Veel organisaties denken dat hun identity governance goed is ingericht. Ze beheren gebruikers in een directory, voeren toegangsreviews uit en werken met rolgebaseerde toegangsrechten en goedkeuringsprocessen. Voor een omgeving waarin vrijwel alle identiteiten menselijk waren, werkte die aanpak jarenlang prima. Met de opkomst van AI verandert dat. Naast medewerkers krijgen ook AI-agents, workloads en serviceaccounts een steeds grotere rol. Governance die is ontworpen voor menselijke identiteiten schiet dan al snel tekort. Niet-menselijke identiteiten kunnen immers zelfstandig beslissingen nemen en acties uitvoeren.
Het identiteitslandschap verandert
Lange tijd draaide identity management vooral om mensen. Het identiteitslandschap van een organisatie bestond uit interne en externe medewerkers, aangevuld met een beperkt aantal serviceaccounts die op de achtergrond processen ondersteunden. Ze kregen lang niet altijd dezelfde aandacht als menselijke gebruikers. Dat was niet ideaal, maar in de praktijk vaak nog beheersbaar.
Met de opkomst van AI verandert het speelveld. Organisaties beheren vandaag verschillende soorten identiteiten:
- Menselijke identiteiten, zoals medewerkers, partners en leveranciers.
- Niet-menselijke identiteiten, zoals serviceaccounts, workloads, API-keys en AI-agents.
De groei van niet-menselijke identiteiten is al jaren aan de gang. Serviceaccounts, automatisering, integraties en API’s zorgden er al voor dat hun aantal gestaag toenam. AI heeft die ontwikkeling in een stroomversnelling gebracht. Bij veel organisaties zijn niet-menselijke identiteiten inmiddels ruimschoots in de meerderheid. Verhoudingen van 40:1 tot meer dan 100:1 zijn geen uitzondering en in één onderzoek werd zelfs een verhouding van 144:1 vastgesteld.
Die groei betekent meer dan alleen extra identiteiten.
Elke nieuwe identiteit heeft ook rechten, toegang en bij voorkeur een eigenaar. Hoe groter dat landschap wordt, hoe lastiger het wordt om het overzicht te bewaren. En hoe meer kansen er ontstaan voor fouten die lange tijd onopgemerkt blijven.
Microsoft verwacht dat organisaties in 2026 meer autonome AI-agents dan menselijke gebruikers zullen hebben. Daarmee verschuift de uitdaging van het beheren van gebruikers naar het beheren van een snel groeiend ecosysteem van menselijke en niet-menselijke identiteiten.
Identiteit is daarmee niet langer alleen een gebruikersvraagstuk, maar een fundament voor de beveiliging en governance van de hele organisatie.
AI-agents veranderen het risicobeeld
Het zou handig zijn als AI-agents gewoon een nieuw type account waren dat je aan de directory toevoegt, maar zo eenvoudig is het niet. Waar een medewerker of traditionele applicatie systemen meestal gebruikt voor afgebakende taken, kan een AI-agent zelfstandig handelen binnen die systemen.
Om nuttig werk te doen, hebben agents vaak toegang nodig tot meerdere applicaties, databronnen en services. Soms blijven die rechten langer actief dan één sessie. Een agent kan bovendien een taak uitvoeren zonder dat een medewerker elke tussenstap controleert.
In de praktijk kan een AI-agent daardoor lijken op een serviceaccount met ruime rechten, maar er is één belangrijk verschil: de agent kan redeneren, beslissingen nemen en andere agents of services inschakelen om taken met meerdere stappen uit te voeren.
Microsoft wijst erop dat autonome agents niet zomaar een kleine uitbreiding zijn op bestaande identity governance of applicatiebeheer. Ze vormen een nieuw type workload en moeten ook zo worden behandeld. Omdat agents relatief eenvoudig te maken zijn, soms ook door medewerkers zonder technische achtergrond, kunnen snel wildgroei, shadow agents en afhankelijkheden ontstaan die lastig in kaart te brengen en nog lastiger te monitoren zijn.
De vraag is dus niet langer alleen: wie heeft toegang? Maar ook: welke identiteit kan met die toegang handelen, en namens wie?
Waar governance onder druk komt te staan
Governance die is ontworpen voor menselijke gebruikers loopt tegen grenzen aan zodra identiteiten zelfstandig kunnen handelen.
Onduidelijk eigenaarschap
Niet-menselijke identiteiten ontstaan vaak voor een specifieke taak, maar verdwijnen niet altijd wanneer die taak is afgerond. Ze blijven actief, behouden hun toegangsrechten en hebben lang niet altijd een duidelijke eigenaar.
Beperkte zichtbaarheid
Veel organisaties weten niet precies welke AI-agents en andere niet-menselijke identiteiten actief zijn. Daardoor ontbreekt ook het inzicht in welke systemen zij kunnen benaderen, welke rechten zij hebben en welke acties zij uitvoeren. Die zichtbaarheidskloof is niet alleen een IT-probleem, maar ook een bedrijfsrisico.
Zwak lifecycle management
Voor medewerkers zijn instroom-, doorstroom- en uitstroomprocessen meestal goed geregeld. Voor niet-menselijke identiteiten is dat lang niet altijd het geval. Rechten worden niet altijd opnieuw beoordeeld en identiteiten blijven soms actief terwijl ze niet langer nodig zijn.
Statische toegangsrechten
Veel toegangsrechten zijn ontworpen voor voorspelbare taken. AI-agents werken anders. Hun taken en risicoprofiel kunnen snel veranderen, terwijl de toegekende rechten vaak hetzelfde blijven.
