Techniek
Wat een AI-agent is, waarom zelfstandig handelen zwaarder weegt voor privacy dan chatten, welke risico's erbij horen en wat je vooraf regelt.
Een AI-agent mag met persoonsgegevens doen wat een medewerker voor dezelfde taak ook zou mogen, en niet meer. Er moet een doel en een grondslag zijn, de agent krijgt alleen de gegevens die de taak vraagt, en een besluit met grote gevolgen voor iemand neemt hij niet alleen. De organisatie die de agent inzet, blijft verantwoordelijk.
Het wordt lastig omdat AI-agents hun eigen route kiezen. Bij een chatbot bepaal jij wat je erin zet. Bij een agent bepaalt het model welke mail het opent, welk bestand het leest en wat het daarna doet. Hoe het zit met gegevens die je zelf in een chatvenster plakt, staat op de hoofdpagina over AI-chatbots en de AVG.
Een AI-agent is een assistent die een doel krijgt in plaats van een vraag, en die zelf uitzoekt welke stappen daarvoor nodig zijn. Hij gebruikt daarbij gereedschap: een zoekfunctie, een agenda, een mailbox, een bestandsmap, een browser.
Anthropic, het bedrijf achter Claude, maakt in zijn uitleg over het bouwen van agents onderscheid tussen twee soorten systemen. In een workflow volgen model en gereedschap een route die een programmeur vooraf heeft vastgelegd. Bij een agent stuurt het model zelf zijn proces en zijn gebruik van gereedschap. Het plant, voert uit, bekijkt het resultaat en beslist wat de volgende stap is.
Een chatbot zonder gereedschap doet geen van beide: hij antwoordt op wat jij typt. Het verschil zit niet in het taalmodel, maar in wat eromheen is gebouwd.
Drie dingen maken van een taalmodel een agent.
Anthropic noemt ook de keerzijde: fouten kunnen zich opstapelen. Het advies is stopvoorwaarden in te bouwen en te testen in een afgeschermde omgeving.
Denk aan een agent die binnenkomende mail leest, het bijbehorende dossier zoekt en een conceptantwoord klaarzet. Of aan een agent die de opdracht "plan een overleg met de drie betrokkenen" krijgt en daarvoor in agenda's en mailwisselingen kijkt. In beide gevallen leest de agent meer dan de taak strikt vraagt. Daar begint de privacyvraag.
Omdat een agent toegang heeft, handelt en dat vaak buiten beeld doet. Bij een chatbot is het risico wat een medewerker erin zet. Bij een agent is het risico wat hij zelf kan bereiken.
Een agent die een overleg moet plannen, heeft leesrechten op agenda's nodig. In de praktijk krijgt hij vaak de hele mailbox. Alles wat hij kan lezen, kan in het gesprek met het model belanden en dus bij de aanbieder van dat model. Hoe breed zo'n toegang kan uitpakken, staat in Microsoft 365 Copilot en de AVG.
De Autoriteit Persoonsgegevens (AP) waarschuwde op 12 februari 2026 voor grote beveiligingsrisico's bij AI-agents. Aanleiding was een open source-platform waarbij gebruikers een assistent volledige toegang tot hun computer gaven, met mail, bestanden en online diensten erbij. Zo'n assistent kan volgens de AP zelfstandig handelen, zonder directe menselijke goedkeuring vooraf.
De AP riep op zulke experimentele agents niet te gebruiken op systemen met privacygevoelige of vertrouwelijke gegevens, zoals klantbestanden, personeelsgegevens en identiteitsbewijzen. En ze zei erbij dat organisaties en gebruikers zelf verantwoordelijk blijven voor de naleving van de AVG.
De Franse toezichthouder CNIL publiceerde op 20 juli 2026 een verkennende notitie over agentische AI. Volgens de CNIL halen agents gegevens uit veel bronnen en laten ze persoonsgegevens tussen diensten circuleren. Voor de gebruiker zijn die stromen moeilijk te overzien. De notitie is verkennend, geen richtlijn.
Dezelfde als elke andere verwerking, maar een paar worden scherper. De artikelen hieronder staan in de tekst van de AVG. De brede uitleg van de wet lees je in AVG-wetgeving uitgelegd.
