Agentic AI en de EU Cyber Resilience Act: Dubbele rol als gereguleerd product en compliance-enabler

De EU Cyber Resilience Act (CRA) stelt horizontale cybersecurity-eisen voor producten met digitale elementen die op de Europese markt worden gebracht. Agentic AI-systemen — autonome software-agents opgebouwd uit large language models, model routers, memory modules en orchestration layers — vallen onder deze definitie wanneer ze namens een organisatie handelen. De CRA is daarom van toepassing op hun ontwerp, ontwikkeling en levenscyclusbeheer, en vereist essential cybersecurity requirements, conformity assessment procedures, vulnerability handling en security update obligations.

Tegelijkertijd kan agentic AI fungeren als compliance-instrument. Geautomatiseerde agents kunnen code-repositories monitoren op kwetsbaarheden, security advisories genereren en patch deployment orchestratie uitvoeren in gedistribueerde omgevingen. Deze dubbele rol positioneert agentic AI zowel als gereguleerd object als als enabler van continue compliance. De CRA staat naast de EU AI Act en standaarden zoals ISO/IEC 42001, elk adresserend verschillende risicodimensies: de AI Act richt zich op AI-specifieke risico's, de CRA op productcybersecurity, en ISO 42001 op managementsystemen.

Organisaties die agentic AI inzetten moeten CRA-verplichtingen integreren in hun guardrails, observability en harness engineering praktijken. Hierdoor wordt regulatorisch risico verminderd terwijl verantwoorde schaling van autonome capabilities over cloud, edge en on-premises implementaties wordt ondersteund.