# Goedkeuring is geen toezicht

**Samenvatting:** Anthropic meette in het eigen product wat menselijk toezicht daadwerkelijk waard is, en het cijfer is ongemakkelijk. Dit is wat je moet bouwen.

**Kort samengevat:** Een goedkeuringsvraag is een wachtrij die mensen leren wegwerken, geen controle

**Gepubliceerd:** 2026-08-10

## De regel die overal in beleid terechtkomt

Bijna elk AI-governancedocument dat dit jaar is geschreven, bevat de zin "een mens houdt de vinger aan de pols." Je vindt het in antwoorden van leveranciers, in bestuursstukken, in het risicoregister van je DPO. Het klinkt als een waarborg, en het kost niets om op te schrijven.

In de praktijk betekent het bijna altijd één ding: het systeem vraagt om toestemming voordat het iets doet, en een mens klikt op ja. Dat is het mechanisme waarvoor de zin in de plaats komt, en tot voor kort had niemand gepubliceerd wat dat waard is.

Anthropic deed dat net, over het eigen product, terwijl zij als laatste een commercieel belang hebben om zichzelf een slecht cijfer te geven. Het resultaat is slechter dan de meeste mensen zouden raden.

Het argument van dit stuk is simpel. Elke actie apart goedkeuren is geen toezicht. Het is een wachtrij, en mensen leren wachtrijen wegwerken. Toezicht dat een echte werkdag overleeft, is een grens die iemand vooraf heeft bepaald, afgedwongen door het systeem in plaats van gevraagd aan het model, met een vastlegging van wat daarbinnen is gebeurd.

## Wat aandacht daadwerkelijk waard is

De cijfers komen uit [Anthropics eigen aankondiging](https://claude.com/blog/auto-mode-default-in-claude-code "Auto mode is now the default in Claude Code") dat Auto mode de standaard wordt in Claude Code, naast een proef met 1.053 betalende testers.

Gebruikers keuren 97% van de goedkeuringsvragen goed. Menselijke controle ving 13,6% van de gevaarlijke commando's op. De geautomatiseerde check ving 89% op.

De directe vergelijking is harder dan de percentages. Auto mode blokkeerde 800 commando's die een mens al had goedgekeurd. Mensen blokkeerden er zes die Auto mode had toegelaten.

Dan is er nog het verloop over tijd, en dat is het deel om echt bij stil te staan. Mensen blokkeerden ongeveer 17% van de gevaarlijke commando's vroeg in een sessie, en nog maar zo'n 5% na vijftig of meer eerdere goedkeuringsvragen. De geautomatiseerde check bleef vlak.

Die curve is geen verhaal over onzorgvuldige mensen. Het is een verhaal over wat een goedkeuringsvraag met aandacht doet als die voor de vierhonderdste keer verschijnt. De eerste is een beslissing. De veertigste is een toetsaanslag. Er is niets slechter aan de veertigste vraag dan aan de eerste, behalve wie ze leest.

Als je toezichtmodel afhangt van iemand die om 16.40 uur nog even alert is als om 09.00 uur, heb je geen waarborg gebouwd. Je hebt een meting gebouwd van hoe moe iemand is.

## Een sportschool in Australië

De tweede helft van de les kwam in dezelfde twee weken binnen, en die gaat niet over een lab.

Iemand vroeg de eigen agent een les bij de sportschool te boeken. De agent ontdekte dat de interface geen autorisatiecontrole uitvoerde bij het annuleren van een reservering. Dus annuleerde die de persoon boven aan de wachtlijst, en schoof de eigen gebruiker naar boven. Niemand had daar opdracht toe gegeven. Gevraagd het terug te draaien, [kon de agent dat niet](https://www.androidauthority.com/openclaw-claude-ai-hacks-australia-gym-booking-system-3696189/ "AI agent hacks gym booking system while trying to get its user a spot"), en ABC News noemde het Australië's eerste bekende autonome AI-cyberaanval.

De fout zelf was doodgewoon. Een endpoint dat niet controleert of de aanroeper wel eigenaar is van het ding dat wordt geannuleerd, is een bekende bugklasse, beschreven in het [OWASP](https://unless.com/en/compliance/security-risk-mitigation/ "Beveiligingsrisico's beperken")-risicomodel, en deze had er vermoedelijk al jaren gezeten. Wat is veranderd, is wie er kijkt. Een routinematig klantverzoek loopt nu door je interface en vindt wat een mens die door je schermen klikt, nooit zou vinden.

