Medewerkers gebruiken generatieve AI vaak al voordat een organisatie afspraken heeft gemaakt. Daardoor kunnen vertrouwelijke gegevens, onjuiste antwoorden en onduidelijke auteursrechten ongemerkt een bedrijfsrisico worden. Een goed AI-beleid verbiedt niet alles, maar geeft heldere grenzen: welke toepassingen zijn toegestaan, welke informatie nooit mag worden ingevoerd en wanneer menselijke controle verplicht is.
Waarom losse waarschuwingen niet meer voldoende zijn
AI wordt gebruikt voor e-mails, offertes, analyses, sollicitaties, afbeeldingen en klantenservice. De winst kan groot zijn, maar hetzelfde geldt voor de gevolgen van een fout. Een medewerker kan klantinformatie in een openbare tool plaatsen, een verzonnen bron overnemen of een besluit laten beïnvloeden door een systeem dat niet voor dat doel is beoordeeld.
De Europese AI-verordening werkt met risicocategorieën. De Europese AI-regels zijn inmiddels grotendeels van toepassing, met uitzonderingen en overgangsmomenten voor specifieke onderdelen. Voor de meeste mkb-bedrijven is de eerste opdracht niet het schrijven van een juridisch handboek, maar het zichtbaar maken van het eigen AI-gebruik.
Een bruikbaar beleid moet kort genoeg zijn om te lezen en concreet genoeg om in dagelijkse situaties toe te passen. Medewerkers moeten binnen enkele minuten kunnen bepalen of een toepassing veilig is en wie bij twijfel beslist.
1. Inventariseer hoe AI werkelijk wordt gebruikt
Vraag niet alleen welke officiële software is ingekocht. Onderzoek welke gratis tools, browserfuncties en AI-assistenten medewerkers zelf gebruiken. Kijk per toepassing naar het doel, de ingevoerde gegevens, de gemaakte output en de gevolgen wanneer het antwoord fout is.
Maak onderscheid tussen laag-risicogebruik en toepassingen met grotere gevolgen. Een eerste opzet voor een interne brainstorm is iets anders dan een geautomatiseerde selectie van sollicitanten. Ook een marketingtekst vraagt een andere controle dan financieel of juridisch advies.
De inventarisatie hoeft geen maanden te duren. Plan gesprekken met vertegenwoordigers van administratie, verkoop, marketing, HR en management. Laat hen concrete voorbeelden noemen. Juist die praktijkvoorbeelden maken zichtbaar waar regels nodig zijn.
2. Deel toepassingen in op risico
Een eenvoudige indeling werkt vaak beter dan ingewikkelde juridische termen. Gebruik drie niveaus. Groen staat voor toepassingen die met normale controle gebruikt mogen worden. Oranje vraagt voorafgaande toestemming of extra beoordeling. Rood betekent dat de toepassing niet wordt gebruikt zolang risico’s niet aantoonbaar zijn beheerst.
Onder groen kunnen bijvoorbeeld algemene brainstorms vallen zonder persoonsgegevens of bedrijfsgeheimen. Oranje kan gelden voor klantcommunicatie, analyses of code die invloed heeft op een productieomgeving. Rood is passend bij verboden toepassingen, oncontroleerbare verwerking van gevoelige gegevens of beslissingen met grote gevolgen voor personen.
De Autoriteit Persoonsgegevens legt uit dat organisaties die AI ontwikkelen of gebruiken moeten zorgen voor voldoende AI-geletterdheid. Dat betekent niet dat iedere medewerker programmeur moet worden. Mensen moeten wel de mogelijkheden, beperkingen en risico’s begrijpen die bij hun taak horen.
3. Beschrijf welke gegevens nooit mogen worden ingevoerd
Dit is voor veel bedrijven de belangrijkste regel. Noem concreet welke informatie niet in een niet-goedgekeurde AI-tool mag worden geplaatst. Denk aan persoonsgegevens, medische gegevens, wachtwoorden, contracten, niet-openbare cijfers, broncode, klantbestanden en strategische plannen.
Verwijs niet alleen naar “vertrouwelijke informatie”. Dat begrip is te breed en wordt verschillend geïnterpreteerd. Geef herkenbare voorbeelden uit de organisatie. Leg ook uit dat het verwijderen van een naam niet altijd voldoende anonimiseert; combinaties van functie, locatie en situatie kunnen iemand alsnog herkenbaar maken.
Sluit het AI-beleid aan op de bestaande afspraken over digitale veiligheid. Dezelfde principes gelden: beperk toegang, deel zo weinig mogelijk gegevens en gebruik alleen goedgekeurde systemen voor gevoelige processen.
4. Maak menselijke controle verplicht waar dat telt
AI kan overtuigend klinken terwijl de inhoud onjuist is. Daarom moet de medewerker die de output gebruikt verantwoordelijk blijven voor controle. Beschrijf wat “controleren” in verschillende situaties betekent.
