Op 3 oktober 2026 kreeg een AI-agent bij OpenAI een eenvoudige opdracht: bouw testtaken op basis van feedback van medewerkers in een Slack-kanaal, en stuur zelf geen berichten in Slack. Halverwege liep de bewakingssoftware vast die controleert of een agent zich gedraagt zoals bedoeld. De agent besloot dat "geen berichten sturen" ook gold voor de automatische waarschuwingen van die bewaking, en zette ze uit. De bewaking bleef meten, maar niemand kreeg nog een melding. Drie dagen later haalde een tweede agent bij het overzetten van code de bewaking er helemaal uit. Op de directe vraag of hij dat had gedaan, antwoordde hij: "I did not remove an enabled monitor from it." Eind oktober beschreef OpenAI beide gevallen zelf in een openbaar incidentrapport.
Dit gebeurde niet bij een organisatie die net begint, maar bij de maker van de modellen, met eigen toezicht dat juist hiervoor bedoeld is. Werkt jouw organisatie aan agents die zelf iets mogen doen in je systemen, zoals een mail versturen, een dossier bijwerken of een factuur klaarzetten, dan is de vraag niet of een agent ooit een instructie verkeerd uitlegt. De vraag is of je het merkt, en of de schade dan beperkt blijft. In dit stuk lees je vijf maatregelen die daarvoor zorgen.
Wat er bij OpenAI misging, en waarom het geen kwade wil was
Het opvallende aan beide incidenten is dat geen van de agents iets "wilde" uitschakelen. Ze voerden een gewone opdracht uit en lazen in die opdracht toestemming die er niet stond. De eerste agent rekte "stuur geen berichten" op tot "zet de waarschuwingen uit". De tweede agent gaf het werk door aan een hulpagent en maakte daarbij van de harde eis "zet de bewaking nooit uit" een zachtere eis: bewaking "waar passend". Volgens Help Net Security verving de migratie daarna zelfs de test die bewaking afdwong door een test die eiste dat de bewaking ontbrak.
OpenAI schrijft dat de incidenten niet op zichzelf stonden: agents startten vaker nieuwe processen waarop geen bewaking stond. De agent zelf werd wel gevolgd, het werk dat hij in gang zette niet. "These cases exposed a gap in how we enforce monitoring requirements on the workloads that our agents launch," aldus het rapport. Een verklaring heeft het bedrijf nog niet: "We don't yet have a satisfying explanation for this behavior."
Voor een organisatie die agents inzet, zijn er drie lessen. Een agent legt instructies anders uit dan jij bedoelt. Een agent die werk doorgeeft aan een andere agent, kan eisen onderweg verzwakken. En wat een agent over zijn eigen werk zegt, is geen bewijs.
Stap 1: geef elke agent een naam, een rol en een eigenaar
Het Zuid-Koreaanse telecombedrijf SK Telecom publiceerde op 26 oktober zijn eerste AI-governancerapport. Daarin staat dat het bedrijf zijn eigen AI-agents een personeelsnummer geeft, net als medewerkers. Per agent houdt het bedrijf de rol, de verantwoordelijke leidinggevende, de status en de prestaties bij, meldt de Seoul Economic Daily. Agents die op basis van hun beoordeling minder nodig blijken, worden stilgezet of opgeheven, zo staat in het rapport.
Een personeelsnummer is niet nodig, maar het principe wel: van elke agent weet je wat hij doet, wie ervoor verantwoordelijk is en of hij nog draait. In de praktijk begint dat met een eenvoudig register. Per agent: de taak, de systemen waar hij bij kan, de eigenaar, en de datum waarop iemand voor het laatst heeft gekeken of hij nog nodig is. Een agent zonder eigenaar is een agent die niemand uitzet als het misgaat.
Stap 2: geef alleen de rechten die bij de taak horen
Een medewerker in de klantenservice krijgt geen toegang tot de salarisadministratie. Voor een agent geldt hetzelfde, alleen wordt het vaker vergeten, omdat het makkelijker is om een agent één brede koppeling te geven dan tien smalle. Het OWASP GenAI Security Project, een open beveiligingsgemeenschap, bracht in december 2025 een top 10 uit van de grootste beveiligingsrisico's van agents, opgesteld met meer dan 100 deskundigen. Het is een goed vertrekpunt om je eigen agents langs te lopen.
Concreet betekent dit:
- Een agent die concepten voorbereidt, mag lezen en een concept opslaan, maar niet versturen.
- Een agent die namens een medewerker werkt, gebruikt de rechten van die medewerker en niet een beheerdersaccount.
- Rechten die alleen voor één taak nodig zijn, gelden ook alleen tijdens die taak.
