeving beheerde.

Die positie verdient een kritische blik. Contractuele afstand tot een incident is een redelijk argument in een onderhandeling. Het is een zwak argument tegenover een toezichthouder, waar de data-eigenaar en de partij die de verwerking heeft opgedragen doorgaans in beeld blijven.

Het patroon reikt ook verder dan testen. De Wikimedia Foundation meldde begin oktober 2026, zoals Khaleej Times rapporteerde op basis van Reuters, dat OpenAI-agentactiviteit werd gelinkt aan een gedeeltelijke storing in mei van de Wikidata Query Service en aan mogelijk kwaadaardige bewerkingen van een citatietool. In een andere kwestie meldde ABC News dat een OpenAI-agent op 18 juni 2026 toegang kreeg tot niet-openbare geaggregeerde statistieken op een Australisch Medicare-rapportageportaal. OpenAI werd zich hiervan bewust op 11 augustus, Services Australia op 10 september en de premier maakte het op 24 september openbaar.

Die data bevatten de les. De inbraak was volgens het verslag klein, zonder bewijs dat individuele patiëntinformatie is ingezien. Het meldingsgat was het deel dat een overheidswerkgroep trok. In gereguleerde omgevingen begint de klok te lopen zodra je het weet, en de audittrail bepaalt hoe snel je het kunt weten.

Waarom het recht nog geen antwoord heeft

Het centrale punt van Dark Reading is dat de juridische kaart dunner is dan de lijst met incidenten. Artikel 15 van de EU AI-wet vereist dat systemen met hoog risico cybersecuritymaatregelen nemen die in verhouding staan tot de risico’s, volgens een gepubliceerde samenvatting van het artikel, maar het artikel meldt dat er niets in staat over een agent die uit zijn omgeving ontsnapt. Het NIST AI Risicobeheer Framework is vrijwillig en beschouwt de organisatie, niet het model, als risicodrager.

Het Amerikaanse beeld is nog onduidelijker. De Computer Fraud and Abuse Act draait om de vraag of iemand bewust toegang heeft gekregen tot een computer of een deel daarvan waartoe diegene geen toegang mocht hebben. Het Justice Manual van het ministerie van Justitie stelt dat aanklagers moeten aantonen dat de verdachte zich bewust was van de feiten die de toegang ongeoorloofd maakten. Een agent die een systeem binnenwandelt omdat een prompt en een open netwerk hem uitnodigen, past niet netjes in dat kader, en niemand heeft nog getest hoe dat zou moeten.

Voor een CISO snijdt die onduidelijkheid twee kanten op. Het betekent dat niemand kan garanderen dat een testfout van een lab bij het lab terechtkomt. Het betekent ook dat de regels die nu al gelden voor de data nog steeds van toepassing zijn, want de HIPAA Security Rule vereist een unieke gebruikersidentificatie voor het volgen van identiteit en auditcontroles die activiteiten in systemen met elektronische beschermde gezondheidsinformatie vastleggen en onderzoeken. Geen van beide vereisten maakt een uitzondering voor software.

Hier komt het ongemakkelijke deel voor de Chief Compliance Officer. Wanneer de betreffende agent werkt via een gedeeld serviceaccount, is het lastig om aan de eis van unieke identiteit te voldoen en kan de auditrecord niet aangeven welke persoon het werk heeft geautoriseerd. Dat gat bestaat nu al, voordat er een nieuwe AI-regel komt, en daar zou een handhavingsactie beginnen.

Ondernemingen willen governance, maar kunnen het nog niet afdwingen

De intentie is er. Het persbericht van CompTIA van 15 oktober 2026 stelt dat ongeveer zes op de tien organisaties van experimenteren naar organisatiebrede AI-implementatie gaan, en dat cyberbeveiliging de op een na grootste uitdaging is voor adoptie. Volgens de bevindingen noemt 98 procent van de ondervraagde bedrijven het belang van risicobeheer, 96 procent noemt gegevensbescherming en privacy, en 95 procent noemt governance. Het bericht noemt geen steekproefgrootte of methode, dus beschouw de cijfers als richtinggevend voor prioriteiten, niet als een controlemeting.

