Kort antwoord
Ja, een AI-agent mag onder de AI Act zelfstandig handelen zolang de taak niet op bijlage III staat en niet onder artikel 5 valt. Facturen matchen, inkooporders plaatsen of mail sorteren is minimaal risico; de wet eist daar geen menselijke goedkeuring, jouw mandaat wel. Zodra de agent besluit over mensen (sollicitanten rangschikken, kredietwaardigheid beoordelen) is het hoog-risico vanaf 2 december 2027 en moet een competent mens het besluit nemen, met logs die je minstens zes maanden bewaart. Nu al geldt de AVG: geen besluit met rechtsgevolg uitsluitend door de machine.
Van lezen naar doen.
De definitie van een AI-systeem in artikel 3 van de AI Act bevat het woord "autonomie" al: een systeem "designed to operate with varying levels of autonomy". Autonoom handelen is dus niet wat de wet bijzonder maakt; het is het uitgangspunt van elke AI die onder de wet valt.
Een aparte categorie voor agents bestaat niet. De verordening kijkt naar wat een systeem doet en voor wie, en die vraag stel je per taak, niet per agent.
Dat is goed nieuws en slecht nieuws tegelijk. Goed: een agent die facturen matcht of inkooporders plaatst, hoeft van de AI Act geen mens om toestemming te vragen.
Slecht: dezelfde agent die ook sollicitanten voorsorteert, valt voor díe taak vanaf 2 december 2027 onder de hoog-risico-regels, en nu al onder artikel 22 van de AVG.
Deze pagina zet acht taken die MKB-agents in de praktijk krijgen langs de wet, met per taak de categorie, de menselijke controle die wij eisen, de logplicht en wie de rekening draagt als het misgaat. Daarna het agent-mandaat dat wij laten vastleggen vóór een agent iets mag doen, en hoe je dat mandaat technisch afdwingt met de tool-permissies en MCP-scopes van Claude.
Voor de vraag of een toepassing überhaupt op bijlage III staat, met alle uitzonderingen van artikel 6, is de zusterpagina over de hoog-risico-check per toepassing de plek; die lijst herhalen we hier niet. Voor de meldplicht van een chatbot die met klanten praat zie de AI Act-check voor chatbots; voor een AI-telefonist komt een eigen check.
Waarom "autonoom" niets zegt over de categorie
Een agent is in de praktijk één model met toegang tot meerdere tools: mailbox, boekhouding, ERP, CRM, een deploy-pipeline. Juridisch is elke tool-actie een taak met een eigen doel, en de AI Act classificeert op dat doel.
Drie lagen bepalen de uitkomst. Artikel 5 verbiedt een korte lijst praktijken, waaronder het afleiden van emoties van werknemers op de werkvloer; bijlage III maakt onder meer werving en selectie en kredietbeoordeling van natuurlijke personen hoog-risico; artikel 50 verplicht een melding zodra het systeem rechtstreeks met mensen communiceert.
Alles wat daar niet onder valt is minimaal risico. De wet stelt daar geen eisen aan menselijke controle, en dat is precies waar de meeste agent-taken van een MKB-bedrijf zitten.
De valkuil zit in de mix. Een "inbox-agent" die ook sollicitatiemails beoordeelt, doet twee taken met twee categorieën, en de zwaarste bepaalt wat je moet regelen voor dat deel.
De vraag die telt: besluit de agent over dingen of over mensen?
Een agent die documenten verwerkt (facturen, orders, offertes) neemt besluiten over transacties. Een agent die mensen beoordeelt (kandidaten, kredietaanvragers, klanten met een klacht) neemt besluiten over natuurlijke personen, en daar begint het toezicht van de wet.
Bijlage III noemt bij werving expliciet het analyseren en filteren van sollicitaties en het beoordelen van kandidaten, en bij krediet het beoordelen van de kredietwaardigheid van natuurlijke personen, met als uitzondering fraudedetectie.
