Per branche

AI voor IT-dienstverleners en MSP's: zeven toepassingen en de harde grenzen

AI voor IT-dienstverleners en MSP's: tickets sorteren, kennisbank bijhouden en meldingen bundelen. Plus de grenzen bij beheerrechten, subverwerkers en NIS2.

aiworktalent Redactie · 28 oktober 2026 · 11 min leestijd

Een ICT-bureau of managed service provider (MSP) regelt voor andere mkb-bedrijven de werkplekken, het netwerk, Microsoft 365 en de servicedesk, het loket waar klanten storingen en vragen melden. Daarachter zit veel herhaalwerk: tickets lezen en doorzetten, documentatie bijwerken, meldingen wegklikken. AI voor IT-dienstverleners kan precies dat werk lichter maken. Maar een MSP heeft de sleutels van tientallen klantomgevingen in handen en verwerkt de persoonsgegevens van al die klanten. Daarom staan hieronder naast de kansen ook de harde grenzen.

Zeven toepassingen van AI voor IT-dienstverleners, sterkste eerst

De uren van een ICT-bureau gaan zelden op aan grote projecten, maar aan de stroom kleine dingen die nooit ophoudt. De volgorde hieronder rust op twee vragen: hoeveel tijd levert het op, en hoe klein is de schade als AI zich vergist.

1. Tickets sorteren en een eerste antwoord klaarzetten

Op maandagochtend staan er tientallen meldingen klaar uit mail, telefoon en het klantportaal. Iemand moet ze allemaal lezen om te zien wat dringend is: de printer die vastloopt, of de directeur die niet kan inloggen. AI leest elk nieuw ticket, stelt een categorie en urgentie voor, koppelt het aan de juiste klant en schrijft een conceptantwoord. De technicus bevestigt of past aan.

Eerlijk resultaat: het eerste lezen en doorzetten gaat sneller en gelijkmatiger, vooral bij vage meldingen als "alles is traag". Invoeren is middelzwaar; het hangt af van de koppelingen die je ticketsysteem toelaat.

2. De kennisbank bijhouden met wat je al oplost

Documentatie blijft bij bijna elk ICT-bureau als eerste liggen. De oplossing voor een terugkerend probleem staat in een afgesloten ticket, of alleen in het hoofd van één collega. AI maakt van een opgelost ticket een conceptartikel: symptoom, oorzaak en stappen.

Een technicus controleert elk artikel, want een fout stappenplan wordt anders keer op keer herhaald. Het levert minder afhankelijkheid van één persoon op en sneller ingewerkte collega's. Invoeren is licht, omdat het geen toegang tot klantomgevingen vraagt.

3. Meldingen van de bewakingssoftware bundelen

Software voor bewaking en beheer op afstand (vaak RMM genoemd) houdt servers, werkplekken en back-ups van alle klanten in de gaten. Wie dagelijks honderden meldingen ziet, mist op den duur de ene die ertoe doet. AI bundelt meldingen die bij elkaar horen en vat per voorval in gewone taal samen wat er lijkt te spelen. Twintig meldingen over onbereikbare werkplekken bij één klant zijn waarschijnlijk één netwerkstoring.

Laat AI hier signaleren en voorstellen, niet zelf ingrijpen. Invoeren is middelzwaar, omdat je de regels per klant afstemt.

4. Maandrapportages voor klanten

Veel MSP's bespreken hun werk periodiek met de klant: tickets, storingen, de stand van updates en back-ups. Het verzamelen kost per klant al snel een uur, dus het schiet er vaak bij in. AI zet de cijfers uit het ticketsysteem en de bewaking om in een leesbare samenvatting met een paar aanbevelingen.

De accountmanager schrapt wat niet klopt of gevoelig ligt. Het levert een beter klantgesprek op, en vaker een tijdig gesprek over vervanging. Invoeren is licht tot middelzwaar.

5. Een nieuwe klant inrichten

Een nieuwe klant binnenhalen betekent inventariseren: apparaten, licenties, wie beheerrechten heeft, hoe het netwerk loopt. Die informatie komt verspreid binnen, uit een overdracht van de vorige leverancier, een rondgang op locatie en losse mails. AI ordent die stukken tot een eerste klantdossier en een lijst met open punten, bijvoorbeeld drie beheeraccounts zonder tweestapsverificatie.

Invoeren is licht, met één harde regel: in overdrachtsstukken staan soms wachtwoorden, en die horen niet in een AI-tool.

6. Offertes, contracten en licenties

Contracten met verlengdatums, offertes die sterk op elkaar lijken en licenties die moeten kloppen met wat de klant betaalt: hier lekt ongemerkt geld weg. AI stelt een concept-offerte op uit eerdere offertes en je prijslijst, en zoekt verlengdatums en opzegtermijnen op. Daarnaast vergelijkt AI het aantal Microsoft 365-licenties met de gebruikerslijst, zodat een licentie voor een vertrokken medewerker opvalt.

Een mens stelt de prijs vast en tekent. Invoeren is licht als je contracten digitaal op één plek staan.

