AI-agenten krijgen toegang tot data zonder goedkeuring – Drie nieuwe onderzoeksresultaten bevestigen het governance-tekort

Drie onafhankelijke onderzoeksinspanningen, gepubliceerd binnen enkele dagen van elkaar in de zomer van 2026, kwamen vanuit drie verschillende invalshoeken tot dezelfde ongemakkelijke conclusie: de meeste organisaties kunnen niet aangeven waar hun AI-agenten toegang toe hebben, wie die toegang heeft goedgekeurd, of hoe ze die toegang kunnen intrekken als er iets misgaat.

Ik lees jaarlijks veel van dit soort enquêtes, en de meeste meten dezelfde algemene onrust in net iets andere bewoordingen. Wat deze drie onderzoeken bijzonder maakt, is dat de cijfers daadwerkelijk met elkaar overeenkomen. 1Password ondervroeg 1.000 security- en engineeringprofessionals bij grote Amerikaanse bedrijven en ontdekte dat agenten routinematig toegang krijgen tot data die niemand heeft goedgekeurd. Okta ondervroeg 306 security executives wereldwijd voor het Global CISO Insights 2026-rapport en stelde vast dat minder dan de helft ervan overtuigd is dat ze überhaupt elke AI-agent in hun omgeving kunnen identificeren, laat staan kunnen controleren wat deze doet. En het Kiteworks 2026 Data Security and Compliance Risk: Annual Survey Report, gebaseerd op primair onderzoek onder 459 security- en complianceleiders, kwantificeerde dezelfde kloof met gemeten controletechnieken in plaats van zelfgerapporteerd vertrouwen — en vond deze kloof minstens zo groot, zo niet groter.

Individueel gelezen vertelt elk rapport een overtuigend verhaal. Gezamenlijk vormen ze eerder een branche-benchmark: AI-agenttoegang loopt vrijwel overal voor op AI-agentbeheer, en de organisaties die agenten in productie draaien, zijn meestal als laatste op de hoogte van hoe ver die toegang daadwerkelijk reikt. In deze post bespreken we de bevindingen uit elk onderzoek, waar de drie samenkomen, en wat een governance-model voor zowel menselijke als agent-identiteiten daadwerkelijk vereist.

Belangrijkste bevindingen

• Agenten hebben nu al meer toegang dan wie dan ook heeft goedgekeurd. 1Password ontdekte dat ongeveer vier op de tien organisaties AI-agenten hebben die toegang hebben tot data buiten hun goedkeuringsbereik, en dat agenten gezamenlijk ongeveer twee keer zoveel data aanraken als officieel is goedgekeurd.
• CISO’s missen zicht op hun governance-verantwoordelijkheid. Okta’s wereldwijde enquête liet zien dat minder dan de helft van de security executives vertrouwen heeft in hun vermogen om elke AI-agent in hun omgeving te identificeren, te controleren wat deze agenten kunnen benaderen, of te bepalen wat ze daadwerkelijk mogen doen.
• Kiteworks’ gemeten data bevestigt de kloof onafhankelijk. Het Kiteworks 2026 Data Security and Compliance Risk: Annual Survey Report vond een AI Governance Maturity Score van 35 op 100 bij 459 organisaties — wat betekent dat de gemiddelde organisatie ongeveer 7 van de 19 gemeten AI-governance-capaciteiten heeft geïmplementeerd.
• Purpose binding en kill switches zijn het minst uitgerold. Slechts 26% van de organisaties beperkt AI-agenten tot geautoriseerde taken en datascope, en slechts 21% kan automatisch de toegang van een ontsporende agent beëindigen.
• Verantwoordelijkheid blijft onopgelost, zelfs waar technologie bestaat. 1Password vond dat 65% van de respondenten vindt dat een ander verantwoordelijk zou moeten zijn wanneer een agent schade veroorzaakt dan nu het geval is — terwijl governance die deze verantwoordelijkheid op toegangscontrole-niveau kan toewijzen zeldzaam blijft.

