91% EMEA-organisaties getroffen door identiteitsincidenten
Uit het CyberArk Identity Security Landscape Report 2026 blijkt dat identiteitsbeveiliging de zwakste schakel is geworden in AI-governance. Machine identities en AI-agents vereisen een fundamenteel nieuwe aanpak van toegangsbeheer.
AI Identity Governance: Van Menselijke Accounts naar Machine Identities
De explosieve groei van AI-agents en machine identities maakt traditioneel IAM onvoldoende. De EU AI Act en NIS2 stellen nieuwe, concrete eisen aan hoe organisaties toegang tot AI-systemen beheren.
Het probleem in cijfers
Het CyberArk Identity Security Landscape Report 2026, gepubliceerd via Emerce, toont schrikbarende cijfers voor organisaties in EMEA en Nederland:
- 91% van EMEA-organisaties (en 90% in Nederland) trof een of meer identiteitsincidenten in 2025.
- 87% verwacht dat AI-gekoppelde identiteiten de snelst groeiende aanvalsvector worden.
- 38% van AI-agents heeft toegang tot gevoelige bedrijfsdata zonder passende governance.
- 43% van Nederlandse identiteiten heeft meer rechten dan nodig (privilege creep).
- 82% ervaart fragmentatie in tools als barrière voor detectie en respons.
- Gemiddelde verwachte impact: € 213.262 per organisatie per incident.
Voor organisaties die AI inzetten is dit geen puur IT-probleem meer. Identiteitsincidenten raken rechtstreeks de compliance-positie onder de EU AI Act en de NIS2-richtlijn.
Van menselijke gebruiker naar AI-agent: wat verandert er?
Traditioneel Identity & Access Management (IAM) richtte zich op menselijke gebruikers: medewerkers krijgen een account, rollen en rechten. AI-agents breken dat model op vier punten:
1. Machine identities vermenigvuldigen exponentieel
Waar een medewerker één account heeft, kan een AI-agent honderden subprocessen starten — elk met eigen credentials. Zonder automated governance ontbreekt elk overzicht.
2. AI-agents werken autonoom en onvoorspelbaar
Een AI-agent kan zelf besluiten data op te vragen bij een API, een document te wijzigen of een e-mail te versturen. Traditionele goedkeuringsworkflows zijn te traag en te statisch.
3. Geen "uitloggen" bij compromittatie
Als een AI-agent wordt gekraakt (bijvoorbeeld via prompt injection of credential theft), bestaat er geen equivalent van "uitloggen". De aanvaller beweegt lateraal door gehele systemen.
4. Supply chain-dreiging via AI-koppelingen
AI-agents koppelen systemen die voorheen gescheiden waren. Een kwetsbaarheid in één API kan via de AI-agent doorsijpelen naar gevoelige kernsystemen — de supply chain-aanval van de toekomst.
Wat de EU AI Act vereist: artikelen 9, 10, 14 en 15
De EU AI Act noemt identiteits- en toegangsgovernance impliciet in meerdere artikelen. Samen vormen ze een bindend kader dat organisaties nu moeten implementeren:
Artikel 9 — Risicobeheersysteem
Vereist een doorlopend risicobeheerproces dat "de meest waarschijnlijke en verstrekkende gevolgen" van een AI-systeem in kaart brengt. Identiteitsincidenten — met name via AI-agents — vallen hier expliciet onder als "cyberbeveiligingsrisico's".
Artikel 10 — Data governance
Vereist "passende maatregelen voor toegangsbeheer" op trainingsdata, validatiedata en testdata. Wie heeft toegang tot uw trainingscorpora? Wordt dat gelogd en geaudit? Zonder machine-identity governance is dit niet aantoonbaar.
Artikel 14 — Menselijk toezicht
Vereist dat hoog-risico AI-systemen "onder effectief menselijk toezicht" staan. Praktisch betekent dit: als een AI-agent een beslissing neemt of data opvraagt, moet een geautoriseerd persoon dat kunnen inzien, corrigeren of ongedaan maken. Dat vereist identiteitsbinding tussen agent en mens.
Artikel 15 — Nauwkeurigheid, robuustheid en cyberbeveiliging
Expliciet: hoog-risico AI moet "een passend niveau van [...] cyberbeveiliging" waarborgen, inclusief weerstand tegen "onbevoegde toegang". Identity governance voor AI-agents is hier een harde vereiste, geen aanbeveling.