7. Eenvoudige gebruikersvragen zelf laten afhandelen

Hoe deel ik een map, hoe stel ik mijn handtekening in: een deel van de vragen van eindgebruikers is steeds hetzelfde. Een assistent in het klantportaal beantwoordt ze uit je eigen kennisbank en zet de rest als ticket door.

Een wachtwoord of tweestapsverificatie opnieuw instellen is precies waar oplichters op mikken: ze doen zich voor als medewerker van je klant. Laat zo'n verzoek nooit door een assistent afhandelen zonder identiteitscontrole door een mens. Invoeren is middelzwaar, omdat de kennisbank eerst op orde moet zijn; begin daarom met toepassing 2.

Zo ziet het eruit bij een ICT-bureau met twaalf medewerkers

Ter illustratie: een ICT-bureau met twaalf medewerkers beheert zo'n veertig mkb-klanten. Op maandagochtend staan er rond de zestig nieuwe tickets klaar, en de eerste twee uur gaan op aan lezen en verdelen. Het bureau begint met een AI-koppeling die alleen leesrechten heeft op het ticketsysteem. Die stelt bij elk ticket een categorie, een urgentie en een conceptantwoord voor. De dienstdoende technicus keurt goed of past aan; niets gaat automatisch naar de klant.

Na een maand blijkt dat de urgentie bij meldingen over inloggen en e-mail vaak te laag uitvalt. Het bureau scherpt de instructies aan en laat zulke tickets voortaan altijd door een mens beoordelen. Vóór de start had het bureau de AI-leverancier al als nieuwe subverwerker aan zijn klanten gemeld, met de mogelijkheid om bezwaar te maken.

De harde grenzen voor AI bij een MSP

Een MSP is het verlengstuk van de IT-afdeling van veel bedrijven tegelijk. Wat bij één bedrijf een fout is, wordt bij een MSP al snel een fout bij al zijn klanten.

Een AI-tool krijgt standaard alleen leesrechten in klantomgevingen

Geef een AI-koppeling standaard alleen leesrechten, op zo weinig systemen als nodig. Microsoft werkt voor partners al zo: via granular delegated admin privileges (GDAP) vraagt een partner alleen de rollen aan die hij nodig heeft, voor een beperkte periode, en de klant keurt dat goed. Pas dezelfde gedachte toe op AI. Een account blokkeren, een script uitrollen of een mailbox verwijderen doet een technicus, of hij keurt het per keer vooraf goed. Hoe je bepaalt hoeveel een agent zelf mag doen, lees je in de autonomieladder voor AI-agents.

Let ook op wat een AI-tool leest. Een ticket of mail van buiten kan verborgen instructies bevatten die het systeem probeert uit te voeren. Dat heet prompt injection, en het is gevaarlijker naarmate de tool meer mag. Hoe die aanval werkt, staat in het artikel over AI en cybersecurity in het mkb.

Jij bent verwerker, de AI-leverancier wordt je subverwerker

In tickets, mailboxen en back-ups staan persoonsgegevens van de medewerkers en klanten van je klanten. Daarvoor is je klant de verwerkingsverantwoordelijke en ben jij de verwerker (artikel 28 AVG). Zet je een AI-tool in die die gegevens verwerkt, dan wordt de leverancier jouw subverwerker. Volgens artikel 28 lid 2 AVG mag dat alleen met voorafgaande specifieke of algemene schriftelijke toestemming van je klant. Bij algemene toestemming informeer je de klant over een nieuwe subverwerker, zodat hij bezwaar kan maken.

Met de AI-leverancier sluit je een verwerkersovereenkomst met dezelfde verplichtingen als in jouw overeenkomst met de klant (artikel 28 lid 4 AVG). Die is verplicht zodra de tool persoonsgegevens voor je verwerkt, ook als je hem maar af en toe gebruikt. Wat er minimaal in moet staan, lees je in het artikel over de verwerkersovereenkomst voor AI-tools. Lekt er via de tool toch iets uit, dan licht je je klant zonder onredelijke vertraging in (artikel 33 lid 2 AVG).

De Cyberbeveiligingswet: vaak niet voor jou, wel voor je klanten

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet (Cbw), de Nederlandse uitvoering van de Europese NIS2-richtlijn. Beheer van ICT-diensten is daarin een eigen sector: volgens het NCSC vallen aanbieders van beheerde diensten en van beheerde beveiligingsdiensten eronder als ze groot genoeg zijn. Dat betekent volgens de zelfevaluatie van het NCSC 50 of meer medewerkers in fte, of minder medewerkers maar zowel een jaaromzet als een balanstotaal boven 10 miljoen euro. Een zelfstandig bureau met minder dan 50 fte valt er dus meestal niet rechtstreeks onder. Hoort je bureau bij een groep, dan tellen de medewerkers en cijfers van de groep in de regel mee.