Artikel 5 lid 1 onder b zegt dat persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven doeleinden worden verzameld en niet verder worden verwerkt op een manier die daarmee onverenigbaar is. Een agent die voor het plannen van een overleg in een mailbox kijkt, mag wat hij daar leest niet gebruiken voor iets anders. Het model kent dat onderscheid niet vanzelf: jij legt het doel vast en stemt de rechten daarop af.
Artikel 5 lid 1 onder c vraagt dat gegevens beperkt blijven tot wat noodzakelijk is. Artikel 25 lid 2 voegt eraan toe dat je met standaardinstellingen zorgt dat alleen wordt verwerkt wat voor het doel nodig is, ook wat betreft de toegankelijkheid. Voor een agent betekent dat: de toegang die hij standaard krijgt, is de smalle, niet de brede.
Artikel 22 geeft mensen het recht niet te worden onderworpen aan een besluit dat uitsluitend op geautomatiseerde verwerking is gebaseerd en dat rechtsgevolgen voor hen heeft of hen anderszins in aanmerkelijke mate treft. Er zijn drie uitzonderingen: het besluit is noodzakelijk voor een overeenkomst, een wet staat het toe, of de betrokkene heeft uitdrukkelijk toestemming gegeven. Bij de eerste en de derde heeft de betrokkene ten minste recht op menselijke tussenkomst, op het geven van zijn standpunt en op het aanvechten van het besluit. De AP noemt dat op haar pagina over regels bij het gebruik van AI en algoritmes het recht op een menselijke blik.
Niet elke handeling van een agent is zo'n besluit. De Spaanse toezichthouder AEPD schrijft in haar handreiking over agentische AI (versie 1.1, februari 2026) dat een agent die nieuws verzamelt en samenvattingen rondstuurt, geen besluit in de zin van artikel 22 neemt. Een agent die een sollicitant afwijst, een aanvraag weigert of een klant blokkeert, kan dat wel doen. Waar de grens ligt, hangt af van het gevolg voor de persoon. Dat is een oordeel voor je functionaris gegevensbescherming of een jurist. Voor personeelszaken lees je meer in AI in HR.
Een agent bestaat zelden uit één partij. Er is een aanbieder van het model, vaak een aanbieder van het platform waarop de agent draait, en er zijn de diensten waarmee hij is gekoppeld. Artikel 28 vraagt een overeenkomst met elke partij die namens jou persoonsgegevens verwerkt. Op een persoonlijk account van een medewerker is die er niet. Wat erin hoort te staan, lees je in Verwerkersovereenkomst met een AI-aanbieder.
Drie risico's komen in bijna elke bron terug: te ruime rechten, prompt injection en het ontbreken van een spoor. Daar komt bij dat een fout van een agent een handeling is, geen fout antwoord: een mail naar de verkeerde ontvanger is een datalek. Zie Wat is een datalek?.
Een agent die alles mag, is snel ingericht. Hij is ook een hoofdsleutel. De AEPD noemt het beginsel van de minste rechten het uitgangspunt voor agentische AI: een agent krijgt alleen de toegang die zijn taak vraagt, voor de duur van die taak.
Een taalmodel leest tekst en kan een opdracht in die tekst niet altijd onderscheiden van een opdracht van jou. De AEPD beschrijft de indirecte variant: opdrachten die voor een mens onzichtbaar zijn, verstopt in een pdf, een mail of een webpagina, en die het model opvat als iets wat het moet uitvoeren. De AP noemt in haar waarschuwing wat een aanvaller daarmee kan bereiken: accounts van gekoppelde diensten overnemen, mails en lokale bestanden uitlezen en toegangscodes stelen.
OpenAI schrijft in zijn veiligheidsadvies voor het bouwen van agents dat een agent ook met maatregelen fouten kan maken en misleid kan worden, en raadt aan de gebruiker elke handeling te laten bevestigen. Het risico is het grootst bij een agent die vertrouwelijke gegevens leest, tekst van buiten verwerkt en iets kan versturen.
