Goedkeuring voor AI-agents per risicovolle actie

Stel menselijke goedkeuring voor een AI-agent in per handeling en toolaanroep. Laat de agent afgebakende informatie lezen en concepten maken, maar pauzeer vóór publicatie, verwijdering, betaling of een systeemwijziging. Kijk daarbij naar de uitwerking van de aanroep: dezelfde koppeling kan gegevens ophalen én wijzigen.

Leg de grens vlak vóór de actie die gevolgen buiten de agent heeft. De OpenAI-handleiding voor guardrails en menselijke beoordeling noemt annuleringen, bewerkingen, shellcommando’s en gevoelige MCP-acties als redenen om een run vóór uitvoering te pauzeren. Automatische controles kunnen verzoeken en toolargumenten toetsen; als een mens moet beslissen, heeft de workflow daarnaast een echte goedkeuringsonderbreking nodig.

Bepaal het risico per handeling

Maak eerst een inventaris van de beschikbare toolaanroepen. Noteer voor elke aanroep wat zij leest of verandert, in welke omgeving dat gebeurt, wie het resultaat ontvangt en of de gevolgen terug te draaien zijn. Een opdracht om openbare productinformatie op te halen vraagt om een andere grens dan een opdracht die persoonsgegevens, geheime sleutels of klantgegevens kan ophalen.

Splits voorbereiding en uitvoering waar dat kan. Een conceptantwoord in een afgeschermde wachtrij heeft nog geen klant bereikt; de verzendactie wel. Plaats de goedkeuring daarom vóór het verzenden, wanneer de beoordelaar de definitieve inhoud, ontvanger, bijlagen en toolargumenten kan zien. Zo blijft voorbereidend werk mogelijk zonder dat toestemming voor een algemeen doel wordt opgevat als toestemming voor iedere concrete actie.

Een risicomatrix voor zes soorten acties

Deze matrix is een ontwerpaanbeveling voor een team, geen standaardbeleid van een platform. De precieze grens hangt af van de gegevens, bevoegdheden en aangesloten systemen. Binnen elke categorie kunnen gevoelige parameters een strengere regel vereisen.

Lezen — automatisch toestaan voor openbare of vooraf afgebakende interne informatie. Gebruik een beleidscontrole voor gevoelige bronnen: die toetst bijvoorbeeld of de agent deze gegevens voor deze taak mag ophalen. Een leesrecht is geen algemeen recht om alles uit een gekoppeld systeem op te vragen.
Concepten maken — automatisch toestaan in een niet-publieke omgeving waar het resultaat nog niets verzendt of toepast. Kan dezelfde tool het concept ook publiceren, beoordeel dan de gekozen bewerking en argumenten als een uitvoerende actie.
Publiceren — altijd vragen wanneer een bericht, pagina of antwoord externe ontvangers bereikt. Toon de definitieve tekst, bestemming en bijlagen. Een eerder goedgekeurd concept dekt geen later gewijzigde versie.
Verwijderen — altijd vragen voor bestanden, records of toegangsrechten. Controleer precies wat verdwijnt en uit welke omgeving. Zelfs bij een herstelmogelijkheid kan een gekoppeld proces intussen op de verwijdering reageren.
Betalen — altijd vragen vóór een betaling, terugbetaling of aankoop. Laat bedrag, valuta, begunstigde en opdracht zien. Een verzoek om kosten af te handelen is te ruim om als toestemming voor een specifieke transactie te dienen.
Systeemwijzigingen — altijd vragen voor rechten, configuratie, productiecode en operationele commando’s die iets kunnen aanpassen. Een beleidscontrole kan een verboden bestemming blokkeren, maar mag een vereiste menselijke beslissing niet ongemerkt vervangen.

