Een decision-rights register maakt zichtbaar welke AI-agent een investeringsbesluit mocht nemen en wie het controleerde

Een decision-rights register legt per AI-ondersteunde werkstroom vast welke agent welke besluiten mag nemen of aanbevelen, wie als genoemde eigenaar verantwoordelijk is, welke controle de reviewer uitvoert en hoe het besluit wordt bewaard. Zonder zo'n register toont een AI-beleid niet wie een investeringsbesluit bezat of hoe het te reconstrueren is.

In een analyse die de IAPP op 7 oktober 2026 publiceerde, beschrijft de organisatie een concrete leemte bij private-capital firms: een AI-beleid kan menselijk toezicht voorschrijven zonder vast te leggen welke AI-agent een besluit mocht nemen of aanbevelen, welke persoon de output moest beoordelen en hoe dat besluit is onderbouwd. De IAPP bepleit daarom een decision-rights register als operationele schakel tussen de bevoegdheid van een agent, een met naam genoemde verantwoordelijke en het bewaarde besluit. Dit stuk legt uit wat dat register bevat en wat het betekent voor wie beslist en verantwoordelijk is.

Welke concrete leemte in AI-beleid signaleert de IAPP bij private-capital firms?

De IAPP wijst op vragen die een firma na een AI-beïnvloed besluit niet kan beantwoorden: bezat een genoemde persoon dit besluit, is de output gecontroleerd, welke AI-systemen raakten het investeringsproces, wie tekende af en hoe valt het besluit te reconstrueren? Een beleid op hoofdlijnen beantwoordt die vragen niet; het register legt ze per werkstroom vast.

De kern is dat beleid en bewijs twee verschillende dingen zijn. Een beleidsdocument zegt dat er toezicht moet zijn; het toont niet dat een specifieke agent voor een specifiek besluit binnen zijn bevoegdheid bleef en dat een aanwijsbare persoon de uitkomst heeft getoetst. Naar onze inschatting is dat verschil juist bij investeringen scherp, omdat een besluit maanden later door een limited partner of een toezichthouder wordt nagevraagd, als de context allang is vervlogen. Dergelijk toezicht past volgens onze analyse bij bredere discussies over menselijk toezicht, documentatie en verantwoord AI-risicobeheer, zoals de verplichtingen onder de EU AI Act (Verordening (EU) 2024/1689) en risicobeheerraamwerken van instituten als het Amerikaanse NIST; de precieze verplichtingen hangen af van het toepasselijke kader en de concrete inzet.

Welke velden horen in een decision-rights register per AI-werkstroom?

Het register is een levend document per agent-werkstroom, niet per leverancier. Dat onderscheid is wezenlijk: één taalmodel kan in meerdere werkstromen voorkomen met verschillende bevoegdheden, en pas op werkstroomniveau is duidelijk wat een agent daar mag.

• Identiteit en doel van de agent en de werkstroom waarin hij opereert.
• Besluitrechten: welke besluiten de agent mag nemen, welke hij alleen mag aanbevelen en welke acties verboden zijn. Aanbevelingsrecht is iets anders dan uitvoeringsrecht.
• Data en tools die de agent mag gebruiken.
• Genoemde eigenaren: de executive sponsor, de business owner, de technisch eigenaar en de control owner. Het Open Future Forum beveelt in zijn private-equityrapport van oktober 2026 aan om voor elke materiële productie-AI-werkstroom een decision-rights record met verantwoordelijke eigenaars vast te leggen, waaronder de executive sponsor, business owner, technical owner en control owner.
• Controleplicht van de reviewer: welke checks de mens moet uitvoeren voordat een output telt.
• Goedkeurings- en escalatiedrempels, plus wie bevoegd is tot override en shutdown.
• Bewaarde bewijsstukken waarmee het besluit later te reconstrueren is.

Open Future Forum beveelt daarnaast aan de productie-inventaris, de identiteits- en toegangskaart, rechten, logs, intrekkingsprocedures, incidenten, uitzonderingen en remediation-eigenaren te documenteren. Dat is precies het bewijs dat het register operationeel maakt.

