Geen apart regime
Agents zijn AI-systemen onder artikel 3(1) en volgen de gewone risicoladder. De taak bepaalt het risico, niet de autonomie.
Agentic AI governance
Agentic AI governance onder de EU AI Act
De centrale plek voor het governen van AI-agents die zelfstandig handelen: van kwalificatie en rollen tot controls, risicobeoordeling en verantwoordelijkheid.
Organisaties gaan van AI die antwoordt naar AI die handelt. Een agent leest een e-mail, raadpleegt een dossier, controleert de voorwaarden, stelt een beslissing op en werkt het systeem bij, allemaal zelfstandig. Agents governen is geen nieuw juridisch regime, maar de gedisciplineerde toepassing van regels die al bestaan: de EU AI Act via artikel 3(1) en de AVG via artikel 22. Deze hub bundelt de zes vragen die u per agent moet beantwoorden en linkt naar de verdieping.
Bijgewerkt: oktober 2026Themahub
Artikel 50 vanaf 2 augustus 2026
Bij directe AI-interactie rust de disclosureplicht uit lid 1 op de aanbieder. Voor synthetische output en deepfakes hangen plicht en actor af van lid 2 of lid 4.
AVG artikel 22 geldt nu al
Uitsluitend geautomatiseerde besluiten met rechtsgevolgen of vergelijkbaar aanmerkelijke gevolgen zijn in beginsel verboden, tenzij een uitzondering van lid 2 geldt, en dan met de waarborgen van lid 3. Betekenisvolle menselijke betrokkenheid vooraf haalt een besluit eruit; afstempelen niet.
De zes controls voor autonome agents
De praktische kern van agent-governance. Menselijk toezicht onder artikel 14 is het ontwerpprincipe eronder, ook waar het nog niet formeel verplicht is.
1
Afgebakende permissies per agent volgens least privilege.
2
Een bewuste keuze tussen human in the loop en human on the loop.
3
Logging die elke agent-actie reconstrueerbaar maakt.
4
Een geteste kill switch met een incidentproces.
5
Periodieke review van gedrag en risicoclassificatie.
6
Opname van elke agent in het AI-register, met eigenaar.
Wie moet wat: aanbieder en gebruiksverantwoordelijke
Bij agents is de keten zelden simpel: een lab levert het model, een platform het framework, uw organisatie configureert. Artikel 25 kan de rollen doen verschuiven. Leg de rolverdeling per agent vast, in het contract, voordat een incident de vraag afdwingt.
| Rol | Wat | Kernplichten |
|---|---|---|
| Aanbieder | Bouwt de agent en brengt hem op de markt. | Toepasselijke ontwerpplichten en artikel 50 lid 1 voor directe interactie en lid 2 voor machineleesbare outputmarkering. |
| Gebruiksverantwoordelijke | Gebruikt de agent onder eigen gezag. | Operationele plichten, betekenisvol menselijk toezicht (artikel 14), gebruik conform beoogd doel, AVG artikel 22-grens. |
Verdieping per vraag
Deze hub is het startpunt. De analyses hieronder behandelen elk onderdeel afzonderlijk.
Kwalificatie
Agentic AI onder de EU AI Act (complete gids)
De risicoladder, de keten, AVG artikel 22 en het volledige governance-kader.
Valt een AI-agent onder de EU AI Act?
De kwalificatievraag met voorbeelden per agent-type.
De governance-uitdaging van AI-agents
Waarom een snelle, decentrale uitrol governance onder druk zet.
Privacy en AVG
AI-governance via de privacyfunctie
De route waarlangs ook agents binnenkomen: AI-intake, één register, DPIA met AI-aanvulling en toezicht door de FG.
AI-agents en artikel 22 AVG
Wanneer een agent een geautomatiseerd besluit neemt, en waarom toestemming zelden de oplossing is.
DPIA voor AI-systemen: wanneer verplicht
Artikel 35 AVG, de WP248-criteria en de AP-lijst toegepast op AI.
Artikel 22 AVG: de tekst
De bepaling over geautomatiseerde individuele besluitvorming, met toelichting.
Rollen in de keten
Wanneer word je aanbieder (artikel 25)?
De drie routes waarlangs u zelf aanbieder wordt, en de gevolgen.
Wanneer ben je deployer van een AI-agent?
De plichten die bij de gebruiksverantwoordelijke van een agent horen.
Aanbieder versus gebruiksverantwoordelijke
Het onderscheid dat bepaalt welke plichten u draagt.
Controls en toezicht
Agentic AI governance: de zes controls
Permissies, in of on the loop, logging, kill switch, review en register, met een startplan.
