Een CISO bij een luchtvaartbedrijf waarmee we samenwerken, dacht een goed zicht te hebben op het gebruik van AI binnen zijn organisatie. Er waren een twintigtal AI-agents actief, zo dacht hij. Tot bleek dat er nog eens 60 actief waren waar hij helemaal niets van af wist.
De medewerkers die deze agents hadden gebouwd, hadden helemaal geen slechte bedoelingen. Ze zochten gewoon naar manieren om slimmer en efficiënter te werken. Precies wat bedrijven vandaag van hun medewerkers verwachten.
Maar daar wringt het schoentje. Want hoe houd je AI onder controle als je niet eens weet welke AI-agents binnen je organisatie actief zijn, laat staan wat ze allemaal doen?
Voor mij vat dit verhaal mooi samen waar we vandaag staan met AI-adoptie.
We experimenteren volop met AI en ontdekken elke dag nieuwe mogelijkheden. Maar de aandacht voor wat AI allemaal kan, doet ons soms vergeten wat nodig is om die technologie veilig in te zetten.
En precies daar dreigen we de controle te verliezen.
We meten AI-vooruitgang op de verkeerde manier
Aan de top is het enthousiasme voor AI groot. Ik merk het bij onze klanten, maar net zo goed binnen ons eigen bestuur. Ook daar krijgen we regelmatig de vraag: wat kunnen we nog meer met AI?
En terecht.
Geen enkel bedrijf wil kansen laten liggen om slimmer en efficiënter te werken.
Maar in al dat enthousiasme dreigen we soms uit het oog te verliezen waar het uiteindelijk om draait. Want meer AI betekent niet automatisch meer vooruitgang.
Het aantal AI-pilots dat je hebt opgestart of agents dat je hebt uitgerold, is makkelijk te tellen. Maar hoeveel leveren ze daadwerkelijk op? Werken ze veilig? En wie houdt er toezicht op?
Dat zijn volgens mij veel belangrijkere vragen.
Je kunt als organisatie honderden AI-agents inzetten zonder dat ze veel opleveren. Terwijl een ander bedrijf met slechts een handvol agents misschien wel enorme stappen zet.
Daarom moeten we het succes van AI-adoptie niet afmeten aan hoeveel technologie we inzetten, maar aan de problemen die we ermee oplossen.
En dat begint niet bij de technologie, maar bij wat je als organisatie wil bereiken.
Dat is ook hoe we het bij CWSI aanpakken. Wanneer klanten bij ons aankloppen met plannen om AI-agents te bouwen, kijken we eerst wat ze ermee willen bereiken. Welke processen kunnen beter? Waar gaat vandaag onnodig veel tijd verloren? En hoe kan AI daar concreet bij helpen?
Pas als dat duidelijk is, heeft het zin om te bepalen welke AI-agents je nodig hebt. Maar ook dan ben je er nog niet. Want agents moeten niet alleen nuttig zijn, ze moeten ook veilig kunnen werken. Daarom is het belangrijk om vanaf het begin na te denken over security en governance.
AI neemt taken over. Maar wie draagt de verantwoordelijkheid?
En dat brengt me bij iets waar we volgens mij nog te weinig bij stilstaan: wie is er eigenlijk verantwoordelijk voor wat AI-agents doen?
In cybersecurity houden we ons al jaren bezig met wie toegang krijgt tot welke systemen en gegevens. Maar AI-agents veranderen de spelregels. Ze kunnen zelfstandig informatie raadplegen, gegevens verwerken en acties uitvoeren in verschillende bedrijfssystemen. En naarmate ze meer taken overnemen, wordt het steeds belangrijker om duidelijke grenzen te stellen aan wat ze wel en niet mogen.
Want wie bepaalt hoever zo’n agent mag gaan? Wie controleert of zijn toegangsrechten nog passen bij de taken die hij uitvoert? En vooral: wie is verantwoordelijk als het misgaat?
Bij dit soort vragen kijken we al snel naar het securityteam. Begrijpelijk, maar volgens mij leggen we de verantwoordelijkheid daarmee te gemakkelijk op de verkeerde plek.
