Waarom AI-agenten een nieuw soort vertrouwen nodig hebben
Als u vandaag iets online koopt, klikt een persoon op "kopen". Het betalingssysteem vertrouwt erop dat de persoon achter de kaartgegevens de aankoop daadwerkelijk heeft geautoriseerd. Die aanname begint te wankelen. Visa's Intelligent Commerce, Mastercard's Agent Pay, Google's Agent Payments Protocol (AP2) en de samenwerking tussen Stripe en ChatGPT bestaan al. Elk hiervan stelt een AI-agent in staat een aankoop te voltooien zonder dat iemand elke stap bevestigt.
Zodra een agent de beslissing neemt in plaats van een persoon, verdwijnt het gebruikelijke controlespoor. Drie vragen blijven onbeantwoord.
Vraag | Wat het betekent |
|---|---|
Wie de agent heeft gestuurd | Vertegenwoordigt de agent echt het bedrijf dat hij claimt, of is de identiteit vervalst |
Wat de agent mag doen | Mag de agent 50 euro uitgeven of 50.000, kantoorbenodigdheden kopen of een nieuwe server bestellen |
Hoe lang die toestemming geldig blijft | Geldt de autorisatie voor één aankoop, of blijft deze onbeperkt actief, een veiligheidsrisico als de agent wordt gecompromitteerd |
Zonder antwoorden op deze vragen ziet een betaalnetwerk alleen dat er een betaling is binnengekomen. Het heeft geen manier om te bevestigen dat de agent daadwerkelijk gemachtigd was om deze te versturen.
Wat al bestaat en wat nog een voorstel is
GLEIF (Global Legal Entity Identifier Foundation) publiceerde op 13 augustus 2026 een discussiedocument (PDF). De titel luidt "Agentic AI in Payments: Establishing Interoperable Trust and Control." Eén detail is hier belangrijk: dit is een discussiedocument, geen afgeronde standaard. GLEIF benoemt zelf verschillende openstaande vragen. Deze omvatten wie het mandaat van een agent moet uitgeven, en wie limieten zoals uitgavenplafonds moet beheren zodra deze in gebruik worden genomen.
Het centrale idee van het document is de Agent Mandate Credential (AMC). Dit is een cryptografisch bewijs dat een agent koppelt aan de verifieerbare LEI-gegevens (vLEI) van diens organisatie. Het legt ook de reikwijdte en de vervaldatum van de bevoegdheid van de agent vast. GLEIF stelt duidelijk dat het doel geen volledig nieuw identiteitssysteem voor agenten is. Het plan hergebruikt de organisatorische identiteit die bedrijven al bezitten.
Het document noemt vier betaalprotocollen waarmee dit vertrouwensmodel naar verwachting zal samenwerken. Dit zijn Visa's Intelligent Commerce, Mastercard Agent Pay, Google's AP2 en de integratie van Stripe en ChatGPT Instant Checkout.
Waarom een gewone LEI-code nog steeds de essentiële basis is
Het AMC-model is volledig afhankelijk van de onderliggende LEI-gegevens van de organisatie. Het LEI-register van een bedrijf kan verlopen, een verouderd adres bevatten, of de actieve status verliezen. Wanneer dat gebeurt, rust elke autorisatielaag die erbovenop is gebouwd op een zwakke basis. Als Registration Agent (RA) zien we dit patroon dagelijks. Bedrijven vergeten hun LEI-code op tijd te verlengen, of laten hun register ongewijzigd na een eigendomswijziging. Vandaag is dat vooral een compliancekwestie. Autorisatiemodellen voor agenten zullen binnenkort op dezelfde LEI-gegevens vertrouwen. Zodra dat gebeurt, wordt het accuraat houden van dat register onderdeel van de vertrouwensketen zelf. Het is niet langer slechts een vakje dat toezichthouders bedrijven vragen aan te vinken.
Het uitgeven van een vLEI-credential hangt af van infrastructuur die GLEIF vereist, genaamd Key Event Receipt Infrastructure (KERI). KERI geeft elke autorisatie en sleutelrotatie een fraudebestendige, traceerbare geschiedenis. Het bouwen en beheren van KERI-infrastructuur is duur en technisch veeleisend. Het is ook precies wat het vLEI-vertrouwensmodel überhaupt laat werken. Voor ons betekent dit dat we dit pad pas volgen zodra het vLEI-ecosysteem en de vraag ernaar volwassen zijn geworden, niet eerder. Op dit moment blijft onze bijdrage eenvoudig: uw bestaande LEI-register accuraat en actief houden. Dat register is de basis waarop al het overige, vLEI inbegrepen, later wordt gebouwd.
Als de LEI-gegevens of registratiestatus van uw bedrijf een controle nodig hebben, regel dit dan nu. Het is de moeite waard om dit te doen voordat kaders zoals dit breder in gebruik worden genomen. Dezelfde logica gold al voor de Agent Name Service voor AI-agenten, een verwante standaard die we eerder hebben behandeld.
Wat dit nu voor uw bedrijf betekent
Niets hiervan is nog verplicht. Geen enkele toezichthouder of betaalnetwerk heeft het AMC-model tot een vereiste gemaakt. GLEIF zelf zegt dat de architectuur nog open staat. Een LEI-code die accuraat en actueel blijft, is goedkope verzekering tegen die toekomst. Dit geldt ongeacht of precies dit model uiteindelijk de norm wordt.
Heeft uw bedrijf nog geen LEI-code, dan helpen wij u er graag een te registreren. Heeft u er al een, dan kunnen wij deze controleren en verlengen voordat deze verloopt.
Veelgestelde vragen
Heeft mijn bedrijf nu al een LEI-code nodig voor AI-agenten? Nee. Dit is nog niet verplicht. Een standaard LEI-code is simpelweg de basis waarop toekomstige autorisatiemodellen voor agenten waarschijnlijk zullen steunen.
Gaat LEI System vLEI-uitgifte aanbieden? We zijn van plan dit pad te volgen zodra het vLEI-ecosysteem en de vraag ernaar volwassen zijn geworden. De vereiste KERI-infrastructuur is duur en technisch veeleisend. We volgen de ontwikkelingen nauwlettend in plaats van vandaag zelf vLEI-credentials uit te geven.
Wordt de Agent Mandate Credential al gebruikt? Nee. Het is een voorstel uit een discussiedocument van GLEIF, gepubliceerd in augustus 2026, geen afgeronde standaard of vereiste.