De realiteit voor ontwikkelaars: agenten hebben nu al meer toegang dan goedgekeurd

Begin bij de mensen die deze systemen dagelijks bouwen en beheren. De enquête van 1Password, uitgevoerd eind mei en begin juni 2026 onder 1.000 security- en engineeringmedewerkers bij grote Amerikaanse bedrijven, schetst een omgeving waarin AI-agenten sneller van pilot naar productie zijn gegaan dan de toegangscontroles die hen zouden moeten beperken.

Zesenveertig procent van de ontwikkelaars geeft aan nu AI-agenten in productie te draaien. Dat is op zich niet verrassend — de adoptie van agentic AI is het hele jaar versneld. Wat opvalt is wat er gebeurt zodra die agenten live zijn: 71% van de ontwikkelaars zegt dat hun agenten toegang hebben tot gevoelige informatie, en bij ongeveer vier op de tien organisaties krijgen agenten toegang tot data buiten wat voor hen was goedgekeurd. Over de volledige onderzoekspopulatie genomen, raakten agenten gezamenlijk ongeveer twee keer zoveel data als officieel was goedgekeurd. Dat is geen afrondingsfout in een toegangscontrolebeleid. Het is een structurele kloof tussen de dataclassificatie waarvan een organisatie denkt dat die is afgedwongen en wat agenten technisch daadwerkelijk kunnen bereiken. Organisaties die PII, PHI of andere gereguleerde datacategorieën verwerken, lopen een extra risico: een bevestigd datalek dat te herleiden is naar een agent die buiten zijn goedgekeurde scope data benadert, leidt tot dezelfde meldings- en herstelverplichtingen als een door een mens veroorzaakt lek, met als extra complexiteit dat de beslisketen van de agent vaak moeilijker te reconstrueren is dan die van een menselijke actor.

Het persistentieprobleem versterkt dit nog verder. Veertig procent van de ontwikkelaars zegt dat ze agenten blijvende toegang geven tot systemen en geheimen die actief blijft nadat de taak waarvoor die toegang nodig was, is afgerond. In een goed beheerde omgeving zou de toegang van een agent moeten verlopen met de taak — net zoals een badge van een externe medewerker wordt gedeactiveerd als de opdracht eindigt. In plaats daarvan blijven agenten vaak onbeperkt over inloggegevens beschikken, waardoor de impact van een enkele gecompromitteerde agent, prompt injection of verkeerd ingestelde toolintegratie groter wordt. Dataminimalisatie op agenttoegangs-niveau — waarbij elke agent alleen toegang krijgt tot de specifieke databronnen die voor de huidige taak nodig zijn, met automatische intrekking na afloop — is het operationele mechanisme dat het persistentieprobleem, door 1Password gemeten bij 40% van de ontwikkelaars, oplost.

Dat laatste risico is ook niet theoretisch. Zevenenveertig procent van de ontwikkelaars meldde dat een agent een onbedoelde actie uitvoerde na het volgen van instructies die verborgen waren in een webpagina, document, e-mail of tooloutput — het agent-equivalent van een phishingklik, behalve dat de agent niet aarzelt om de instructie te volgen zoals een getrainde medewerker dat wel zou doen. En 33% van de ontwikkelaars die met agenten werken, gaf aan dat hun organisatie een datalek of beveiligingsincident heeft meegemaakt dat specifiek te herleiden was tot overgeprivilegieerde niet-menselijke identiteiten.

Misschien is de meest onthullende bevinding uit de hele enquête niet de toegang, maar de verantwoordelijkheid. Op de vraag wie verantwoordelijk zou moeten zijn als een agent schade veroorzaakt, zei 65% van de respondenten dat iemand anders dan de persoon die nu verantwoordelijk wordt gehouden die verantwoordelijkheid zou moeten dragen. Slechts 5% vond dat de agent zelf verantwoordelijk zou moeten zijn. Met andere woorden, de mensen die het dichtst bij deze systemen staan, weten al dat het huidige eigenaarsmodel niet overeenkomt met de realiteit; ze zijn het alleen nog niet eens over waar de verantwoordelijkheid zou moeten liggen. Die kloof tussen waar de verantwoordelijkheid nu ligt en waar professionals vinden dat die zou moeten liggen, is volgens mij de echte kern van de 1Password-data — belangrijker dan de toegangsstatistieken zelf, omdat geen enkele extra tool die kloof op zichzelf oplost. Toegangscontroles, gelogd en herleidbaar tot een specifiek beleid en een specifieke goedkeurder, geven een organisatie in elk geval het bewijs om dat verantwoordingsgesprek te voeren op basis van feiten in plaats van aannames. Een gedocumenteerd incident response plan dat agent-incidentverantwoordelijkheid vooraf toewijst — wie een prompt injection onderzoekt, wie de credentials van de agent intrekt, wie de datascope voor meldingsdoeleinden beoordeelt — zet de verantwoordingsonduidelijkheid die 1Password documenteerde om in een geoefende, vooraf bepaalde responssequentie.

