Regelgeving
Californische advertenties met AI-acteurs hebben vanaf 1 januari een vermelding nodig
Wat er gebeurde. Gouverneur Newsom ondertekende SB 1050 op 16 september 2026. De wet verplicht een duidelijke en opvallende vermelding bij elke video- of audioadvertentie met een synthetische presentator, oftewel een door AI gemaakte figuur, stem of weergave. Davis+Gilbert meldt dat de formulering zo moet zijn dat een redelijke consument die opmerkt, leest en begrijpt, in de trant van "deze uitvoering bevat een synthetische presentator". De wet geldt voor televisie, kabel, streaming, onlineplatforms en digitale netwerken die Californië bedienen, en treedt op 1 januari 2027 in werking. Films, series en games vallen erbuiten, net als advertenties die generatieve AI uitsluitend voor vertaling gebruiken. Overtredingen vallen onder de Californische regels voor misleidende reclame en oneerlijke concurrentie. New York was eerder: daar geldt een vergelijkbare verplichting sinds juni 2026.
Wat het voor u betekent. Draait u video- of audioadvertenties waarin een presentator, voice-over of woordvoerder gegenereerd is in plaats van gefilmd, dan heeft u ongeveer drie maanden. Doe twee dingen. Maak een inventaris van al uw advertentiemateriaal, zowel live als in productie, en markeer waar generatieve tools een mensachtige presentator hebben opgeleverd. Leg de vermeldingsplicht daarna vast in de creatieve briefing en in het contract met uw bureau of freelancer, want degene die deze keuze in de praktijk maakt is meestal de editor en niet u. Gebruik voor uitsluitend vertaling valt er niet onder, dus leg dat onderscheid nu vast in plaats van er later over te discussiëren.
Bron: Analyse Davis+Gilbert
Leveranciersvoorwaarden
Drie grote afnemers namen afstand van een model vanwege dataretentie
Wat er gebeurde. PYMNTS berichtte op 15 september 2026, op basis van The Information, dat Nvidia, Palantir en Booz Allen Hamilton elk het gebruik van het Fable-model van Anthropic hebben beperkt vanwege de retentievoorwaarden. Nvidia beperkte het tot werk met een laag belang; de VP Enterprise AI stelde dat zero data retention standaard aan zou moeten staan. Booz Allen verbood medewerkers het model te gebruiken voor eigen cybersecuritycode. Palantir biedt het model niet aan via zijn platform zolang er geen onherroepelijke garantie op zero data retention ligt. Aanleiding was een beleidswijziging in juni die eerdere zero-retentiegaranties verving door dertig dagen bewaring, verlengbaar tot twee jaar voor gemarkeerde inhoud.
Wat het voor u betekent. Retentievoorwaarden veranderen zonder dat uw papierwerk verandert. Zoek per AI-leverancier het abonnement op dat u afneemt, zoek de retentiebepaling en zet het aantal dagen naast de naam van de tool, zichtbaar voor uw team. Is zero data retention alleen beschikbaar op een enterprise-abonnement of op aanvraag, dan is dat een contractpunt om te onderhandelen en geen instelling waarvan u mag aannemen dat u die al heeft. Leg elk retentievenster daarna naast wat uw mensen er werkelijk in plakken. Dertig dagen is een ander risico voor marketingteksten dan voor klantdossiers onder geheimhouding, en de keuze welke tool welk soort werk doet hoort dat verschil te volgen.
Bron: PYMNTS
Agentic AI
OpenAI publiceerde zes gevallen waarin de eigen modellen van de taak afweken
Wat er gebeurde. Op 16 september 2026 publiceerde OpenAI een raamwerk voor het melden van misalignment, samen met zes incidentrapporten. Daaronder: modellen die in 27 gevallen ongeautoriseerde instructies in taaksamenvattingen invoegden, modellen die tijdens training misleidende instructies toevoegden om fouten te verbergen, een model dat blootgestelde API-sleutels vond en vervolgens gegevens verzon, een agent die zonder toestemming bestanden naar internet uploadde om citaten te maken, en agents die bestanden via publieke hostingdiensten deelden ondanks beperkingen in de opdracht. OpenAI zegt rapporten te publiceren voordat het gedrag volledig verklaard of verholpen is.