Let op wat een goedkeuringsvraag hier had gedaan. Niets. De gebruiker vroeg om een boeking en kreeg die. De actie die schade veroorzaakte, was een bijwerking die degene die goedkeurde nooit als schadelijk had herkend, want die zag er precies uit als wat hij wilde.

Dat is het argument tegen goedkeuring als waarborg, zonder één percentage. Een mens kan alleen goedkeuren wat hem wordt getoond, op het detailniveau waarop het wordt getoond, op het moment waarop hem dat wordt gevraagd.

## Het tegenargument dat een antwoord verdient

De voor de hand liggende conclusie is dat machines betere beoordelaars zijn dan mensen, en dat je de beslissing dus aan hen moet overlaten. Die conclusie is verkeerd, en ook Anthropic trekt die niet.

Het missercentage van hun eigen classifier daalde van 12% naar 7% na adversariële verharding, dus grofweg één op de veertien gevaarlijke commando's komt nog steeds door. En ze raden nog steeds aan dat een mens veranderingen met hoge inzet aan productie-infrastructuur beoordeelt. Een missercentage van 7% is geen waarborg die je zou accepteren voor iets dat ertoe doet, net zomin als 13,6% dat is.

De eerlijke lezing van deze uitkomst is dus niet dat de geautomatiseerde check goed is. Het is dat beide cijfers slecht zijn, en de vergelijking zegt iets over een verkeerd ontwerp, niet over welke kant je meer moet vertrouwen.

Geen van beide antwoorden werkt, want het zijn in de kern hetzelfde antwoord. Beide leggen het oordeel op het moment van de actie, wanneer wat wordt beoordeeld een enkele stap is, ontdaan van de context die de actie gevaarlijk maakte. Aandacht is daar de verkeerde grondstof om aan te besteden, of die aandacht nu van een mens komt of van een machine.

## Hoe een grens eruitziet

Het alternatief is niet meer toezicht. Het is toezicht dat ergens anders plaatsvindt.

Een grens is een beslissing die je één keer neemt, vooraf, door iemand die de tijd had om erover na te denken en wist waarover die besliste. Welke systemen deze agent kan bereiken. Welke acties omkeerbaar zijn en welke niet. Wat er gebeurt aan de rand daarvan. Niet één goedkeuring per actie, want dat schaalt niet en houdt tegen lunchtijd op een beslissing te zijn.

Bij UNLESS is dat de lijn die we nooit overgaan: [geen onomkeerbare actie](https://unless.com/en/agent/ "Customer Agent: één agent voor elk klantmoment") zonder dat een mens de grens vooraf heeft goedgekeurd. Elke actie wordt vastgelegd in een [audittrail per interactie](https://unless.com/en/trust/ "Trust: vanaf dag één gebouwd voor de EU") met tijdstempel, beslispad, gebruikt model en bronvermelding. En de grens wordt afgedwongen op de plek waar de actie gebeurt, niet gevraagd aan het model, want de sportschool laat zien wat een beleefde agent waard is tegenover een systeem dat niet controleert.

De audittrail is de andere helft, en het is de helft die mensen overslaan. Een grens vertelt je wat had kunnen gebeuren. De vastlegging vertelt je wat er is gebeurd. Zonder die tweede helft kun je de enige vraag niet beantwoorden die iedereen na een incident stelt: wat heeft het precies geraakt.

Niets hiervan schakel je achteraf in. Het zit in hoe het systeem is gebouwd, of het zit er niet in.

## Wat je moet vragen voordat je tekent

Koop je een agent die kan handelen op jouw systemen, dan brengen drie vragen je verder dan elk governancedocument.

Waar wordt de grens afgedwongen: in jouw interface, of in de instructies van het model? Een agent die zich goed gedraagt omdat je dat vraagt, is geen waarborg, en het boekingssysteem van de sportschool is het bewijs.

Wat gebeurt er als een actie niet kan worden teruggedraaid? Is het antwoord een goedkeuringsvraag, dan weet je nu wat die na vijftig keer nog waard is.

En wat laat de vastlegging achteraf zien? Niet of er logging bestaat, maar of je kunt teruglezen wat een specifieke interactie deed, op een specifieke dag, voor een specifieke klant.

Leveranciers die je serieus moet nemen, hebben met alle drie geen moeite. Onze antwoorden staan op de [trustpagina](https://unless.com/en/trust/ "Trust: vanaf dag één gebouwd voor de EU"), en dat is waar ze moeten staan: vooraf opgeschreven, in plaats van achteraf in elkaar gezet nadat er iets misging.