Het perspectief vanuit de bestuurskamer: CISO’s missen zicht op hun governance-taak

Ga een niveau omhoog, van de mensen die agenten bouwen naar de bestuurders die verantwoordelijk zijn voor het risico dat deze agenten creëren, en het beeld wordt niet beter — het verandert alleen van vorm.

Het Global CISO Insights 2026-rapport van Okta ondervroeg 306 security executives wereldwijd en ontdekte dat 81% zich zorgen maakt over te ruime AI-toegang. Dat is een duidelijke meerderheid die zich zorgen maakt. Wat nog opvallender is, is hoe weinig van hen zich in staat voelen om daar daadwerkelijk iets aan te doen: slechts 47% heeft er vertrouwen in dat ze elke AI-agent in hun omgeving kunnen identificeren, slechts 46% denkt te kunnen controleren wat deze agenten kunnen benaderen, en slechts 45% denkt te kunnen bepalen wat een individuele agent daadwerkelijk mag doen. Minder dan de helft, op elk onderdeel van basis operationele zichtbaarheid. Het CISO Dashboard biedt het realtime overzicht van alle door AI-gemedieerde data-accessevenementen die dit operationele blinde vlek opheft — en geeft security executives het uniforme, continu bijgewerkte overzicht van agenten dat Okta als ontbrekend identificeert bij meer dan de helft van de ondervraagde organisaties.

Tegen die achtergrond is het niet verrassend dat AI-gerelateerde dreigingen de lijst aanvoeren van zaken waar deze bestuurders wakker van liggen: AI-gestuurde phishing (61%), kwaadaardige AI-agenten (49%) en deepfake-gebaseerde authenticatiebypass (54%) behoren allemaal tot de grootste zorgen. Dit zijn geen abstracte, toekomstige risico’s in de hoofden van mensen die verantwoordelijk zijn voor enterprise security. Het zijn actuele, operationele zorgen — en het zichtbaarheidstekort dat Okta meet, maakt ze juist moeilijker te detecteren en te beheersen.

Het rapport laat ook een governance-cultuurprobleem zien onder het technische probleem. Slechts 31% van de securityleiders wereldwijd — en slechts 12% in de Verenigde Staten — zegt volledig op één lijn te zitten met hun C-suite en bestuur over het niveau van AI-risico dat de organisatie bereid is te accepteren. Die kloof zit volledig boven de tech stack. De mensen die het AI-risicoprofiel bepalen en de mensen die de security controls uitvoeren, werken in de meeste organisaties met twee verschillende definities van acceptabel risico, en niemand heeft die nog op elkaar afgestemd. Een formele risicobeoordeling die AI-agent data-accessexposure in zakelijke termen kwantificeert — in kaart brengen welke gereguleerde datacategorieën elke agent kan bereiken, onder welke toegangsvoorwaarden, met welke intrekkingsmogelijkheden — biedt securityleiders de feitelijke basis om de bestuursafstemmingskloof die Okta documenteerde te dichten.

