Een AI-agent heeft geen directe toegang tot je database — en dat is precies waarom het werkt

"Gaat de AI-agent dan gewoon je database in?" Het is een begrijpelijke vraag — en het antwoord bepaalt of je het vertrouwt. Want als een agent ongecontroleerd door je ERP-data kan bladeren, wil je dat niet. En terecht.

Het goede nieuws: zo werkt het niet. Een AI-agent heeft geen directe toegang tot je database. Hij roept een tool aan — een dataflow, een API, een query-service — die vervolgens de data ophaalt of wegschrijft. Dat klinkt als een technisch detail, maar het is een fundamenteel architectuur principe. En het is precies waarom je het kunt vertrouwen.

Hoe het technisch werkt

Een agent met tool calling werkt in vijf stappen, en elke stap is goed te volgen:

Stap 1: Begrijpt de intentie. De gebruiker geeft een opdracht: "Haal de openstaande facturen op van klant De Vries." De agent begrijpt wat er gevraagd wordt — niet letterlijk, maar naar betekenis.

Stap 2: Kiest een tool. De agent selecteert de juiste actie uit het gereedschap dat beschikbaar is gesteld. Geen willekeurige databasequery, maar een gedefinieerde tool: Get_OpenInvoices.

Stap 3: Geeft parameters mee. Hij vult de tool in: {customer Id: 123, status: "open" }. De parameters volgen uit de intentie — niet uit een zelf gegenereerde query.

Stap 4: De tool voert de actie uit. De dataflow, API of query-service doet het echte werk: de connectie met de database, het ophalen van de records, het wegschrijven van wijzigingen. De agent wacht op het resultaat.

Stap 5: De agent verwerkt het resultaat. Hij vat het samen, toont het in een tabel, stelt een vervolgactie voor, of geeft een seintje als er iets opvalt.

De agent doet dus geen SQL-query en maakt geen directe databaseverbinding. Tenzij je dat expliciet zo hebt ingericht — wat zelden wenselijk is.

Drie niveaus waarop AI met data kan werken

Niet elke AI-implementatie is gelijk. Er zijn drie niveaus, en het niveau bepaalt hoeveel controle je houdt:

Niveau 1:Context (read-only, indirect). De data zit in de prompt, in een vector store of in bestanden. De agent "ziet" de data, maar kan er niets mee uitvoeren. Veilig, maar beperkt.

Niveau 2: Tool calling (de standaard). De agent roept een gecontroleerde actie aan — een dataflow, een API-endpoint. Jij bepaalt welke query's mogelijk zijn, welke velden zichtbaar zijn en welke acties beschikbaar zijn. Dit is het niveau waarop serieuze ERP-integraties werken.

Niveau 3: Directe databasetoegang (zeldzaam en riskant). De agent genereert zelf queries en voert die direct uit op de database. De risico's zijn groot: security-lekken, onbedoelde wijzigingen, performanceproblemen. In ERP-omgevingen is dit vrijwel nooit de juiste keuze.

De juiste architectuur voor ERP-omgevingen

De rolverdeling is helder:

Agent = orkestratie en intelligentie. Hij begrijpt de opdracht, kiest de juiste tool en beslist over vervolgstappen.

Dataflow of API =gecontroleerde executie. Hij kent het datamodel en zorgt dat de juiste data op de juiste plek terechtkomt.

Dataclips = look up en referentie. Vaste lijsten en masterdata die de agent kan raadplegen zonder actie uit te voeren.

De praktische conclusie: de agent komt niet "in" je ERP of je database. Hij geeft een opdracht aan een flow met de juiste parameters, en die flow doet het echte werk.

Waarom dit juist krachtig is — niet beperkend

Security is geborgd. Geen directe database toegang betekent geen risico dat de agent buiten zijn rechten treedt. Wat de agent kan doen, is exact wat jij hebt gedefinieerd.

Logica is herbruikbaar. Een dataflow die je hebt gebouwd voor een agent, kan ook door je applicatie of je medewerkers worden gebruikt. Eén keer bouwen, meerdere keren inzetten.

Gedrag is voorspelbaar. De agent werkt binnen de grenzen die je hebt gesteld. Dat maakt het makkelijker om te testen, te auditen en te vertrouwen.

Complexe processen zijn mogelijk. Meerdere tools achter elkaar — ophalen, vergelijken, aanmaken, signaleren — worden gecoördineerd door de agent als gestructureerde keten.

Het echte inzicht: de agent beslist, de flow handelt

De waarde van een agent zit niet in het ophalen van data. Die waarde zit in het beslissen welke actie in een proces nodig is.

Een zoekfunctie geeft je data.

Een agent beslist wat er met die data moet gebeuren.

Niet: "geef mij de openstaande facturen." Maar: "verwerk deze inkoopbevestiging, koppel hem aan de openstaande order, en zet een betalingsvoorstel klaar voor review." Daarachter zitten drie tools die de agent achter elkaar aanroept — gecontroleerd, traceerbaar, herhaalbaar.

Een AI-agent heeft geen directe toegang tot je database. En dat is precies waarom het werkt.