Contract-centered architecture: waarom enterprise AI-agenten falen zonder expliciete verantwoordelijkheidsobjecten

Enterprise AI in de publieke sector heeft geen modelprobleem. Het heeft een verantwoordelijkheidsprobleem.

Een ministerie rolt een agentic workflow uit voor het voorbereiden van uitkeringsbesluiten. De agent raadpleegt PII-gevoelige databases, genereert beslissuggesties, en legt die voor aan een menselijke behandelaar. In de pilot werkt het. Drie maanden later, na vijf model-updates, twee infrastructuurwijzigingen en een nieuwe data-connector, kan niemand meer uitleggen welke versie van welke Skill welke output produceerde, onder welke runtime-voorwaarden, met welke data-toegang. De audit trail is fragmentarisch. De AVG-verantwoordingsplicht is onmogelijk na te leven. De pilot is technisch nog actief, bestuurlijk onverantwoord.

Dit is geen hypothetisch scenario. Dit is het patroon dat elke overheid tegenkomt die AI-agenten schaalt zonder expliciete architectonische contracten. En het is precies het probleem dat Liu et al. (PwC China AI Center, Tsinghua University) aanpakken in hun paper A Contract-Centered Architecture for Scalable and Manageable Agentic Runtimes (arXiv:2608.27086, 27 augustus 2026).

De centrale verschuiving: van ad-hoc prompts naar expliciete contracten

Het paper stelt dat enterprise AI-deployment een coördinatieprobleem is, niet een modelprobleem. Een agentic run kruist bedrijfsunits, applicatieteams, AI-platformteams, testing, infrastructuur, security, operations en data-governance - groepen die verschillende objecten aan verschillende snelheden veranderen. Een benchmark kan aantonen dat een agent één taak voltooit. Maar die benchmark zegt niets over of die capability werd toegelaten onder de juiste policy, veilig gecomposeerd, gebonden aan compatibele capaciteit, geïsoleerd van andere tenants, replayable, portable, of betaalbaar op enterprise-schaal.

De architectuur die het paper voorstelt, lost dit op door vier responsibility-objects te definiëren als expliciete organisatorische contracten:

Object	Eigenaar (enterprise)	Wijzigingsfrequentie	Stabiel contract
Skill	Business product owner + AI/automation developers	Uren tot weken	Goal, typed I/O, effects, tests, evidence, version
Harness	AI platform/runtime + governance teams	Dagen tot maanden	Admission, activated path, effects, binding constraints, postconditions, trace
Scaffold	Enterprise platform, cloud/server-farm, SRE, security, operations	Weken tot jaren	Resource, isolation, locality, identity, attestation, execution
Data substrate	CIO/data authority + domain data stewards	Weken tot jaren	Semantic access, provenance, routing, lifecycle, intermediate representation

De runtime wordt gemodelleerd als A = ⟨S, H, X⟩, waarbij S de versioned set Skills is, H de Harness die runs compileert en governed, en X de pool van Scaffold-instanties. De data substrate staat buiten de stack - niet een vierde runtime-laag, maar onafhankelijk CIO-governed semantische en telemetry-infrastructuur.

Wat deze objecten concreet betekenen

Een Skill is een herbruikbare, versioned business capability. Niet een losse prompt, maar een getest, geïsoleerd contract met gedefinieerde input, output, effects en evidence-verplichtingen. Een Skill die een uitkeringsbeslissing voorbereidt, heeft een versie, een goal-definitie, en een test-suite die afdwingt dat de output aan bestuursrechtelijke eisen voldoet.

De Harness is de runtime-compiler en governor. Het is het object dat een activated path toelaat, bindt aan compatibele Scaffold-capaciteit, en evidence vastlegt. De Harness lost een typed contract C = ⟨I, O, G, A, B, V⟩ op - input, output, guards, actions, bindings, verifications - en plaatst probabilistische planning binnen deterministische admission, effect en evidence enforcement. Dit is de boundary waarop AI-architectuur auditable wordt.

Het Scaffold is de execution en control boundary. Het owns de fysieke executie en de non-functional requirements: resource-isolatie, lokaliteit, identiteit, attestation. Een ministerie dat een agentic workflow uitrolt zonder expliciet Scaffold-object, mist de organisatorische inbedding voor runtime-controle.