Onze lezing: een eenmanszaak heeft geen eigen rechtspersoonlijkheid, dus de ondernemer is een natuurlijke persoon, en wij behandelen kredietbeslissingen over zzp'ers daarom als 5(b). Bijlage III noemt eenmanszaken niet met zoveel woorden; laat dit door een jurist toetsen.
Los van de AI Act geldt sinds 2018 artikel 22 AVG: niemand mag worden onderworpen aan een besluit dat uitsluitend op geautomatiseerde verwerking berust en rechtsgevolgen heeft of de persoon anderszins aanmerkelijk treft, behalve bij contractnoodzaak, wettelijke basis of uitdrukkelijke toestemming. Dat artikel wacht niet op 2027.
Welk model je daarvoor kiest en welke verwerkersovereenkomst erbij hoort, staat op de pagina welk AI-model is AVG-proof; hier gaat het om wat de agent mag doen, niet om waar de data staat.
Risicotabel: acht agenttaken langs de AI Act
De tabel hieronder is eigen werk. Elke categorie is herleid naar de artikel- en bijlagepagina's die op 18 september 2026 zijn geraadpleegd; de kolom "controle" is onze praktijk, geen wettekst, behalve waar een artikel staat.
| Agenttaak | Categorie AI Act | Menselijke controle | Logging | Aansprakelijkheid |
|---|---|---|---|---|
| Inbox-triage: mail sorteren, labelen, doorzetten | Minimaal; art. 50 zodra de agent zelf klanten antwoordt; sollicitatiemail beoordelen = bijlage III 4(a) | On-the-loop: wekelijkse steekproef, mens antwoordt zelf op alles met gevolgen | Geen wettelijke plicht; wij loggen elke actie | Contract met de bouwer; jouw mandaat |
| Offertes opstellen | Minimaal; art. 50 als de agent rechtstreeks met de klant chat | In-the-loop: agent maakt concept, mens verzendt | Concept, wijzigingen en verzender | Een verkeerde prijs is jouw aanbod: prijsgrens in het mandaat |
| Facturen matchen en boeken | Minimaal: besluit over documenten, niet over personen | Drempel: automatisch onder een bedrag en afwijking die jij vastlegt, daarboven goedkeuring | Volledig auditlog per boeking | Jij blijft verantwoordelijk voor je administratie |
| Inkooporders plaatsen | Minimaal | Spend limit per order en per maand, daarboven in-the-loop | Leverancier, bedrag, goedkeurder | Een order is een rechtshandeling namens jou: mandaat op papier |
| Cv's screenen, sollicitanten rangschikken | Hoog-risico bijlage III 4(a) vanaf 2 december 2027; nu al art. 22 AVG | In-the-loop verplicht: mens met competentie en bevoegdheid neemt het besluit (art. 26 lid 2) | Logs van art. 12, minstens zes maanden bewaren (art. 26 lid 6); kandidaat informeren (art. 26 lid 11) | Deployer-plichten; boete tot €15 mln of 3% (art. 99) |
| Kredietbeslissing over een consument of eenmanszaak | Hoog-risico bijlage III 5(b) vanaf 2 december 2027, behalve fraudedetectie (eenmanszaak: eigen lezing, jurist laten toetsen); nu al art. 22 AVG | In-the-loop: agent adviseert, mens beslist en kan afwijken | Als hierboven | Als hierboven |
| Terugbetalingen aan klanten | Minimaal; art. 50 als het via een chatbot loopt | Drempel: automatisch onder een vast bedrag, daarboven goedkeuring; nooit boven het orderbedrag | Bedrag, reden, order, goedkeurder | Geld dat weg is, is jouw schade: limiet en kill switch |
| Code deployen naar productie | Minimaal; bijlage I als je software een veiligheidscomponent van een CE-product is (vanaf 2 augustus 2028) | In-the-loop: review en expliciete goedkeuring vóór productie | Diff, tests, goedkeurder, rollback-punt | Productaansprakelijkheid: software is een product |
Geen van de acht taken is verboden onder artikel 5. De grens ligt dichterbij dan je denkt: een HR-agent die uit de toon van mails de "instelling" van medewerkers afleidt, doet emotieherkenning op de werkvloer, en dat is wél verboden.
