Noodstop voor AI-agents

Wat is een noodstop voor AI-agents?

Een noodstop voor AI-agents is de mogelijkheid om een agent meteen stil te leggen, op beslissing van een mens, en zeker te zijn dat hij ook echt stil ligt. Per agent als er eentje ontspoort, en voor alle agents tegelijk als je nog niet weet welke.

Een gewoon programma stoppen betekent een proces afsluiten. Een agent is meer dan een proces. Hij draait een loop die telkens de volgende stap beslist, hij heeft tool calls in de wachtrij die nog niet vertrokken zijn, hij heeft misschien een run gepland voor morgenvroeg, en hij houdt aanmeldgegevens vast die geldig blijven nadat het proces weg is. Sluit het proces af en de rest kan gewoon doorlopen.

Een echte noodstop moet dus vier dingen raken.

• De loop. De run die bezig is stopt, en de agent begint geen nieuwe beurt.

• De wachtrij. Tool calls die al beslist waren maar nog niet uitgevoerd, zoals de volgende honderd mails, worden geschrapt.

• De triggers. Geplande runs en gebeurtenissen die de agent wakker maken (een nieuwe mail, een nieuwe rij, een webhook) gaan uit, zodat hij morgen om zes uur niet opnieuw begint.

• De aanmeldgegevens. De identiteit, de tokens en de API-sleutels van de agent werken niet meer, zodat alles wat nog onderweg is aan de deur botst.

Drie situaties waarin een KMO een noodstop nodig heeft

De massamail door een foute trigger. Een verkoopagent stuurt een opvolgmail naar klanten van wie de offerte deze week vervallen is. Iemand past een filter aan, de query geeft plots de hele klantentabel terug, en de agent werkt die keurig af. Het proces afsluiten stopt het versturen. Het haalt de batch die de mailconnector al aanvaard heeft niet terug, en het belet de uurlijkse trigger niet om dezelfde run opnieuw te starten.

De loop die het tokenbudget opbrandt. Een agent die facturen afpunt botst op een leverancier die hij niet kan matchen, probeert een andere zoekopdracht, leest het resultaat, probeert opnieuw. Er loopt niets fout op een manier die een foutmelding geeft, dus stopt er ook niets, en bij betaling per token zie je het eerst op de factuur. Een plafond op het aantal beurten per run en een uitgavenlimiet bij de provider zijn de automatische laag. De noodstop is wat je indrukt als dat plafond te hoog stond.

De agent van een ex-collega. Een collega bouwde een agent onder zijn eigen account, deelde hem met de ploeg en vertrok twee maanden geleden. De agent leest nog altijd de gedeelde mailbox en boekt nog altijd in het ERP, want niemand heeft hem uitgezet toen ze de persoon uitzetten. De stop is hier een identiteitsstop: de agent heeft een eigen identiteit nodig die je kan intrekken, los van wie hem gebouwd heeft.

Wie drukt erop, en hoe snel

Een noodstop die enkel de bouwer kan bedienen, werkt niet tijdens het verlof. Leg op voorhand vast wie een agent mag stilleggen: de eigenaar die in je agentregister staat, elke IT-beheerder, en wie van wacht is. Schrijf de stappen uit in de tools die je effectief gebruikt, en probeer ze één keer uit op een onschuldige agent. Een stop die nooit getest is, is een gok.

Hoe snel het gaat, hangt af van waar de agent draait. Elk low-code-platform kan één flow of agent uitzetten, en dat dekt de loop en de triggers. Copilot Studio heeft daarbovenop een quarantaine-actie voor beheerders via de Power Platform API: de agent blijft zichtbaar, maar elk kanaal wordt geblokkeerd behalve het testvenster van de bouwer. Aan de kant van de aanmeldgegevens laat Microsoft Entra je één agentidentiteit uitschakelen met behoud van haar metadata, en er zijn Conditional Access-sjablonen (dat vraagt een Entra ID P1-licentie) die de uitgifte van tokens aan alle agentidentiteiten in de tenant in één keer blokkeren. Dat is de stop voor de hele vloot.

