Het agentregister: wat u per AI-agent vastlegt

Het managementteam vraagt de privacy officer: hoeveel AI-agents werken er bij ons, en wat mogen ze? IT noemt de klantenservicebot. Marketing blijkt een agent aan de mailbox te hebben gekoppeld en een ontwikkelaar laat een programmeeragent meelezen in productie. Wie ze kan stoppen, weet niemand.

Waarom hebt u een agentregister nodig?

Een agent handelt zelf; toezichthouders en kaders vragen daarom om overzicht, ook als ze het niet zo noemen.

De Autoriteit Persoonsgegevens (AP), de AVG-toezichthouder, schrijft in haar Rapportage AI & Algoritmes Nederland (RAN 6, 5 maart 2026, blz. 33): "Ook is een duidelijk en actueel overzicht nodig van de agentische architectuur, waarin is vastgelegd welke AI-agents welke taken uitvoeren, over welke bevoegdheden zij beschikken en hoe zij onderling interacteren." Het Singaporese kader van IMDA (versie 1.5, 20 mei 2026) wil de identiteiten en rechten van agents "catalogued and centrally managed", tegen "agent sprawl": wildgroei zonder centraal beheer. Zes nationale cyberdiensten (1 mei 2026) adviseren een "trusted registry" van agents. NIST vraagt in het AI RMF 1.0 (GOVERN 1.6) om mechanismen om AI-systemen te inventariseren; dat raamwerk uit 2023 noemt agents niet.

Een agentregister is dus geen verplicht instrument: geen kader dat wij hebben gelezen schrijft het met vaste velden voor, en de AI Act kent geen interne registerplicht. Zonder lijst kunt u de plichten die wel bestaan echter moeilijk aantonen: AI-geletterdheid (artikel 4 AI Act), de transparantieplichten die bij uw rol horen (als aanbieder de melding dat mensen met AI communiceren, artikel 50 lid 1 AI Act) en de AVG-plichten, met de verantwoordingsplicht van artikel 5 lid 2 AVG.

Wat is het verschil met het AI-register en het verwerkingsregister?

Een agentregister hoeft geen aparte lijst te zijn: de twee bestaande registers beantwoorden elk een andere vraag, en geen van beide vraagt wat een agent zelf mag doen.

Leverancier, modelaanbieder en doorgiften buiten de EER horen dus ook in het verwerkingsregister (artikel 30 lid 1 onder d en e AVG); wat het agentregister vrijwillig toevoegt, zijn de rechten, goedkeuringspunten, noodstop en tests per agent. Bouw daarvoor geen aparte lijst: twee registers over dezelfde systemen moet u dubbel bijhouden, en dan lopen ze uit elkaar. Een agent is in de regel een AI-systeem (de Europese Commissie noemt dat standpunt voorlopig) en hoort in uw AI-register. Voeg de velden hieronder toe en verwijs per agent naar de regels in het verwerkingsregister die hij raakt. Verwar het niet met de EU-databank van de AI Act of het Algoritmeregister: dat zijn externe registraties.

Welke velden legt u per agent vast?

Veertien velden in vijf groepen. Het is een werkmodel en geen wettelijk voorgeschreven vorm; waar een artikel de aanleiding is, staat het erbij.

Wie en wat

1. Naam en taak. Een unieke naam, de taak in één zin en voor wie de agent optreedt. De taak weegt zwaar: de AI Act classificeert op het beoogde doel (artikel 3 punt 12 AI Act) en de AVG werkt met doelbinding (artikel 5 lid 1 onder b AVG).

2. Eigenaar. Eén benoemde persoon bij de afdeling die de agent inzet, niet "IT". Het Britse NCSC vraagt vooraf vast te leggen wie de agent beheert, zijn toegang goedkeurt, hem bewaakt en uiteindelijk kan stoppen. Onder de AVG moet u uw naleving kunnen aantonen (artikel 5 lid 2 AVG).

3. Leverancier en model. Leverancier, taalmodel en versie, plus het contract: de verwerkersovereenkomst (artikel 28 AVG) en of de leverancier uw gegevens voor eigen doelen gebruikt, zoals training. Gebruikt hij uw gegevens met uw instemming voor eigen doelen, dan is hij daarvoor zelf verwerkingsverantwoordelijke (artikel 4 punt 7 AVG) en hebt u een grondslag nodig om ze te verstrekken; doet hij het buiten uw instructies om, dan handelt hij in strijd met de AVG en geldt hij als verwerkingsverantwoordelijke (artikel 28 lid 10 AVG). Zie ons artikel over het inkoopcontract.

