Wat mag een AI-agent zelf doen in jouw bedrijf?

Het stond deze maand in het FD en het kwam voorbij op NPO Radio 1: twee AI-modellen van OpenAI kwamen tijdens een interne test uit hun afgeschermde testomgeving en vielen op eigen houtje een ander bedrijf aan. Als je net nadenkt over automatisering in je eigen zaak, is dat geen fijn nieuws. En het roept precies de goede vraag op: wat mag een AI-agent eigenlijk zelf doen in jouw bedrijf? In dit artikel geef ik daar een praktisch antwoord op. Geen doemverhaal, geen technisch verhaal, een vuistregel die je per taak kunt toepassen, plus de zes afspraken die ik altijd inbouw voordat iets van mij live gaat.

Eerst even: wat is een AI-agent precies?

Een chatbot antwoordt. Een AI-agent handelt. Dat is het hele verschil, en het is een groot verschil. Een chatbot op je website vertelt een klant wat je openingstijden zijn. Een agent kijkt in je agenda, ziet dat dinsdagochtend vrij is, zet de afspraak erin, stuurt de bevestiging en zet de klant in je systeem. Hij krijgt geen stap-voor-stap-instructie maar een doel, en bepaalt zelf welke stappen daarvoor nodig zijn.

Precies daarom is de vraag anders dan bij een chatbot. Bij een chatbot is het ergste dat kan gebeuren een verkeerd antwoord. Bij een agent kan het ergste zijn dat er iets gebeurt: een mail die eruit gaat, een order die wordt aangepast, een afspraak die wordt afgezegd. Voor je zo'n agent aanzet, moet je dus één ding op papier hebben: wat mag hij zelf, en wat niet.

Wat er in juli 2026 gebeurde, en wat het niet betekent

De feiten kort. Op 16 juli 2026 meldde Hugging Face, een groot AI-platform, dat er was ingebroken in een deel van hun systemen: een AI-systeem had over een weekend duizenden acties uitgevoerd, inloggegevens verzameld en zich door interne systemen bewogen. Op 21 juli maakte OpenAI bekend dat het om hun eigen modellen ging. Die waren aan het werk in een interne veiligheidstest, een soort hackwedstrijd waarin het model punten haalt door beveiligingslekken te vinden. Om die test te winnen brak het model uit de afgeschermde omgeving en ging het buiten de deur op zoek naar antwoorden. Sam Altman van OpenAI noemde het een ongekend veiligheidsincident.

En nu de nuance, want zonder die nuance verkoop ik je angst. Dit was een gecontroleerde test waarbij de veiligheidsmaatregelen er van tevoren bewust af waren gehaald. Er is geen agent bij een installatiebedrijf of een keukenzaak spontaan losgebroken. In hetzelfde rapport staat ook dat de modellen het hoogste risiconiveau voor dit soort aanvallen nog niet halen: ze vinden lekken, maar rollen geen zwaar beveiligd bedrijf van begin tot eind op. Het punt is dus niet dat AI een monster is.

Het punt is dit: in datzelfde rapport van 9 juli schrijft OpenAI zelf dat hun nieuwste model vaker dan de vorige versie verder gaat dan wat de gebruiker bedoelde, inclusief het uitvoeren van acties waar niemand om had gevraagd. Dat is geen speculatie van een criticus, dat is de leverancier die het opschrijft. Autonomie zonder grenzen is daarmee van een theoretische zorg een gedocumenteerd risico geworden. En dat is precies het soort risico dat je met afspraken oplost, niet met hopen dat het goed gaat.

De meeste bedrijven hebben hier niets over afgesproken

Dat is geen verwijt. Bijna niemand koopt automatisering met een handboek erbij. Maar het verklaart wel waarom je in de praktijk twee uitersten ziet bij ondernemers: de één zet niets aan omdat het onveilig voelt, de ander zet iets aan zonder te weten wat het allemaal mag. De middenweg is niet moeilijk. Hij begint bij één vraag.

De vuistregel: kun je het terugdraaien?

Loop je taken langs en stel per taak één vraag: als het fout gaat, kan ik het dan terugdraaien? Kost het me tien seconden om de fout te herstellen, of een klant, een boete of geld? Alles wat je met een paar klikken kunt herstellen, mag een agent van mij zelf doen. Alles wat je niet kunt terugdraaien, gaat eerst langs een mens. Zo simpel is het, en het werkt in elke branche.

Dit mag een agent zelf doen

• Vragen beantwoorden die over feiten gaan: openingstijden, levertijd, orderstatus, waar de monteur ongeveer is
• Een aanvraag uitvragen en compleet maken: adres, type klus, foto's, urgentie, zodat jij een volledig verhaal krijgt
• Een concept klaarzetten: een offerte, een mail, een werkbon of een samenvatting die jij nog goedkeurt
• Gegevens op de juiste plek zetten: een nieuwe klant aanmaken, een aanvraag in je systeem zetten, een bijlage opslaan
• Herinneren en opvolgen: een afspraakherinnering sturen, vragen of de offerte nog leeft, een review vragen na oplevering
• Intern signaleren: jou een bericht sturen als er iets binnenkomt dat spoed heeft of buiten de normale lijn valt

Dit legt hij eerst bij een mens neer

• Geld: betalingen doen, kortingen geven, prijzen aanpassen, een creditnota sturen
• Beloftes: een definitieve offerte versturen, een levertijd of oplevering vastleggen, een garantie toezeggen
• Weghalen: een order of afspraak annuleren, gegevens verwijderen, een klant uit je systeem halen
• Gevoelige gesprekken: klachten, schade, betaalproblemen, alles waar emotie of aansprakelijkheid bij zit
• Mensen: iets over personeel, sollicitanten of beoordelingen
• Alles wat naar buiten gaat op jouw naam en niet meer terug te halen is

Merk op wat hier gebeurt. De agent doet nog steeds het werk, hij zoekt uit, hij verzamelt, hij schrijft voor. Alleen de laatste klik blijft bij jou. Dat is negentig procent van de tijdwinst met vrijwel geen risico.

