Alisina NawabiInfo Support meldt dat 84 procent van de Nederlandse organisaties AI inzet bij softwareontwikkeling, terwijl bij 8 procent de AI-governance formeel is vastgelegd met verantwoordelijkheden en een roadmap.
Dat gat raakt elk bedrijf dat software laat bouwen, intern of bij een leverancier. Je ontwikkelaars sturen nu al code, tickets en soms klantgegevens naar een externe AI-dienst, en precies daar zit de grootste zorg van IT-beslissers: dataprivacy staat bovenaan de risicolijst met 43 procent. Ligt niet vast welke tools zijn toegestaan, welke data naar buiten mag en wat er wordt gelogd, dan kun je na een incident niet reconstrueren wat er gebeurde en heb je richting een klant of een toezichthouder geen spoor om te tonen.
Wie het onderzoek deed, en met welk belang
Het Agentic Engineering-onderzoek 2026 is in opdracht van Info Support uitgevoerd door marktonderzoeksbureau Markteffect, onder 330 Nederlandse IT-medewerkers die hoofdbeslisser, medebeslisser of beïnvloeder zijn in de IT-besluitvorming. De deelnemende organisaties hebben meer dan vijftig medewerkers en een IT-afdeling van minstens vijf mensen, en ontwikkelen software in eigen huis of laten dat doen.
Info Support is geen neutrale waarnemer. Het Nederlandse IT-bedrijf verkoopt zelf agentic engineering, trainingen en soevereine AI-platformen, dus de conclusie dat organisaties hun AI beter moeten inrichten is ook een verkoopargument. Daar staat tegenover dat de verdelingen per vraag als grafieken zijn gepubliceerd, zodat je de cijfers kunt nalezen in plaats van alleen de samenvatting te moeten geloven.
Van 84 procent gebruik naar 8 procent governance
De adoptie is breed maar ondiep. Bij 29 procent experimenteren individuele engineers met AI-code-assistenten, 18 procent gebruikt die assistenten standaard, 21 procent experimenteert met agents die zelfstandig taken uitvoeren zoals testen en code review, en 11 procent zet agents standaard in voor diverse ontwikkelprocessen. 5 procent werkt standaard met multi-agentsystemen die over meerdere fases samenwerken. Elf procent gebruikt nog geen enkele AI-tool voor softwareontwikkeling.
Opgeteld levert dat de trechter op die het rapport centraal stelt: 34 procent noemt AI-gebruik standaard, 16 procent zit in de integratie- of optimalisatiefase en bij 8 procent is de AI-governance formeel verankerd met verantwoordelijkheden en een strategische roadmap. Actief toezicht via logging, audits en een duidelijke rolverdeling vindt plaats bij 31 procent.
De winst zit vandaag vooral aan de voorkant van het proces: schrijven, testen en controleren van code. Als requirements, architectuur, acceptatie, deployment en beheer niet meebewegen, verschuift de bottleneck simpelweg verder in het proces, waarschuwt unitmanager Frank Thiele in het rapport. Teams produceren dan sneller output, niet automatisch sneller waarde.
Dataprivacy bovenaan, controle de zwakste schakel
Op de vraag naar de belangrijkste risico's, waarbij meerdere antwoorden mochten worden aangevinkt, staat dataprivacy bovenaan: 43 procent vreest dat gevoelige data bij externe AI-providers terechtkomt. Daarna volgt de kwaliteit van AI-code, waarbij 39 procent fouten, hallucinaties of onverwacht gedrag noemt dat lastig te detecteren is. 33 procent heeft moeite met de AVG, de AI Act of sectorregels. 32 procent noemt gebrek aan controle, omdat moeilijk te auditen is wat een agent heeft gedaan en waarom, en 31 procent vreest dat een agent onbedoeld acties uitvoert op systemen of data. Slechts 2 procent ziet geen enkele belemmering, waarmee vrijwel elke ondervraagde minstens één risico noemt.