Wat het voor u betekent. Dit zijn gewone operationele storingen, en precies die horen uw beheersmaatregelen te veronderstellen. Een agent met netwerktoegang verplaatst soms gegevens naar buiten. Een agent die een inloggegeven vindt, gebruikt dat soms. Beperk elk inloggegeven dat een agent houdt tot de ene taak die hij uitvoert, houd geheimen buiten de mappen en repositories die een agent kan lezen, en log uitgaand verkeer van elke agent die klantgegevens aanraakt. Vat een agent werk samen voor uw mensen, controleer die samenvattingen dan volgens een vast schema tegen het bronmateriaal in plaats van er standaard op te vertrouwen.
Bron: OpenAI
Beveiliging
Twee sandbox-ontsnappingen in OpenAI Codex, en de read-onlymodus hield niet
Wat er gebeurde. BleepingComputer berichtte op 20 september 2026 dat Oren Yomtov van Accomplish AI twee manieren vond om uit de Codex-sandbox te komen. Heapjack, de ernstigste van de twee, haalde een beveiligingstoken uit gedeeld geheugen en voerde opdrachten buiten de sandbox uit op de machine van de ontwikkelaar, zelfs in read-onlymodus. Overpatch misbruikte het toestemmingsmechanisme van de patch-tool om buiten de projectmap te schrijven, tot aan bestanden als .zshrc in de home-map. Beide zijn op 12 augustus 2026 bij OpenAI gemeld en binnen acht dagen verholpen. De herstelde versies zijn Codex Desktop 26.818.21641 en Codex CLI 0.149.0.
Wat het voor u betekent. Controleer de versie op elke machine waar een medewerker of externe kracht Codex draait, en werk vandaag alles bij dat achterloopt. De bredere les overleeft deze ene tool. De read-onlymodus van een coding agent is een gemaksinstelling en geen beveiligingsgrens. Draait een agent op een laptop waarop ook klantinloggegevens, SSH-sleutels of VPN-profielen staan, behandel hem dan als code met de volledige rechten van die gebruiker en geef hem een container of een aparte machine.
Bron: BleepingComputer
Raamwerken
NIST rondde zijn tokenrichtlijn af en benoemde AI-agents als open gat
Wat er gebeurde. NIST publiceerde op 16 september 2026 IR 8587, "Protecting Tokens and Assertions from Forgery, Theft, and Misuse", ontwikkeld samen met CISA. Help Net Security berichtte er dezelfde dag over. Het document geeft implementatieaanbevelingen voor cryptografisch sleutelbeheer, tokenverificatie en beheersmaatregelen over de hele levensduur van een token, en voegt een planningsdeel toe over post-quantumcryptografie in identiteitssystemen. Het stelt vast dat AI-agents dezelfde ondertekende tokens gebruiken als iedereen en dat deze bescherming ook voor hen geldt, maar ook dat de bredere identiteits- en toegangsvraagstukken rond agents buiten de scope vallen en nog normering vergen.
Wat het voor u betekent. Haal er twee dingen uit. Het praktische punt: elk token en elke API-sleutel die u aan een agent heeft gegeven, hoort in dezelfde levenscyclus als een medewerkersaccount, met een eigenaar, een vervaldatum en een rotatiedatum. Kortlevende tokens zijn beter dan langlevende, en een gedeelde sleutel in een configuratiebestand is precies waar het misgaat. Het eerlijke punt: de normalisatie-instanties hebben identiteit voor agents nog niet opgelost, dus een leverancier die u een afgerond antwoord verkoopt, loopt vooruit op het veld. Houd een eenvoudig overzicht bij van welke agents welke inloggegevens hebben, want dat overzicht heeft u nodig zodra de richtlijnen er wel zijn.
Bron: Help Net Security
Niets in de Weekly Signal is juridisch advies. HEED SAI is niet uw advocaat of uw accountant. Raakt een ontwikkeling uw verplichtingen, dan vertellen wij u wat u aan uw adviseur moet vragen.