De data substrate is stack-extern. Canonical sources en versioned provenance blijven autoritatief; afgeleide samenvattingen zijn auditable metadata, niet vervangingen. Dit is direct relevant voor AVG-doelbinding: een Skill mag alleen data consumeren via governed access paths die de data substrate blootstelt, niet via directe database-connecties.

De falsificeerbare hypothese P1: cost-aware capability-capacity separability

Het wetenschappelijke hart van het paper is niet de architectuur zelf, maar één begrensde, falsificeerbare hypothese genaamd P1: cost-aware capability-capacity separability. De claim is:

Binnen een gedeclareerde operating region Ω moet het veranderen van activated capability de capacity-response interactie behouden binnen een preregistered two-sided equivalence margin, terwijl het veranderen van compatible Scaffold capacity de capability semantics behoudt tot een preregistered directional non-inferiority margin, en de controls die nodig zijn om beide resultaten vast te stellen moeten binnen een gedeclareerd enforcement budget blijven.

Dit is geen universele modulariteitsclaim. Het is geen bewijs dat een benoemde implementatie schaalt. Het is een empirische beslissing over een gespecificeerde runtime, workload, policy, data-snapshot en compatible capacity range. De verdict kan vier states aannemen: supported, falsified, conditional-engineering, of inconclusive.

Het paper specificeert een cluster-period randomized crossover experiment met balanced order, reset/washout, repeated seeds en failure regimes, en cluster-aware uncertainty. Dit is methodologisch serieus: het behandelt een verwacht Scaffold-main-effect niet als evidence van separability. Adding resources verbetert normaal gesproken throughput - dat is niet het punt. De vraag is of de respons op een capability-intervention materieel verandert across Scaffold-configuraties, en of dat binnen een aanvaardbare enforcement cost valt.

Zes design conditions worden measured obligations

Het paper transformeert zes bekende systems-design conditions in gemeten verplichtingen waarvan coverage, violations, uncertainty, cost en exclusions bepalen of P1 überhaupt beslisbaar is:

1. Complete mediation - elke access wordt gecheckt, niet alleen de eerste (Saltzer & Schroeder, 1975)
2. Effect non-interference - een vorm van information-flow non-interference uit security semantics
3. Least authority / capability systems - een admitted path carries narrow, unforgeable authority in plaats van ambient privilege
4. Information hiding - decisions die waarschijnlijk veranderen zitten achter stabiele interfaces (Parnas, 1972)
5. Policy/mechanism separation - het Hydra-principe (Levin et al., 1975)
6. Control/data-plane separation - control decisions versus execution of accepted work

Deze zijn niet nieuw. Het paper claimt dat niet. De bijdrage is dat het deze bekende ideeën adapteert naar agentic runtimes én er een falsificatieprotocol omheen bouwt.

Wat het paper niet claimt - en waarom dat juist de waarde is

Het paper stelt expliciet: het rapporteert geen voltooide runtime-implementatie, geen experiment, geen dataset, en geen gemeten resultaat. De bijdrage is architectuur plus falsificatie-methodologie, niet synthetische resultaten.

Dit is ongewoon in een landschap waarin AI-papers vaak implementatie-claims maken zonder reproduceerbare code. Het paper stelt een claim op die rejectable is - een architectuur die kan falen onder testen, in plaats van mechanismen die als observaties worden gepresenteerd. Table 3 en Section 13 van het paper leggen de evidence-status van elke claim vast.

De dichtstbijzijnde verwante publicatie is het werk van Tallam over een five-plane reference architecture voor production-agent governance (arXiv:2606.12320), dat enforceable runtime governance motiveert maar geen separability-claim vaststelt. En het werk van Soni over falsifiable release gates (arXiv:2607.13070), dat predeclared machine-checkable acceptance suites voor capabilities voorstelt. Het paper erkent beide en stelt precies wat het daaraan toevoegt: de commitment aan één falsificeerbare consequentie - separability - en het randomized design dat het kan weerleggen.