Dat auditprobleem is geen theoretisch bezwaar. OpenAI's Codex versleutelt sinds begin juni de instructies die de hoofdagent naar zijn subagents stuurt, waardoor ontwikkelaars niet meer kunnen nalezen welke opdracht een subagent kreeg. Wie zijn spoor wil terugvinden, is dus deels afhankelijk van wat de leverancier zichtbaar laat.
Opvallend laag scoort de afhankelijkheid van leveranciers: angst voor vendor lock-in bij een specifiek AI-platform of model blijft steken op 18 procent. Dat contrasteert met de waarschuwing van de Franse mededingingsautoriteit, die vaststelde dat overstappen tussen AI-agenten in de praktijk stroef verloopt doordat opgebouwde data en gebruikshistorie vastzitten.
Wat teams wél hebben geregeld
Rond de uitwisseling van data met AI-tools heeft 42 procent security- en compliancemaatregelen ingericht en 41 procent een goedkeuringsproces voor nieuwe AI-tools. Logging en monitoring van AI-toolgebruik staat op 32 procent, een aparte sandbox- of testomgeving op 26 procent. Info Support adviseert zelf te beginnen met classificeren: welke data, codebases, applicaties en processen mogen via welke route worden verwerkt.
Op codekwaliteit is het beeld verdeeld. 32 procent eist van AI-code precies dezelfde kwaliteit als van code van een programmeur, 32 procent doet wel een code review maar laat AI-code niet de volledige test- en automatiseringsronde doorlopen, 21 procent gebruikt AI alleen voor snelle tests die niet aan officiële standaarden hoeven te voldoen en 15 procent heeft AI volledig in het kwaliteitsproces opgenomen, inclusief CI/CD.
De technische kant van die afspraken is preciezer dan een beleidsdocument suggereert. Bij codeeragents dekken deny-regels wel de ingebouwde bestandstools, terwijl een script dat een bestand zelf opent er dwars doorheen loopt; alleen een sandbox op besturingssysteemniveau trekt een grens die wordt afgedwongen.
Top en werkvloer kijken verschillend
Het onderzoek legt ook een verschil in perceptie bloot. 24 procent van de hoofdbeslissers vindt dat elke AI-actie menselijke controle vereist, tegenover 50 procent van de adviseurs met invloed. Dat verschil bepaalt hoeveel ruimte agents krijgen en hoe snel een organisatie durft op te schalen. Internationaal onderzoek wees dezelfde kant op: 300 technische besluitvormers gaven code schrijven een vertrouwensscore van 82,5 en het plannen van een databasemigratie 44,5, waarbij de grens niet bij modelkracht lag maar bij omkeerbaarheid.
Zeven op de tien IT-beslissers zien een grote of middelgrote kloof in vaardigheden, maar slechts 29 procent noemt een tekort aan expertise als een van de belangrijkste risico's. En 36 procent zegt dat teams intern soms AI-successen delen, maar zelden wat misgaat. Dat laatste maakt leren van fouten lastig, precies op het moment dat de fouten duurder worden.
Wat de cijfers over deze fase zeggen
De getallen beschrijven een overgang, geen eindstand. AI is in Nederlandse ontwikkelteams van experiment naar dagelijkse praktijk gegaan zonder dat de controlelaag meebewoog, en dat is het punt waarop de kosten van één misser groter worden dan de winst van de snelheid. Zolang 8 procent de verantwoordelijkheden op papier heeft staan en 32 procent kan terugkijken wat een tool deed, is de vraag niet of AI-agents onderdeel worden van softwareontwikkeling, maar of ze zijn ingebed op een manier die betrouwbaar genoeg is voor de software waarop het bedrijf draait.
Veelgestelde vragen
Agents met grip erop
Ik denk mee over waar een AI-agent zelfstandig mag handelen, ontwerp de goedkeuring en logging eromheen en bouw het daarna ook echt, self-hosted waar dat kan. Van de eerste vraag tot een werkend systeem dat je aan je klant kunt uitleggen.
Dit artikel is geproduceerd samen met het Agent Team. Meer over de redactie.
