AI-tools die u een vraag stelt, kent iedereen inmiddels. Maar de volgende fase is al begonnen: AI-agents die zelfstandig handelen. Ze zoeken informatie op, sturen e-mails, plannen vergaderingen, roepen API's aan en voeren processen uit, zonder dat een mens elke stap bevestigt.
Voor HR- en compliance-professionals is dat een nieuw vraagstuk: wie is verantwoordelijk als een agent een fout maakt? Wat mag een agent wel en niet doen met persoonsgegevens? En wat verwacht de EU AI Act van u?
Wat is een AI-agent precies?
Een AI-agent is een systeem dat een doel krijgt en zelfstandig stappen zet om dat doel te bereiken. Het verschil met een gewone chatbot: de agent handelt, niet alleen antwoordt.
- Een recruitment-agent screent cv's, stuurt afwijzingen en plant interviews in.
- Een finance-agent verzamelt facturen, controleert op afwijkingen en stuurt herinneringen.
- Een klantenservice-agent lost klachten op, past bestellingen aan en escaleert complexe gevallen.
Waarom dit nu urgent is
Tot voor kort waren AI-agents een laboratoriumconcept. Dat is voorbij. Platformen als Microsoft Copilot, Salesforce Agentforce en tientallen SaaS-tools bieden agents al standaard aan. Medewerkers activeren ze soms zonder dat IT of compliance het weet.
- Gartner voorspelt dat in 2028 meer dan 33% van de zakelijke software agents bevat.
- Uit onderzoek van Salesforce blijkt dat 82% van de IT-leiders al pilot-agents draait of er actief mee experimenteert.
- De EU AI Act (van kracht vanaf 2026) legt expliciet verantwoordelijkheid bij organisaties die AI-systemen inzetten die autonome beslissingen nemen.
De drie grootste risico's van onbeheerde agents
Zonder governance op agents loopt u drie concrete risico's.
- Datarisico: agents hebben vaak brede toegangsrechten. Een agent die e-mails mag lezen, leest alles, ook vertrouwelijke hr-dossiers of financiële data.
- Aansprakelijkheidsrisico: als een agent een foutieve beslissing neemt (een sollicitant afwijzen op basis van bias, een klant onjuiste informatie sturen), wie is er dan verantwoordelijk? Zonder logging en menselijk toezicht is dat niet te bewijzen.
- Compliancerisico: de EU AI Act classificeert sommige agents als hoog-risico systeem. Denk aan agents die betrokken zijn bij werving, beoordeling of kredietverlening. Voor die systemen gelden zware eisen op het gebied van transparantie, menselijk toezicht en documentatie.
Wat de EU AI Act zegt over autonome systemen
Artikel 9 van de EU AI Act verplicht aanbieders en gebruikers van hoog-risico AI-systemen tot een robuust risicobeheerssysteem. Voor agents die betrokken zijn bij HR-processen, kredietbeoordeling of essentiële dienstverlening betekent dit concreet:
- Menselijk toezicht: er moet altijd een mens zijn die kan ingrijpen of een beslissing kan terugdraaien.
- Logging: elke actie van de agent moet traceerbaar zijn.
- Transparantie: betrokkenen (zoals sollicitanten) hebben het recht te weten dat een AI-systeem een rol speelt in een beslissing over hen.
- Nauwkeurigheid en robuustheid: het systeem moet aantoonbaar correct functioneren en fouten minimaliseren.
Praktisch: zo regelt u agentische AI verantwoord
U hoeft agents niet te verbieden. Maar u moet ze beheren. Hier zijn vijf concrete stappen.
- 1. Inventariseer welke agents al actief zijn. Vraag IT een overzicht van geactiveerde AI-features in bestaande tools (Microsoft, Salesforce, HubSpot, etc.).
- 2. Classificeer per agent: wat doet het systeem en welke data raakt het? Hoog-risico toepassingen (HR, financieel, juridisch) hebben extra aandacht nodig.
- 3. Definieer toegangsrechten. Geef agents minimale rechten: alleen toegang tot wat nodig is voor de specifieke taak.
- 4. Bouw menselijke controlepunten in. Stel drempelwaarden in: welke beslissingen mag een agent zelfstandig nemen en welke moeten door een mens worden goedgekeurd?
- 5. Leg alles vast. Documenteer welke agents u gebruikt, waarvoor, met welke rechten en hoe toezicht is geregeld. Dit is uw bewijslast richting toezichthouders.
De rol van AI-geletterdheid bij agentische AI
Medewerkers die agents inzetten zonder training zijn het grootste risico. Ze geven agents te ruime instructies, koppelen verkeerde databronnen aan of vertrouwen blind op de output zonder te controleren.
Training moet specifiek ingaan op agents: hoe werken ze, wat kunnen ze fout doen en wanneer moet u handmatig ingrijpen?
- Begrijp de instructies (prompts) die u aan een agent geeft: vaag = onvoorspelbaar resultaat.
- Controleer altijd kritieke outputs: een agent die een contract opstelt, heeft een menselijke eindcheck nodig.
- Weet wanneer u escaleert: als een agent zich onverwacht gedraagt, stop het proces en meld het bij IT of compliance.
Conclusie: agent-governance is geen luxe, maar een vereiste
Agentische AI is krachtig en productief, maar alleen als u de randvoorwaarden op orde heeft. Dat betekent: weten welke agents u gebruikt, begrijpen wat ze kunnen, toegangsrechten beperken en menselijk toezicht borgen.
De EU AI Act maakt dit niet optioneel voor hoog-risico toepassingen. En ook buiten die categorie geldt: een agent die een fout maakt, is uw verantwoordelijkheid, niet die van de leverancier.
Qrio helpt uw teams begrijpen hoe AI-agents werken, welke risico's ze meebrengen en hoe u governance opzet die aansluit bij de EU AI Act. Zo profiteert u van de snelheid van agents, zonder de controle te verliezen.