Waar Europa met de AI Act al enkele jaren werkt aan een breed wette­lijk kader voor kunst­ma­tige intel­li­gentie, kiest de Vere­nigde Staten voor­alsnog voor een veel voor­zich­ti­gere en meer gefrag­men­teerde aanpak. Toch begint ook in Washington de roep om concrete regels duide­lijker vorm te krijgen. Een nieuw wets­voor­stel richt zich speci­fiek op AI-agents: AI-systemen die zelf­standig hande­lingen kunnen uitvoeren en daarbij bijvoor­beeld toegang hebben tot soft­ware, data en inter­net­dien­sten.

Het gaat om de Stop Rogue AI Act, die begin september door de Ameri­kaanse afge­vaar­digden Josh Gott­heimer, een Demo­craat uit New Jersey, en Mike Lawler, een Repu­bli­kein uit New York, in het Huis van Afge­vaar­digden is geïn­tro­du­ceerd. Dat de initi­a­tief­ne­mers uit beide poli­tieke partijen komen, is opval­lend. AI-regu­le­ring ligt in de VS poli­tiek gevoelig, onder meer doordat stren­gere regel­ge­ving regel­matig wordt afgezet tegen de Ameri­kaanse ambitie om de tech­no­lo­gi­sche concur­ren­tie­strijd met China te winnen.

De Stop Rogue AI Act is overi­gens nog geen aange­nomen wet. Het voor­stel moet het Ameri­kaanse wetge­vings­proces nog door­lopen. Berichten dat de VS hiermee al zijn eerste fede­rale wet voor AI-agents heeft aange­nomen, lopen dus op de zaken vooruit.

AI-agents vragen om andere beveiliging

De aanlei­ding voor het voor­stel is de snelle opkomst van zoge­heten agentic AI. Anders dan een tradi­ti­o­nele chatbot, die vooral reageert op vragen van een gebruiker, kan een AI-agent zelf­standig een taak uitvoeren. Zo’n systeem kan bijvoor­beeld infor­matie verza­melen, soft­ware gebruiken, bestanden aanpassen, API’s aanspreken of andere digi­tale systemen bena­deren.

Daarmee veran­deren ook de risi­co’s. Een fout antwoord van een chatbot is verve­lend, maar een agent die op basis van een foutieve beslis­sing daad­wer­ke­lijk acties uitvoert, kan veel grotere gevolgen hebben.

Het Ameri­kaanse Nati­onal Insti­tute of Standards and Tech­no­logy, NIST, waar­schuwde daar eerder dit jaar al voor. De orga­ni­satie omschrijft AI-agents als systemen die kunnen plannen en zelf­standig acties kunnen onder­nemen die invloed hebben op echte digi­tale of fysieke omge­vingen. Daarbij kunnen onder andere aanvallen, mani­pu­latie en het kapen van agents een rol spelen. NIST begon daarom begin 2026 al met het verza­melen van infor­matie over manieren om derge­lijke systemen veiliger te ontwik­kelen en in te zetten.

NIST moet beveiligingsregels ontwikkelen

Met de Stop Rogue AI Act krijgt dat werk moge­lijk een veel forme­lere status. Het wets­voor­stel draagt het Ameri­kaanse minis­terie van Handel en NIST op om binnen een jaar na inwer­king­tre­ding richt­lijnen te ontwik­kelen voor het veilig inzetten van AI-agents.

Daarbij gaat het niet alleen om alge­mene prin­cipes. Volgens bericht­ge­ving over het wets­voor­stel moeten orga­ni­sa­ties bijvoor­beeld kunnen bijhouden welke AI-agents actief zijn. Die inven­taris moet machi­ne­lees­baar zijn, zodat ook geau­to­ma­ti­seerde bevei­li­gings­sys­temen ermee kunnen werken.

Daar­naast wordt gedacht aan mecha­nismen waarmee voort­du­rend kan worden gecon­tro­leerd welke acties agents uitvoeren. Ook zouden logs zodanig moeten worden inge­richt dat achteraf niet onge­merkt met de regi­stratie kan worden geknoeid. Verder moet duide­lijk zijn wie een AI-agent heeft ontwik­keld of gele­verd.

Het doel is daarmee vooral traceer­baar­heid en contro­leer­baar­heid. Wanneer een auto­nome AI-agent iets doet wat niet de bedoe­ling is, moet kunnen worden vast­ge­steld welke agent verant­woor­de­lijk was, wat het systeem precies heeft gedaan en waar het vandaan kwam.

Incident bij Hugging Face vergroot zorgen

De poli­tieke belang­stel­ling voor dit onder­werp is niet toevallig. Een recent bevei­li­gings­in­ci­dent waarbij tijdens veilig­heids­tests een AI-agent uit zijn afge­schermde testom­ge­ving wist te komen en systemen van AI-plat­form Hugging Face bena­derde, heeft de zorgen over auto­nome AI-systemen verder aange­wak­kerd.

Ook OpenAI kwam hier­door onder poli­tieke druk te staan. Het bedrijf liet Ameri­kaanse parle­men­ta­riërs weten te werken aan moge­lijk­heden om AI-systemen auto­ma­tisch uit te scha­kelen wanneer zij onge­wenst gedrag vertonen. In het Huis van Afge­vaar­digden is inmid­dels zelfs een afzon­der­lijke AI Kill Switch Act voor­ge­steld, die Ameri­kaanse auto­ri­teiten onder bepaalde omstan­dig­heden bevoegd­heden zou moeten geven om gevaar­lijke AI-systemen stil te leggen.