Nieuwe tokens blokkeren trekt de tokens die al uitgegeven zijn niet in. Toegangstokens van Entra blijven standaard een uur geldig, dus een agent kan verder werken met wat hij al in handen heeft tot dat uur om is, tenzij het systeem dat hij aanspreekt continuous access evaluation ondersteunt. Reken op een venster, niet op een klik.

Je kan enkel stoppen wat je weet dat bestaat, en enkel een identiteit intrekken die de agent ook heeft. Het agentregister zegt waar je moet kijken; de agentidentiteit is de hendel waaraan je trekt.

Noodstop versus circuit breaker

Allebei leggen ze iets stil, dus worden ze door elkaar gehaald. Het verschil zit in wie beslist.

Een circuit breaker springt op een drempel, automatisch: te veel mislukte calls naar een afhankelijkheid en hij gaat open, wacht, en probeert vanzelf opnieuw. Toegepast op agents is hetzelfde idee een plafond op het aantal beurten, een uitgavenlimiet, of een regel die een run stopt als het gedrag van zijn normale patroon afwijkt.

Een noodstop drukt een mens in, op basis van een oordeel, vaak op een moment dat er technisch niets misgaat. De massamail hierboven geeft geen enkele fout; elke verzending lukt. Geen enkele drempel vangt dat op. Iemand op kantoor merkt het, en die persoon moet het binnen de minuut kunnen stoppen.

Guardrails zijn het derde dat er vaak bij gehaald wordt. Die bepalen wat een agent mag doen terwijl hij draait; ze sturen gedrag, ze beëindigen het niet.

Wat de AI Act vraagt

De stopknop staat letterlijk in de verordening. Artikel 14 van de AI Act eist dat een AI-systeem met een hoog risico de mensen die erop toezien in staat stelt om in de werking in te grijpen of het systeem te onderbreken via een stopknop of een vergelijkbare procedure waarmee het systeem in een veilige toestand tot stilstand komt, en om te beslissen het systeem niet te gebruiken of zijn output te negeren, te overrulen of terug te draaien. Artikel 26 legt de gebruiker een bijpassende plicht op: wijs het menselijk toezicht toe aan mensen met de nodige competentie en bevoegdheid, en schors het gebruik van het systeem als je reden hebt om te denken dat het een risico vormt.

Twee dingen relativeren dat. De Digital Omnibus on AI van juli 2026 heeft de verplichtingen voor hoog risico uitgesteld: losstaande hoog-risicosystemen vallen eronder vanaf 2 december 2027, AI die ingebouwd zit in gereguleerde producten vanaf 2 augustus 2028. En de meeste agents die een KMO draait, zijn onder de wet helemaal geen hoog risico. De reden om de stop nu te bouwen is niet de deadline. "In een veilige toestand tot stilstand komen" is gewoon de juiste specificatie voor alles wat je klanten mailt of in je boekhouding schrijft. De OWASP Top 10 for Agentic Applications van december 2025 zet ontspoorde agents en cascadefouten bij zijn tien risico's, en Microsofts open-source Agent Governance Toolkit van april 2026 levert een kill switch voor het noodgedwongen stilleggen van agents als bouwsteen mee. De verwachting is intussen standaard.

Waar moet je op letten bij een noodstop voor AI-agents

Veilige toestand is niet hetzelfde als uit. Een agent die na stap twee van een boeking in drie stappen stopt, laat je boekhouding inconsistent achter. Beslis per agent wat een veilige stop is: de huidige stap afmaken of ze terugdraaien, maar niet bevriezen in het midden.

Geef de agent zijn eigen uitknop niet in handen. Is de stop een tool die de agent zelf kan aanroepen, dan kan een prompt injection ze aanroepen, of de agent overtuigen om het niet te doen. De stop zit in het platform en bij de identiteitsprovider, buiten het bereik van de agent.

Herstarten is een beslissing, geen reflex. Na een stop moet iemand zeggen waarom het gebeurd is en wat er veranderd is voor de agent weer aangaat. Copilot Studio maakt dat expliciet met een aparte unquarantine-oproep; je eigen procedure hoort dat ook te doen.