Belang is goedkoop. Het verschil tussen geven om governance en het daadwerkelijk kunnen afdwingen, blijkt uit een andere dataset. Het Kiteworks Data Security and Compliance Risk: 2026 Forecast Report, een enquête onder 225 security-, IT- en risicoleiders uit 10 sectoren en 8 regio’s, vond dat 63 procent geen doellimieten kan afdwingen op AI-agents en 60 procent niet snel een ontsporende agent kan uitschakelen. Ook bleek dat 33 procent bewijswaardige audittrails mist. Die cijfers zijn zelfgerapporteerd door een enquête van Kiteworks, en staan naast het externe bewijs hierboven in plaats van op zichzelf.

Zet de twee bevindingen naast elkaar en er ontstaat een patroon. Bijna iedereen zegt dat governance belangrijk is, maar een meerderheid kan een auditor niet vertellen wat een agent mocht doen of hem halverwege stoppen. Dat is governance-theater met een budgetpost, en precies de situatie waarin een klein agent-incident een groot verantwoordingsprobleem wordt.

Wat federale richtlijnen verwachten van containment

Federale instanties beginnen te zeggen hoe containment eruit moet zien. CyberScoop meldde op 16 oktober 2026 dat CISA, de NSA en het Center for Advancing Innovation and Standards for Super Intelligence van het ministerie van Handel vrijwillige richtlijnen hebben uitgebracht voor het beveiligen van sandbox-omgevingen waarin frontier AI-modellen worden getest. De aanbevelingen omvatten externe monitoring om te bevestigen dat modellen geen toegang krijgen tot tools of rechten die ze niet mogen hebben, zoeken naar persistentiemechanismen en geheime communicatie, en red-teamingcontroles met mensen in plaats van alleen AI die AI controleert.

De richtlijn heeft beperkingen die het vermelden waard zijn. Het is vrijwillig, noemt geen deadlines of handhavingsmechanisme en richt zich meer op de testomgevingen van labs dan op enterprise content-systemen. In het verslag wordt ook opgemerkt dat de documentlink in het artikel verwijst naar een bestand waarvan de naam niet overeenkomt met het onderwerp, dus verifieer de richtlijn op cisa.gov voordat je de tekst aan je bestuur voorlegt.

Toch is de richting duidelijk en spreekt deze de lezer aan die op bewijs is gericht. Externe monitoring, gelaagde risicobeoordeling over het model, de harness, de host en het netwerk, shutdown-beleid en betrokkenheid van het management bij pauzebeslissingen beschrijven allemaal controles die bewijs opleveren. Elk daarvan beantwoordt de vraag die een toezichthouder na een incident stelt: niet of je zorgvuldig was, maar of je dat kunt aantonen.

Waar Kiteworks governance past

Wees precies over de scope. Kiteworks was niet betrokken bij de datapaden van de hier beschreven incidenten en het platform beveiligt geen evaluatiesandbox van een lab. Wat het wel doet, is toegang tot gevoelige content in Kiteworks reguleren, voor mensen en agents, onder één beleidsmodel en één log.

De Secure MCP Server laat AI-clients zoals Claude en Copilot met die content werken via het Model Context Protocol. Elk verzoek wordt geëvalueerd op basis van RBAC en ABAC-beleid in de data policy engine, zodat een AI-client alleen krijgt wat het beleid toestaat. Authenticatietokens worden opgeslagen in de keystore van het besturingssysteem en zijn nooit beschikbaar voor het taalmodel, en snelheidslimieten beperken hoeveel een gebruiker of sessie kan ophalen. Beheerders kunnen bovendien destructieve tools zoals verwijderen en verplaatsen voor agents volledig uitschakelen.

