Organisaties zetten in hoog tempo AI-agents in om processen te automatiseren, gegevens te verwerken en medewerkers te ondersteunen. De beveiliging en het toezicht op deze digitale systemen blijven echter achter bij de snelheid waarmee zij worden ingevoerd. Dat blijkt uit het wereldwijde onderzoek Global CISO Insights 2026 van identiteits- en toegangsbeheerder Okta.
Uit het onderzoek komt naar voren dat 57 procent van de ondervraagde Chief Information Security Officers, oftewel CISO’s, zich ernstig zorgen maakt over beveiligingsincidenten die door kunstmatige intelligentie worden veroorzaakt. Tegelijkertijd heeft slechts 47 procent volledig inzicht in waar AI-agents binnen de organisatie actief zijn, over welke toegangsrechten zij beschikken en welke handelingen zij zelfstandig mogen uitvoeren.
AI-agents
AI-agents zijn softwaresystemen die namens een gebruiker of organisatie taken kunnen uitvoeren. Ze kunnen bijvoorbeeld informatie ophalen, gegevens aanpassen, processen starten of beslissingen voorbereiden. Omdat deze systemen steeds zelfstandiger opereren, beschouwt Okta ze als een nieuwe categorie digitale identiteiten. Net als medewerkers, leveranciers en externe partners moeten zij volgens het bedrijf een herkenbare eigenaar en duidelijk afgebakende bevoegdheden hebben.
In de praktijk blijkt dat beheer vaak nog onvoldoende geregeld. Zo maakt 81 procent van de CISO’s zich zorgen dat AI-agents te ruime toegangsrechten krijgen zonder dat die rechten regelmatig worden gecontroleerd. Toch zegt slechts een derde dat de raad van bestuur innovatie en beveiliging even zwaar laat meewegen. Volgens 49 procent krijgt vernieuwing binnen de organisatie voorrang boven digitale veiligheid.
Beveiligingsverantwoordelijken
Ook bestaat er geregeld verschil van inzicht tussen beveiligingsverantwoordelijken en de bedrijfsleiding. Slechts 31 procent van de CISO’s zegt volledig op één lijn te zitten met de directie en de raad van bestuur over de hoeveelheid AI-risico die acceptabel is. Minder dan de helft, 46 procent, ervaart dat bestuurders AI-beveiliging als een strategische voorwaarde voor innovatie beschouwen.
Opvallend is dat 21 procent van de organisaties AI-agents laat werken via gedeelde accounts of serviceaccounts met brede bevoegdheden. Daardoor kan het moeilijker worden om vast te stellen welke agent een bepaalde handeling heeft uitgevoerd. Bij één op de vijf organisaties beheren afzonderlijke teams AI-identiteiten bovendien op hun eigen manier, zonder organisatiebrede aanpak.
AI-governance
Bijna zes op de tien organisaties bevinden zich volgens het onderzoek nog op een laag volwassenheidsniveau wat betreft AI-governance. Twaalf procent beschikt helemaal niet over een consistente methode voor het beheren van AI-identiteiten. Van de ondervraagde CISO’s noemt 29 procent governance dan ook als de belangrijkste beveiligingsfunctionaliteit bij de inzet van AI-agents.
Volgens Stephen McDermid, Chief Security Officer voor de EMEA-regio bij Okta, worden autonome AI-systemen nog te vaak behandeld alsof het gewone gebruikers zijn. Dat is volgens hem riskant, omdat AI-agents veel sneller kunnen handelen en beslissingen kunnen nemen dan mensen.
Volwaardige digitale identiteit
Organisaties zouden iedere AI-agent daarom als een volwaardige digitale identiteit moeten beheren. Dat betekent dat duidelijk moet zijn wie verantwoordelijk is, welke gegevens en systemen toegankelijk zijn en wanneer toegangsrechten moeten worden ingetrokken. Continue controle en geautomatiseerde beveiligingsmaatregelen zijn volgens Okta noodzakelijk om de snelle ontwikkeling van AI bij te houden.