Beleidscontrole is de tussenlaag voor handelingen waarvan het risico afhangt van de argumenten. Zij kan een aanroep binnen vastgelegde grenzen toestaan en een aanroep daarbuiten weigeren. Als de gevolgen niet betrouwbaar uit de aanvraag zijn af te leiden, is pauzeren verstandiger dan automatisch toestaan. De mens krijgt dan een concrete aanvraag, geen vage vraag of de agent zijn werk mag voortzetten.

Zet de matrix om in toolregels

Maak zo mogelijk afzonderlijke tools voor ophalen, voorbereiden en uitvoeren. Een agent kan dan een concept opstellen zonder toegang tot de verzendfunctie. Bij een tool die meerdere bewerkingen aanbiedt, moet de controle ook de gekozen bewerking, parameters en bestemming zien; alleen de toolnaam vertelt onvoldoende over het risico.

De permission policies voor Claude Managed Agents laten een beleid per toolset en een afwijkend beleid per tool toe. Met auto beoordeelt de server een aanroep en kan die uitvoeren, weigeren of ter goedkeuring pauzeren. Voor verplichte menselijke controle is always_ask nodig: auto kan een aanroep uitvoeren voordat iemand die ziet. Deze platformregels gelden voor de ingebouwde agenttools en MCP-tools; bij custom tools moet de applicatie zelf over uitvoering beslissen.

Leg ook vast wat er gebeurt wanneer een koppeling nieuwe functies krijgt. Een algemene toestemming voor een toolset kan anders een later toegevoegde schrijffunctie omvatten. Beoordeel nieuwe bewerkingen met dezelfde matrix en beperk de bevoegdheid in het aangesloten systeem zelf. Een goedkeuringsscherm is weinig waard als de agent dezelfde wijziging via een andere, ruimere tool kan uitvoeren.

Pauzeer en hervat zonder de actie te verdubbelen

Bewaar bij een onderbreking de voorgestelde actie en de toestand van de run zonder de ingreep alvast uit te voeren. Koppel een besluit aan de specifieke aanroep en haar argumenten. Na toestemming hervat de bestaande run; na afwijzing ontvangt de agent die uitkomst en blijft de geweigerde actie achterwege. Voor een aangepast voorstel begint de goedkeuringsvraag opnieuw.

Het LangGraph-voorbeeld met interrupt en checkpoint bewaart de toestand bij menselijke beoordeling en vervolgt de workflow na een besluit. Daar staat de beoordelingsstap vóór de stap die een antwoord zou verzenden. Het voorbeeld waarschuwt ook dat code vóór een interrupt bij hervatten opnieuw kan draaien; zet een handeling met neveneffecten daarom niet achteloos vóór die onderbreking.

Vergelijk vlak vóór uitvoering de goedgekeurde aanvraag met de actie die werkelijk zal worden uitgevoerd. Veranderen ontvanger, inhoud, omgeving, bedrag of andere bepalende argumenten, vraag opnieuw toestemming. Geef betalingen, verzendingen en vergelijkbare acties daarnaast een unieke uitvoeringssleutel of een gelijkwaardige voorziening tegen dubbele uitvoering. Zo leidt een technische herstart niet vanzelf tot dezelfde externe handeling.

Leg besluit én uitkomst vast

Bewaar per aanvraag de run, tool, relevante argumenten, toegepaste beleidsregel, beoordelaar en beslissing. Registreer afzonderlijk of de tool daarna is uitgevoerd en wat de uitkomst was: goedkeuring betekent nog niet dat de actie is geslaagd. Scherm gevoelige waarden in het log af, maar behoud genoeg context om later te zien welke concrete handeling toestemming kreeg.

Laat de beheerders van de aangesloten systemen de regels voor hun eigen acties nalopen. Zij weten welke schijnbaar kleine wijziging klanten raakt, rechten uitbreidt of moeilijk te herstellen is. Het werkbare resultaat is een regel per handeling: zelfstandig uitvoeren binnen een beperkte bevoegdheid, automatisch toetsen aan expliciete voorwaarden, of vóór uitvoering wachten op een bevoegde beoordelaar.