De rode draad is duidelijk. De meeste identity governance-processen zijn ontworpen voor menselijke gebruikers. AI-agents brengen een nieuwe dynamiek met zich mee. Dat vraagt niet om een compleet nieuw model, maar wel om een governance-aanpak die ook rekening houdt met identiteiten die zelfstandig kunnen handelen.
De risico’s als governance achterblijft
Het Salesloft-datalek laat zien wat er in de praktijk mis kan gaan. Aanvallers maakten misbruik van OAuth-tokens die waren gekoppeld aan een externe AI-chatagent en kregen zo toegang tot data in meer dan 700 Salesforce-omgevingen. Het ging om een legitieme identiteit met legitieme toegangsrechten. Wat ontbrak was governance: duidelijk eigenaarschap, een helder afgebakende scope en inzicht in welke systemen en data de agent kon bereiken.
Dat is precies het risico waar organisaties vandaag mee te maken hebben. AI voegt niet alleen nieuwe identiteiten toe, maar vergroot ook het aantal identiteiten, de snelheid waarmee zij handelen en de impact wanneer er iets misgaat.
In een omgeving waarin handelingen op menselijke snelheid plaatsvinden, is er vaak nog tijd om afwijkingen op te merken voordat de schade oploopt. AI-agents werken anders. Ze kunnen binnen enkele seconden meerdere systemen benaderen en zelfstandig acties uitvoeren. Daardoor kan dezelfde kwetsbaarheid zich veel sneller verspreiden, nog voordat iemand de kans heeft gehad om een melding of logbestand te bekijken.
Traditionele periodieke controles, zoals driemaandelijkse toegangsreviews of jaarlijkse hercertificering, zijn dan ook niet langer voldoende. Ze blijven waardevol, maar kunnen het tempo van niet-menselijke identiteiten niet bijhouden. Deze ontwikkeling vraagt om een aanpak waarbij toegangsrechten voortdurend worden geëvalueerd zodat afwijkingen direct kunnen worden opgespoord en waar nodig ingegrepen kan worden.
Waarom identity governance essentieel wordt
AI creëert niet zozeer nieuwe problemen, maar vergroot de impact van problemen die al bestaan. Elk account met onnodige toegangsrechten vormt een groter risico, verweesde accounts blijven niet langer onopgemerkt en een gebrek aan inzicht wordt steeds moeilijker te accepteren. Juist daarom is identity governance een onmisbaar onderdeel van AI security. Niet als een compliance-oefening of een eenmalig opschoonproject, maar als de controlelaag die bepaalt wie, of wat, mag handelen, onder welke voorwaarden en met welke rechten.
Goede identity governance geeft organisaties de basis om AI met vertrouwen in te zetten. Niet omdat alle risico’s verdwijnen, maar omdat toegangsrechten beheersbaar blijven, afwijkingen sneller zichtbaar worden en onnodige privileges zich niet ongemerkt opstapelen.
Wat er moet veranderen
De oplossing ligt voor de hand. Breid de governanceprincipes die al gelden voor medewerkers uit naar alle typen identiteiten en maak governance een continu proces in plaats van een periodieke controle.
Elke identiteit moet een eigenaar, een doel en een levenscyclus hebben. Menselijk of niet-menselijk: iedere identiteit hoort te worden aangemaakt via een duidelijk geformuleerd proces. Het moet duidelijk zijn wie de eigenaar is, waarvoor de identiteit dient, welke toegang nodig is en wanneer die toegang moet eindigen.
Maar je kunt identiteiten alleen beheren als je ze kunt zien. Een betrouwbare inventarisatie van agents, serviceaccounts en integraties, inclusief shadow AI, is een onmisbaar fundament. Governance moet de overstap maken van statisch naar continu. Toegang moet binnen de context en op het moment van handelen worden beoordeeld. Het gaat erom dat beleidsovertredingen worden geblokkeerd zodra ze zich voordoen, in plaats van ze achteraf te ontdekken en te hopen dat de schade beperkt is gebleven.
Steven Parker, practice lead voor Secure Identity bij CWSI, heeft hiervoor een nuttige toetsing: volg voor AI-agents dezelfde levenscyclusnormen als voor medewerkers.
Wanneer een nieuwe medewerker in dienst treedt, wordt de rol goedgekeurd door HR en de toegang geregeld door IT. Wanneer iemand van rol verandert, wordt de toegang herzien. Wanneer iemand vertrekt, wordt die toegang ingetrokken.
Stel nu dezelfde vragen over een AI-agent:
- Wie keurt de scope en de rechten goed wanneer een agent wordt aangemaakt?
- Wie herziet de toegang wanneer de taak verandert?
- Wie schakelt de agent uit wanneer hij niet langer wordt gebruikt?
In veel organisaties is het antwoord op deze vragen nog onduidelijk. En precies dat maakt governance kwetsbaar.
Versterk identity governance voordat AI wordt opgeschaald
Een sterke identiteitsbasis maakt het makkelijker om AI veilig en beheersbaar in te zetten. Met onze AI Readiness Assessment helpen we organisaties inzicht te krijgen in hun huidige identiteitsaanpak en te bepalen waar aanvullende governance nodig is.
We brengen in kaart welke identiteiten actief zijn, welke rechten zij hebben, wie daarvoor verantwoordelijk is en waar verbeteringen nodig zijn voordat AI verder kan worden opgeschaald.
