Bij acht op de tien grote organisaties in Europa en het Midden-​Oosten is het afgelopen jaar een AI-​gerelateerd incident geëscaleerd naar de directie of raad van bestuur. Toch heeft slechts 40 procent van deze organisaties naar aanleiding daarvan het beleid voor AI-​governance aangepast. Dat blijkt uit nieuw onderzoek van IBM. Vooral de snelle opkomst van autonome AI-​agents dreigt de bestaande maatregelen voor risicobeheer en cybersecurity verder onder druk te zetten.

AI is inmiddels niet meer uitsluitend een onderwerp voor IT-​afdelingen en innovatieteams. Naarmate organisaties kunstmatige intelligentie inzetten voor steeds belangrijkere bedrijfsprocessen, worden ook de risico’s zichtbaarder op bestuursniveau. Volgens een nieuw onderzoek van IBM heeft 80 procent van de ondervraagde bestuurders en senior managers het afgelopen jaar te maken gehad met een AI-​gerelateerd incident dat onder de aandacht van de directie of raad van bestuur werd gebracht.

Het gaat daarbij om uiteenlopende problemen, variërend van fouten door AI-​agents en onjuiste geautomatiseerde beslissingen tot blootstelling van gevoelige gegevens en beveiligingsincidenten. Opvallend is dat deze gebeurtenissen lang niet altijd leiden tot aanpassingen in de manier waarop organisaties AI beheren en controleren. Slechts vier op de tien organisaties die een incident meldden, hebben hun governancebeleid of bijbehorende raamwerken aangepast.

AI ontwikkelt zich sneller dan het toezicht

De uitkomsten wijzen op een groeiende kloof tussen de snelheid waarmee bedrijven AI invoeren en de ontwikkeling van maatregelen om de technologie verantwoord te gebruiken.

Die spanning komt duidelijk naar voren wanneer organisaties nieuwe AI-​toepassingen willen introduceren terwijl hun governance- en complianceprocessen daar nog niet volledig op zijn voorbereid. Van de ondervraagde bestuurders geeft 56 procent aan in zo’n situatie toch door te gaan met de implementatie, zolang de risico’s binnen vooraf afgesproken grenzen blijven. Een derde, 33 procent, stelt de introductie uit totdat de noodzakelijke governance is geregeld.

Daarmee kiezen veel organisaties voor een aanpak waarbij technische innovatie en risicobeheersing parallel worden ontwikkeld. Dat hoeft niet automatisch tot problemen te leiden, maar stelt wel hoge eisen aan het vermogen om nieuwe risico’s tijdig te herkennen en passende maatregelen te treffen.

Autonome AI-​agents vergroten de uitdagingen

Vooral de opkomst van zogeheten agentic AI maakt deze discussie urgenter. Anders dan traditionele AI-​toepassingen, die voornamelijk reageren op vragen of opdrachten van gebruikers, kunnen AI-​agents zelfstandig taken uitvoeren, informatie verzamelen en beslissingen nemen binnen vooraf ingestelde bevoegdheden.

Volgens het IBM-​onderzoek gebruikt 35 procent van de ondervraagde organisaties inmiddels agentic AI in productieomgevingen. Driekwart van de respondenten verwacht dat AI-​agents in 2027 over een bepaalde mate van zelfstandige beslissingsbevoegdheid zullen beschikken.

Daar staat tegenover dat slechts 37 procent aangeeft dat de huidige governance-​inrichting geschikt is om mee te groeien met een grootschaligere inzet van deze autonome systemen.

Voor IT- en securityteams brengt dit nieuwe vraagstukken met zich mee. Een AI-​agent die zelfstandig gegevens kan opvragen, applicaties kan aansturen of transacties kan uitvoeren, heeft immers toegang nodig tot bedrijfssystemen. Daarbij moeten organisaties bepalen welke handelingen een agent zelfstandig mag verrichten, hoe zijn activiteiten worden vastgelegd en wanneer menselijke goedkeuring noodzakelijk is.

Ook ontstaat de vraag wie verantwoordelijk is wanneer een agent een verkeerde beslissing neemt of onbedoeld vertrouwelijke informatie deelt. Naarmate meerdere agents met elkaar samenwerken, kan het bovendien ingewikkelder worden om achteraf vast te stellen welke handelingen tot een incident hebben geleid.

