Gemini agent: Google's nieuwe werk-agent, en wat hij nog niet doet

Google introduceerde op 8 oktober 2026 de Gemini agent: één agent die chat, kenniswerk, beeld en code in zich verenigt, met een eigen digitale identiteit. Dat meldt Google Cloud zelf in de aankondiging, tijdens het evenement Gemini at Work 2026. Werkt je team al met Gemini binnen Google Workspace, dan verandert dit iets fundamenteels: niet een nieuwe chatfunctie, maar een agent die zijn eigen e-mailadres, agenda en geheugen krijgt. Hieronder: wat er precies nieuw is, waar onafhankelijk beveiligingsonderzoek voor waarschuwt, en wat je deze week wel en niet moet doen.

Wat is de Gemini agent precies?

De Gemini agent is geen los product naast Gemini Enterprise, maar de nieuwe toegangslaag ervan. Volgens Google werkt hij met één onderliggende idee: "You give it objectives, not instructions. You delegate an outcome and come back to finished work." Dat is een andere manier van werken dan een chatvenster waarin jij elke stap aanstuurt: je zegt wat het resultaat moet zijn, de agent plant zelf de tussenstappen.

Twee vormen zijn relevant, en het onderscheid is een beslisregel op zich. De eerste is een persoonlijke assistent: een AI-agent die met jouw rechten werkt en stopt zodra jij klaar bent; kies die vorm voor een taak die ophoudt te bestaan zodra je het scherm sluit. De tweede is nieuw: een coworker agent met een vaste rol en een eigen identiteit die blijft bestaan tussen sessies in. Kies die alleen voor een taak die een eigen rol en geheugen over dagen of weken nodig heeft, nooit als startpunt, want de identiteitslaag maakt hem zwaarder om in te richten, niet lichter. Google: de coworker agent krijgt "its own Workspace account, including an email address, calendar, Drive, and presence in your company directory", en werkt "under its own identity rather than yours". Collega's zien hem dus als een account in de bedrijfsgids, niet als een los AI-venster.

Vier geheugensoorten houden die agent functioneel: sessiegeheugen voor de taak van dat moment, semantisch geheugen (een kennisbasis die hij zelf opbouwt), procedureel geheugen (hoe een taak wordt uitgevoerd, inclusief zelfgeschreven vaardigheden) en episodisch geheugen (alles wat hij ooit deed). Google noemt dit "onboards itself the way a new hire would". Ter schaal: klant SOMPO draait inmiddels "over 10,000 custom AI agents across its 34,000 employees", wat laat zien waarom identiteit en controledatum vanaf agent één geregeld moeten zijn: bij tien agents schroef je foute toegang nog zelf terug, bij duizend niet meer.

Wat verandert de Gemini agent voor een Nederlands team dat met Gemini werkt?

Drie dingen zijn direct relevant, los van of je vandaag al toegang hebt.

Model-orkestratie wordt breder dan alleen Gemini. Gemini Enterprise "runs each job on the model that fits best, orchestrating across our Gemini family of models and Claude models from Anthropic today, and other leading private and open models in the future." Voor een team dat zowel Gemini als Claude gebruikt (zie Claude vs Gemini) verdwijnt daarmee een deel van de keuze-last: je kiest straks minder vaak zelf het model, en vaker de taak.

Governance krijgt een nieuwe laag, niet minder regels. Elke agent krijgt "least-privilege permissions" en draait "inside an Agent Sandbox with its own network boundary", waarbij alle verkeer via Agent Gateway loopt. Dat is geen nieuw idee van deze week: Google Cloud-COO Francis deSouza legde dezelfde architectuur, met een cryptografische agent-ID en een centrale Agent Registry, al uit tijdens Google Cloud Next 26 in april 2026, onafhankelijk gerapporteerd door Infosecurity Magazine. DeSouza noemde toegangsbeheer voor agents expliciet "more dynamic than human identities": rechten die vandaag kloppen, kloppen volgende maand misschien niet meer, en dat is precies waarom een sandbox en een firewall niet oplossen wat je de agent zelf aan toegang geeft (de valkuil hieronder).