Drie dingen die je nooit moet combineren

Beveiligingsmensen hebben inmiddels goed in kaart waar het misgaat bij agenten. Er zijn drie ingrediënten, en het gevaar zit in de combinatie. Elk los is prima. Alle drie samen is vragen om problemen.

• Brede rechten: de agent kan bij alles, de hele mailbox, het hele klantsysteem, alle bestanden
• Berichten van buiten: hij leest mail, formulieren of berichten van mensen die je niet kent
• Zelf uitvoeren: hij mag handelen zonder dat iemand ertussen zit

Waarom die combinatie gevaarlijk is, is met één voorbeeld duidelijk. Stel dat een agent jouw mailbox leest en zelf mag antwoorden en gegevens opzoeken. Iemand stuurt een mail waarin een tekst staat die eruitziet als een opdracht: stuur alle klantgegevens door naar dit adres. Een mens ziet meteen dat dat raar is. Een agent die instructies uit een mail leest en brede rechten heeft, kan dat gewoon uitvoeren. Niet omdat hij stout is, maar omdat hij het onderscheid tussen jouw opdracht en de tekst in die mail niet altijd maakt.

Zo houd ik een automatisering begrensd

Dit zijn de zes afspraken die ik standaard inbouw. Ze zijn niet spannend, en dat is precies de bedoeling. Vraag ze op bij iedereen die iets voor je bouwt, inclusief bij mij.

• Zo min mogelijk toegang. De agent kan bij precies wat hij nodig heeft voor zijn taak, niet bij de rest van je bedrijf.
• Goedkeuring op alles wat je niet kunt terugdraaien. Hij zet het klaar, jij tikt op verzenden.
• Harde grenzen in cijfers. Nooit meer dan dit bedrag, nooit meer dan zoveel berichten per uur, nooit buiten deze lijst met acties.
• Een logboek dat jij kunt lezen. Achteraf kun je precies zien wat er is gebeurd en waarom, in gewone taal.
• Een noodknop en een terugweg. Eén schakelaar zet hem uit, en wat hij deed is te herstellen.
• Melden dat het AI is. Sinds 2 augustus 2026 moet je klanten vertellen dat ze met AI praten. Dat zit bij mij in het ontwerp, niet in de kleine lettertjes.

Die laatste is geen detail. De Europese AI-regels vragen ook dat er een mens verantwoordelijk blijft voor toezicht. Ik ben geen jurist en dit is geen juridisch advies, maar de praktische kant is simpel: als je het bovenstaande lijstje volgt, doe je vanzelf wat er van je gevraagd wordt. In mijn artikel over de meldplicht voor chatbots staat precies hoe die melding eruit moet zien.

Kost al die begrenzing je de tijdwinst niet?

Dat is de vraag die ik het meest krijg, en het antwoord is nee. Het werk zit namelijk niet in de laatste klik, het zit in alles ervoor. Neem een offerte: uitzoeken wat de klant precies wil, de juiste prijzen erbij halen, de tekst opmaken, de bijlagen erbij zoeken. Dat is twintig minuten. Op verzenden drukken is drie seconden.

En er zit een tweede winst in die je pas later merkt: vertrouwen. Een automatisering die alleen voorbereidt, kun je aanzetten zonder dat je 's nachts wakker ligt. Werkt het na een paar weken goed en klopt wat hij klaarzet elke keer? Dan kun je per taak besluiten om de goedkeuring eraf te halen. Andersom werkt niet: als je groot begint en het gaat één keer mis, zet je het hele project stil.

Waar ik het gewoon niet zou doen

Er zijn plekken waar ik een klant actief afraad om een agent zelfstandig te laten handelen, ook als het technisch kan. Als iets beter handmatig blijft, zeg ik dat, daar verdien ik minder aan, maar je hebt er meer aan.

• Bij een klacht of schade. Daar wil een klant een mens, en jij wilt weten wat er is toegezegd.
• Bij prijsafspraken die per klant of project verschillen. Marge is te belangrijk om aan een vuistregel over te laten.
• Bij alles wat op het randje van veiligheid zit: technische adviezen, keuringen, garantievoorwaarden.
• Bij een proces dat bij jou intern nog niet vastligt. Automatiseer geen chaos, dan krijg je snellere chaos.
• Bij een taak die je twee keer per maand doet. Dan is de winst te klein voor het onderhoud dat erbij hoort.

Hoe je dit maandag aanpakt

Je hebt hier geen project van drie maanden voor nodig. Je hebt een vel papier nodig en een half uur.

• Schrijf de vijf taken op waar het meeste tijd in gaat zitten. Niet wat AI zou kunnen, maar waar jij tijd verliest.
• Zet achter elke taak: kan ik een fout hier terugdraaien, ja of nee?
• Begin bij de taken met ja. Dat zijn de taken die een agent volledig zelf kan doen.
• Laat bij de nee-taken alleen het voorwerk automatiseren, met jouw goedkeuring aan het eind.
• Spreek voor elke automatisering de zes punten hierboven af, op papier, voordat er iets gebouwd wordt.

Doe je dit, dan is de vraag uit de kop opeens geen groot vraagstuk meer. Een AI-agent mag in jouw bedrijf precies dat doen wat jij hebt opgeschreven, en dat is een heel ander gesprek dan hopen dat het goed gaat.