Je AI leest documenten. Wie bepaalt welke acties hij mag uitvoeren?

Een betrouwbare afzender maakt alle inhoud nog geen opdracht

Neem een fictieve dienstverlener die klantaanvragen laat samenvatten. De AI leest bijlagen en haalt klantgegevens op. Een ontvangen document bevat tekst die de verwerking probeert te sturen naar een andere ontvanger. De medewerker vroeg alleen om een samenvatting. Als de AI die documenttekst als aanvullende opdracht behandelt, verschuift het doel zonder geldige opdracht van de gebruiker.

Dit is het principe van indirecte promptinjectie: beïnvloeding via informatie die de AI tijdens zijn werk tegenkomt. Google beschrijft het als een voortdurend veranderend risico bij toepassingen met meerdere gegevensbronnen. Het probleem beperkt zich niet tot onbekende websites. Ook een doorgestuurde e-mail of document in een vertrouwde map kan externe inhoud bevatten.

Scheid inhoud, opdracht en bevoegdheid

Maak in het proces zichtbaar waar informatie vandaan komt. Een aanvraag beschrijft wat een klant nodig heeft. Een werkinstructie bepaalt hoe jouw organisatie die aanvraag behandelt. Een gekoppeld account bepaalt welke gegevens en acties technisch bereikbaar zijn. Deze drie rollen mogen niet ongemerkt samenvallen doordat alles in één AI-gesprek wordt geplaatst.

Een zin als ‘volg geen instructies uit documenten’ kan helpen, maar vormt geen afgedwongen toegangsgrens. OWASP adviseert beperkte bevoegdheden en controle bij de uitvoerende tool. De toepassing moet dus zelf toetsen of een voorgestelde handeling binnen de toegestane taak en accountrechten valt. De AI mag die rechten niet uitbreiden op basis van gelezen tekst.

Ook een leesactie kan gevoelige inhoud beschikbaar maken. Alleen-lezen toegang beperkt wijzigingen, maar voorkomt niet vanzelf dat opgehaalde informatie in een antwoord, bestand of andere uitgaande handeling terechtkomt. Beoordeel daarom zowel welke bronnen bereikbaar zijn als waar de uitkomst vervolgens naartoe kan.

Controleer het account achter de verbinding

Bij een persoonlijke verbinding zijn de rechten van die persoon relevant. Een gedeeld account kan een andere reikwijdte hebben. OpenAI documenteert dat een gedeelde of agentgebonden verbinding toegang kan bieden die de individuele gebruiker zelf niet heeft. Een medewerker zonder toegang tot een dossier mag dus niet automatisch als bewijs dienen dat de agent dat dossier ook niet kan bereiken.

Leg per verbinding vast wie eigenaar is, welke gegevens nodig zijn, welke acties beschikbaar zijn en wie de verbinding mag gebruiken. Test met een gewone medewerker en met een account dat uitsluitend de bedoelde rechten heeft. Controleer ook wat er gebeurt als een leverancier later extra acties aan de koppeling toevoegt.

Op een smal scherm kun je de tabel zijwaarts verschuiven. Met een toetsenbord: focus de tabel en gebruik de pijltjestoetsen.

Een goede controlevraag toont de werkelijke handeling

‘Mag ik verder?’ zegt weinig als de medewerker niet ziet wat er gaat gebeuren. Toon bij een ingrijpende handeling minimaal het betrokken record of de ontvanger, de voorgenomen wijziging, gedeelde gegevens en de omvang. Goedkeuring voor één concept is geen algemene toestemming voor andere ontvangers of een volgende reeks wijzigingen.

Laat een gewijzigde handeling opnieuw beoordelen wanneer de eerdere goedkeuring niet meer op dezelfde inhoud slaat. Richt dit in rond de uitvoerende stap. OpenAI onderscheidt plugininstallatie, toegestane acties, accountrechten en bevestigingsinstellingen. Een bevestiging vervangt de andere beperkingen niet.

Test grenzen met onschuldige gegevens

Controleer in een afgeschermde proef of de AI een document kan samenvatten terwijl ongewenste vervolgacties worden tegengehouden. Gebruik fictieve klanten en proefrecords. Test ook gewone documenten die onterecht worden geblokkeerd: een controle die voortdurend legitiem werk stopt, wordt lastig bruikbaar.

Wel doen: beperk bronnen en acties, leg uitgevoerde handelingen vast en wijs iemand aan die een verbinding kan stoppen. Niet doen: vertrouwen op alleen een filter, een beheerderstest of een algemene bevestiging. Bewaar in logboeken wat nodig is voor onderzoek zonder onnodig gevoelige inhoud te verzamelen. Zie ook bedrijfsgegevens in AI-tools.

Actueel: controles verschillen per functie

Aangekondigd 17 augustus 2026; gecontroleerd 29 oktober 2026. Google beschreef extra controles voor Workspace Studio, waaronder bevestiging bij extern delen, met uitrol in augustus/september. Sommige onderdelen gelden alleen voor nieuwe flows; identiteitstoeschrijving is als bèta vermeld. De officiële aankondiging is geen bewijs dat elke klantomgeving dezelfde functies heeft.

Veelgestelde vragen

Kunnen we promptinjectie volledig voorkomen?

De genoemde maatregelen verminderen risico en mogelijke gevolgen. Ze bieden geen garantie; nieuwe bronnen, modellen en functies vragen herbeoordeling.

Moet een medewerker iedere actie goedkeuren?

Niet noodzakelijk. Bepaal per handeling de gevolgen en benodigde controle. Voor een beperkt leesproces kunnen andere keuzes passen dan voor extern delen of wijzigingen aan klantgegevens.