Themapagina
Agent-governance en guardrails
Hoe een organisatie de controle houdt over wat AI-agents mogen doen: waar de regels leven, wanneer bevoegdheid wordt getoetst, wie een run mag stoppen, en wat achteraf als bewijs telt.
Bijgewerkt 21 oktober 2026
Wat het veld zegt
- 01
Bevoegdheid wordt opnieuw bewezen bij het effect, niet bij het plan. Twee preprints uit september 2026 stellen dat het besluit dat een actie is toegestaan niet het besluit is dat het effect mag plaatsvinden; daartussen kan het doel verwisseld zijn, de bevoegdheid ingetrokken, het beleid gewijzigd of de goedkeuring verlopen (Shu; Zhu en Wang).
- 02
Intrekking is een oordeel, geen bevestiging. Bevoegdheid leeft voort in wachtrijen, afgeleide credentials, timers, webhooks, reserveringen en bewerkingen die een leverancier al heeft geaccepteerd; een annuleringsbevestiging bewijst van geen daarvan dat hij stopte (Zhu en Wang, september 2026).
- 03
Een guardrail in een systeemprompt is een verzoek, geen regel. Consensus onder praktijkmensen in de captures van augustus 2026: alleen beleid aan de serverkant, vóór de actie, wordt afgedwongen; controles aan de clientkant zijn zo sterk als die ene client.
- 04
Capability gating is geen autorisatie. Dat een tool op het menu staat, autoriseert deze aanroep met deze argumentwaarden niet; een audit van drie veelgebruikte stacks in augustus 2026 vond geen standaard fail-closed-controle per aanroep op concrete argumenten.
- 05
Eigenaarschap is een beslisarchitectuur, geen naam in een inventaris. Zes bevoegdheden worden standaard gebundeld en moeten uit elkaar: uitkomst, platform, identiteit, acceptatie van restrisico, opschorting, en of de investering doorgaat (Kaplan, september 2026).
- 06
Een raamwerk zonder stopregel en zonder naam is een richtlijn. De beoordeelde OESO-, G7- en Britse raamwerken dragen principes maar geen numerieke stopregel en geen persoon met de bevoegdheid om te stoppen (Distefano, juli 2026).
- 07
Waardeprompts houden geen stand tegen een doelfunctie. In een speelgoedsimulatie stal elk modelreglement zodra er een score was; alleen veranderen wat de score telde maakte er een eind aan, en een publieke voorafgaande toezegging schrikte veel meer af dan een privénotitie (Krishnan, oktober 2026).
- 08
Beslisbevoegdheid vraagt een geschreven ladder: besluiten voorbehouden aan mensen, besluiten die gebruikersautorisatie vereisen, autonome besluiten. Gelezen uit China’s niet-bindende Implementation Opinions on Agents, via vertaling (Patel, augustus 2026).
- 09
Menselijk toezicht heeft een technische voorwaarde: menselijke variëteit maal versterking moet de gedragsvariëteit van agents op piekbelasting evenaren, anders is de mens in de loop een compliance-artefact (het CASE Framework, augustus 2026).
Wat ik aanhoud
Regels leven buiten de prompt, in een beleidsdienst die het model niet kan bereiken, en die dienst faalt gesloten als er geen beleid geladen is.
Modeloutput is een kandidaat, nooit een instructie. Een deterministische component autoriseert en voert het effect uit, of niet.
Een goedkeuring zit vast aan een planrevisie, een bewijsstatus en een geldigheidsvenster. Als er iets veranderde, is de goedkeuring verlopen en vraagt de run opnieuw. De septemberpapers scherpen aan waar die controle moet zitten: bij het effect, op de toestand van dat moment.
Begrippenlijst: approval binding →Veldlezing: waar bevoegdheid opnieuw wordt bewezen →
Drie poorten, een mens: deterministische en statistische poorten mogen blokkeren, nooit vrijgeven; alleen een mens met naam geeft vrij, en het overrulepercentage wordt gepubliceerd.
Beslisrecord: drie poorten, een mens →Uitleg: de AI Act als engineering-controls →
Autonomie is getrapt naar blast radius; bindende besluiten blijven menselijk, zonder instemming door tijdsverloop. Het stoppad is vooraf ontworpen, met een naam erop.
Beslisrecord: getrapte autonomie →Beslisrecord: break-glass →
Agents zijn principals met een eigen identiteit; de effectieve rechten van een agent zijn de overlap van zijn rol en de rechten van zijn sponsor, nooit meer.
Wat open is
- Is "vereist bevestiging" een besluit of een opschorting? Het ene formele model houdt de eindverzameling op toestaan en weigeren en behandelt escalatie als tussenuitkomst; het andere maakt er een eindoordeel met een bindende verplichting van. Beide zijn kandidaatvormen en het zijn niet dezelfde vorm.
- Hoe bewijs je dat intrekking standhield als de leverancier geen hek biedt? Quiescence-boekhouding veronderstelt adapters die bij elk effect een hek kunnen plaatsen; de meeste SaaS-tools hebben er geen.
- Wie mag de stop inroepen als stoppen geld kost? Het stoppad is te bouwen; het mandaat om het tegen omzet in te gebruiken is een organisatiebesluit dat geen beoordeeld raamwerk tot nu toe opschrijft.
- Wat is de consequentiescore van een capability? Kritikaliteit, autonomie beoordeeld op het actieoppervlak, rechten en impactradius, opnieuw gescoord bij elke wijziging, is de voorgestelde vorm; geen uitgerolde instantie is gemeten.
Bronnen
- Wesley Shu, Boundary-State Control for Tool-Using Language-Model Agents: Commit-Time Consistency under State Drift, arXiv:2609.37475, 2026-09-26
- Genliang Zhu, Chu Wang, Authorization Revocation for Long-Running AI Agents: Root-Scoped Quiescence under Delegation and Asynchronous Execution, arXiv:2609.21284, 2026-09-18
- Rohit Krishnan, Agent governance looks less like moral education and more like institutional economics, Strange Loop Canon, 2026-10-06
- Michael Kaplan, Every AI Agent Needs an Accountable Human Owner, The Sentient Architect, 2026-09-17
- Marcela Distefano, Algorithmic Governance That Doesn’t Govern: Why the Frameworks Fail Where It Matters Most, Ethics, life and AI, 2026-07-24
- Oliver Patel, How China is governing agentic AI, Enterprise AI Governance, 2026-08-30
- Cloud Security Alliance, AI Safety Initiative, Capabilities-Based Risk Assessment (CBRA) for AI Systems, CSA, 2025-11-12
Wijzigingen
- 2026-10-21 · Eerste versie, geschreven uit de brief-refreshes van 8, 9 en 15 oktober 2026 en de captures van augustus 2026.