Kostenbeheersing wordt expliciet onderdeel van de tool. Gemini Enterprise krijgt "real-time spend caps": een hard projectlimiet in de Cloud Billing Console, met herstel na overschrijding "with a single click". Praktische regel: zet dat limiet bij je eerste coworker agent laag, in de orde van een paar euro aan rekenkosten per dag, en verhoog het pas na een week zonder onverwachte taken. Microsoft bouwde voor zijn eigen agentlaag een vergelijkbaar mechanisme met creditbudgetten (Microsoft Agent 365); beide leveranciers erkennen dus hetzelfde probleem, een agent die zonder grens kosten blijft maken.

Een coworker agent in de praktijk: een fictief voorbeeld

Dit scenario is fictief en illustratief, gebaseerd op het mechanisme dat Google zelf beschrijft, niet op een echte klant.

De situatie. Een facilitair dienstverlener met 90 medewerkers werkt al in Google Workspace en wil een coworker agent instellen die onderhoudscontracten met leveranciers controleert op afloopdatum en prijsindexatie. De IT-manager geeft de agent, om snel te kunnen starten, leestoegang tot de hele map "Contracten" op de gedeelde Drive, zoals die al jaren bestaat.

De opdracht aan de agent (een objectief, geen instructie):

Doel: signaleer elk leveranciercontract dat binnen 60 dagen afloopt
of een prijsindexatieclausule bevat die dit kwartaal ingaat.

Output: een lijst per contract met leverancier, einddatum of
indexatiedatum, en het exacte citaat uit het contract waarop je dat
baseert. Geen advies, alleen signalering.

Toegang: alleen de map Contracten/Leveranciers/Actief.

Waarom de laatste regel niet genoeg is. "Toegang: alleen de map Contracten/Leveranciers/Actief" staat in de opdracht, maar dat is tekst in een objectief, geen afgedwongen rechtengrens. De échte toegang ligt al vast op het moment dat de IT-manager de Drive-koppeling van de agent instelde, en dat deed hij op de hele map "Contracten", inclusief de submap "Archief/Afgewezen offertes" met prijsonderhandelingen van andere leveranciers. Een tekstuele instructie kan die eerder gezette, bredere koppeling niet overrulen: de agent kan de archiefmap nog steeds lezen. Dat is exact het mechanisme dat onafhankelijke beveiligingsanalyses beschrijven (zie de volgende sectie).

Wat de agent teruggeeft, in het gevraagde formaat:

| Leverancier          | Einddatum/indexatie       | Citaat uit het contract                         |
|-----------------------|----------------------------|--------------------------------------------------|
| Schoonmaakbedrijf De Vries | 14-12-2026 (afloop)   | "Deze overeenkomst loopt af op 14 december 2026 en wordt niet automatisch verlengd." |
| Groenvoorziening Oost  | 1-01-2027 (indexatie)      | "Jaarlijkse prijsindexatie per 1 januari volgens CBS-index."                        |
| Technische Groothandel Janssen | 28-02-2027 (indexatie, VERKEERD MEEGENOMEN) | "Voorstel: 4% korting bij een jaarorder vanaf €40.000." |

De derde regel is de fout. Dat citaat komt niet uit een actief contract, maar uit een afgewezen offerte in de archiefmap: een oude onderhandeling die nooit is ondertekend, met een kortingspercentage dat nu bij de verkeerde leverancier in het overzicht staat. De agent deed precies wat gevraagd was, "signaleer wat in de map staat", alleen stond er meer in die map dan de taak bedoelde. Zet je dit overzicht ongezien door naar de inkoopafdeling, dan onderhandelt iemand met de verkeerde leverancier over een korting die nooit is afgesproken. In dit voorbeeld is één van de drie regels fout: reken er bij een overzicht op basis van een hele map, in plaats van een gescopete submap, op dat je gemiddeld zo'n derde van de regels alsnog zelf tegen de brongegevens moet controleren, voor je de rest ongezien doorzet.