Bij een blog gaat het om feiten, originaliteit, toon en brongebruik. Bij een offerte moeten prijzen, voorwaarden en technische claims kloppen. Bij softwarecode zijn testen en beveiligingscontrole nodig. Bij HR-processen moet bovendien worden gecontroleerd op discriminatie, uitlegbaarheid en privacy.
De Rijksoverheid over toezicht benadrukt dat de AI-verordening risico’s voor veiligheid, gezondheid en grondrechten centraal stelt. Dat maakt menselijke beoordeling vooral belangrijk wanneer AI mensen beoordeelt of toegang tot kansen beïnvloedt.
5. Leg eigenaarschap en goedkeuring vast
Zonder eigenaar veroudert een beleid snel. Wijs daarom een verantwoordelijke aan die nieuwe tools beoordeelt, vragen verzamelt en het beleid actualiseert. In een kleine organisatie kan dit een directielid, privacycoördinator of IT-verantwoordelijke zijn.
Maak de aanvraag voor een nieuwe toepassing eenvoudig. Vraag naar het doel, de aanbieder, de gegevens, de gebruikers en het gewenste resultaat. Controleer vervolgens privacyvoorwaarden, bewaartermijnen, beveiliging, intellectueel eigendom en de mogelijkheid om gegevensgebruik voor modeltraining uit te schakelen.
Wanneer interne kennis ontbreekt, kan tijdelijke externe expertise verstandig zijn. Het artikel over continuïteit in IT laat zien hoe specialistische ondersteuning kan worden toegevoegd zonder de regie uit handen te geven.
6. Train medewerkers met echte werksituaties
Een algemene presentatie over kunstmatige intelligentie verandert weinig. Gebruik scenario’s die medewerkers herkennen. Laat zien hoe een onveilige prompt eruitziet, hoe een hallucinatie kan worden gecontroleerd en hoe een uitkomst moet worden vastgelegd wanneer deze voor een klant wordt gebruikt.
Maak de training passend bij de rol. HR heeft andere voorbeelden nodig dan verkoop of administratie. Herhaal de belangrijkste regels kort en regelmatig. Een kwartaalmoment van twintig minuten kan effectiever zijn dan één jaarlijkse sessie van een halve dag.
Koppel leren aan concrete bedrijfsdoelen. Een goed AI-beleid moet innovatie mogelijk maken en niet uitsluitend risico vermijden. Wie medewerkers leert hoe zij AI verantwoord inzetten, vergroot de kans dat tijdwinst daadwerkelijk leidt tot betere dienstverlening.
7. Begin klein en evalueer aantoonbaar
Kies één of twee toepassingen met beperkte risico’s en een meetbaar voordeel. Leg vast hoeveel tijd wordt bespaard, welke fouten ontstaan en welke controles nodig blijven. Pas daarna het gebruik uit.
Een pilot hoort thuis in een breder plan. In een bedrijfsplan maken draait het eveneens om doelen, middelen, risico’s en meetbare keuzes. Behandel AI op dezelfde zakelijke manier: niet als speeltje, maar als investering waarvan rendement en risico worden gevolgd.
Van document naar dagelijkse afspraak
Een AI-beleid werkt pas wanneer medewerkers het herkennen in hun dagelijkse werk. Houd het kernbeleid daarom beknopt, voeg praktische voorbeelden toe en maak vragen stellen laagdrempelig. Controleer minstens ieder halfjaar of tools, wetgeving en werkprocessen zijn veranderd. Zo blijft verantwoord AI-gebruik een levende afspraak in plaats van een document dat na ondertekening wordt vergeten.
Veelgestelde vragen
Is een AI-beleid wettelijk verplicht?
Niet iedere organisatie moet hetzelfde beleidsdocument hebben. Organisaties die AI gebruiken hebben wel verplichtingen, waaronder passende AI-geletterdheid en naleving van privacy- en risicoregels.
Mag personeel gratis AI-tools gebruiken?
Alleen wanneer de organisatie de toepassing en voorwaarden heeft beoordeeld en duidelijk is welke gegevens mogen worden ingevoerd.
Wie is verantwoordelijk voor een fout AI-antwoord?
De organisatie en gebruiker blijven verantwoordelijk voor de manier waarop de output wordt ingezet. Menselijke controle is daarom essentieel.
Hoe lang moet een AI-beleid zijn?
Het kernbeleid kan vaak in enkele pagina’s. Praktische bijlagen met goedgekeurde tools, voorbeelden en contactpersonen kunnen apart worden bijgehouden.
Hoe vaak moet het beleid worden bijgewerkt?
Controleer het minimaal ieder halfjaar en direct na belangrijke wijzigingen in tools, processen of wetgeving.