Twee taken zijn hoog-risico. Dat betekent niet dat je ze niet mag automatiseren; het betekent dat de agent adviseert en een mens beslist, en dat je dat kunt bewijzen.
Vier niveaus van menselijke controle, en welk niveau de wet eist
Wij onderscheiden vier niveaus: in-the-loop (mens keurt elke actie goed vóór uitvoering), on-the-loop (agent handelt, mens kijkt mee en kan ingrijpen), drempel (automatisch onder een grens, goedkeuring erboven) en out-of-the-loop (agent handelt, mens ziet alleen het rapport).
Voor hoog-risico schrijft artikel 14 voor dat het systeem zo is ontworpen dat mensen het effectief kunnen overzien, en dat die mensen de mogelijkheden en beperkingen begrijpen. Artikel 26 legt bij jou als gebruiksverantwoordelijke de plicht om dat toezicht toe te wijzen aan personen met de nodige competentie, opleiding en bevoegdheid.
Vertaald naar de tabel: bij cv-screening en kredietbeslissingen is out-of-the-loop uitgesloten en is een drempel alleen een hulpmiddel, niet het besluit. Wie het toezicht krijgt, moet ook mogen afwijken van wat de agent voorstelt.
Voor minimaal-risico-taken kies je het niveau zelf. Onze regel: drempel voor alles met geld, on-the-loop voor alles zonder gevolgen naar buiten, in-the-loop voor alles wat een klant of leverancier te zien krijgt. Welke systeemrechten daarbij horen, per koppeling, staat in de toegangstabel bij human in the loop.
Dat toezicht vraagt ook opgeleide mensen, en die plicht bestaat al sinds februari 2025; de pagina over de AI-geletterdheidsplicht van artikel 4 werkt uit wat "voldoende" daar betekent.
Logging: wat artikel 12 en 26 eisen, en wat wij altijd bouwen
Artikel 12 verplicht dat een hoog-risico-systeem technisch in staat is om gebeurtenissen automatisch te loggen gedurende zijn levensduur. Dat is een eis aan de aanbieder, dus aan wie de agent bouwt.
Artikel 26 lid 6 legt de spiegel bij de gebruiker: bewaar die logs minstens zes maanden, tenzij ander recht een langere termijn vraagt. Artikel 26 lid 11 verplicht je bovendien mensen te informeren dat een hoog-risico-systeem meebeslist over hen.
Wie een besluit krijgt dat op zo'n systeem berust en rechtsgevolgen heeft, kan onder artikel 86 om een duidelijke uitleg vragen over de rol van het systeem. Zonder log kun je die uitleg niet geven.
Voor minimaal-risico-agents bestaat geen logplicht. Wij bouwen hem toch in, omdat een agent zonder log niet te debuggen, niet te verzekeren en niet te verdedigen is.
Wat er per actie in ons log staat: het verzoek dat de agent kreeg, de tool die hij aanriep met welke parameters, het resultaat, wie goedkeurde als er een drempel was, en het model plus de versie. Dat log leeft buiten de agent, zodat de agent het niet zelf kan aanpassen.
Aansprakelijkheid: wie betaalt als de agent het fout doet
Twee Europese regels bepalen het speelveld, en de stand van 18 september 2026 is ongebruikelijk. De Productaansprakelijkheidsrichtlijn 2024/2853 rekent software voortaan als product voor risicoaansprakelijkheid, ongeacht of het lokaal draait, via de cloud of als SaaS; ze geldt voor producten die na 9 december 2026 op de markt komen.
De aparte AI-aansprakelijkheidsrichtlijn, die bewijslast bij AI-schade zou verlichten, is er niet gekomen: de Commissie heeft het voorstel 2022/0303(COD) op 6 oktober 2025 ingetrokken. Er is dus geen EU-brede regel die zegt wie bij een agent-fout de schuld moet bewijzen.
