Persoonlijke agent

Wat is een persoonlijke agent?

Een persoonlijke agent is een AI-assistent die iemand voor zichzelf draait, met toegang tot zijn eigen bestanden, mail, browser en accounts. Hij staat op de laptop van die persoon, of op een dienst waar die zich met zijn eigen bankkaart voor ingeschreven heeft.

Een chatbot geeft je antwoord. Een persoonlijke agent gaat het gewoon doen: hij opent de mailbox, leest de bijlage, vult het formulier in, verstuurt het antwoord. Daarvoor heeft hij logins nodig, en die logins zijn die van de persoon zelf. Alles wat hij doet, komt aan de andere kant dus binnen op naam van die collega. De mailserver heeft geen assistent zien mailen. Hij heeft een collega zien mailen, want dat is het enige wat hij vaststelt.

Het is ook iets anders dan een agent die je bedrijf uitrolt. Zo'n bedrijfsagent heeft een eigenaar, een afgebakende opdracht die iemand goedgekeurd heeft, en meestal een eigen login. Een persoonlijke agent heeft één gebruiker, en die gebruiker is meteen ook de beheerder, de veiligheidscontrole en de enige getuige.

De drie vormen die je in de praktijk tegenkomt

Een gehoste assistent op een persoonlijke mailbox en agenda. Je meldt je één keer aan en vinkt een toestemmingsscherm af. Vanaf dan leest hij je mail, schrijft hij antwoorden voor en verzet hij dingen in je agenda. Dat ene scherm is de volledige toegangsbeslissing, en daarna wordt er niets meer gevraagd.

Een agent die je zelf op je laptop draait. Die heeft het bestandssysteem en meestal ook een shell. De rechtenmodellen zijn goed doordacht: Claude Code leest binnen de werkmap zonder te vragen en stopt voor goedkeuring bij shell-commando's buiten een ingebouwde leeslijst, met regels per commando die toelaten, vragen of weigeren. Er is ook een stand die alle vragen overslaat, en de documentatie van Anthropic zegt dat je die enkel gebruikt in afgeschermde omgevingen zoals containers of virtuele machines waar de agent geen schade kan aanrichten. Al die zorg hangt uiteindelijk af van één vermoeide collega die om half zes door de vragen klikt.

Een browseragent die al overal aangemeld is. Een agentic browser werkt binnen jouw sessie en erft dus elke site waar je ingelogd bent. Anthropic beschrijft voor Claude in Chrome een model dat per site toestemming vraagt, met eenmalig toelaten, altijd toelaten op deze site, of weigeren, en dat en houdt downloads, het invullen van gevoelige gegevens en het geven van machtigingen sowieso achter een bevestiging. Voor werk waar geld, berichten in jouw naam of belangrijke bestanden bij komen kijken, is het advies om erbij te blijven en mee te kijken. Die beheerdersinstellingen bestaan op Team- en Enterprise-abonnementen, dus op een persoonlijk abonnement beheert niemand iets.

Waarom collega's er zelf een installeren

Het Data Breach Investigations Report 2026 van Verizon telt 45 procent van de medewerkers die op bedrijfstoestellen regelmatig AI gebruiken, tegenover 15 procent een jaar eerder. Van die gebruikers gaat 67 procent naar de dienst via een account dat niet van het bedrijf is. Dat tweede cijfer telt hier het meest, want zo'n privéaccount is net waar een persoonlijke agent leeft.

Daar zit geen kwaad opzet achter. Iemand had negentig mails te sorteren, vond iets dat er twintig minuten van maakte, en gebruikte dat. Het bredere verschijnsel heet shadow AI, en een persoonlijke agent is er de krachtigste vorm van, want hij stopt niet bij antwoorden geven.

Wat er blootligt, en hoe zo'n lek loopt

Bedrijfsdocumenten in een dienst die je nooit beoordeeld hebt. Contracten, personeelsdossiers en klantgegevens gaan naar een leverancier waar je geen overeenkomst mee hebt, onder voorwaarden die niemand gelezen heeft, mogelijk buiten de EU.

Toegang die niemand gegeven heeft. De agent heeft alles wat die persoon heeft, ook de mappen waar die aan kan en die hij zelf nooit opent.

Instructies van buitenaf. Een webpagina of een binnenkomende mail kan tekst bevatten die voor de agent bedoeld is en niet voor de lezer. Iets dat onbetrouwbare input leest, privégegevens vasthoudt en kan versturen, is precies de vorm die de lethal trifecta beschrijft, en een persoonlijke agent is meestal alle drie tegelijk.