De operationele details die Okta vond, sluiten nauw aan bij wat 1Password aan de ontwikkelaarskant vond. Slechts één op de vier organisaties past hetzelfde identity-lifecyclebeleid toe op AI-agenten als op menselijke gebruikers — wat betekent dat drie op de vier dat niet doen, en agentidentiteiten via een apart, waarschijnlijk minder streng proces beheren. Eenentwintig procent vertrouwt op gedeelde credentials of service-accounts met brede rechten voor hun agenten, precies het patroon waardoor één gecompromitteerde agent een groot bereik krijgt over alles waar die inloggegevens toegang toe geven. En 20% laat het beheer van agenten over aan individuele teams op ad-hocbasis, zonder consistent organisatiebreed beleid voor het toekennen, beoordelen of intrekken van agenttoegang. Risicobeheer toeleveringsketen-programma’s die deze governancekloof doortrekken naar AI-agenten die door externe leveranciers zijn geïmplementeerd — dus niet alleen de agenten die organisaties zelf inzetten — sluiten het identity surface van de toeleveringsketen dat door het ad-hocbeheer ontstaat.

Kiteworks’ eigen data bevestigt het — met gemeten controles, niet met zelfgerapporteerd vertrouwen

Beide bovenstaande enquêtes zijn gebaseerd op zelfgerapporteerde perceptie: hoe zeker voelt een CISO zich, hoe bewust is een ontwikkelaar van wat zijn agent heeft aangeraakt. Dat is waardevolle informatie, maar perceptie en daadwerkelijke implementatie komen niet altijd overeen. Het Kiteworks 2026 Data Security and Compliance Risk: Annual Survey Report is juist opgezet om die kloof te dichten, met binaire, verifieerbare data over control-implementatie, verzameld bij 459 security- en complianceprofessionals bij organisaties met 1.000 of meer medewerkers, verspreid over 10 sectoren en drie wereldregio’s.

De enquête introduceert twee samengestelde maatstaven. De Data Security Maturity Score (DSMS) meet 11 algemene databeveiligingscontroles — encryptie, beheerde bestandsoverdracht, SIEM-integratie, kill switches en andere — en leverde een gemiddelde score op van 39 op 100, wat betekent dat de gemiddelde organisatie minder dan de helft van de gemeten beveiligingscontroles heeft geïmplementeerd. De AI Governance Maturity Score (AIGMS) meet 19 AI-specifieke datagovernance-capaciteiten en leverde een gemiddelde score op van 35 op 100 — ongeveer 7 van de 19 capaciteiten geïmplementeerd. Een derde maatstaf, de Data Security and Compliance Readiness Index (DSCRI), vermenigvuldigt de twee om het compounding effect van zwakke governance bovenop matige beveiliging te vangen: het gemiddelde DSCRI uit de enquête kwam uit op slechts 16,2 op 100.

De gevolgen van die kloof zijn niet theoretisch — ze werden gerapporteerd door respondenten die beschreven wat er in de 12 maanden voorafgaand aan de enquête is gebeurd. Van alle respondenten kreeg 80% te maken met minstens één beveiligingsincident — algemeen of AI-specifiek — in de afgelopen 12 maanden. Drieënzestig procent kreeg te maken met een compliance-gevolg — een auditbevinding, een verplicht herstelplan, een escalatie naar het bestuur, een contractuele boete of een formeel onderzoek door toezichthouders. En 65% ontdekte dat medewerkers ongeautoriseerde AI-tools gebruikten met organisatiedata, een shadow AI-percentage dat nauw aansluit bij de toegangszichtbaarheidskloof die Okta en 1Password elk vanuit hun eigen perspectief maten.

Wat de Kiteworks-data bijzonder waardevol maakt naast de andere twee rapporten, is de gedetailleerdheid over welke controles precies ontbreken — dezelfde controles die de specifieke gaten zouden dichten die 1Password en Okta beschrijven.

Waar de kloof daadwerkelijk zit: purpose binding, kill switches en audittrails

Geen enkele AI-beperkingscontrole die in de Kiteworks-enquête is gemeten, is geïmplementeerd door meer dan 33% van de organisaties. Dat verdient het om helder te worden gesteld: van elk technisch mechanisme dat de enquête mat om te beperken wat een AI-agent kan doen zodra deze live is, heeft geen enkele zelfs maar een derde van de markt bereikt.