Wat je repareert voordat je de agent op meer taken zet. Scope de toegang tot de submap die de taak nodig heeft, nooit tot de bovenliggende map "voor het gemak": heeft een taak meerdere submappen nodig, voeg ze één voor één toe, nooit de hele bovenliggende map in één keer. Zet de agent-identiteit vast met een eigenaar en een controledatum binnen drie maanden; zonder die datum staat de toegang voor onbepaalde tijd, en dat schroeft niemand later nog terug. En laat de output altijd eerst naar een mens gaan: de agent signaleert, hij onderhandelt niet.

Beslisregel: begin je nu al met een coworker agent?

Waar de Gemini agent misgaat: rechten die er al lagen

De grootste valkuil zit niet in Agent Gateway of de sandbox, maar in wat al bestond voordat de agent er was. DoControl, een SaaS-beveiligingsbedrijf zonder Google-belang, noemt het mechanisme: een agent "inherits the digital identity" van wat hem is toegestaan, en "if retrieval isn't perfectly aligned with existing sharing permissions, sensitive information can leak, even though the file itself was never opened." Precies wat in het voorbeeld hierboven gebeurt: geen aanval, een agent die keurig doet wat zijn toegang toestaat, terwijl die toegang ruimer is dan de taak.

Dat risico is niet theoretisch voor toezichthouders. De Autoriteit Persoonsgegevens waarschuwde op 17 februari 2026 voor autonome AI-agents die via verborgen opdrachten in e-mails of agenda's ("indirecte promptinjectie") gekoppelde accounts kunnen overnemen, in een waarschuwing die specifiek over het open source-systeem OpenClaw ging. De Gemini agent is geen OpenClaw: hij draait in Google's eigen cloudinfrastructuur, met een sandbox en firewall die OpenClaw niet had. Maar het mechanisme, een agent die tekst uit e-mails of agenda's leest en daarop reageert, geldt voor elke agent die e-mail en agenda als invoer gebruikt. De AP is duidelijk over wie verantwoordelijk blijft: "organisaties en individuele gebruikers blijven zelf verantwoordelijk voor naleving van de Algemene verordening gegevensbescherming (AVG)", wat een leverancier ook aan sandboxing bouwt.

Agents en de AVG: wie is verantwoordelijk als de agent zijn eigen mailbox heeft?

Een coworker agent met een eigen @agents.company.com-adres leest en verstuurt mail, en dat is een persoonsgegeven zodra er een naam, klant of medewerker in voorkomt. Het antwoord op "wie is dan verantwoordelijk" verandert niet: artikel 24 AVG legt de verantwoordingsplicht bij de verwerkingsverantwoordelijke, niet bij het systeem dat verwerkt. Jouw organisatie blijft dus verantwoordelijk, precies zoals bij een gewone mailagent in een AI-agent voor je inbox: een agent is een verwerkingsmiddel, geen aparte juridische partij.

Wat wel verandert, is de reikwijdte van "wie mag dit zien". Artikel 5 AVG eist doelbinding en minimale gegevensverwerking: niet meer persoonsgegevens, en niet voor een breder doel, dan de taak vereist. Een coworker agent met toegang tot een hele Drive in plaats van één projectmap overtreedt dat beginsel zodra hij één bestand leest dat buiten de taak valt, zoals hierboven. En een agent in de bedrijfsgids moet behandeld worden als een account met rechten, niet als los hulpmiddel: dezelfde les als bij Microsoft's Entra Agent ID uit Microsoft Agent 365, waar een agent zonder eigenaar en controledatum rechten opstapelt die niemand terugschroeft.