NIS2 artikel 21: bestuurlijke verantwoordelijkheid voor identiteiten
De NIS2-richtlijn verplicht organisaties tot "beheer van netwerk- en informatiesystemen, inclusief preventie van onbevoegde toegang" (art. 21). Anders dan zijn voorganger eindigt de verantwoordelijkheid niet bij de eigen perimeter: u bent aansprakelijk voor uw hele supply chain, inclusief AI-leveranciers en hun identity-praktijken.
Het meest onderschatte aspect: bestuurders zijn persoonlijk aansprakelijk bij structurele nalatigheid. "Wij hadden het uitbesteed" is geen verweer meer. Dit maakt AI identity governance een boardroom-agendapunt.
ISO/IEC 42001: het governancekader voor AI-identiteiten
De internationale ISO/IEC 42001 biedt het meest concrete kader voor AI identity governance. Relevante paragrafen:
- §6.1.4 — Risico-evaluatie expliciet voor AI-systemen, inclusief toegangsrisico's en data-exfiltratie via agents.
- §8 — Operationele planning en uitvoering: organisaties moeten "passende processen" inrichten voor het beheer van AI-systemen gedurende hun hele levenscyclus. Dat omvat provisioning, monitoring en decommissioning van machine identities.
- A.8.2 — Informatiebeveiliging in AI-systemen: toegangsbeheer, encryptie en logging zijn auditverplicht.
Praktische stappen: van inzicht naar governance
VeriAi adviseert organisaties om AI identity governance op te bouwen in vier lagen, afgeleid van het VeriAi Compliance Framework:
1. Inventarisatie
Maak een volledig overzicht van alle AI-agents, hun API-keys, service accounts en gekoppelde systemen. Koppel elk aan een verantwoordelijke eigenaar en een business justification.
2. Least-privilege & just-in-time
AI-agents krijgen nooit standing access. Gebruik just-in-time elevation, korte-lived tokens en strikte scope-beperking. Review rechten maandelijks.
3. Gedragsmonitoring
Log elke actie van elke AI-agent: welke data werd opgevraagd, welke API's werden aangeroepen, welke beslissingen werden genomen. Stel anomaly detection in op basis van baseline-gedrag.
4. Menselijk toezicht & escalatie
Definieer duidelijk wanneer een AI-agent autonoom mag handelen en wanneer menselijke goedkeuring verplicht is. Documenteer escalatielijnen en test deze kwartaalijks.
Waarom dit nu urgent is
De handhaving van de EU AI Act is met ruim een jaar uitgesteld, maar dat geldt niet voor de cybersecurity-eisen in artikel 15. Bovendien geldt NIS2 reeds voor alle essentiële en belangrijke entiteiten. Organisaties die wachten op "volledige" AI Act-handhaving, lopen het risico nu al niet-compliant te zijn.
Daarnaast toont het CyberArk-rapport een duidelijke trend: aanvallers verschuiven van traditionele endpoints naar AI-agents en hun credentials. De organisaties die nu hun machine identities in orde brengen, verkleinen hun aanvalsoppervlak drastisch. Degene die wachten, worden het volgende nieuwsbericht.
Hoe VeriAi helpt
VeriAi voert onafhankelijke audits uit naar AI identity governance, gekoppeld aan het VeriAi Compliance Framework. We toetsen uw huidige IAM-praktijken tegen de eisen van de EU AI Act, NIS2 en ISO/IEC 42001, en leveren een concrete verbeterroadmap met prioritering op risico en compliance-impact.
Onze AI Act Implementatie en Gap Analysebevatten standaard een identity-governance-component. Plan een gratis quickscan om te bepalen waar uw organisatie staat.
Bron & inspiratie:
Dit artikel is gebaseerd op het CyberArk Identity Security Landscape Report 2026, gepubliceerd via Emerce (mei 2026). De analyses, vertaling naar EU AI Act/NIS2/ISO 42001 en aanbevelingen zijn van VeriAi.
Gerelateerde pagina's
AI Audit Diensten
Onafhankelijke AI audits volgens EU AI Act en ISO 42001
EU AI Act Gids
Alles over de Europese AI-wetgeving en uw verplichtingen
AI Compliance Framework
Vier pijlers van compliance en het maturity model
Consultancy & Training
Persoonlijke begeleiding en certificeringsprogramma's
Wat is een AI Audit?
Complete uitleg over het audit-proces
Risicoclassificatie
Hoe classificeer je AI-risico's volgens de AI Act?
ISO 42001 Standaarden
Internationale standaard voor AI management
AI Governance
Grip op verantwoorde inzet van AI