Het probleem

Je medewerkers gebruiken AI al. De vraag is alleen met welk account, met welke gegevens en voor welke taken. Zonder afspraken gebeurt wat altijd gebeurt: iemand plakt een klantmail in een gratis chatbot, een ander laat AI een sollicitant beoordelen, en niemand weet dat het gebeurd is.

Een AI-beleid lost dat op. Niet als juridisch document voor in de la, maar als één of twee pagina's die iedereen in je team kan uitleggen.

Is een AI-beleid verplicht?

Er is geen wet die zegt dat je een document met de titel "AI-beleid" moet hebben. De KVK noemt het een vrijwillig instrument dat risico's voorkomt en je een handvat geeft als het misgaat.

Tegelijk schrijft de Autoriteit Persoonsgegevens in haar Handreiking generatieve AI en de AVG (juni 2026, p. 25) dat organisatorische maatregelen op het gebied van "AI-geletterdheid, beleid en andere vormen van AI-governance" meewegen bij de vraag of je AI-gebruik onder de AVG rechtmatig is. De handreiking is geen wet, wel de lijn waarlangs de AP toezicht houdt.

En de AI Act verplicht je sinds 2 februari 2025 om maatregelen te nemen die de AI-geletterdheid van je medewerkers ondersteunen (artikel 4, sinds 27 juli 2026 in een lichtere vorm zonder gegarandeerd niveau per persoon). Een beleid met een trainingsparagraaf is de eenvoudigste manier om te laten zien dat je dat doet.

Wat je aan het eind hebt

  • Een AI-beleid van één à twee pagina's, in gewone taal
  • Een lijst met goedgekeurde tools, met per tool waarvoor hij gebruikt mag worden
  • Drie datacategorieën die iedereen kan toepassen op zijn eigen bestanden
  • Eén aanspreekpunt en één meldadres

Wat je nodig hebt

  • Een middag met de eigenaar of directeur en de persoon die je IT regelt
  • Een overzicht van de AI-tools die nu al gebruikt worden (vraag het gewoon rond, en reken op meer dan je denkt)
  • Het sjabloon onderaan dit artikel

De stappen

1. Wijs één aanspreekpunt aan

Eén naam, geen commissie. Deze persoon keurt tools goed en beslist bij twijfel. Zonder dat adres eindigt elke twijfel in "dan doe ik het maar gewoon".

2. Maak drie datacategorieën

Drie archieflades naast elkaar: een open, een half open en een op slot, als beeld voor openbare, interne en vertrouwelijke gegevens.

Dit is het meest onderschatte onderdeel. "Geen vertrouwelijke informatie in AI" is een lege regel zolang niemand weet welke categorie zijn bestand heeft. Drie categorieën volstaan:

Categorie Voorbeelden In AI?
Openbaar website-teksten, gepubliceerde vacatures, persberichten ja, in elke goedgekeurde tool
Intern werkinstructies, interne notities zonder namen alleen in zakelijke tools met verwerkersovereenkomst
Vertrouwelijk klantgegevens, personeelsdossiers, contracten, financiële cijfers nee, tenzij de tool daar expliciet voor is goedgekeurd

3. Stel de lijst met goedgekeurde tools op

Drie kolommen: tool, waarvoor, wie keurde goed en wanneer. Een tool mag op de lijst als je drie vragen met ja kunt beantwoorden: is er een verwerkersovereenkomst, worden je gegevens uitgesloten van modeltraining, en weet je waar de gegevens worden verwerkt? Welke versies daaraan voldoen, lees je in Welke AI-tools mag je gebruiken met klantdata?

Zet ook een besluit over gratis privé-accounts in het beleid. Wie geen zakelijke licentie krijgt, gebruikt een gratis account. Dat is precies het scenario dat je wilde voorkomen. Een licentie is goedkoper dan een incident.

4. Benoem taken die niet mogen, los van de data

Beleid over data is de helft. De andere helft is waarvóór je AI gebruikt. De Erasmus Universiteit verbiedt zonder expliciete toestemming onder meer juridisch advies, werving en selectie, personeelsbesluiten en beoordelingen. Dat zijn precies de taken waar bedrijven als eerste naar grijpen, en werving en beoordeling zijn onder de AI Act hoog-risicotoepassingen.

