Vier thema’s
Waar de principes worden toegepast: agents zonder drift, harde beheersmaatregelen, compliance als automatisering en gegevens binnen grenzen.
Agents zonder drift inzetten
Splits autonome codeeragents op in vier afzonderlijke lussen, elk met meetbare voortgangsregels.
- Werk wordt branch per branch opgeleverd: onafhankelijke review, een automatische scan die organisatiegegevens blokkeert en een merge die de eigenaar goedkeurt.
- Reviewers zijn gebonden aan de exacte commit; zware taken draaien een voor een.
- Eén gedeelde core-repository met instanties per organisatie.
Eerst harde beheersmaatregelen
Sandboxing, isolatie en beperkte toegangsgegevens beschermen meer dan prompts of instructiebestanden.
- Stuur AI-agents aan als capabele maar feilbare uitvoerders.
- Het ontwerp voor een kleine, modelvrije host-agent: hij zou alleen commando’s van een toelatingslijst uitvoeren via git, met ondertekende berichten en zonder inkomende poort.
Compliance als automatisering
ISMS-werking, risicoregisters en beveiligingstaken kunnen als automatisering draaien in plaats van in spreadsheets.
- ISO 27001- en SOC 2-programma’s: audits en hiaatanalyse.
- Een hiërarchisch GRC-kader op de CSA Cloud Controls Matrix, met geautomatiseerde mapping van beheersmaatregelen en taakworkflows voor ISMS-audits.
- Gereedheid voor de EU Cyber Resilience Act en de AI Act.
Gegevens binnen grenzen
Gegevens ophalen via een geauthenticeerde browsersessie die een gebruiker al kan zien, wanneer officiële API’s of exports tekortschieten, met de juridische, contractuele en beveiligingsgrenzen duidelijk benoemd.
- Analyse en visuele weergave in SQL, Python en BI voor rapportage over beheersmaatregelen en risico’s.
Semantisch web en kennisgrafen
Kennis, eisen en bewijs kun je het best bijhouden als een graaf van gekoppelde uitspraken, waarin elke koppeling aangeeft hoe betrouwbaar ze is.
- Uitspraken zijn knopen en de stappen ertussen zijn bogen; het vertrouwen groeit wanneer onafhankelijke routes overeenkomen, niet wanneer één bron wordt herhaald.
- Twee modellen met elkaar verbinden zonder één gedeelde woordenschat af te dwingen: elk model beschrijft zichzelf, en elke beweerde koppeling met een ander model is een expliciet, controleerbaar object.
- Een definitie opsplitsen in een paar basisrelaties, zodat te zien is dat ‘president’ en ‘bedrijfsleider’ dezelfde structuur delen.
Lees: Compliance als graaf, niet als spreadsheet Gerelateerde projecten →
Herkomst van data en vertrouwen
Een getal op een dashboard is het einde van een keten van stappen en verdient daarom dezelfde bewijscontroles als een compliancebewering.
- Elke afgeleide kolom of metriek wordt behandeld als een bewering, met een vertrouwensscore die wordt berekend uit waarvan ze is afgeleid.
- Definities en vertalingen tussen modellen dragen een vermelde datum, zodat een gewijzigde definitie een beoordeling afdwingt in plaats van stilzwijgend te worden overgenomen.
- Een manier om een onbekend systeem, zoals een API of een andere agent, in gebruik te nemen: begin met een generiek sjabloon, vul dat aan met queries en pas het traceerbaar aan.
Dit zijn specificaties en uitgewerkte voorbeelden, geen gevalideerde resultaten.