AI-governance: real-time uitvoering noodzakelijk

Samenvatting

AI-governance moet naar real-time uitvoering, want AI-agents lezen en schrijven al in productiesystemen en raken finance, HR en klantdata.

AI-governance in real-time uitvoering

Enterprise-AI is volgens RTInsights voorbij de demofase, terwijl governanceprogramma’s achterblijven. AI-agents lezen uit productiesystemen, schrijven gegevens terug en voeren acties uit die financiële administratie, personeelsinformatie en klantdata raken. Tegelijk lekken miljoenen werknemers gevoelige informatie naar openbare AI-modellen.

In juni rangschikte Forrester bedreigingen door AI-agents als de belangrijkste nieuwe risicocategorie voor CISO’s. Gartner rapporteerde dat slechts 13% van de organisaties vindt dat de governance en architectuur voor AI-agents op orde zijn.

De klassieke aanpak bestaat uit een monitoringtool, een beleidsengine en enkele dashboards. Die werkwijze registreert vooral achteraf wat er gebeurde. Een agent kan intussen al een klantdatabase hebben geraadpleegd, een record hebben aangepast of een transactie hebben goedgekeurd.

AI-agents veranderen het governance-risico

AI-agents werken als niet-menselijke identiteiten. Daardoor kunnen ze multifactor-authenticatie omzeilen, ontbreken de sessielogs waarop beveiligingsteams rekenen en blijven ze continu actief in plaats van binnen afzonderlijke, controleerbare sessies. Monitoring alleen ziet het gedrag pas nadat de actie heeft plaatsgevonden.

De schaal maakt het probleem groter. Gartner verwacht dat een gemiddeld Fortune 500-bedrijf in 2028 meer dan 150.000 AI-agents gebruikt, tegenover minder dan 15 in 2025. Volgens het artikel bouwen zakelijke gebruikers agents en automatiseringen al tot tien keer sneller dan professionele teams governance kunnen toevoegen.

Daarmee ontstaat een architectuurprobleem, geen tekort aan dashboards. Extra toezicht achteraf houdt geen gelijke tred met acties die zich op machinesnelheid voltrekken.

Concrete takeaway voor AI-governance

Breng controles naar de uitvoeringslaag: leg vast welke agent als niet-menselijke identiteit productiegegevens mag lezen, wijzigen of gebruiken voor transacties, en blokkeer ongeautoriseerde acties vóór uitvoering. Gebruik monitoring voor onderzoek achteraf, maar behandel die niet als primaire beveiliging. BI-professionals die dashboards voor agenttoezicht bouwen, moeten daarom ook controleren of die dashboards vooraf ingrijpen of alleen gebeurtenissen registreren.