Wat je realistisch mag verwachten, en wat (nog) niet

Dit is één dag na lancering: eigen gebruiksdata bestaat nog niet. Google's eigen klantcijfers (Bradesco: documentcontrole van "1 hour to 5 minutes"; Commerzbank: "20 hours to just one", nadrukkelijk leveranciersdata, niet onafhankelijk geverifieerd) komen van bedrijven op een schaal die met het Nederlandse mkb weinig te maken heeft, en zeggen niets over de coworker agent-functie specifiek.

Realistischer voor een eerste pilot is de inrichtingstijd uit de beslisregel hierboven: dat is tijd die de identiteits- en rechtenlaag vraagt, niet de agent zelf. Wat na een week waarschijnlijk niet verandert: of dit al iets oplevert voor jouw sector. Buiten Financial Services en Legal bestaat er nog geen sectorspecifieke versie, dus je werkt met de generieke laag.

Drie meetpunten zonder tooling, na zeven dagen:

• Hoeveel keer moest je de toegang van de agent achteraf versmallen? Meer dan nul keer betekent dat de scope bij het instellen te ruim was, niet dat de agent iets verkeerd deed.
• Hoeveel van de output had je zonder nakijken durven delen met een collega of klant? Minder dan de helft betekent dat de taak nog te breed of te onduidelijk omschreven is.
• Hoeveel tijd kostte het inrichten, tegen de tijd die de eerste week bespaarde? Is dat laatste nog niet groter, geef het twee weken voor je concludeert dat het niet werkt: de instelkosten zijn eenmalig.

Wat de Gemini agent (nog) niet doet

Niets in de aankondiging noemt EU-dataresidentie of Nederlandse beschikbaarheid specifiek voor deze nieuwe agentlaag; voor wat er al bekend is over Gemini Enterprise in het algemeen op dat punt, zie Claude vs Gemini. Ga er dus niet van uit dat klant- of personeelsgegevens die een coworker agent verwerkt, automatisch binnen de EER blijven: vraag dat schriftelijk op bij Google voor je persoonsgegevens op deze agentlaag zet, net zoals je dat bij elke nieuwe verwerker zou doen. En een coworker agent neemt geen aansprakelijkheid over: hij voert de taak uit die je hem geeft, maar de AVG-verantwoordelijkheid en de eindcontrole op wat de deur uit gaat, blijven bij jouw organisatie, niet bij Google.

Doe dit deze week

1. Check of je al Gemini Enterprise hebt, niet alleen gewone Gemini

   Vraag je IT-beheerder of accountmanager naar de licentielaag. Zonder Gemini Enterprise heb je vandaag geen toegang tot coworker agents, en is er niets te testen.

2. Kies één smalle taak en schrijf het objectief, niet de instructie

   Gebruik het voorbeeld hierboven als sjabloon: doel, output-formaat, en een harde toegangsregel tot precies de map of databron die nodig is. Niets breder.

3. Leg eigenaarschap en een controledatum vast voor je de agent aanzet

   Eén A4: wie is eigenaar van deze agent, welke toegang heeft hij, en wanneer check je dat voor het eerst opnieuw. Doe dit voor je opschaalt naar een tweede taak.

Het agent-recept dat vandaag werkt: geef de agent een objectief met een expliciete scope-regel ("alleen map X", "alleen deze databron"), nooit toegang tot een hele omgeving omdat dat sneller instelt. Wil je dit met je team uitproberen op jullie eigen Gemini- of Claude-omgeving, met de rechten en grenzen die bij jullie organisatie passen? In de Agent Sprint bouw je dat samen op, en in de ChatGPT, Claude & Gemini Masterclass leer je wanneer welk model en welke agentlaag past.