In de praktijk betekent dat: je contract met de bouwer of het platform en je eigen mandaat bepalen wie wat draagt. Een agent die een inkooporder plaatst, handelt namens jou; de leverancier hoeft niet te weten dat het een agent was.
Dit is geen juridisch advies. Bij een agent die geld uitgeeft of over mensen beslist, laat je het mandaat en het contract door een jurist lezen; wij leveren de feitelijke beschrijving van wat de agent kan.
Het agent-mandaat: wat je vastlegt vóór een agent mag handelen
Bij ons gaat geen agent live zonder een mandaat van één pagina, ondertekend door de eigenaar van het proces. Het is geen juridisch document maar een werkinstructie, en het is meteen het bewijs dat je bewust hebt gekozen.
- Scope: welke taken de agent mag doen, en welke expliciet niet (de lijst "niet" is belangrijker dan de lijst "wel").
- Systemen en rechten: per systeem lezen, schrijven of beide, per entiteit (wel facturen aanmaken, geen crediteuren wijzigen).
- Spend limits: maximum per actie, per dag en per maand; daarboven stopt de agent en vraagt hij.
- Goedkeurdrempels: welke acties altijd een mens vereisen, en wie die mens is als de eigenaar er niet is.
- Kill switch: wie de agent per direct mag stopzetten, hoe, en wat er dan met lopende acties gebeurt.
- Auditlog: waar het log staat, wie het leest, hoe vaak, en hoe lang je het bewaart (zes maanden is het wettelijke minimum bij hoog-risico).
- Eigenaar: één naam die verantwoordelijk is voor het gedrag van de agent, ook tegenover klanten.
- Dataklassen: welke gegevens de agent mag zien en welke nooit in een prompt mogen; dit sluit aan op je AI-beleid voor medewerkers.
- Herbeoordeling: een vaste datum waarop je de scope, de limieten en de categorie opnieuw toetst, bijvoorbeeld na een modelwissel.
Het mandaat is ook het document dat je een toezichthouder laat zien. Het toont dat je per taak hebt nagedacht over categorie en controle, wat de wet bij hoog-risico expliciet vraagt en bij de rest slim is.
Zo dwingen we het mandaat technisch af met Claude
Een mandaat op papier werkt alleen als de agent het niet kán overtreden. Wij bouwen agents standaard op Claude, en de Claude-API en de Agent SDK hebben daarvoor bruikbare knoppen; wat hieronder staat komt uit de documentatie van Anthropic, niet uit onze verbeelding.
Eén actie per beurt. De tool-use-documentatie beschrijft tool_choice met disable_parallel_tool_use: true: het model doet dan hooguit één tool-aanroep per beurt. Voor een agent die geld uitgeeft is dat de basis, omdat elke actie apart langs je drempel kan.
Strikte schema's. Met strict: true op een tool-definitie garandeert de API dat de aanroep exact het schema volgt, maar de documentatie over structured outputs noemt numerieke grenzen zoals minimum en maximum expliciet als niet ondersteund; de SDK's halen ze uit het schema en zetten ze alleen in de beschrijving. Een bedrag begrens je dus met een enum van toegestane waarden, of je valideert het bedrag ná de tool-aanroep in eigen code; maximum is geen harde grens.
Scopes per tool via MCP. In de MCP-connector koppel je een server met een mcp_toolset waarin je per tool enabled op true of false zet; een boekhoud-MCP kan zo alleen lezen en factuurregels aanmaken, terwijl de tool die crediteuren wijzigt uitstaat. Het OAuth-token dat je aan de server meegeeft bepaalt daarnaast wat de server zelf toestaat.
Permissies in de Agent SDK. De permissiedocumentatie beschrijft een vaste volgorde: eerst hooks, dan deny-regels, dan ask-regels, dan allow-regels, en pas daarna de canUseTool-callback. Een deny-regel wint zelfs in de modus die verder alles toestaat, en een ask-regel gaat altijd naar de callback.
Die callback is jouw goedkeurdrempel in code: de agent vraagt, jouw systeem beslist op basis van bedrag, entiteit of tijdstip, en een mens krijgt de vraag alleen boven de grens. In de modus dontAsk wordt een onbesliste aanroep geweigerd in plaats van doorgelaten.
