Bedrijfsvoering · 15 september 2026
Wat mag jouw AI-agent eigenlijk?
Stel de vraag eens aan jezelf: wat mag de AI in mijn bedrijf? Niet wat ze kan, dat weet je leverancier. Wat ze mag. Mag ze een mail versturen zonder dat iemand hem gelezen heeft? Mag ze een afspraak vastleggen in de agenda van een collega? Mag ze een creditnota aanmaken?
In het kmo-dossier van Trends staat een observatie die we volledig delen: bijna niemand heeft dat ooit opgeschreven. Er wordt gepraat over wat AI allemaal kan, en nauwelijks over wat ze in dit bedrijf, met deze klanten en deze data, wel en niet mag. Het gevolg is dat de vraag beantwoord wordt door de tool. Wat aan staat, mag. En dat is geen beslissing, dat is een instelling.
Wij vinden dat het omgekeerd hoort. Wat een agent mag, is een bedrijfsbeslissing. Ze hoort thuis bij de zaakvoerder, op papier, voor de eerste automatisering live gaat. Zo ziet dat papier er bij ons uit.
Drie rechten, in drie stappen
De eerste drie rechten geef je vanaf dag één, omdat er niets mee kapot kan: lezen, voorbereiden en voorstellen. De agent leest de inkomende mail, de bestelling, het ticket. Ze bereidt een antwoord voor, een orderregel, een planningswijziging. En ze legt dat voor aan een mens, die er met één klik ja of nee tegen zegt. Alles wat de agent doet, is in deze fase een concept. Niets vertrekt.
De tweede drie rechten geef je pas na een maand schone logboeken: versturen, boeken en aanpassen. De bevestigingsmail vertrekt zonder tussenkomst. De standaardorder gaat rechtstreeks het ERP in. De planning past zichzelf aan. Je geeft die rechten niet omdat de leverancier zegt dat het kan, maar omdat je vier weken lang gezien hebt dat de voorstellen klopten. En je geeft ze per taak, niet per agent. Een agent die de orders van je tien grootste klanten foutloos verwerkt, mag die versturen. De uitzonderingen blijven concepten.
De derde groep geef je nooit zonder mens in de lus: alles wat onomkeerbaar is, alles wat geld verplaatst, alles wat persoonsgegevens buiten het bedrijf brengt. Een betaling, een creditnota, een contractwijziging, een mail naar een lijst van klanten. Daar mag de agent alles voorbereiden en niets beslissen. Niet omdat ze het niet zou kunnen, maar omdat de kost van één fout daar groter is dan de winst van honderd juiste beslissingen.
Wie ons stuk over de duurste fout in je bedrijf las, herkent het patroon: de agent als nieuwe collega die je inwerkt. Dit is dezelfde gedachte, bekeken vanaf de kant van de baas in plaats van de kant van de collega. Vertrouwen groeit, rechten groeien mee, en je schrijft op wanneer.
Als je niet kan reconstrueren waarom, dan gok je
Er hoort één regel bij die niets met rechten te maken heeft en alles met rustig slapen: elke actie van een agent moet achteraf te reconstrueren zijn. Welke mail kwam binnen, wat heeft de agent daaruit afgeleid, welke regel heeft ze toegepast, wie heeft het goedgekeurd, wat is er verstuurd. Niet als een technisch logbestand voor de IT-leverancier, maar als een lijst die de zaakvoerder zelf kan lezen.
Dat is de vraag die je aan elke leverancier stelt voor je tekent: als de agent volgende maand iets verkeerds doet, kan ik dan in vijf minuten zien wat er gebeurd is en waarom? Als het antwoord nee is, automatiseer je niet. Dan gok je, met een goede kans, maar je gokt.
Het is ook de vraag die de GDPR en de AI Act in een andere vorm stellen. Wie vandaag al bijhoudt wat zijn agent mag en wat ze gedaan heeft, hoeft daar later niets voor te verzinnen.
Dat regelboek hoeft geen dertig pagina's te zijn. Voor de meeste kmo's past het op één A4: welke taken, welke rechten per taak, wie keurt goed, waar staat het logboek. Een uur werk, één keer. Het is het verschil tussen een bedrijf dat AI gebruikt en een bedrijf waar AI gebruikt wordt.
Bij elke audit is dat regelboek een van de dingen die we samen invullen: welke processen komen in aanmerking, welke rechten krijgt een agent daar in stap één, en wat blijft altijd bij een mens. Zo weet je voor de eerste automatisering live gaat niet alleen wat ze kan, maar wat ze mag.