Zo wordt dat een lek zonder dat iemand iets slechts van plan is. Iemand van de loonadministratie bij een boekhoudkantoor van twintig mensen koppelt een gehoste assistent op haar eigen account aan haar werkmailbox, om te sorteren en antwoorden voor te bereiden. Een klant stuurt het loonbestand van het jaareinde als bijlage door. Ze vraagt een samenvatting, in haar eigen notitie-app, zodat ze thuis verder kan lezen. De assistent doet dat: hij haalt de bijlage op, stuurt ze naar de leverancier om ze te laten lezen, en schrijft namen, brutolonen en rijksregisternummers weg in een privéaccount buiten het kantoor. Elke stap was redelijk voor wie hem zette. Het kantoor blijft achter zonder overeenkomst die de doorgifte dekt, en met een maillog waarin enkel staat dat zij een bericht geopend heeft.

Zes maanden later gaat ze elders werken. Haar mailbox gaat dicht op haar laatste dag en haar laptop wordt gewist. Niets van dat alles raakt de assistent, want die stond op geen enkele lijst, en de samenvatting blijft gewoon staan.

Een persoonlijke agent tegenover een agent van het bedrijf

Ze doen hetzelfde werk. Ze verschillen op één punt, en de rest volgt daaruit: onder wiens identiteit de handelingen terechtkomen, en dus wie erop aangesproken wordt.

Een agent die het bedrijf uitrolt, krijgt een eigen login in je directory en is daarmee een non-human identity met een eigenaar op naam. Je geeft rechten aan hem in plaats van ze van iemand te lenen, hij schrijft zijn eigen regels in de log, en je zet hem 's namiddags af zonder aan iemands account te komen.

Een persoonlijke agent leent een persoon. Zijn rechten zijn wat die persoon heeft, zijn logregels zijn diens logregels, en afzetten betekent het vragen of dat account blokkeren. De verantwoordelijkheid splitst dan op de slechtst mogelijke manier: de collega draagt handelingen waar ze misschien niet naar gekeken heeft, en het bedrijf draagt een tool die het nooit gekozen heeft. Geen van beiden kan achteraf tonen welke handeling van wie was.

Waar jij als werkgever voor opdraait

Onder de AVG ben jij de verwerkingsverantwoordelijke voor persoonsgegevens van je personeel en je klanten. De EDPB zegt het onomwonden in zijn richtsnoeren over de begrippen verwerkingsverantwoordelijke en verwerker, aangenomen in juli 2021: bepaalde verwerkingen horen van nature bij de rol van een organisatie, en een werkgever die gegevens over zijn werknemers verwerkt is het voorbeeld dat er zelf bij staat. Dat verandert niet omdat de software gekozen is door wie het werk doet.

De AI Act komt op hetzelfde neer. Artikel 3(4) omschrijft een gebruiksverantwoordelijke als een persoon of organisatie die een AI-systeem onder eigen verantwoordelijkheid gebruikt, behalve wanneer dat gebeurt in het kader van een persoonlijke niet-beroepsactiviteit. Een assistent waarmee je medewerker zijn werk doet, valt niet onder die uitzondering, dus liggen de plichten van de gebruiksverantwoordelijke bij jou. Daar hoort ook artikel 4 bij, dat je vraagt maatregelen te nemen die de AI-geletterdheid ondersteunen bij de mensen die namens jou met AI-systemen werken. Dat is het punt waarop een AI-gebruiksbeleid geen papierwerk meer is.

"Een medewerker heeft het geïnstalleerd" is geen maatregel. Het is een beschrijving van het gat.

Wat een klein bedrijf hieraan kan doen, van meest naar minst nuttig

1. Zet op één blad wat mag. Noem de tools die mensen mogen gebruiken, de gegevens die nooit buiten gaan, en één iemand aan wie ze het kunnen vragen. Een verbod dat niemand volgt, verplaatst hetzelfde gedrag gewoon naar privé-gsm's.

2. Geef mensen een goedgekeurd alternatief. Dit is de enige stap die gedrag verandert in plaats van het te beschrijven. Het moet er staan in de week dat het beleid landt, en het moet goed genoeg zijn voor het dagelijkse geval, anders blijft de persoonlijke versie staan.

3. Hou bedrijfsdata op plekken waar je toegang kan geven en weer intrekken. Documenten in een beheerde werkomgeving deel je met een agent en kan je weer afnemen. Documenten in een privé-notitie-app bereik je niet, en dus haal je ze ook niet terug.

4. Trek de identiteiten uit elkaar. Waar het werk echt een agent nodig heeft, geef je hem een eigen login met eigen rechten, zodat de log de twee uit elkaar houdt en je de ene kan intrekken zonder de andere.

Daar heb je geen aankoop van een platform voor nodig. Je hebt een beslissing nodig over welke agents je kent, en die hebben de meeste bedrijven nog niet genomen.