Wat betekent dit nieuws voor managing partners, general counsels en CISO's?

Onze analyse: omdat een AI-beleid zonder register mogelijk niet aantoont wie een investeringsbesluit bezat, loopt een firma bij een LP-vragenlijst of transactie-due-diligence het risico dat zij geen duidelijk eigenaar- en besluitspoor kan tonen; daarom adviseren wij managing partners en general counsels om per werkstroom één accountable eigenaar aan te wijzen, ook waar de review over meerdere mensen is verdeeld. Omdat aanbevelingsrecht en uitvoeringsrecht in de praktijk door elkaar lopen, kan een agent een besluit effectief nemen terwijl het beleid alleen "ondersteuning" veronderstelt; daarom moet de compliance-leider naar onze analyse die twee rechten in het register expliciet scheiden en per werkstroom vastleggen welke acties verboden zijn. Omdat modellen en tools veranderen zonder dat bevoegdheden automatisch meebewegen, kunnen vastgelegde rechten stil verouderen; daarom moet de CIO naar onze inschatting een herzieningsmoment koppelen aan elke model- of toolwijziging, zodat de bevoegdheid opnieuw wordt getoetst voordat de gewijzigde agent in productie blijft. En omdat een firma die autoriteit of accountability niet kan aantonen mogelijk onvoldoende onderbouwing voor haar besluit heeft, adviseren wij operating partners om de inzet van een agent op te schorten zolang het register voor die werkstroom niet sluit. Een praktische volgorde:

1. Inventariseer agents per werkstroom, niet per leverancier.
2. Scheid aanbevelingsrecht van uitvoeringsrecht en benoem verboden acties.
3. Wijs per werkstroom één accountable eigenaar aan naast de verdeelde review.
4. Leg bewijsgerichte goedkeuringscriteria, uitzonderingen en overrides verplicht vast in logs.
5. Herzie bevoegdheden bij elke model- of toolwijziging.

Behandel zo'n agent in het register bovendien als een AI-agent met systeemtoegang die als privileged identity wordt bestuurd, en zorg dat de override-bevoegdheid aansluit op een afgedwongen noodstop en rollback voor AI-agents. Meer achtergrond staat in onze themahub over agentic AI en AI-agents.

Hoe sluit het register aan op due diligence en board-toezicht?

Het register geeft investment committees, LP-vragenlijsten en transactie-due-diligence een concreet bewijsobject. De velden van Open Future Forum vertalen de registergedachte direct naar diligence-bewijs; het bestuur kan daarmee, volgens onze analyse, beschikken over een dossier dat ownership en het besluitspoor inzichtelijker moet maken, mits de registratie volledig en actueel wordt bijgehouden.

Op bestuursniveau sluit dit aan op de analyse van KPMG over board-toezicht op agentic AI: wanneer AI-systemen transacties kunnen starten of besluiten nemen binnen afgebakende grenzen, moet governance gedelegeerde bevoegdheid, accountability, escalatie, interventie en shutdown definiëren, en moeten die acties herleidbaar, uitlegbaar en beschikbaar zijn voor audit. KPMG stelt dat de verantwoordelijkheid bij management en bestuur blijft. Onze lezing is dat een decision-rights register een praktische operationele invulling kan geven aan de governance-elementen die KPMG beschrijft en aan de informatie die Open Future Forum voor diligence verlangt, en zo aansluit op kaders als de EU AI Act en de risicomethodiek van NIST. Dat de reconstructie van een besluit zelf discipline vergt, werkten we eerder uit bij het betrouwbaar reconstrueren van agent-handelingen. Houd daarbij rekening met toepasselijke wettelijke, contractuele en interne bewaartermijnen; laat juridisch en privacyadvies bepalen welke regels voor het betreffende bewijs gelden.

Bronnen: Het artikel steunt op de IAPP-analyse van 7 oktober 2026, het private-equity due-diligencerapport van Open Future Forum en de board-analyse van KPMG over agentic AI.