Dit blijkt uit het Global CISO Insights 2026-onderzoek van Okta onder cybersecuritybeslissers wereldwijd. Volgens Okta ontstaat hierdoor een nieuwe categorie digitale identiteiten die dezelfde aandacht verdient als die voor medewerkers, partners en leveranciers. Zonder duidelijk eigenaarschap, inzicht in toegangsrechten en periodieke controles neemt het risico op misbruik of ongecontroleerde toegang snel toe.

AI-governance blijft achter

Uit het onderzoek komt naar voren dat organisaties zich wel bewust zijn van de risico’s, maar moeite hebben om AI-agents op een gecontroleerde manier te beheren. Zo maakt 81 procent van de CISO’s zich zorgen over AI-agents die te veel toegangsrechten krijgen zonder regelmatige controles.

Toch weegt bij slechts een derde van de organisaties de raad van bestuur innovatie en beveiliging even zwaar. Bijna de helft (49%) geeft prioriteit aan innovatie boven security.

Slechts 31 procent van de CISO’s geeft aan volledig op één lijn te zitten met de directie en raad van bestuur over de acceptabele hoeveelheid AI-risico. Minder dan de helft (46%) ervaart dat de board AI-beveiliging ziet als een strategische randvoorwaarde voor innovatie.

Beheer van AI-agents baart zorgen

Wereldwijd gebruikt 21 procent van de organisaties gedeelde accounts of serviceaccounts met brede rechten voor AI-agents. Eén op de vijf organisaties beheert AI-identiteiten ad hoc, waarbij verschillende teams hun eigen werkwijze hanteren.

Bijna zes op de tien organisaties bevinden zich nog in een laag volwassenheidsniveau op het gebied van AI-governance, en 12 procent heeft geen consistente aanpak voor het beheren van AI-identiteiten. CISO’s zelf zien governance als hoogste prioriteit: 29 procent noemt dit het belangrijkste aandachtspunt voor organisaties die AI-agents inzetten.

'AI moet volwaardige identiteit worden'

"AI-agents verspreiden zich razendsnel binnen organisaties, maar de beveiligingsmaatregelen lopen daar niet in hetzelfde tempo in mee", zegt Stephen McDermid, EMEA Chief Security Officer bij Okta. "We zien dat organisaties autonome AI-systemen vaak nog behandelen alsof het gewone gebruikers zijn, terwijl AI veel sneller beslissingen neemt en daarom ook geautomatiseerde beveiligingsmaatregelen vereist. Nog zorgwekkender is dat sommige organisaties AI-agents toegang geven via gedeelde accounts met brede rechten."

Volgens McDermid is inzicht alleen niet voldoende. "AI-identiteiten moeten volwaardige digitale identiteiten worden binnen organisaties. Dat betekent een duidelijke eigenaar, strikt afgebakende toegangsrechten en continue controles. Alleen met een preventieve aanpak kunnen organisaties de snelheid waarmee AI zich ontwikkelt daadwerkelijk bijbenen."

Meer informatie is beschikbaar in het Global CISO Insights 2026-rapport.