Vertaling naar de Nederlandse publieke sector

De vier responsibility-objects vertalen direct naar bestaande Nederlandse governance-kaders:

NORA en de Skill. Een Skill-as-Code contract met typed I/O en evidence verplichtingen is een technische materialisatie van NORA-principes rondom gegevenshuishouding en verantwoordingsplicht. De Skill dwingt doelbinding af (AVG art. 6) doordat de goal-definitie en effects expliciet en versioned zijn.

BIO2 en de Harness. De Harness als admission- en governance-boundary implementeert BIO2-control B.16 (monitoring) en B.12 (beheer van technische kwetsbaarheden) op runtime-niveau. De admission gate is het punt waarop policy-enforcement afdwingbaar is - niet als documentatie, maar als code.

NIS2/Cyberbeveiligingswet en het Scaffold. Het Scaffold-object borgt de technische robuustheid die NIS2 vereist: isolatie, identiteit, attestation. Supply chain security (NIS2 art. 30) wordt adresseerbaar doordat de Scaffold de execution boundary own en daarbinnen attestation kan afdwingen.

AVG en de data substrate. Stack-external governance van data, met canonical sources als autoriteit en afgeleide samenvattingen als metadata, is een technische implementatie van AVG-beginselen rondom gegevenskwaliteit en herleidbaarheid. Een data substrate die provenance versioned vastlegt, maakt het mogelijk om achteraf te reconstrueren welke data onder welk beleid toegankelijk was.

De inkoopimplicatie: wat je zou moeten eisen

Voor een overheid die een AI-agent platform aanbested, vertaalt deze architectuur zich in concrete eisen aan leveranciers:

• Skill versioning en evidence: elke capability moet een versioned contract zijn met gedefinieerde I/O, effects en test-suite. Niet een prompt in een configuratiebestand.
• Harness admission logging: de runtime moet een auditbare admission boundary hebben die activated paths, bindings en evidence vastlegt. Niet alleen inference logs.
• Scaffold isolatie-attestation: de execution boundary moet isolatie en attestation afdwingen en kunnen aantonen. Niet alleen throughput-statistieken.
• Data substrate provenance: data-toegang moet via governed access paths lopen met versioned provenance. Niet via directe database-connecties in agent-code.
• Falsificeerbare separability-claims: een leverancier die beweert dat capability en capacity onafhankelijk schaalbaar zijn, moet dat kunnen testen binnen een declared operating region met preregistered margins. Niet als marketing-claim, maar als protocol.

Dit is geen theoretische oefening. Het verschil tussen een architectuur met expliciete responsibility-objects en één zonder, is het verschil tussen een audit die zegt "we hebben logs" en een audit die zegt "we hebben bewijs dat deze specifieke output onder deze specifieke policy met deze specifieke data is geproduceerd, en we kunnen dat reconstrueren."

Conclusie: architectuur als verantwoordingsstructuur

Het paper van Liu et al. levert geen implementatie. Het levert iets wat in het publieke-sector-AI-landschap schaarser is dan implementaties: een architectuur die failbaar is, die bewijsbaar is, en die verantwoordelijkheid materialiseert in plaats van impliciet aan te nemen.

De vier responsibility-objects - Skill, Harness, Scaffold, data substrate - zijn geen abstracte ontwerppatronen. Ze zijn de structuur die een uitvoeringsorganisatie nodig heeft om te kunnen aantonen dat een AI-agent binnen de juridische kaders opereert die de AVG, de AI Act en BIO2 stellen. En de falsificeerbare hypothese P1 is de test die bepaalt of die structuur daadwerkelijk werkt, of alleen bestaat.

Voor de Nederlandse publieke sector is de vraag niet óf AI-agenten gaan schalen. Dat gebeurt al. De vraag is of die schaling gebeurt met expliciete, verifieerbare verantwoordelijkheidsstructuren - of zonder. Dit paper geeft de architectuur om het mét te doen. En het geeft het protocol om te bewijzen dat het werkt.

---

Bron: Liu, Y., Liu, Y., Hou, Z., Liu, P., Guan, Y., & Song, J. (2026). A Contract-Centered Architecture for Scalable and Manageable Agentic Runtimes. arXiv:2608.27086. PwC China AI Center & Tsinghua University. https://arxiv.org/abs/2608.27086