Bij een chatbot is er een gesprek dat je kunt teruglezen. Bij een agent zijn er tientallen tussenstappen: welke bestanden hij opende, welke zoekvragen hij stelde, wat hij verstuurde. Legt niemand dat vast, dan kun je bij een inzageverzoek of een incident niet zeggen welke gegevens zijn gebruikt. Artikel 5 lid 2 vraagt dat je naleving kunt aantonen. Zonder log kan dat niet.
Een naslagtabel voor het inrichten: per vermogen het risico en de maatregel.
| Wat de agent kan | Risico | Maatregel |
|---|---|---|
| Mail en agenda lezen | Hij leest meer dan de taak vraagt; inhoud gaat naar de aanbieder van het model | Toegang per map of per label; zakelijk account met verwerkersovereenkomst |
| Bestanden en dossiers doorzoeken | Vertrouwelijke stukken komen in het gesprek terecht | Alleen de mappen van het project; zoeken in plaats van bladeren |
| Webpagina's en bijlagen openen | Verborgen opdrachten in de tekst (prompt injection) | Geen combinatie van vertrouwelijke toegang, tekst van buiten en verzendrechten zonder goedkeuring |
| Mail of berichten versturen | Gegevens verlaten de organisatie zonder controle | Concept klaarzetten; een mens verstuurt |
| Bestanden wijzigen of verwijderen | Onherstelbare fouten | Alleen-lezen als standaard; versiebeheer; handelingen terug te draaien |
| Beslissen over een persoon | Geautomatiseerd besluit zonder menselijke tussenkomst | Een mens beslist; de agent bereidt voor |
| Onthouden tussen sessies | Gegevens blijven langer bewaard dan nodig | Geheugen per taak; bewaartermijn; wissen kunnen aantonen |
| Plug-ins of koppelingen toevoegen | Onbekende partij krijgt toegang | Lijst van toegestane koppelingen; toevoegen alleen door beheer |
Loop deze stappen na voordat de eerste agent toegang krijgt tot echte gegevens.
Een agent die een medewerker zelf op zijn laptop installeert, valt buiten al deze stappen. Dat is shadow AI in zijn zwaarste vorm.
De AI Act kent geen aparte categorie voor agents. Of er eisen gelden, hangt af van waarvoor het systeem wordt gebruikt. De AP pleit er in haar waarschuwing voor om op Europees niveau te verduidelijken dat autonome AI-agents onder de AI-verordening vallen.
Wordt een agent ingezet voor een toepassing met een hoog risico, zoals het selecteren van sollicitanten, dan komen daar eisen bij, waaronder menselijk toezicht. Volgens de tijdlijn van de Europese Commissie gelden de regels voor die hoog-risicosystemen, na de wijziging door de digitale omnibus, vanaf 2 december 2027. De AVG geldt nu al. De stand van de verordening lees je in De AI Act uitgelegd.
PrivaSearch is voor een AI-agent een stuk gereedschap met een smal aanbod. Een gekoppelde assistent kan zoeken in documenten, maar niet bladeren, niet schrijven en niets versturen. Hij roept een zoekfunctie aan met een project en een zoekvraag en krijgt hooguit acht passages terug, elk met een korte bronverwijzing. Een bron openen is een tweede functie, die één passage van maximaal 1.200 tekens teruggeeft. Geen bestand, geen bestandsnaam en geen link. De stappen staan op de pagina over AI-chatbots en de AVG.
De passages komen alleen uit tekst waarin persoonsgegevens zijn vervangen door pseudoniemen en die een collega heeft gecontroleerd en goedgekeurd. Tot die goedkeuring is een document niet doorzoekbaar, ook niet voor een gekoppelde assistent. Staat er in de zoekvraag toch een naam, dan wordt die vervangen voordat er wordt gezocht. Gepseudonimiseerde gegevens blijven voor jouw organisatie persoonsgegevens. Het verschil met anonimiseren staat in Pseudonimiseren of anonimiseren.
Bij elk verzoek controleert PrivaSearch wie het vraagt: een geldig token van een actieve gebruiker met tweestapsverificatie, die lid is van het project en de AI-training heeft afgerond. Bij een SharePoint-bibliotheek wordt live gecontroleerd of die gebruiker het document daar nog mag zien. Faalt één controle, dan krijgt de assistent niets. Handelingen worden gelogd, zonder documentinhoud in de log. Meer op Hoe PrivaSearch werkt en bij de beveiligingsmaatregelen.