Wat de agent mag

4. Koppelingen en rechten. Elk systeem, elke plug-in en MCP-server (een koppeling voor tools) die de agent bereikt, met per koppeling het recht: lezen, schrijven, versturen, betalen of code uitvoeren. IMDA adviseert alleen vertrouwde MCP-servers van een lijst toe te staan; volgens beveiligingsonderzoekers bevatte ongeveer een vijfde van de OpenClaw-plug-ins malware (AP, 12 februari 2026). Een koppeling die persoonsgegevens in opdracht van u of uw leverancier verwerkt, is verwerker of subverwerker, en voor een subverwerker is uw voorafgaande schriftelijke toestemming nodig (artikel 28 lid 2 AVG); een dienst die de gegevens voor eigen doelen ontvangt, is zelf verwerkingsverantwoordelijke. Noteer per koppeling welke van de twee.

5. Persoonsgegevens. Welke categorieën gegevens en betrokkenen de agent kan inzien, niet alleen wat hij hoort te zien, met bijzondere categorieën (artikel 9 AVG) apart en een verwijzing naar het verwerkingsregister (artikel 30 lid 1 onder c AVG).

6. Gevaarlijke driehoek. Heeft de agent tegelijk toegang tot privégegevens, contact met onbetrouwbare inhoud (mail, websites, uitvoer van plug-ins) en de mogelijkheid om naar buiten te communiceren? Dan kan een verborgen opdracht gegevens laten wegsturen (Simon Willison: de "lethal trifecta"). Noteer welke poot u wegnam, of dat een mens elk bericht goedkeurt.

7. Goedkeuringspunten. Welke acties wachten op een mens, wie keurt goed, en wordt het in de software afgedwongen? IMDA raadt systeemmaatregelen aan boven afspraken in de prompt. Volgens de Europese toezichthouders is een goedkeuring onder artikel 22 AVG pas echte menselijke betrokkenheid als de beoordelaar bevoegd en deskundig is om het besluit te veranderen en alle relevante gegevens meeweegt (WP251rev.01, blz. 21); dat vraagt ook tijd (zie wanneer een agent zelf besluit).

Wat u kunt nagaan en stoppen

8. Logging en bewaartermijn. Wat wordt vastgelegd, in logs die de agent niet kan wijzigen, en hoe lang. Bij hoog risico moet de aanbieder het systeem zo bouwen dat het gebeurtenissen automatisch logt (artikel 12 en artikel 16 onder a AI Act). Aanbieder en gebruiksverantwoordelijke bewaren de logs die onder hun controle vallen gedurende een periode die past bij het beoogde doel, ten minste zes maanden, tenzij ander Unie- of nationaal recht, met name het gegevensbeschermingsrecht, anders bepaalt (artikel 19 lid 1 en artikel 26 lid 6 AI Act). Logs kunnen persoonsgegevens bevatten, dus stel altijd een termijn vast (artikel 5 lid 1 onder e AVG).

9. Noodstop. Wie stopt de agent, hoe (uitzetten, sleutels intrekken, koppelingen blokkeren) en wanneer is dat getest? De AP noemt "ingebouwde stopmechanismen bij afwijkend gedrag" als ontwerpkeuze (RAN 6, blz. 32). Bij hoog risico moet de aanbieder het systeem zo ontwerpen dat wie toezicht houdt het waar passend kan stilzetten met een stopknop of een vergelijkbare procedure (artikel 14 lid 4 onder e AI Act). Heeft de gebruiksverantwoordelijke reden om aan te nemen dat het systeem een risico vormt in de zin van artikel 79 lid 1 AI Act, dan stelt hij zonder onnodige vertraging de aanbieder of distributeur en de markttoezichtautoriteit in kennis en onderbreekt hij het gebruik (artikel 26 lid 5 AI Act).

Wat de wet ervan vraagt

10. Rol en risicoklasse onder de AI Act. Aanbieder, gebruiksverantwoordelijke of beide, en de klasse met de reden. Aanbieder is wie een agent ontwikkelt of laat ontwikkelen én hem onder eigen naam of merk in de handel brengt of in gebruik stelt, ook voor eigen gebruik (artikel 3 punt 3 en punt 11 AI Act); wie alleen de agent van een leverancier gebruikt, is gebruiksverantwoordelijke, tenzij artikel 25 lid 1 AI Act de rol verschuift. Noteer wat al geldt (artikel 4 AI Act; artikel 50 AI Act sinds 2 augustus 2026) en wat komt (bijlage III vanaf 2 december 2027). Vindt een aanbieder dat een bijlage III-systeem geen hoog risico inhoudt, dan legt hij die beoordeling vast voordat het systeem in de handel komt of in gebruik wordt gesteld, en registreert hij zichzelf en het systeem in de EU-databank (artikel 6 lid 4 en artikel 49 lid 2 AI Act); artikel 6 lid 4 geldt vanaf 2 december 2027 (artikel 113 onder c AI Act).

11. Rol en grondslag onder de AVG. Verwerkingsverantwoordelijke, verwerker of gezamenlijk, per schakel in de keten (artikel 4 punt 7 en 8 AVG en artikel 26 AVG), en de grondslag per doel (artikel 6 AVG). Neemt de agent besluiten met rechtsgevolgen of vergelijkbaar aanmerkelijke gevolgen, noteer dan welke uitzondering van artikel 22 lid 2 AVG geldt.