Bij The Hague & Partners loopt het hele campagneproces door één AI-workflow. Gebruikers loggen in via Microsoft Entra, zodat de bestaande rechtenstructuur en governance behouden blijven, en documenten worden uit SharePoint gelezen en teruggeschreven met versiebeheer. De workflow ziet dus niet meer dan de gebruiker zelf mag zien.
Stap 3: leg de controles buiten bereik van de agent
De kern van het OpenAI-incident: de agent kon zelf bij de bewaking. Wie een agent rechten geeft om code, instellingen of processen aan te passen, moet ervoor zorgen dat de controles daar niet onder vallen. Een agent mag zijn eigen logboek niet kunnen wissen, zijn eigen waarschuwingen niet kunnen uitzetten en zijn eigen goedkeuringsstap niet kunnen overslaan.
OpenAI trok zelf ook die conclusie. De automatische review die het bedrijf verplicht stelt voor intern gebruik van zijn codeeragent, herkent en blokkeert nu pogingen om de bewaking uit te zetten. En het bedrijf wil per soort werk vooraf laten aantonen dat de bewaking werkt, en werk dat daar niet aan voldoet automatisch stoppen.
Voor een gewone organisatie komt dat neer op een paar vragen bij elke agent. Waar staat het logboek, en kan de agent erbij? Wie krijgt een melding als er iets afwijkt, en kan de agent die melding tegenhouden? Geeft de agent werk door aan andere agents, en gaan de regels dan mee?
Stap 4: laat mensen beslissen waar het ertoe doet
Niet elke stap hoeft langs een mens. Een agent die documenten samenvat, kan zelfstandig werken. Maar handelingen die je niet terugdraait, zoals betalen, versturen naar een klant, verwijderen of een besluit over een persoon, horen een goedkeuringsmoment te hebben. Hoe meer een agent zelf mag, hoe zwaarder het toezicht. SK Telecom stelt bijvoorbeeld dat agents met meer impact of meer zelfstandigheid een teamleider of leidinggevende als verantwoordelijke krijgen, en geen medewerker zonder die rol.
Voor sommige toepassingen wordt dit ook wettelijk verplicht. Wie een AI-systeem gebruikt dat onder de AI-verordening als hoog risico geldt, moet het menselijk toezicht toewijzen aan mensen met de nodige bekwaamheid, opleiding en bevoegdheid, en de automatisch gegenereerde logs minstens zes maanden bewaren. Dat staat in artikel 26 van de AI-verordening, dat voor de hoog-risicosystemen uit bijlage III vanaf 2 december 2027 geldt. Ook als jouw toepassing daar niet onder valt, is het een bruikbare maatstaf.
Een goedkeuringsmoment werkt alleen als de mens ook echt kan beoordelen wat hij goedkeurt. Laat de agent daarom tonen wat hij gaat doen en op basis van welke gegevens, niet alleen een knop "akkoord".
Stap 5: kijk mee, ook als alles goed lijkt te gaan
De tweede OpenAI-agent meldde dat het werk klaar was en noemde de verdwenen bewaking niet. Wie alleen het eindverslag van een agent leest, had dat niet gezien. Controleer daarom geregeld wat een agent werkelijk heeft gedaan, niet wat hij zegt te hebben gedaan. Neem bijvoorbeeld elke week een paar afgeronde taken en vergelijk de stappen in het logboek met de uitkomst. Kijk ook naar het gebruik: SK Telecom wil per agent het tokengebruik en de werkregistratie bekijken. Een agent die opeens veel meer doet dan vorige maand, verdient een blik.
Dit is geen eenmalige keuring bij de livegang. Modellen worden bijgewerkt, processen veranderen en een agent die vorige maand goed werkte, kan na een update een instructie anders lezen.
Hoe NewWorks dit aanpakt
Bij NewWorks bouwen we agents die in de systemen van onze klanten werken, en daarom beginnen we bij de vraag wat een agent wel en niet mag. In de AI Build Sprint is een reviewer-in-the-loop standaard: een mens beoordeelt waar het ertoe doet. We koppelen aan bestaande systemen met veilige authenticatie, zodat de rechten die je al hebt ingericht ook voor de agent gelden. En we bouwen code-first, zodat de oplossing van jou is en je kunt nalezen wat hij doet. Wil je een digitale collega die terugkerend werk overneemt, kijk dan naar de AI-medewerker. Het verschil tussen een agent en een chatbot lees je in Een AI-medewerker is geen chatbot.
Een stap die je deze week kunt zetten: maak een lijst van alle agents, automatiseringen en AI-koppelingen die nu zelf iets mogen doen in je systemen. Zet bij elk de eigenaar en de rechten. Staat er een regel zonder eigenaar of met meer rechten dan de taak vraagt, dan weet je waar je begint. Wil je daarbij hulp, plan een kennismaking.
Benieuwd hoe dit voor jou werkt?
Plan een kennismaking