Neem een AI-agent die een deel van de financiële administratie of klantenservice overneemt. Security kan ervoor zorgen dat die agent alleen toegang krijgt tot de systemen en gegevens die hij nodig heeft. Maar het is aan de mensen die het proces aansturen om te bepalen wat die agent zelfstandig mag doen, wanneer menselijke goedkeuring nodig is en welke risico’s aanvaardbaar zijn.
Je kunt het werk aan AI overlaten. De verantwoordelijkheid niet.
En dat onderscheid dreigen we volgens mij uit het oog te verliezen nu AI-agents steeds zelfstandiger worden.
Want security kan de grenzen bewaken, maar kan niet voor elke afdeling bepalen hoe AI in de dagelijkse werking moet worden ingezet. Daarvoor heb je de mensen nodig die de processen kennen, de gevolgen van beslissingen kunnen inschatten en uiteindelijk ook verantwoordelijk zijn voor het resultaat.
Daarom vind ik het zo belangrijk om die verantwoordelijkheden vanaf het begin helder te krijgen. Wie is eigenaar van een agent? Wie bepaalt wat hij mag doen? En wie grijpt in wanneer er iets misloopt?
Als je die vragen pas stelt wanneer er al tientallen AI-agents actief zijn, loop je achter de feiten aan.
Want hoe slim AI ook wordt, verantwoordelijkheid kun je niet automatiseren.
Waarom governance innovatie net versnelt
Ik hoor vaak dat bedrijven het gevoel hebben te moeten kiezen tussen snelheid en veiligheid. Ofwel geef je medewerkers alle ruimte om met AI te experimenteren en neem je de risico’s erbij. Ofwel leg je strengere regels op en loop je het risico innovatie af te remmen.
Maar volgens mij is dat een valse tegenstelling.
Want te weinig governance kan innovatie net zo goed vertragen als een teveel aan regels.
Zonder duidelijke afspraken duiken bij elk nieuw AI-initiatief dezelfde vragen op. Tot welke systemen en gegevens krijgt een agent toegang? Welke taken mag hij zelfstandig uitvoeren? Wie geeft daarvoor groen licht? En wie houdt uiteindelijk toezicht?
Het gevolg? Teams lopen telkens tegen dezelfde obstakels aan en security wordt er vaak pas bij gehaald wanneer de plannen al vergevorderd zijn. Dan moet er plots van alles worden bijgestuurd, terwijl je dat met een goede voorbereiding had kunnen vermijden.
Volgens mij kan het een stuk eenvoudiger. Met duidelijke spelregels vooraf hoeven teams niet bij elk nieuw AI-project opnieuw uit te zoeken wat wel en niet mag. Ze weten waar ze aan toe zijn en kunnen sneller aan de slag. Tegelijk kan security vanaf het begin meedenken over hoe nieuwe toepassingen veilig kunnen worden ingezet, in plaats van achteraf te moeten bijsturen.
En dat is voor mij de essentie van goede governance.
Niet meer regels opleggen dan nodig, maar mensen de duidelijkheid en het vertrouwen geven om veilig te kunnen innoveren.
Dat begint natuurlijk wel met een goed overzicht van hoe AI vandaag binnen je organisatie wordt gebruikt. En dan heb ik het niet alleen over de officieel goedgekeurde tools en agents. Wat hebben medewerkers zelf al ontwikkeld of in gebruik genomen? Tot welke systemen en gegevens hebben die agents toegang? En wat kunnen ze daar zelfstandig mee doen?
Pas als je dat weet, kun je bepalen waar strengere controles nodig zijn en waar je teams juist meer vrijheid kunt geven.
Want goede governance is geen rem op innovatie. Integendeel, ze helpt je sneller vooruit zonder de controle te verliezen.
We hoeven beveiliging niet opnieuw uit te vinden voor AI
AI brengt nieuwe risico’s met zich mee, maar gelukkig hoeven we niet van nul te beginnen om die aan te pakken.
De fundamenten zijn er al. Identiteits- en toegangsbeheer, gegevensbeveiliging en monitoring blijven minstens zo belangrijk. Alleen moeten we die nu ook toepassen op AI-agents die steeds zelfstandiger werken en toegang krijgen tot meer systemen en gegevens.