Val je eronder, dan registreer je je via MijnNCSC en neem je zelf passende beveiligingsmaatregelen: de zorgplicht, waar je bestuur verantwoordelijk voor is. Een significant incident meld je met een eerste waarschuwing binnen 24 uur en een uitgebreidere melding binnen 72 uur. Val je er niet onder, dan raakt de wet je vaak via je klanten. De zorgplicht omvat ook de beveiliging van de toeleveringsketen (artikel 21 van de NIS2-richtlijn), dus een klant die onder de wet valt, kan strengere eisen aan zijn IT-leverancier opleggen. Reken erop dat zo'n klant wil weten welke AI-tools bij zijn systemen kunnen. Je eigen positie controleer je met de zelfevaluatie en het stroomschema van het NCSC.

AI weet niet wat het niet weet

Een conceptantwoord kan overtuigend klinken en toch fout zijn. Laat AI daarom nooit zelf een ticket sluiten of een beveiligingsmelding als ruis wegzetten. Leg binnen je team bovendien vast welke AI-tools met klantgegevens mogen werken: een technicus die een logbestand in een gratis chatbot plakt, deelt klantgegevens met een partij zonder verwerkersovereenkomst.

Overzicht: taak, wat AI doet en wie beslist

Klein beginnen

Begin met één toepassing zonder schrijfrechten, waarin een fout weinig schade doet: tickets sorteren met alleen leesrechten, of kennisbankartikelen maken uit opgeloste tickets. Regel vóór de start de toestemming voor de nieuwe subverwerker en de verwerkersovereenkomst met de AI-leverancier, niet erna. De koppeling met je ticketsysteem en bewakingssoftware is meestal het echte werk, niet het AI-model; waarom, lees je in het artikel over AI koppelen aan je bestaande systemen. Meet vooraf hoeveel tijd dat werk nu kost, zodat je na een maand kunt zien of het iets oplevert. Breid pas uit als de eerste toepassing een paar maanden stabiel draait.

Veelgestelde vragen

Wat kan AI concreet doen voor een IT-dienstverlener of MSP?

De meeste winst zit in werk met een vast patroon en veel tekst: nieuwe tickets sorteren en een conceptantwoord klaarzetten, kennisbankartikelen maken uit opgeloste tickets en meldingen van de bewakingssoftware bundelen. Ook maandrapportages, klantdossiers en de controle van contracten en licenties lenen zich ervoor. AI stelt steeds voor, een technicus of accountmanager beslist.

Mag een AI-tool zelf acties uitvoeren in de omgeving van een klant?

Verstandig is dat zelden. Een MSP heeft toegang tot veel klantomgevingen tegelijk, dus een fout of misbruik raakt al snel meerdere klanten. Geef een AI-koppeling standaard alleen leesrechten. Acties die iets veranderen, zoals een account blokkeren of een script uitrollen, voert een technicus uit of keurt hij per keer goed. Een wachtwoord of tweestapsverificatie opnieuw instellen gebeurt nooit zonder identiteitscontrole door een mens.

Moet je je klant toestemming vragen om AI te gebruiken op zijn ticketgegevens?

Ja, als de AI-tool persoonsgegevens van je klant verwerkt. Jij bent dan de verwerker en de AI-leverancier wordt jouw subverwerker. Volgens artikel 28 lid 2 AVG heb je daarvoor voorafgaande specifieke of algemene schriftelijke toestemming van je klant nodig; bij algemene toestemming meld je een nieuwe subverwerker, zodat de klant bezwaar kan maken. Met de AI-leverancier sluit je een verwerkersovereenkomst. Die is verplicht zodra de tool persoonsgegevens voor je verwerkt, ook bij incidenteel gebruik.

Valt een MSP onder de Cyberbeveiligingswet (NIS2)?

Dat hangt af van de omvang. De Cyberbeveiligingswet geldt sinds 15 augustus 2026 en noemt beheer van ICT-diensten als eigen sector. Volgens de zelfevaluatie van het NCSC val je eronder met 50 of meer medewerkers in fte, of met minder medewerkers als zowel je jaaromzet als je balanstotaal boven 10 miljoen euro ligt. Hoort je bureau bij een groep, dan tellen de cijfers van de groep in de regel mee. Een zelfstandig klein ICT-bureau valt er meestal niet rechtstreeks onder, maar kan wel eisen opgelegd krijgen van klanten die er wel onder vallen.

Waar begint een klein ICT-bureau het beste mee?

Met één toepassing zonder schrijfrechten in klantomgevingen, zoals tickets sorteren met alleen leesrechten of kennisbankartikelen maken uit opgeloste tickets. Meet vooraf hoeveel tijd dat werk nu kost, zodat je na een maand kunt zien of het iets oplevert. Regel vóór de start de toestemming van je klanten voor de nieuwe subverwerker en de verwerkersovereenkomst met de AI-leverancier.

Een IT-dienstverlener die AI inzet voor tickets, documentatie en rapportages, wint vooral tijd op het herhaalwerk tussen de technische klussen door. Houd de rechten klein, regel de subverwerker en laat een technicus beslissen. Wil je een AI-expert inhuren voor je ICT-bureau of MSP, plaats dan je opdracht op aiworktalent en ontvang voorstellen van specialisten.