Bronnen

• Google Cloud Blog, Welcome to Gemini at Work 2026: Introducing the Gemini agent. Aankondiging van 8 oktober 2026, zelf geopend. Architectuur, identiteit, geheugen, modelorkestratie, Agent Gateway, kostenbeheersing en klantcijfers.
• DoControl, Gemini AI Security Risks: How Agentic AI Expands the Enterprise Attack Surface. Onafhankelijke SaaS-beveiligingsleverancier (geen Google-partner), zelf geopend. Mechanisme van geërfde rechten en permission-sprawl bij agents binnen Google Workspace.
• Infosecurity Magazine, Google Introduces Unique AI Agent Identities in New Gemini Enterprise Platform. Onafhankelijke, journalistieke berichtgeving (Kevin Poireault) over Google Cloud Next 26, april 2026, zelf geopend. Agent Registry, cryptografische agent-ID's en het citaat van Google Cloud-COO Francis deSouza over dynamisch toegangsbeheer.
• Autoriteit Persoonsgegevens, via Security Management, AP waarschuwt voor grote beveiligingsrisico's bij AI-agents. Waarschuwing van 17 februari 2026 over OpenClaw en vergelijkbare autonome AI-agents, zelf geopend.
• GDPR-text.com, artikel 5 en artikel 24 AVG: doelbinding/minimale gegevensverwerking en de verantwoordingsplicht van de verwerkingsverantwoordelijke, zelf geopend, letterlijke verordeningstekst.
• Project Impact, Claude vs Gemini en Microsoft Agent 365. Eigen eerdere analyses van Gemini Enterprise-prijzen/EU-dataresidentie en van een vergelijkbare agent-identiteitslaag bij Microsoft.

Veelgestelde vragen

• Wat is de Gemini agent van Google?

  De Gemini agent is de nieuwe agentlaag van Gemini Enterprise, aangekondigd op 8 oktober 2026. Het is één agent voor chatten, kennis werk, beeld en code, die je een objectief geeft in plaats van losse instructies. Hij kan ook als "coworker agent" draaien: met een eigen identiteit, een @agents.company.com e-mailadres, agenda en Drive-account.

• Werkt de Gemini agent ook met Claude van Anthropic?

  Ja. Volgens Google orkestreert Gemini Enterprise elke taak op het model dat het beste past, "across our Gemini family of models and Claude models from Anthropic today". Je kiest dus niet meer per taak zelf het model; de agent kiest het model, met Claude als expliciete optie naast Gemini.

• Is de Gemini agent al beschikbaar in Nederland?

  Dat zegt de aankondiging niet. Er staat geen EU- of Nederlandse beschikbaarheidsdatum in, en alleen de sectoren Financial Services en Legal hebben nu preview-toegang tot een sectorspecifieke versie. Check je eigen Google-beheerconsole of vraag het je accountmanager, en zie onze eerdere uitleg over Gemini Enterprise en EU-dataresidentie in Claude vs Gemini.

• Wat is het verschil tussen de Gemini agent en Gemini Enterprise?

  Gemini Enterprise is het platform: de agentlaag van Google Cloud met identiteitsbeheer, Agent Gateway en kostenbeheersing. De Gemini agent is de nieuwe, universele agent binnen dat platform die chat, kennis werk, beeld en code combineert, en die als coworker agent een eigen identiteit kan krijgen. De Gemini agent is dus een onderdeel van Gemini Enterprise, niet een los product ernaast.

• Is een coworker agent veilig voor bedrijfsdata?

  Hij draait in een Agent Sandbox met een eigen netwerkgrens, en al het verkeer loopt via Agent Gateway, Google's eigen AI-firewall. Dat beperkt een deel van het risico, maar niet het belangrijkste: een agent erft de toegang die je hem geeft. Onafhankelijk beveiligingsonderzoek (DoControl) waarschuwt dat retrieval die niet exact aansluit op bestaande deelrechten, bestanden kan tonen die niemand zo had bedoeld. Scope de toegang dus altijd op de taak, nooit op de hele map of mailbox.