En net daar dreigen we volgens mij iets over het hoofd te zien. We zijn zo druk bezig met alles wat nieuw is aan AI, dat we soms vergeten hoeveel we al in huis hebben om die technologie veilig in te zetten.
Vooral organisaties die al gebruikmaken van Microsoft Security kunnen vaak veel meer uit hun bestaande omgeving halen. Toch zie ik dat er bij nieuwe AI-toepassingen al snel naar extra tools wordt gekeken, terwijl de bestaande beveiliging vaak al een groot deel van de nodige bescherming kan bieden.
En dat terwijl cybersecurity voor veel organisaties al complex genoeg is. Moeten we die complexiteit dan nog verder vergroten met nieuwe tools, processen en extra beheer?
Volgens mij moeten we de vraag omdraaien. Niet meteen kijken naar wat we nog moeten aanschaffen, maar eerst nagaan wat we al hebben. Welke mogelijkheden benutten we nog niet? Waar schiet onze huidige beveiliging tekort? En wat is er écht nodig om AI veilig te kunnen inzetten?
Maar met een goede beveiliging bij de start ben je er nog niet. AI-agents staan niet stil. Ze krijgen nieuwe taken, worden gekoppeld aan andere systemen en werken met steeds meer gegevens. Wat vandaag goed beveiligd is, kan morgen dus alweer nieuwe risico’s met zich meebrengen.
AI veilig uitrollen is één ding. Ervoor zorgen dat het veilig blijft, is minstens zo belangrijk.
Daarom kun je de beveiliging niet één keer goed instellen en er vervolgens van uitgaan dat alles veilig blijft.
Je moet blijven opvolgen wat AI-agents doen, tot welke systemen en gegevens ze toegang hebben en wie daarvoor verantwoordelijk is.
Want zelfs een kleine aanpassing kan gevolgen hebben voor de beveiliging van je hele organisatie.
Hoe complexer de technologie, hoe belangrijker de specialist
De technologiesector heeft er een handje van om overal tegelijk op te willen springen. Elke nieuwe ontwikkeling brengt nieuwe mogelijkheden, nieuwe oplossingen en nieuwe spelers met zich mee. Maar als ik één ding heb geleerd tijdens het uitbouwen van CWSI, dan is het dat je niet overal tegelijk specialist in kunt zijn.
CWSI begon ooit als specialist in mobiele beveiliging. In 2017 kozen we er bewust voor om ons te verdiepen in Microsoft Security. Een beslissing waar ik vandaag nog altijd volledig achter sta.
Want ik geloof dat je klanten veel meer te bieden hebt als je één technologie door en door kent, dan wanneer je van alles een beetje weet. En die keuze wordt met de opkomst van AI alleen maar belangrijker.
Kijk maar naar de gemiddelde IT-omgeving. Systemen zijn steeds nauwer met elkaar verbonden, gegevens worden voortdurend uitgewisseld en toegangsrechten worden alsmaar complexer. Met de komst van AI-agents, die zelfstandig taken uitvoeren en toegang krijgen tot informatie uit verschillende systemen, wordt het nog belangrijker om het volledige plaatje te zien. Want wie de beveiliging van één toepassing bekijkt zonder rekening te houden met de rest van de omgeving, ziet maar een deel van de risico’s.
Een AI-agent werkt immers niet los van de rest van je IT-omgeving. Hij gebruikt bestaande systemen, krijgt toegang tot bedrijfsgegevens en voert taken uit op basis van de rechten die hem zijn toegekend. Om de risico’s goed in te schatten, moet je dus niet alleen kijken naar wat de agent zelf doet, maar ook naar waar hij toegang toe heeft en wat hij daarmee kan doen.
Tegelijk zie ik dat steeds meer IT-leveranciers cybersecurity aan hun dienstenaanbod toevoegen. Daar is op zich niets mis mee. Maar cybersecurity is meer dan een extra dienst die je aanbiedt. Een technologie implementeren is één ding. Ze ook op lange termijn veilig houden, terwijl systemen, risico’s en behoeften veranderen, vraagt om een heel ander niveau van expertise.
En net daar maakt specialistische expertise volgens mij het verschil.
