"Wie mag dit eigenlijk zien?" Die vraag hoort bij elke audit, en in Odoo 20 krijgt hij er een vervolg bij: wat mag de AI? De toegangsrechten in Odoo worden eenvoudiger, maar er komen nieuwe deuren bij. Onze vuistregel: geef een AI nooit meer rechten dan een nieuwe collega, en leg per rol vast wie wat mag.
Wat Odoo 20 verder verandert, lees je in het overzicht van Odoo 20. Dit stuk hoort bij Hoe Odoo?!, onze reeks over Odoo inzetten zoals het bedoeld is.
Odoo toegangsrechten zonder recordregels
Tot nu toe had je twee lagen: het toegangsrecht (mag deze groep lezen, schrijven, aanmaken, verwijderen) en de recordregel (op welke records). Volgens de release notes van Odoo 20 verdwijnt die tweede laag. Het domein, de filter die bepaalt op welke records een recht geldt, staat voortaan op het toegangsrecht zelf.
Minder lagen is makkelijker beheren. Heb je eigen rechten gebouwd, laat ze omzetten en test per rol. De gebruikersdocumentatie over toegangsrechten voor versie 20 beschrijft recordregels nu nog; de release notes zijn hier de nieuwste bron.
Begin bij de rol, niet bij de techniek
Wie doet wat, en wat hoort iemand juist niet te zien? Die vraag beantwoord je vóórdat je gebruikersrechten toekent. Odoo 20 geeft daarvoor fijnere stappen:
- Kassa: een nieuw, zeer beperkt toegangsniveau voor medewerkers.
- Verlof: een recht dat de app voor iemand helemaal afsluit.
- Aanwezigheden: wie er geen rechten op heeft, kan de app niet meer gebruiken.
- Documenten: gebruikersgroepen om rechten op bestanden en mappen in één keer te regelen.
Light Users: let op dat ene vinkje
Volgens de documentatie over toegangsrechten wordt een Light User automatisch een volledige gebruiker zodra hij een recht krijgt buiten zijn beperkte set. Eén vinkje te veel verandert dus ook het type licentie. Leg per rol vast welk type gebruiker erbij hoort en wie rechten mag aanzetten.
AI in Odoo: een agent kan wat zijn vaardigheden toelaten
Een agent in Odoo werkt met vaardigheden: instructies plus tools. Volgens de documentatie over agents kan een agent zonder vaardigheden alleen informatie geven. Pas met vaardigheden maakt hij records aan of past hij ze aan. Welke vaardigheden een agent krijgt, is dus een rechtenvraag.
Op Odoo Experience, de beurs van Odoo, werkte de AI in de demo's binnen de rechten van de gebruiker die de vraag stelde, en vroeg hij bij elke schrijfactie om bevestiging. Toets dat in je eigen testdatabase voordat je erop bouwt.
Externe AI via MCP: de deur die je zelf openzet
Via MCP (Model Context Protocol), een open standaard, koppel je een externe AI-assistent aan je Odoo-database. De MCP-documentatie van Odoo is helder over de beginstand:
- Alleen leestools staan open. De rest is verborgen tot een beheerder een tool per stuk openzet.
- De assistent werkt met de rechten van de gekoppelde gebruiker. Elke aanvraag gaat met de sleutel van die gebruiker.
- Elke verbinding staat als sleutel bij die gebruiker. Verwijder je die sleutel, dan is de toegang ingetrokken.
- Alleen-lezen is een advies, geen slot. Een tool met dat vinkje mag de assistent zonder jouw goedkeuring aanroepen. Zet het dus nooit op een tool die iets wijzigt.
In een sessie over Odoo-beveiliging op de beurs hoorden we dat organisaties AI in de praktijk vaak volledige rechten geven, zonder dat zo te bedoelen. Onze vuistregel: een eigen gebruiker, met de rechten van een nieuwe collega en een vervaldatum op de sleutel.
Vastleggen en controleren
Odoo 20 helpt bij een audit. Wijzigingen in gebruikersgroepen staan in de chatter van de gebruiker, en uitgaande mail legt vast waar de inhoud vandaan komt. Plan een rechtencheck na elke upgrade, en daarna vast in je kwartaaloverleg.
Wat Newway doet
Rechten volgen bij ons uit de analyse: wie doet wat in het proces. Elke wijziging gaat eerst door de testomgeving van onze OTAP-straat, en AI zetten we in met een mens die de uitkomst toetst. Zelf zijn we NEN 7510- en ISO 27001-gecertificeerd en controleren we onze autorisaties en toegangsrechten periodiek.
Hoe je processen, eigenaren en normen vastlegt, lees je bij kwaliteitsmanagement. De rechtencheck na een upgrade hoort in het ritme van managed services.
Veelgestelde vragen
Wat gebeurt er met mijn recordregels bij de upgrade naar Odoo 20?
Volgens de release notes verdwijnen ze als aparte laag: het domein komt op het toegangsrecht zelf te staan. Hoe jouw eigen regels erbij komen te staan, zie je op een testkopie. Log daar per rol in en kijk wat je ziet en wat niet. Zitten er recordregels in maatwerk, laat die dan vóór de upgrade nalopen.
Kan een externe AI-assistent alles in mijn Odoo zien?
Hij ziet wat de gekoppelde gebruiker mag zien. Schrijven kan pas als een beheerder die tools openzet. Koppel daarom met een eigen gebruiker met beperkte rechten, geef de sleutel een vervaldatum en trek hem in als je de koppeling niet meer gebruikt. Laat alleen assistenten toe die je hebt goedgekeurd.
Helpt Odoo 20 bij NEN 7510 of ISO 27001?
Een systeem maakt je niet compliant. Odoo 20 helpt wel: rechtenwijzigingen worden gelogd en de toegangsniveaus zijn fijner. Compliance zit in de afspraken, de rolverdeling en de periodieke controle, en die leg je zelf vast. Geef elke rechtenwijziging daarom een eigenaar en een reden.
Wil je weten of je rechten en AI-koppelingen klaar zijn voor Odoo 20? Plan een kennismaking. Plan een kennismaking
