Wie bewaakt de agent die uw andere agents bewaakt?

Maar daarmee ontstaat een nieuwe controlevraag: welke bevoegdheden heeft die bewakende agent, en wie controleert zijn beslissingen?

Microsoft kondigt dynamisch toezicht aan

Op 19 oktober 2026 kondigde Microsoft een uitbreiding van Project Perception aan. Daarbij beschrijft het bedrijf Guardian Agents, dynamische bevoegdheden en toegangscontrole die reageert op veranderingen in het risico van een agent.

Het uitgangspunt: een agent kan met passende rechten beginnen, maar tijdens de uitvoering toch risicovol gedrag vertonen. Bijvoorbeeld doordat een extern document misleidende instructies bevat.

Microsoft beschrijft verschillende mogelijke reacties. Een systeem kan schrijfrechten intrekken, toegang tot bepaalde gegevens beperken, menselijke goedkeuring verlangen of de uitvoering stoppen. Soms kan veilig leeswerk doorgaan.

Dit is een leveranciersaankondiging. Uit de geraadpleegde berichten blijkt niet dat alle aangekondigde onderdelen voor iedere organisatie algemeen beschikbaar zijn. De aankondiging is ook geen nieuwe wettelijke verplichting.

Voor organisaties is vooral de onderliggende vraag relevant: kunnen bevoegdheden tijdens een taak daadwerkelijk worden beperkt?

Toestemming bij de start is niet voldoende

Stel: een agent mag facturen controleren en betalingen voorbereiden. Betalen vereist goedkeuring van een medewerker.

Tijdens het verwerken van een factuur krijgt de agent de instructie om een rekeningnummer te wijzigen. Die instructie staat in het document, maar komt niet van een bevoegde medewerker.

Op dat moment moet duidelijk zijn wat het systeem doet. Wordt de wijziging geblokkeerd? Vervalt de mogelijkheid om een betaling klaar te zetten? Krijgt iemand een melding? En wat gebeurt er met een opdracht die al bij de betaaldienst staat?

Een waarschuwing achteraf is iets anders dan een blokkade vóór uitvoering.

Een bewakende agent heeft zelf grenzen nodig

Een toezichthoudende agent kan meldingen onderzoeken en maatregelen voorstellen of uitvoeren. Daarvoor heeft hij eigen bevoegdheden nodig.

Die bevoegdheden moeten worden begrensd. Mag deze agent alleen signaleren, ook toegang intrekken of zelfstandig een proces stilleggen? Kan hij daarna zelf besluiten om alles weer vrij te geven?

Leg daarom vast:

• welke handelingen de bewakende agent mag uitvoeren;
• welke maatregelen vooraf door mensen zijn toegestaan;
• wanneer menselijke beoordeling nodig is;
• wie zijn instellingen en rechten mag wijzigen;
• hoe zijn eigen acties worden vastgelegd.

De uitvoerende agent moet zijn toezicht, blokkades of controlelogboeken niet zelf kunnen uitschakelen of aanpassen. Ook de bewakende agent hoort binnen grenzen te werken die hij niet zelfstandig kan verruimen. Dat geldt ook voor agents die tijdens een opdracht worden aangemaakt.

Stoppen en herstellen zijn afzonderlijke beslissingen

Een blokkade is pas bruikbaar als duidelijk is wat er precies wordt tegengehouden.

Alleen de agent afsluiten kan onvoldoende zijn wanneer een betaalopdracht al is doorgegeven. Afhankelijk van de inrichting moeten ook actieve toegang, lopende opdrachten en gekoppelde diensten worden meegenomen. Zie ook de kill switch voor AI-agents.

Herstel verdient een eigen afspraak. Wie beoordeelt de aanleiding? Welke controle is nodig voordat rechten terugkomen? Mogen eerder geblokkeerde opdrachten alsnog worden uitgevoerd, of moeten ze opnieuw worden beoordeeld?

Voorkom dat een tijdelijke blokkade ongemerkt verdwijnt zodra een melding is gesloten.

Wat hoort in het Control Framework?

Koppel risicosignalen aan concrete maatregelen en verantwoordelijkheden. Leg per relevant scenario vast:

• Aanleiding: welk signaal vraagt om ingrijpen?
• Maatregel: welke handeling of toegang wordt beperkt?
• Afdwinging: welk systeem voert de beperking uit?
• Beslisser: wie mag de maatregel nemen en opheffen?
• Bewijs: waar staan de aanleiding, beslissing en het resultaat vastgelegd?
• Herstel: onder welke voorwaarden mag de agent verder?

Een afspraak op papier, een ingestelde controle en een aantoonbaar werkende blokkade zijn verschillende dingen. Een grens die alleen in een instructie aan de agent staat, geldt niet als technisch afgedwongen.

Eén vraag voor uw leverancier

“Als deze agent tijdens zijn taak risicovol gedrag vertoont: kunt u dan laten zien welke rechten worden ingetrokken, wat er met lopende opdrachten gebeurt en wie de toegang mag herstellen?”

Vraag daarbij welk bewijs beschikbaar is. Een productnaam of dashboard laat op zichzelf niet zien dat de controle in uw eigen proces werkt.

Van beveiligingsfunctie naar bestuurlijke afspraak

Nieuwe beveiligingsfuncties kunnen organisaties helpen sneller in te grijpen. De organisatie moet zelf blijven bepalen welke risico’s aanleiding geven tot ingrijpen, wie daarover beslist en welk bewijs nodig is om verantwoord verder te gaan.

De praktische les voor uw governance: beoordeel zowel de uitvoerende agent als het systeem dat hem bewaakt.