Koppelen kan met Claude (in de browser, in de desktop-app en in Claude Code), ChatGPT Business en Mistral Vibe (voorheen Le Chat). Twee dingen lost de koppeling niet op. Wat PrivaSearch teruggeeft, wordt onderdeel van het gesprek en komt bij de aanbieder van de assistent terecht, onder diens bewaarbeleid. En wat de agent verder nog mag, bij andere bronnen en met ander gereedschap, bepaal jij daar. PrivaSearch begrenst alleen zijn eigen deel.
Wil je zien wat een assistent via de koppeling te zien krijgt? Vraag een demo aan.
Een AI-agent is een taalmodel dat een doel krijgt en zelf bepaalt welke stappen daarvoor nodig zijn. Het gebruikt gereedschap, zoals een zoekfunctie, een mailbox of een agenda, bekijkt het resultaat van elke stap en kiest de volgende. Het verschil met een chatbot is dat een agent niet alleen tekst teruggeeft, maar ook handelingen uitvoert, soms zonder dat iemand elke stap vooraf goedkeurt.
Een chatbot antwoordt op wat jij erin zet. AI-agents halen zelf gegevens op en voeren zelf handelingen uit, binnen de rechten die ze hebben gekregen. Bij een chatbot bepaalt de gebruiker welke gegevens naar het model gaan. Bij een agent bepaalt het model dat, en ziet vaak niemand de tussenstappen. Daarom wegen toegangsrechten, goedkeuring door een mens en logging bij agents zwaarder.
Niet zonder meer. De AVG geeft mensen het recht niet te worden onderworpen aan een besluit dat uitsluitend geautomatiseerd tot stand komt en dat hen in aanmerkelijke mate treft. Er zijn uitzonderingen, zoals een besluit dat noodzakelijk is voor een overeenkomst, maar dan heeft de betrokkene recht op menselijke tussenkomst. Of een handeling van een agent zo'n besluit is, vraagt een juridische beoordeling per geval.
Prompt injection is een verborgen opdracht in tekst die de agent leest, bijvoorbeeld in een mail, een pdf of een webpagina. Het model kan die opdracht aanzien voor een instructie en proberen haar uit te voeren. Bij een agent met toegang tot mail en bestanden kan dat betekenen dat gegevens worden uitgelezen of doorgestuurd. Beperk daarom de rechten en laat een mens goedkeuren wat de organisatie verlaat.
De organisatie die de agent inzet. Voor de AVG is zij de verwerkingsverantwoordelijke, ook als de agent zelfstandig handelde en ook als hij van een leverancier komt. De Autoriteit Persoonsgegevens zei dat in februari 2026 met zoveel woorden: organisaties en gebruikers blijven zelf verantwoordelijk voor de naleving van de AVG. Stuurt een agent gegevens naar de verkeerde ontvanger, dan beoordeel je dat als een datalek.
Ja, met elke partij die namens jouw organisatie persoonsgegevens verwerkt. Bij een agent zijn dat er vaak meer dan één: de aanbieder van het taalmodel, het platform waarop de agent draait en soms de diensten waarmee hij is gekoppeld. Op een persoonlijk account van een medewerker ontbreekt zo'n overeenkomst meestal. Gebruik een zakelijk account en leg de partijen vast in je verwerkingsregister.
Hoe retrieval-augmented generation werkt, wat het verschil is met uploaden en fine-tuning, waarom het fouten vermindert en welke privacyvragen je stelt.
Wat het Model Context Protocol is, hoe een koppeling verschilt van een bestand uploaden, wat een assistent dan krijgt en op welke risico's je let.
Wat een taalmodel doet, wat tokens en een contextvenster zijn, waarom een model dingen verzint en wat het wel en niet onthoudt van je invoer.
We laten het zien met fictieve dossiers uit jouw branche: upload, herkenning, review, zoeken en de koppeling met je AI-assistent. Daarna weet je precies wat je team veilig kan gebruiken.
Plan een demo →