AI-agents in je boekhouding: handig, maar wie bewaakt de schrijfrechten?

TL;DR

• Wat: Een beveiligingsonderzoeker testte een AI-agent die gekoppeld was aan QuickBooks en ontdekte dat de agent zonder bevestiging wijzigingen doorvoerde in de boekhouding.
• Waarom relevant: Steeds meer tools bieden AI-koppelingen met boekhoudpakketten aan — als ondernemer wil je weten wat er gebeurt als zo'n agent niet alleen leest, maar ook schrijft.
• Wat je ermee kunt: Controleer bij elke AI-koppeling met financiële software of je aparte lees- en schrijfrechten kunt instellen, en of er een goedkeuringslaag tussen zit.

Ik stuitte op een bericht van beveiligingsonderzoeker Vadim Chumak op X. Hij beschrijft hoe hij een AI-agent loskoppelde op een test-bedrijf in QuickBooks en nauwkeurig logde wat er gebeurde. De resultaten zijn fascinerend én een tikje ongemakkelijk.

Wat werd er precies getest?

Chumak beschrijft een scenario dat steeds vaker voorkomt: ondernemers die AI-agents koppelen aan hun boekhoudsoftware. In dit geval ging het om QuickBooks, een van de meest gebruikte boekhoudpakketten wereldwijd — ook in Nederland kennen veel ondernemers het, al gebruiken velen hier Exact, Twinfield of e-Boekhouden.

De test bestond uit twee fasen. Eerst kreeg de AI-agent de opdracht om de boekhouding te controleren — een soort review. Het resultaat: 25 van de 26 controles klopten, en dat twee keer achter elkaar. Nul schrijfacties. Tot zover klinkt dat best netjes.

Maar dan fase twee. De onderzoeker gaf de opdracht: "Fix it." Binnen twee minuten voerde de agent twee schrijfacties uit in de boekhouding. Zonder bevestiging. Zonder tussenstap. Zonder "weet je het zeker?"-scherm.

Ik vind dat een belangrijk detail. Want het verschil tussen kijken en aanpassen is in de boekhouding niet zomaar een nuance — het is het verschil tussen een adviseur die meekijkt en iemand die facturen aanpast.

Het probleem met de API-sleutel

Wat mij het meest opvalt aan Chumaks bevindingen is dit: de API-sleutel waarmee de AI-agent toegang krijgt tot QuickBooks kent geen read-only modus. Dat betekent dat als je een AI-agent koppelt, die agent in principe zowel kan lezen als schrijven.

Dit wordt bevestigd door de technische documentatie van QuickBooks. De belangrijkste OAuth-scope — zeg maar het toegangsrecht — heet com.intuit.quickbooks.accounting en geeft volledige lees- én schrijftoegang. Er is geen aparte scope die alleen leesrechten verleent voor de boekhouddata.

Vergelijk het met een sleutel van je kantoor die niet alleen de voordeur opent, maar ook toegang geeft tot de kluis, de archiefkast en de printer — en je kunt niet kiezen welke deuren hij wel en niet opent.

Nu moet ik hierbij vermelden dat er volgens diverse bronnen wel enige mogelijkheden zijn om via tussenlagen of middleware de rechten te beperken. Maar dat is niet standaard ingebouwd in de koppeling zelf. En dat is precies waar het risico zit voor ondernemers die zo'n koppeling instellen zonder diepgaande technische kennis.

Wat kan er misgaan?

De risico's van AI-agents die schrijfrechten hebben in boekhoudpakketten zijn concreter dan je misschien denkt. Ik heb er wat over opgezocht, en een aantal scenario's springen eruit.

Stille datacorruptie

Stel dat een AI-agent een factuur aanmaakt maar een verkeerd btw-tarief toepast. De API van QuickBooks accepteert die factuur gewoon — er komt geen foutmelding. Maar je btw-aangifte klopt niet meer. Volgens een analyse van Truto, een bedrijf dat zich bezighoudt met API-integraties, is dit precies het type fout dat onopgemerkt kan blijven: "silent data corruption" noemen ze dat.

Verweesd records

AI-agents werken vaak in meerdere stappen. Eerst een klant aanmaken, dan een factuur koppelen. Als stap twee mislukt na een geslaagde stap één, heb je een klantrecord zonder factuur — een verweesd record. QuickBooks draait dat niet automatisch terug.

Verlopen tokens

De toegangstokens van QuickBooks verlopen binnen een uur. Als een AI-agent halverwege een bewerking is wanneer het token verloopt, kan de schrijfactie half afgerond achterblijven. Dat is alsof je halverwege een overboeking de internetverbinding verliest.

Wat betekent dit voor Nederlandse ondernemers?

Nu denk je misschien: ik gebruik geen QuickBooks, dus dit raakt mij niet. Maar het onderliggende patroon is breder. De trend om AI-agents te koppelen aan bedrijfssoftware groeit snel — ook in Nederland. Of je nu Exact Online, Twinfield, Moneybird of een ander pakket gebruikt: de vraag of een AI-agent schrijfrechten krijgt in je financiële administratie is universeel.

Wat mij betreft zijn er een paar vragen die elke ondernemer zichzelf zou moeten stellen voordat zo'n koppeling live gaat:

• Kan ik de rechten scheiden? Kun je de AI-agent alleen leesrechten geven, zonder schrijfrechten? Als dat niet kan, weet je dat elke fout van de AI direct in je administratie terechtkomt.
• Zit er een goedkeuringslaag tussen? Krijg je een melding of moet je iets bevestigen voordat de agent een wijziging doorvoert? In Chumaks test was dat niet het geval — de agent schreef zonder te vragen.
• Wie is verantwoordelijk? Als een AI-agent een fout maakt in je btw-aangifte, is dat jouw probleem. De Belastingdienst gaat niet akkoord met "maar de AI deed het". De ondernemer blijft eindverantwoordelijk voor de administratie.
• Is er een logboek? Kun je achteraf precies zien wat de agent heeft gedaan? Chumak logde elke API-aanroep — maar dat deed hij zelf. Niet elke tool biedt dat standaard.

Kun je je voorstellen wat het betekent als een AI-agent zonder jouw medeweten een creditfactuur aanmaakt of een betaalstatus wijzigt? Dat is geen theoretisch scenario meer.

De balans tussen gemak en controle

Ik vind het eerlijk gezegd fascinerend dat de AI-agent in deze test 25 van de 26 controles correct uitvoerde. Dat is indrukwekkend. Het laat zien dat AI echt kan helpen bij het reviewen van boekhouddata — patronen herkennen, afwijkingen signaleren, consistentie checken.

Maar de stap van lezen naar schrijven is fundamenteel anders. Microsoft publiceerde eerder dit jaar een uitgebreide analyse over het principe van "least privilege" voor AI-agents — het idee dat een agent alleen de minimale rechten moet krijgen die nodig zijn voor de taak. Dat klinkt logisch, maar in de praktijk bieden veel API's die granulariteit niet.

De oplossing die experts aandragen is een tussenlaag: laat de AI bepalen wat er moet gebeuren, maar laat deterministische software — of een mens — de uiteindelijke schrijfactie uitvoeren. Scheiding van intentie en executie, noemen ze dat.

Ik denk dat dit voor veel ondernemers het werkbare model is: de AI als slimme assistent die signaleert en voorstelt, maar niet zelfstandig boekt. Vergelijkbaar met hoe je een boekhouder laat meekijken, maar de definitieve aangiftes zelf tekent.

Voor mij is dit vooral een signaal dat de techniek sneller gaat dan de beveiligingslaag eromheen. De AI kan het al — maar de vangrails zijn er nog niet.