Menselijk toezicht (artikel 14)
Toezicht dat effectief is in plaats van ceremonieel.
Risicobeheersysteem (artikel 9)
Het systeem dat de controls rond een agent omvat.
Shadow AI: de onzichtbare uitdaging
Agents die zonder governance worden uitgerold.
Risicobeoordeling
FRIA onder de AI Act: wat, wie en hoe (artikel 27)
De grondrechteneffectbeoordeling voor publieke en krediet/verzekering-deployers.
DPIA versus FRIA
Wanneer privacy-impact en grondrechtenimpact elkaar raken.
Het AI-register en de inventarisatie
Waarom elke agent in het register hoort, en hoe u dat opzet.
Aan de slag: agent-governance in drie stappen
1. Inventariseer elke agent
Zet elke agent in het AI-register met doel, model, platform, bereikbare systemen en eigenaar. Een agent die niet in het register staat, bestaat niet voor uw governance.
2. Classificeer en beoordeel per agent
Classificeer op de taak, niet op de leverancier. Waar hoog-risicotaken of persoonsgegevens spelen: toets of een FRIA (artikel 27) of DPIA (artikel 35 AVG) verplicht is en voer die uit.
3. Leg controls en toezicht vast
Pas de zes controls toe en gebruik artikel 14 als ontwerpprincipe. Zorg dat toezichthouders de tijd, informatie en het mandaat hebben om in te grijpen.
Van inzicht naar bewijs
Breng uw agents onder controle
Met een beoordeling met handtekening (Vaste prijs vooraf · binnen drie werkdagen na een gesprek van 30 minuten · 1 tot 4 weken) zet Praxikon uw AI-systemen, agents inbegrepen, in een register, classificeert elk systeem, bepaalt uw rol per systeem en levert een plan voor de eerste 90 dagen. Effectief toezicht vraagt ook om bekwame mensen. Uitgevoerd door Zahed Ashkara, de jurist achter deze uitleg.
Veelgestelde vragen over agentic AI governance
Wat is agentic AI governance?
Agentic AI governance is het toepassen van de EU AI Act, de AVG en uw eigen controls op AI-agents die zelfstandig handelen. Het is geen apart juridisch regime: agents zijn AI-systemen onder artikel 3(1) en volgen de gewone risicoladder. In de praktijk beantwoordt u per agent zes vragen: is het een AI-systeem, wat is het risico, wie is aanbieder en wie gebruiksverantwoordelijke, welke controls zijn nodig, hoe beoordeelt u het risico, en wie is verantwoordelijk als het misgaat.
Vallen AI-agents onder de EU AI Act?
Ja, volledig. De definitie van een AI-systeem in artikel 3(1) verwijst uitdrukkelijk naar een variabele mate van autonomie, dus agents die zelfstandig taken uitvoeren, tools aanroepen en in meerdere stappen redeneren vallen er gewoon onder. Er is geen aparte categorie voor agents.
Welke controls heeft een autonome AI-agent minimaal nodig?
Zes bouwstenen: afgebakende permissies volgens least privilege, een gedocumenteerde keuze tussen human in the loop en human on the loop, logging die elke actie reconstrueerbaar maakt, een geteste kill switch met incidentproces, periodieke review van gedrag en risicoclassificatie, en opname in het AI-register. Menselijk toezicht onder artikel 14 is het praktische anker.
Wanneer wordt een AI-agent hoog-risico?
Als hij een taak uit Annex III uitvoert, zoals het beoordelen van sollicitanten, het voorbereiden van kredietbeslissingen of het triageren van aanvragen voor essentiele diensten. Verordening (EU) 2026/1744 bepaalt dat de kernverplichtingen voor standalone Annex III-systemen vanaf 2 december 2027 gelden.
Mag een AI-agent zelfstandig beslissingen over klanten nemen?
Soms, maar AVG artikel 22 bepaalt nu al het kader. Besluiten die uitsluitend op geautomatiseerde verwerking berusten en rechtsgevolgen of vergelijkbaar aanmerkelijke gevolgen hebben, zoals het afwijzen van een claim, zijn in beginsel verboden, tenzij een uitzondering van lid 2 geldt (noodzakelijk voor een overeenkomst, toegestaan bij wet of uitdrukkelijke toestemming), en dan gelden de waarborgen van lid 3, zoals menselijke tussenkomst en het recht om het besluit aan te vechten. Betekenisvolle menselijke betrokkenheid vóór het besluit haalt het buiten artikel 22; een routinematige goedkeuring doet dat niet.