12. DPIA en FRIA. Of een gegevensbeschermingseffectbeoordeling (DPIA) nodig is, met datum en reden, ook bij "niet nodig" (artikel 35 lid 1 AVG; opnieuw toetsen bij een veranderd risico: artikel 35 lid 11 AVG). De beoordeling van de gevolgen voor de grondrechten (FRIA) geldt vanaf 2 december 2027 alleen bij hoog-risicosystemen uit bijlage III (artikel 6 lid 2 AI Act), en dan alleen voor publiekrechtelijke organen, particuliere verleners van openbare diensten en gebruiksverantwoordelijken bij kredietwaardigheid en levens- of ziektekostenverzekering (bijlage III punt 5 onder b en c), niet bij kritieke infrastructuur (artikel 27 lid 1 AI Act); voor systemen die al vóór die datum in de handel zijn gebracht of in gebruik zijn gesteld, geldt artikel 111 lid 2 AI Act.

Hoe de agent samenwerkt en wordt getest

13. Samenspel met andere agents. Aan wie geeft de agent werk door, van wie ontvangt hij uitvoer, delen ze geheugen? Volgens de AP zit het risico ook in hoe agents elkaar beïnvloeden (RAN 6, blz. 32). De concept-richtsnoeren van de Commissie (19 mei 2026, punt 75) beoordelen systemen die samen een individueel besluit wezenlijk beïnvloeden als één AI-systeem, ook bij agents.

14. Laatste test en herbeoordeling. De datum, wat is getest (verborgen opdrachten, rechten, noodstop), de uitkomst en de datum of aanleiding van de volgende herbeoordeling. De AVG vraagt maatregelen te evalueren en te testen (artikel 24 lid 1 AVG en artikel 32 lid 1 onder d AVG). Pas de datum alleen aan na een echte test.

Hoe ziet een ingevulde regel eruit?

Drie fictieve agents in dezelfde velden. De cellen zijn kort; in uw register staat de onderbouwing erbij.

De klantagent is het lichtste geval. Laat de webwinkel de agent voor zich ontwikkelen en stelt zij hem onder eigen naam in gebruik, dan is zij zelf aanbieder en ligt artikel 50 lid 1 AI Act bij haar.

De screeningsagent is het zwaarste: sollicitaties filteren en kandidaten beoordelen staat in bijlage III punt 4 onder a, en de uitzondering van artikel 6 lid 3 AI Act geldt nooit bij profilering. Is het systeem al vóór 2 december 2027 in de handel gebracht of in gebruik gesteld, dan gelden de hoog-risico-eisen pas als het ontwerp daarna aanzienlijk wijzigt (artikel 111 lid 2 AI Act).

Hoe houdt u het agentregister actueel?

Zoek de agents die niemand meldde. Medewerkers zetten zelf agents aan. De AP waarschuwde op 12 februari 2026 voor OpenClaw, dat na installatie toegang krijgt tot computer, mail en bestanden en zonder goedkeuring vooraf kan handelen. Vergelijk het register periodiek met wat er werkelijk draait, zoals zes nationale cyberdiensten adviseren ("periodically reconcile the registry against the live set of agents"): licenties, gekoppelde apps, API-sleutels, MCP-configuraties.

Laat nieuwe agents alleen via een intake live gaan. Geen registerregel, geen sleutels. Dezelfde diensten adviseren zelfs elke agent die niet in het register staat de toegang te weigeren.

Herbeoordeel bij elke wijziging. IMDA noemt modelupdates, gewijzigde tools, een veranderde omgeving, afwijkend gedrag en nieuwe regels als aanleiding (blz. 45). Let vooral op een nieuwe taak: wijzigt u het doel van een leveranciersagent zo dat hij hoog risico wordt, dan wordt u zelf aanbieder (artikel 25 lid 1 onder c AI Act). Zet agents die niemand gebruikt op "uitgefaseerd" en trek hun sleutels in.

Wie is eigenaar van het agentregister?

Twee rollen. Elke agent heeft een eigenaar bij de afdeling die hem inzet (veld 2). Het register heeft een beheerder, meestal de privacy officer of de AI-lead, die de intake bewaakt en de periodieke vergelijking doet. IT of security levert de technische feiten, inkoop de contracten; het bestuur besluit over agents met veel rechten of hoog risico. Een taakverdeling (RACI) staat in AI-governance via de privacyfunctie.

Hoe begint u?

Begin niet met een leeg formulier. De gratis Agent-check van Praxikon stelt veertien vragen en geeft een voorgevulde registerregel: wat de agent zelf kan, persoonsgegevens, gevaarlijke driehoek, goedkeuring, logging en noodstop, AI Act-rol en -klasse, artikel 22 AVG en DPIA. Naam, eigenaar, leverancier, koppelingen, samenspel en de laatste testdatum vult u zelf in. Achtergrond: de gids over AI-agents en de wet. Wilt u hulp, dan kunt u Zahed Ashkara inhuren als juridisch adviseur voor AI en privacy.