Het interessante aan AI-agenten is niet dat ze beter praten, maar dat ze werk afmaken. Een team zet een assistent in die het klantpostvak opruimt. Hij leest binnenkomende berichten, plaatst ze in de juiste map, stelt een conceptantwoord op en zet dat klaar. Dat werkt goed en scheelt een uur per dag.
Na een maand wordt de laatste stap eruit gehaald: hij mag ook zelf versturen, want die concepten waren toch altijd goed.
Dat is het moment waarop een assistent een agent wordt. Het levert nog meer tijd op, en het vraagt om één nieuwe afspraak: wat mag hij zelf doen?
Wat is het verschil tussen antwoorden en handelen?
Een chatbot doet één ding: hij zet tekst om in tekst. Wat er met die tekst gebeurt, beslis jij. Je kopieert hem, je past hem aan, je gooit hem weg.
Een agent krijgt een doel in plaats van een vraag. "Ruim dit postvak op." Vervolgens bepaalt hij zelf welke stappen daarvoor nodig zijn, en voert hij die uit met gereedschap waar hij toegang toe heeft gekregen.
Dat gereedschap is de kern. Zonder gereedschap is een agent een chatbot die hardop nadenkt. Met gereedschap kan hij:
- e-mail lezen, opstellen en versturen
- bestanden openen, aanpassen en verwijderen
- afspraken maken en verzetten
- gegevens in een systeem bijwerken
- op internet zoeken en pagina's openen
- code uitvoeren
Elke koppeling maakt hem nuttiger, maar is ook weer iets wat mis kan gaan.
Waar is een agent goed in?
Agenten komen het best tot hun recht bij werk met meerdere voorspelbare stappen dat nu tussen systemen heen en weer gaat: berichten sorteren en een eerste antwoord klaarzetten, gegevens uit binnenkomende formulieren in een systeem zetten, informatie uit verschillende bronnen verzamelen voor een notitie, of een afspraak vinden tussen drukke agenda's. Werk dat je zelf prima kunt doen, maar dat vooral tijd kost.
Minder geschikt is werk waarin het oordeel het werk is: een gevoelig klantgesprek, een besluit over een medewerker, een afweging die context vraagt die nergens is opgeschreven. Daar helpt een agent meer als voorbereider dan als uitvoerder.
Wat verandert er als de mens ertussenuit gaat?
Bij een chatbot zit er een mens tussen de beslissing en de handeling. Die mens is niet perfect en leest lang niet alles goed, maar hij vangt de grove fouten wel af: dit is de verkeerde klant, dit bedrag klopt niet, dit gaat naar de verkeerde persoon.
Bij een agent is die tussenstap weg. Een misverstand levert dan geen verkeerd antwoord op, maar een handeling die al is uitgevoerd.
Twee dingen maken dat scherper dan het klinkt.
Een agent doet meerdere stappen. Als stap twee op een verkeerde aanname is gebaseerd, bouwen stap drie tot en met zeven daarop voort. Aan het eind staat er iets wat op zichzelf klopt, maar vanaf het begin verkeerd is.
Een agent leest bronnen die niet te vertrouwen zijn. Dit is het punt dat het meest wordt onderschat. Een agent die je mail verwerkt, leest berichten die door onbekenden zijn gestuurd. Als daar instructies in staan, kan hij die opvolgen. Beveiligingsonderzoekers noemen de gevaarlijke combinatie de lethal trifecta: toegang tot vertrouwelijke gegevens, het lezen van inhoud die niet te vertrouwen is en de mogelijkheid om naar buiten te communiceren. Een agent met alle drie is kwetsbaar voor aanvallen, en de meeste nuttige agenten hebben alle drie. Meer daarover lees je in onze uitleg over promptinjectie.
Dat is geen theorie. In juni 2025 werd EchoLeak bekendgemaakt, een kwetsbaarheid in Microsoft 365 Copilot waarbij één e-mail, die de ontvanger nooit opende, genoeg was om interne gegevens naar buiten te laten sturen. Microsoft heeft het lek gedicht, maar het patroon is gebleven.
Hoe bepaal je wat een agent zelf mag doen?
Bij een chatbot is de kernvraag: wat ziet hij? Dat is een autorisatievraag over lezen.
Bij een agent komt er een tweede bij: wat kan hij doen? Dat is een autorisatievraag over schrijven, en die is zwaarder, omdat lezen omkeerbaar is en handelen dat vaak niet is.
Een bruikbare indeling per actie:
- Omkeerbaar en zichtbaar. Een concept opstellen, een map aanmaken, een label toekennen. Dat mag hij prima zelfstandig doen.
- Omkeerbaar maar onzichtbaar. Gegevens in een systeem bijwerken, een bestand aanpassen. Kan zelfstandig, mits het wordt gelogd en terug te draaien is.
- Onomkeerbaar. Verzenden, verwijderen, publiceren, betalen, rechten toekennen. Hier hoort een mens die bevestigt, en dat is geen gebrek aan vertrouwen maar goed ontwerp.
Die derde categorie is precies waar het in het voorbeeld hierboven misging: niet in de kwaliteit van de concepten, maar in het weghalen van de knop.
Hoe begin je?
- Welke gereedschappen krijgt hij, en heeft de taak die allemaal nodig? Begin klein en breid uit.
- Met wiens rechten handelt hij? Zijn eigen account met beperkte rechten is beter dan de rechten van de gebruiker, want dan is het bereik expliciet.
- Welke acties zijn onomkeerbaar, en staat daar een bevestiging op?
- Wordt vastgelegd wat hij heeft gedaan, en kan iemand dat teruglezen?
- Leest hij inhoud van buiten? Zo ja, dan mag hij niet ook toegang hebben tot vertrouwelijke gegevens én iets naar buiten kunnen sturen.
Wat opvalt aan die vijf: er staat niets in over AI. Het zijn de vragen die je bij elk automatisch proces met rechten stelt, en dat maakt het overzichtelijk. Kies één taak, laat de agent eerst alleen omkeerbare stappen zelf doen, en lees na een paar weken in het logboek terug wat hij deed. Klopt dat, breid dan stap voor stap uit. Zo krijg je de tijdwinst, en blijft de knop voor verzenden een bewuste keuze.