Kill switch en log. De hook-laag draait vóór elke tool-aanroep en kan hem weigeren; daar hangt onze noodstop en daar schrijven we het auditlog, buiten bereik van het model. De agent kan zijn eigen log dus niet herschrijven.
Eerlijk over de concurrentie: OpenAI en Microsoft hebben eigen guardrail-lagen, en welke het best bij welk agent-type past staat op de pagina over agent-platforms van Claude, OpenAI en Copilot. Hoe MCP zelf werkt, met hosts, clients en servers, leggen we uit op wat is MCP.
Tijdlijn en boetes voor agents
De datums komen uit artikel 113 in de tekst zoals die sinds de Omnibus-wijziging (Verordening (EU) 2026/1744) luidt.
- Sinds 2 februari 2025: artikel 5 (verboden praktijken) en artikel 4 (AI-geletterdheid).
- Sinds 2 augustus 2026: transparantieplicht van artikel 50; deze datum is niet verschoven.
- 2 december 2027: hoog-risico onder bijlage III, dus cv-screening en kredietbeoordeling door een agent.
- 2 augustus 2028: hoog-risico onder bijlage I, voor AI als veiligheidscomponent in CE-producten.
De boetes staan in artikel 99: tot €35 miljoen of 7% van je wereldwijde jaaromzet bij een verboden praktijk, tot €15 miljoen of 3% als je de plichten van gebruiksverantwoordelijken (artikel 26) of de transparantieplicht (artikel 50) schendt. Voor MKB geldt van beide de laagste.
Een agent die vandaag al draait, valt dus nu alleen onder artikel 5, artikel 50 en de AVG. De hoog-risico-plichten komen over ruim een jaar, en een agent die je nu bouwt met mandaat en log, hoeft in 2027 alleen zijn dossier op orde te hebben.
Wat het kost om dit uit te zoeken en te bouwen
De juridische kant doen wij als AI Act Quick Scan: €4.500-€8.500, afhankelijk van het aantal AI-systemen (bron: onze eigen prijsband in data/service-features/eu-ai-act-compliance-advies.ts). Voor een agent levert dat per taak de categorie, het vereiste controleniveau en het mandaat op.
De bouw van de agent zelf valt in de banden op onze dienstpagina AI-agents: Voice- of RPA-agent vanaf €1.500 setup, Basis agent €2.500 setup + €350/maand, Geavanceerd €4.500 setup + €500/maand (bron: data/services/ai-agents.ts). Een agent met drempels, kill switch en extern auditlog zit in de geavanceerde band.
Koppelt de agent op je boekhouding of ERP via een eigen MCP-server, dan komt de bouw daarvan erbij; de pagina over MCP-server-kosten rekent die post apart uit. Het overzicht van alle AI-kosten voor een MKB-bedrijf staat in de cluster-index AI-modellen vergelijken.
Wij zijn Claude-first en bouwen agents standaard op Claude, omdat de permissielaag hierboven precies doet wat een mandaat vraagt; wij zijn daarnaast Microsoft-reseller via Pax8, dus een Copilot-route bespreken we net zo eerlijk. Wil je weten in welke categorie jouw agent valt, bel 085 016 0118 of stuur een bericht en we leggen je taken in een half uur langs de tabel.
Wanneer je een agent níet zelfstandig laat handelen
Er zijn drie situaties waarin wij een agent alleen als adviseur bouwen, ook al mag het wettelijk meer: besluiten over mensen, bedragen die een maandmarge overstijgen, en acties die niet terug te draaien zijn. Een mail naar een klant of een deploy zonder rollback-punt valt in die derde groep.
Alles daaronder mag de agent zelf, binnen het mandaat, met het log als getuige. Dat is geen juridische eis maar de reden dat onze agents na een half jaar nog draaien.
Opgesteld met AI-ondersteuning, geredigeerd en inhoudelijk verantwoord door Bram Dokman.