Purpose binding — de controle die een AI-agent beperkt tot de specifieke taak en datascope waarvoor deze is geautoriseerd — is geïmplementeerd door slechts 26% van de organisaties, wat betekent dat 74% hun agenten technisch helemaal niet beperkt tot geautoriseerde taken en scopes. Dat is precies de controle die het “agenten bereiken data buiten goedkeuring” patroon dat 1Password mat, zou voorkomen; zonder deze controle wordt de effectieve toegang van een agent alleen begrensd door wat deze technisch kan bereiken, niet door wat ooit door een mens is goedgekeurd. Toegangscontroles op contentniveau — waarbij elk agentverzoek wordt geëvalueerd op basis van gevoeligheid van de content, de rol van de agent en de context van de taak — zijn de technische implementatie van purpose binding die ervoor zorgt dat de geautoriseerde scope een runtime-beperking wordt in plaats van een gedocumenteerde aanname.

AI kill switch-capaciteit — één controlepunt om de toegang van een ontsporende agent tot alle systemen te beëindigen — is geïmplementeerd door slechts 21% van de organisaties, waardoor 79% geen geautomatiseerde manier heeft om een agent af te sluiten als er iets misgaat. Die kloof is direct relevant voor het prompt-injection scenario dat 1Password documenteerde, waarbij 47% van de ontwikkelaars meldde dat een agent een onbedoelde actie uitvoerde na het volgen van verborgen instructies in externe content: het detecteren van de afwijking is slechts de helft van het probleem als er geen snelle, betrouwbare manier is om de toegang in te trekken zodra deze is geïdentificeerd.

Human-in-the-loop review voordat een AI-systeem toegang krijgt tot risicovolle data is geïmplementeerd door 30% van de organisaties. AI-specifieke DLP-beleidsregels die technisch gevoelige data blokkeren voor ongeautoriseerde AI-tools zijn geïmplementeerd door 28%. AI-toegangslogs die worden doorgestuurd naar een SIEM-platform, de minimale vereiste om afwijkend agentgedrag te detecteren, zijn aanwezig bij slechts 33% van de organisaties. Het produceren van een volledige AI-audittrail — het verslag waarmee een organisatie daadwerkelijk de vraag “wat heeft deze agent wanneer aangeraakt” kan beantwoorden — is nog lastiger: slechts 27% kan dit binnen één werkdag, en slechts 17% binnen één uur. De helft van de organisaties kan dat verslag helemaal niet binnen één werkdag produceren.

Al deze cijfers sluiten direct aan bij een kloof die de andere twee enquêtes vanuit een ander perspectief beschreven. Okta’s bevinding dat slechts 46% van de CISO’s vertrouwen heeft in hun vermogen om te controleren wat agenten kunnen benaderen, weerspiegelt Kiteworks’ meting dat slechts 26% van de organisaties purpose binding technisch afdwingt. 1Password’s bevinding dat 40% van de ontwikkelaars blijvende toegang verleent die de taak overleeft, is het praktijkvoorbeeld van het 79%-gat in kill switch-implementatie. Dit zijn geen drie afzonderlijke problemen. Het is dezelfde onderliggende kloof, op drie verschillende manieren gemeten, met dezelfde orde van grootte. Organisaties die onderworpen zijn aan nalevingsverplichtingen — HIPAA, GDPR, CMMC — moeten deze control-implementatiepercentages als sectorbrede benchmark zien: het 26%-cijfer voor purpose binding betekent dat 74% van de vergelijkbare organisaties AI-agenten inzet die door toezichthouders worden beoordeeld onder dezelfde toegangscontrolekaders als menselijke gebruikers, maar zonder de technische controles die deze kaders aantoonbaar maken.

Agenten beheren zoals je mensen al beheert

De reflex van veel organisaties bij het lezen van dit soort data is om AI-agentgovernance te zien als een nieuw, apart vakgebied — een parallelle lijn van beleid, tooling en eigenaarschap, specifiek voor niet-menselijke identiteiten. Ik heb genoeg pitches voor een gloednieuwe “AI governance layer” gehoord om sceptisch te zijn over dat frame, en de data ondersteunen die scepsis: die reflex is begrijpelijk, maar draagt er juist aan bij dat de kloof bestaat. Okta’s bevinding dat slechts één op de vier organisaties hetzelfde identity-lifecyclebeleid toepast op agenten als op menselijke gebruikers, is geen datapunt over agenten die hun eigen regelboek nodig hebben. Het is een datapunt over het feit dat de meeste organisaties het bestaande regelboek nog niet toepassen op agenten.