5. Spreek gedragsregels af

Houd het kort. Vijf regels die iedereen onthoudt:

  1. Je blijft zelf verantwoordelijk voor wat je met de output doet
  2. Controleer feiten altijd in een andere bron; AI is geen zoekmachine
  3. Bewerk de output naar je eigen stijl voor je hem gebruikt
  4. Zeg het als je AI hebt gebruikt waar dat ertoe doet
  5. De collega-toets: zou je deze vraag ook aan een collega voorleggen die je nog nooit hebt ontmoet? Zo niet, dan ook niet aan de tool

6. Richt een meldkanaal in

Een ouderwetse balie-bel op een toonbank: melden moet laagdrempelig zijn.

Eén mailadres of één naam. Zeg er vooraf bij dat "ik heb per ongeluk iets vertrouwelijks geplakt" een melding is en geen fout. Het kan een datalek zijn, en dan telt elk uur. Wie bang is voor straf, meldt niet.

7. Plan training en een herziening

Leg vast wie welke training krijgt, ook inhuurkrachten en zzp'ers die namens jou met AI werken: de AI-geletterdheidsplicht geldt ook voor hen. En zet een datum in de agenda om het beleid over zes maanden opnieuw te bekijken. Tools en voorwaarden veranderen sneller dan je beleid.

Controlepunten

  • Kan elke medewerker zonder het document erbij uitleggen welke drie datacategorieën er zijn?
  • Staat bij elke goedgekeurde tool wie hem heeft goedgekeurd en wanneer?
  • Heeft iedereen die AI gebruikt een zakelijk account, of is er een besluit over wie dat niet krijgt?
  • Weet iedereen waar hij een fout meldt?
  • Staat de volgende herziening in de agenda?

Veelgemaakte fouten

  • Een beleid van tien pagina's. Niemand leest het, dus niemand volgt het. Twee pagina's is genoeg; de rest hoort in een bijlage.
  • Alleen regels over data, geen regels over taken. Een sollicitant laten beoordelen door AI kan ook zonder één vertrouwelijk bestand.
  • Verbieden zonder alternatief. Wie ChatGPT verbiedt zonder een goedgekeurde tool aan te bieden, krijgt ChatGPT op privételefoons.
  • Geen controle achteraf. Vrijwel alle bestaande kaders regelen wat vooraf moet en zeggen niets over controle achteraf. Kijk na drie maanden welke tools echt gebruikt worden en welke meldingen er binnenkwamen. Meldingen laten zien waar het beleid niet werkt.

Sjabloon: AI-beleid (kopieer en vul in)

AI-BELEID [BEDRIJFSNAAM], versie [DATUM]

1. Doel
We gebruiken AI om [doel]. Dit beleid zorgt dat dat veilig gebeurt
voor klanten, medewerkers en het bedrijf.

2. Voor wie
Alle medewerkers, stagiairs, inhuurkrachten en zzp'ers die namens
[bedrijfsnaam] werken.

3. Aanspreekpunt
[Naam] keurt tools goed en beslist bij twijfel.
Meldingen: [mailadres]. Een melding is geen fout.

4. Datacategorieën
- Openbaar: mag in elke goedgekeurde tool.
- Intern: alleen in tools met verwerkersovereenkomst.
- Vertrouwelijk (klant-, personeels-, financiële gegevens): niet,
  tenzij de tool daar expliciet voor is goedgekeurd.

5. Goedgekeurde tools
| Tool | Waarvoor | Goedgekeurd door / datum |
Gratis privé-accounts gebruiken we niet voor werk.

6. Taken waarvoor we AI niet gebruiken zonder toestemming van [naam]
Juridisch advies, werving en selectie, beoordeling van medewerkers,
besluiten over personen.

7. Gedragsregels
- Je blijft zelf verantwoordelijk voor de output.
- Controleer feiten in een andere bron.
- Bewerk output naar je eigen stijl.
- Wees open over AI-gebruik waar dat ertoe doet.
- Collega-toets: zou je dit vragen aan een collega die je niet kent?

8. Training
Iedereen die AI gebruikt volgt [training] voor [datum].

9. Herziening
Dit beleid wordt herzien op [datum, uiterlijk zes maanden na nu].

De kortste samenvatting

Een AI-beleid hoeft geen juridisch document te zijn. Eén aanspreekpunt, drie datacategorieën, een lijst goedgekeurde tools, een paar taken die niet mogen en een meldadres: dat past op twee pagina's en is in een middag gemaakt.

De vraag is dus niet of je een perfect beleid hebt. De vraag is of iedereen in je team kan uitleggen wat er wel en niet in een AI-tool mag.