Een AI-agent implementeren is immers nog maar het begin. Daarna moet je blijven opvolgen wat hij doet, of hij nog de juiste toegangsrechten heeft en welke nieuwe risico’s ontstaan wanneer zijn taken veranderen of hij toegang krijgt tot andere systemen.
Een succesvolle implementatie of een eenmalige assessment volstaat dus niet.
Ook wanneer de technologie eenmaal draait, moet je de beveiliging blijven opvolgen en bijsturen. Want je organisatie staat niet stil, je ambities veranderen en er ontstaan voortdurend nieuwe risico’s.
Daarom geloof ik sterk in langdurige samenwerkingen, eerder dan in losse projecten.
Hoe beter je de IT-omgeving, uitdagingen en ambities van een klant kent, hoe gerichter je kunt adviseren en inspelen op veranderingen. Zo bouw je verder op de kennis en beveiliging die er al zijn, zonder telkens opnieuw van nul te moeten beginnen.
Hoe complexer de technologie, hoe groter de nood aan specialisten die verder kijken dan één oplossing of systeem.
En dat is voor mij precies waar de meerwaarde zit: niet in nóg meer tools of processen, maar in de expertise om het overzicht te bewaren, risico’s te beheersen en onnodige complexiteit te vermijden.
Zo kunnen organisaties nieuwe technologieën met vertrouwen inzetten, zonder de controle over hun beveiliging te verliezen.
De AI-wedloop winnen doe je niet door de meeste agents te bouwen
AI staat vandaag hoog op zowat elke directieagenda. En dat zal volgens mij nog wel even zo blijven.
De mogelijkheden zijn enorm, de verwachtingen minstens even groot. Organisaties experimenteren volop met nieuwe toepassingen en ontdekken steeds meer manieren om AI in de praktijk in te zetten.
Toch vraag ik me af of we AI-succes wel op de juiste manier meten.
Het klinkt natuurlijk indrukwekkend als een organisatie tientallen AI-agents heeft uitgerold of het aantal AI-projecten op een jaar tijd heeft verdubbeld. Mooie cijfers om mee uit te pakken tijdens een bestuursvergadering. Maar hoeveel zeggen ze nu écht over de vooruitgang die je boekt?
Want die cijfers vertellen je niet hoeveel tijd je bespaart, welke problemen je oplost of welke concrete waarde AI toevoegt aan je organisatie. Laat staan of je nog zicht hebt op wat al die agents achter de schermen doen.
We dreigen het aantal AI-agents te verwarren met de vooruitgang die we ermee boeken.
En dat is volgens mij een gevaarlijke denkfout.
In de directiekamer zou de discussie dan ook veel minder moeten gaan over hoeveel agents er al zijn uitgerold, en veel meer over wat ze daadwerkelijk opleveren. Welke problemen lossen ze op? Weten we tot welke systemen en gegevens ze toegang hebben? Is duidelijk wie verantwoordelijk is voor hun acties? En kunnen we hun inzet verder uitbreiden zonder dat de beveiliging achteropraakt?
Want laten we eerlijk zijn: een AI-agent ontwikkelen en in gebruik nemen is één ding. Er ook écht waarde uit halen en ervoor zorgen dat hij veilig blijft werken, is een heel andere uitdaging.
Dat betekent niet dat organisaties op de rem moeten gaan staan. Integendeel. Blijf vooral experimenteren en nieuwe mogelijkheden verkennen, maar doe dat wel bewust. Je hoeft niet elk risico vooraf uit te sluiten. Zolang je maar weet welke risico’s je neemt en hoe je die onder controle houdt.
De afgelopen jaren lag de nadruk vooral op ontdekken wat er allemaal mogelijk is met AI. Nu wordt het tijd om te kijken wat al die mogelijkheden ons in de praktijk opleveren.
Want de organisaties die straks het verschil maken, zijn niet noodzakelijk degene met de meeste AI-agents, maar degene die er écht waarde uit halen zonder de controle te verliezen.
En volgens mij is dat precies de omslag die we nodig hebben. Minder focussen op hoeveel AI we inzetten en meer op wat we ermee bereiken. Want uiteindelijk draait vooruitgang niet om de technologie zelf, maar om wat ze voor je organisatie betekent.