Verantwoordelijkheid is nog niet duidelijk geregeld

Hoewel vrijwel alle ondervraagde organisaties (98 procent) de verantwoordelijkheid voor AI​-risico’s formeel op bestuursniveau hebben belegd, blijkt de aansprakelijkheid voor fouten van autonome agents veel minder duidelijk.

Zo heeft 26 procent een speciale AI-​commissie op bestuursniveau ingesteld. Maar wanneer specifiek wordt gevraagd wie verantwoordelijk is voor de negatieve gevolgen van beslissingen door AI-​agents, ontbreekt een duidelijke consensus. De CIO of CTO wordt het vaakst genoemd, maar slechts door 17 procent van de respondenten.

Ook over de juridische aansprakelijkheid bestaat verdeeldheid. Een vijfde vindt dat deze evenredig verdeeld moet worden tussen de organisatie die AI inzet en de technologieleverancier. Andere respondenten pleiten voor aanvullende regelgeving of leggen de verantwoordelijkheid vooral bij de leverancier.

Volgens Ana Paula Assis, Senior Vice President en Chair EMEA en APAC bij IBM, is AI-​governance inmiddels veel meer dan een compliancevraagstuk. Zij stelt dat organisaties duidelijke grenzen moeten vastleggen voor wat AI-​agents zelfstandig mogen doen, wie verantwoordelijk is wanneer iets misgaat en welke controles in realtime noodzakelijk zijn.

Het onderzoek laat zien dat bedrijven daarbij onder meer behoefte hebben aan contractuele afspraken over aansprakelijkheid, duidelijke momenten waarop menselijke tussenkomst verplicht is, realtime monitoring en mogelijkheden om autonome agents onmiddellijk stil te leggen.

Ook leveranciers vormen een risico

Een ander aandachtspunt is de afhankelijkheid van externe technologiepartners. Meer dan de helft van de respondenten (54 procent) erkent dat hun governancebeleid onvoldoende zicht biedt op AI-​systemen en modellen die worden gebruikt door leveranciers, technologiepartners en andere partijen in de toeleveringsketen.

Slechts 21 procent monitort de AI​-risico’s van externe partijen continu. Nog minder organisaties, 13 procent, stellen eisen aan onafhankelijke controles of certificering.

Dat is relevant omdat AI-​toepassingen steeds vaker onderdeel worden van onderling verbonden bedrijfsprocessen. Een organisatie kan haar eigen AI-​systemen goed beveiligen, maar alsnog risico lopen wanneer een externe dienstverlener onvoldoende controle heeft over de AI-​agents die toegang hebben tot bedrijfsgegevens of applicaties.

Financiële risico’s nauwelijks in kaart gebracht

Hoewel AI​-risico’s inmiddels op de agenda van vrijwel iedere directie staan, ontbreekt bij veel organisaties een financiële onderbouwing van die risico’s. Slechts 37 procent beschikt over een formele, door het bestuur beoordeelde berekening van de mogelijke financiële gevolgen van tekortkomingen in AI-​governance.

Dat maakt het lastiger om investeringen in beveiliging, monitoring en risicobeheersing af te wegen tegen de verwachte voordelen van AI.

Ondertussen speelt regelgeving een steeds grotere rol. Binnen de Europese Unie geeft 41 procent van de ondervraagde bestuurders aan extra te investeren in AI-​governance met het oog op toekomstige verplichtingen onder de Europese AI Act. Nog eens 35 procent zegt volgens een gestructureerd complianceplan te werken.

De belangrijkste conclusie van het onderzoek is daarmee dat het gebruik van AI zich sneller ontwikkelt dan de bestuurlijke en organisatorische controle erop. Vooral autonome agents maken het noodzakelijk om niet alleen te bepalen wat AI technisch kan, maar ook welke bevoegdheden systemen krijgen, hoe hun gedrag wordt gecontroleerd en wie ingrijpt wanneer iets misgaat.

Over het onderzoek: IBM liet onderzoeksbureau Censuswide tussen 14 en 24 september 2026 in totaal 3.221 senior managers en bestuurders ondervragen bij organisaties met minimaal 1.000 werknemers. Het onderzoek vond plaats in Nederland, het Verenigd Koninkrijk, Frankrijk, Duitsland, Italië, Spanje, Saoedi-​Arabië en de Verenigde Arabische Emiraten. De uitkomsten hebben betrekking op de onderzochte grote organisaties en zijn niet zonder meer representatief voor alle bedrijven.