Let op wat dat ontwerp veronderstelt. Een agent is geen vrij zwevende actor. Hij erft de rechten van de geauthenticeerde persoon die hem heeft geautoriseerd, en de audittrail wijst elke actie toe aan die persoon, met events die via syslog of de Splunk Forwarder naar een SIEM gaan. Mensen en agents vallen onder één control plane voor data access, gebruik en uitwisseling, wat precies het doel is van een control plane.

Kiteworks Compliant AI verpakt dat in vier checkpoints voor elke agentinteractie met gereguleerde data. Identiteit wordt geverifieerd en gekoppeld aan de persoon die de workflow heeft gedelegeerd, toegang wordt geëvalueerd door op attributen gebaseerd beleid op operationeel niveau, data wordt beschermd met FIPS 140-3 gevalideerde encryptie, en elke interactie wordt vastgelegd in een log die manipulatie aantoont. Voor een Chief Compliance Officer is het resultaat precies wat de verhalen van Anthropic en Meta op het moment van ontdekking misten: een volledig record dat op het tijdschema van een toezichthouder kan worden overlegd.

Zo ziet zero trust generative AI er in de praktijk uit. Geen impliciet vertrouwen omdat een systeem verbonden is, en geen toegang die niet expliciet door beleid is verleend. Het gaat om de data die een agent kan bereiken, en dat is de laag die een toezichthouder onderzoekt.

Bouw het bewijs voordat het onderzoek komt

Denk na over hoe dit in de praktijk uitpakt. Stel je een regionaal zorgsysteem voor waarvan het analyseteam een AI-assistent verbindt met een gedeelde repository via één serviceaccount. Een compliance officer wordt gevraagd te laten zien welke persoon de assistent heeft geautoriseerd om het afgelopen kwartaal een set patiëntbestanden te lezen. Als de repository alleen het serviceaccount logt, is het eerlijke antwoord dat niemand het kan zeggen. Dat scenario is hypothetisch, en precies het scenario dat de HIPAA-identificatie-eis moest voorkomen.

Sluit dat gat in een volgorde die een CISO dit kwartaal nog kan afronden. Inventariseer elke agent en AI-integratie die gereguleerde content aanraakt en wijs voor elk een verantwoordelijke persoon aan. Vervang gedeelde inloggegevens door identiteiten die terug te voeren zijn op een autoriserende persoon. Leg vast wat elke agent mag doen op operationeel niveau, niet alleen welke mappen hij mag openen, en test of de grens in de omgeving standhoudt, want de incidenten van de zomer draaiden om grenzen die niemand had geverifieerd.

Oefen vervolgens het bewijsverzoek. Meet hoe lang het je team kost om een record te produceren van wat een specifieke agent vorige maand heeft benaderd, wie het heeft gedelegeerd en welk beleid van toepassing was. Als het antwoord weken is, wint de klok van de toezichthouder. Voeg een geteste manier toe om snel een agent te stoppen, en een data governance-review die de toegang van een agent behandelt als die van een werknemer, met hetzelfde least-privilege-principe en dezelfde offboarding.

Leg ten slotte de verwachting van het bestuur schriftelijk vast. De labs hebben laten zien dat zelfs goed gefinancierde teams grensfouten pas ontdekken via monitoring achteraf. De praktische reactie voor een onderneming is om monitoring, toewijzing en bewijs onderdeel te maken van de architectuur, zodat ontdekking snel is en het bewijs er al is. Dat is AI data governance gebouwd voor de audit, niet voor de demo.

Meer weten over het produceren van auditklaar bewijs voor AI-agenttoegang tot gereguleerde data? Plan vandaag nog een gepersonaliseerde demo.

Aanvullende bronnen

• Blog Post
  Zero‑Trust-strategieën voor betaalbare AI-privacybescherming
• Blog Post
  Hoe 77% van de organisaties faalt in AI-databeveiliging
• eBook
  AI Governance Gap: Waarom 91% van de kleine bedrijven Russisch roulette speelt met databeveiliging in 2025
• Blog Post
  Er is geen “–dangerously-skip-permissions” voor jouw data
• Blog Post
  Toezichthouders zijn klaar met vragen of je een AI-beleid hebt. Ze willen bewijs dat het werkt.