Bedrijven zetten steeds sneller autonome AI-agenten in om processen te versnellen. Maar volgens het Horizons of Identity Security-rapport van SailPoint ontstaat daarbij een vervelend patroon: de AI velocity paradox. Terwijl de business in machine-tempo draait, blijft de beveiliging vaak gebouwd op menselijk tempo. Het gevolg is een structurele misfit tussen wat er gebeurt en hoe het wordt beschermd.
In dit artikel zetten we de kern van de AI velocity paradox op een rij: waar de markt stagneert, waarom ‘menselijke’ security niet schaalbaar is voor niet-menselijke identiteiten en wat organisaties praktisch kunnen doen om wél mee te groeien.
De AI velocity paradox in één zin
De AI velocity paradox ontstaat wanneer organisaties investeren in AI-snelheid voor hun operaties, maar vervolgens hun security-controles baseren op processen die ontworpen zijn voor mensen: handmatige checks, ticketroutes en periodieke reviews.
Dat klinkt op papier als ‘alles is er’, maar in de praktijk ontbreekt de operationele capaciteit om die snelheid ook echt te ondersteunen. Het rapport beschrijft dus niet alleen een probleem in technologie, maar vooral in architectuur en uitvoering.
Waarom de security-maturiteit blijft hangen
Het rapport schetst een markt die, ondanks jaren van investering in identiteits- en toegangsbeheer, niet wezenlijk opschuift. De kern van de bevinding: de zwaartekracht van volwassenheid ligt nog altijd bij de beginfase.
Concreet stelt het rapport dat 60% van de organisaties zich in Horizon 1 of Horizon 2 bevindt: respectievelijk “geen formeel programma” en “handmatig, met tools ondersteund”. Dat percentage blijft al meerdere jaren bestaan, wat volgens de onderzoekers wijst op een architecturale ‘plafondwerking’.
Met andere woorden: het probleem is niet dat er te weinig gebeurt. Het probleem is dat de huidige governance-playbooks niet goed aansluiten op omgevingen waarin niet-menselijke identiteiten ephemere activiteiten uitvoeren en in korte tijd duizenden transacties kunnen veroorzaken.
Menselijke vs. agent-identity: twee totaal verschillende trajecten
De AI velocity paradox wordt extra zichtbaar als je de volwassenheid van security voor menselijke gebruikers vergelijkt met die voor agenten en niet-menselijke identiteiten.
Menselijke identiteit: vooruitgang
Voor medewerkers ziet het beeld er positiever uit. Het rapport geeft aan dat de aantallen voor de laagste volwassenheidslaag zijn gedaald: vijf jaar geleden zat 45% van de organisaties in Horizon 1, terwijl dat nu is teruggelopen tot 23%.
Agent-identity: achterstand groeit
Bij agent-identity ligt het omgekeerde patroon op tafel. Volgens de gegevens staat 54% van de organisaties vandaag nog in Horizon 1 voor security rond niet-menselijke identiteiten. En dat is volgens het rapport zelfs een slechter startpunt dan voor menselijke security vijf jaar eerder.
Het betekent dat organisaties die het beheer voor mensen grotendeels op orde hebben, moeite hebben om vergelijkbare standaarden door te trekken naar cloudomgevingen en agentic systemen. Dit wordt in het rapport vooral gezien als een dekkingstekort, niet als een gebrek aan competenties.
Waarom oude security-playbooks niet werken op machines
De kernoorzaak achter de AI velocity paradox is eenvoudig: processen die zijn gemaakt voor mensen zijn vaak niet geschikt voor machines. Het rapport noemt twee concrete dynamieken die dit falen versterken.
De digitization trap: van “handig” naar “rem”
Organisaties in de midden-tiers hebben menselijke processen vaak gedigitaliseerd. Denk aan onboarding en periodieke toegangsreviews. Maar zodra je dezelfde logica toepast op ephemere machine-identiteiten die mogelijk maar minuten of seconden bestaan, ontstaat er drag.
Wat in een menselijk proces nog proportioneel en zinvol is, kan bij agenten praktisch nutteloos worden: tegen de tijd dat een periodieke review is afgerond, is de identiteit alweer verdwenen. De beveiliging blijft dan wel ‘aan’, maar de waarde neemt af.
Van menselijk beslissen naar machine-speed trust
Om richting de hogere volwassenheidsniveaus te bewegen, is volgens het rapport een paradigmaverschuiving nodig. In plaats van manuele of ticket-gedreven beslissingen moet de organisatie uitkomen op continue, contextuele en geautomatiseerde beleidsafdwinging.
Daarmee verschuift het model van “bepaal eerst of het mag” naar “handhaaf beleid terwijl het gebeurt”. Dat is de brug naar machine-speed trust: security die de snelheid van het systeem kan bijhouden.
“Balans” als schijncompromis
Veel organisaties proberen het dilemma op te lossen met het uitgangspunt “we willen zowel snel als veilig”. Bijna de helft van de markt (49%) zegt beide kanten evenwichtige aandacht te geven.
Het rapport stelt echter dat dit geen echte strategie is wanneer de organisatie niet beschikt over de operationele mogelijkheden om dat evenwicht daadwerkelijk af te dwingen. Dan blijft “balans” in de praktijk hangen op menselijk tempo, terwijl de AI-speed ambitie doorloopt.
Die situatie werkt als een rem én een afwachtende houding tegelijk. Je wacht op een architecturale stap die je governance écht kan versnellen.
Niet opnieuw beginnen, maar governance uitbreiden
Een belangrijke nuance uit het rapport: het pad naar betere beveiliging hoeft niet te betekenen dat organisaties vanaf nul alles moeten herbouwen. De boodschap is dat organisaties hun bestaande governance disciplines kunnen uitbreiden naar het deel dat nog niet wordt beheerd: de niet-menselijke identiteiten die actief zijn in hun digitale omgeving.
Het einddoel is om die identiteiten — die vaak dynamisch en ongrijpbaar lijken met traditionele processen — onder te brengen in één samenhangend geheel. Pas dan kan de beveiliging meegroeien met de snelheid waarmee AI-agenten werken.
Wat je vandaag al kunt doen
Hoewel het rapport vooral de “waarom”-kant belicht, kun je op basis van de beschreven paradox wél gerichte stappen zetten:
- Breng de identity coverage in kaart: weet je welke niet-menselijke identiteiten actief zijn in je cloud en agentic flows?
- Test je huidige review-ritme: als een identiteit tijdelijk is, past een periodieke aanpak dan bij de realiteit?
- Beweeg van beslissen naar afdwingen: richt je op context en continuïteit in beleidshandhaving in plaats van losse momentopnames.
- Organiseer voor snelheid: de oplossing zit niet alleen in tools, maar in een werkbaar architectuurmodel dat machine-tempo kan volgen.
Wil je dit koppelen aan je bredere security-aanpak? Lees ook hoe securityprocessen mis kunnen lopen wanneer de omgeving complex en snel verandert, bijvoorbeeld in situaties met kwetsbaarheden en snelle patches. Een voorbeeld daarvan is hoe organisaties reageren op kritieke issues bij infrastructuur- en applicatielaag.
Je kunt daarvoor onder meer kijken naar Bron: https://thehackernews.com/2026/10/the-ai-velocity-paradox-why-security-is.html