De Stop Rogue AI Act kiest een andere route. In plaats van vooral in te grijpen wanneer het fout gaat, moeten vooraf tech­ni­sche voor­zie­ningen worden aange­bracht waarmee agents beter kunnen worden gevolgd en gecon­tro­leerd.

Nog geen Amerikaanse AI Act

De ontwik­ke­ling is inte­res­sant omdat de Vere­nigde Staten hiermee lang­zaam opschuiven rich­ting meer formele AI-regu­le­ring. De aanpak verschilt echter funda­men­teel van die van de Euro­pese Unie.

Met de Euro­pese AI Act probeert Brussel één omvang­rijk wette­lijk raam­werk neer te zetten waarin AI-systemen op basis van hun risico worden inge­deeld en waarbij verschil­lende verplich­tingen gelden voor ontwik­ke­laars en gebrui­kers.

De Vere­nigde Staten hebben nog altijd geen verge­lijk­bare over­koe­pe­lende fede­rale AI-wet. In plaats daarvan ontstaat een lappen­deken van fede­rale regel­ge­ving voor speci­fieke toepas­singen, bestaande wetten die ook op AI worden toege­past en steeds meer regel­ge­ving op het niveau van afzon­der­lijke staten. Er bestaan bijvoor­beeld al fede­rale regels rond bepaalde vormen van door AI gege­ne­reerd beeld­ma­te­riaal, terwijl staten als Cali­fornië, Colo­rado, Texas en New York eigen AI-wetge­ving hebben ontwik­keld.

Het is daarom iets te simpel om te stellen dat de Vere­nigde Staten nu pas beginnen met AI-regu­le­ring. Die regu­le­ring bestaat op onder­delen al. Wel lijkt Washington een nieuwe fase in te gaan waarin ook de tech­ni­sche werking en bevei­li­ging van AI-systemen zelf nadruk­ke­lijker onder­werp van fede­rale wetge­ving worden.

Overheid als aanjager

Ook inte­res­sant is de manier waarop de Ameri­kaanse over­heid nieuwe stan­daarden kan afdwingen. De bevei­li­gings­richt­lijnen die uit de Stop Rogue AI Act moeten voort­komen, zouden niet nood­za­ke­lijk voor ieder Ameri­kaans bedrijf recht­streeks verplicht worden. Voor orga­ni­sa­ties die nieuwe contracten met de fede­rale over­heid willen afsluiten, kunnen ze echter wel een voor­waarde worden.

Dat kan de invloed van de regels aanzien­lijk vergroten. De Ameri­kaanse fede­rale over­heid is een enorme inkoper van tech­no­logie. Leve­ran­ciers die hun producten aan minis­te­ries en over­heids­in­stan­ties willen verkopen, zullen daar­door moge­lijk aan de nieuwe NIST-stan­daarden moeten voldoen. Vervol­gens ligt het voor de hand dat dezelfde bevei­li­gings­me­cha­nismen ook in commer­ciële producten worden toege­past.

Zo kan een aanvan­ke­lijk rela­tief beperkte fede­rale maat­regel uitein­de­lijk uitgroeien tot een veel bredere indu­strie­stan­daard.

Van vrijwillige afspraken naar regelgeving

Daarmee ontstaat lang­zaam een ander Ameri­kaans AI-land­schap. De VS hebben lange tijd sterk vertrouwd op inno­vatie door het bedrijfs­leven, vrij­wil­lige veilig­heids­af­spraken en bestaande wetge­ving. Tege­lij­ker­tijd groeit het besef dat vooral auto­nome AI-systemen nieuwe risico’s intro­du­ceren waar­voor die aanpak moge­lijk niet voldoende is.

Dat bete­kent nog niet dat Washington de Euro­pese aanpak over­neemt. Inte­gen­deel: een Ameri­kaanse variant van de AI Act is voor­lopig niet in zicht en binnen zowel de rege­ring als de tech­no­lo­gie­sector bestaat veel weer­stand tegen brede regel­ge­ving die de ontwik­ke­ling van AI zou kunnen vertragen.

Maar de Stop Rogue AI Act laat wel zien dat ook de Vere­nigde Staten beginnen met het bouwen van een meer concrete juri­di­sche en tech­ni­sche infra­struc­tuur rond AI. Niet via één groot regel­ge­vend pakket, maar stap voor stap en rond speci­fieke risi­co’s.

En juist AI-agents lijken daarbij een logisch begin­punt. Naar­mate AI niet alleen antwoorden gene­reert, maar ook zelf­standig soft­ware gebruikt, gege­vens bena­dert en beslis­singen uitvoert, wordt de vraag steeds urgenter wie zicht houdt op wat die systemen precies doen.

Europa begon zijn AI-regu­le­ring vooral vanuit de vraag welke risico’s AI voor mensen en samen­le­ving kan ople­veren. In de Vere­nigde Staten lijkt voor­lopig een andere route te ontstaan: eerst zorgen dat auto­nome AI-systemen tech­nisch te volgen, te contro­leren en zo nodig te stoppen zijn.