Alle ontbrekende controles die deze dataset blootlegt — purpose binding, kill switches, audittrails binnen een uur, RBAC en ABAC consistent toegepast, zero trust enforcement op het toegangspunt — zijn controles die volwassen organisaties al toepassen op menselijke gebruikers van gevoelige content. De kloof die 1Password, Okta en Kiteworks elk meten, is niet dat AI-agenten een eigen governance-model missen. Het is dat het governance-model dat al voor mensen bestaat, technisch en consistent nog niet is uitgebreid naar elke identiteit — mens of agent — die gevoelige data aanraakt. Gegevensbeheer-frameworks die AI-agentidentiteiten behandelen als een gereguleerde klasse vanaf de initiële provisioning tot taakafronding en credential-verloop — onderworpen aan hetzelfde lifecyclebeleid als menselijke accounts — dichten het identity-lifecycle-gat dat Okta mat bij drie op de vier organisaties.

Dit is het uitgangspunt achter het Kiteworks Control Plane: één gereguleerde omgeving waarin elk toegangsverzoek, of het nu afkomstig is van een persoon, een applicatie of een AI-agent, wordt geëvalueerd op basis van hetzelfde op attributen gebaseerde toegangscontrolebeleid, gelogd in dezelfde audittrail en onderworpen aan hetzelfde intrekkingsmechanisme. Wanneer een AI-agent verbinding maakt via de Secure MCP Server, wordt de toegang tot gereguleerde content per verzoek bepaald, niet blijvend verleend en open gelaten na afloop van de taak — waarmee direct het persistentiepatroon wordt aangepakt dat 1Password mat bij 40% van de ontwikkelaars. Kiteworks Compliant AI dwingt purpose binding en dataminimalisatie af op beleidsniveau, zodat het effectieve bereik van een agent overeenkomt met wat daadwerkelijk is goedgekeurd in plaats van met wat technisch mogelijk is — precies de controle die ontbreekt bij 74% van de organisaties in de Kiteworks-enquête.

Dit alles vervangt de identity and access management stack die een organisatie al gebruikt niet, en lost ook de verantwoordingsvraag die door 1Password’s respondenten als onopgelost werd aangemerkt niet op — dat is een organisatorische, geen technische beslissing. Wat een gereguleerde, beveiligde data-uitwisselingslaag wel biedt, is het bewijs: één enkel, herleidbaar, controleerbaar verslag van wat elke identiteit, mens of agent, daadwerkelijk met gevoelige content heeft gedaan, geproduceerd in minuten in plaats van opgevraagd en een week later geleverd. Dat verslag maakt het ook mogelijk om eindelijk Okta’s bestuursafstemmingsvraag met data in plaats van schattingen te beantwoorden — omdat het risico dat het bestuur goedkeurt en de daadwerkelijk verleende toegang voor het eerst in dezelfde termen kunnen worden beschreven. Het CISO Dashboard toont dit uniforme agent-en-mens toegangsverslag realtime, waardoor securityleiders het continu bijgewerkte dataprofiel krijgen dat het bestuursgesprek baseert op actuele feiten in plaats van achterhaalde enquête-inschattingen.

Meer weten over het beheren van AI-agent data-toegang met dezelfde grondigheid als je organisatie nu al toepast op menselijke gebruikers? Plan vandaag nog een gepersonaliseerde demo.

Aanvullende bronnen

• Blog Post
  Zero‑Trust strategieën voor betaalbare AI-privacybescherming
• Blog Post
  Hoe 77% van de organisaties faalt in AI-databeveiliging
• eBook
  AI Governance Gap: Waarom 91% van de kleine bedrijven Russisch roulette speelt met databeveiliging in 2025
• Blog Post
  Er bestaat geen “–dangerously-skip-permissions” voor jouw data
• Blog Post
  Toezichthouders zijn klaar met vragen of je een AI-beleid hebt. Ze willen bewijs dat het werkt.