AI-beleid opstellen: zo doe je dat

Omdat je mensen AI al gebruiken, met of zonder beleid. Zonder afspraken belanden klantgegevens in gratis tools, gaan AI-teksten ongecontroleerd de deur uit en weet niemand welke tools er eigenlijk draaien. Daarnaast vraagt de AI Act dat je werk maakt van de AI-geletterdheid van je mensen.

Het risico is niet theoretisch. De Autoriteit Persoonsgegevens kreeg in 2024 meerdere meldingen van datalekken doordat medewerkers persoonsgegevens in een AI-chatbot invoerden. Bij een huisartsenpraktijk ging het om medische gegevens van patiënten, bij een telecombedrijf om adressen van klanten (AP, augustus 2024). Volgens de AP kwamen er in 2024 en 2025 tientallen van dit soort meldingen binnen, in 2025 meer dan het jaar ervoor (AP, december 2025).

Dat heet shadow AI: AI-gebruik waar de organisatie geen zicht op heeft. Het ontstaat meestal op dezelfde manier. Er is geen zakelijke tool, of die is te ingewikkeld, dus pakken mensen hun privé-account. Een verbod lost dat niet op. Een goed alternatief en duidelijke afspraken wel.

Een AI-beleid helpt op vijf fronten:

• Privacy. De AVG geldt ook als iemand persoonsgegevens in een AI-tool zet.
• Kwaliteit. AI kan overtuigend fouten maken. Afspraken over controle voorkomen dat die bij een klant belanden.
• Wetgeving. De AI Act vraagt om AI-geletterdheid en, voor sommige toepassingen, om meer. Lees de AI Act voor het mkb.
• Kosten. Zonder afspraken heeft elke afdeling straks een eigen abonnement.
• Snelheid. Mensen die weten wat mag, gaan aan de slag in plaats van te twijfelen.

Een goed AI-beleid beantwoordt minstens deze vragen: welke tools mogen, welke data mag erin, waar controleert een mens, wie is verantwoordelijk, welke AI-toepassingen draaien er, wie heeft welke training gehad en wat doe je als het misgaat.

In onze AI Quick Scan leggen we het AI-beleid vast voordat we over oplossingen praten. Dat voorkomt dat een mooie kans later sneuvelt op een regel die niemand had benoemd. We stellen daarbij zes vragen, en die zijn een prima ruggengraat voor elk beleid:

1. 01Mag bedrijfsdata naar een externe AI-dienst? Ja, alleen geanonimiseerd, of nee.
2. 02Mogen persoonsgegevens in prompts? Ja, alleen met een verwerkersovereenkomst, of nee.
3. 03Moet de dienst in de EU draaien? Vereist, voorkeur of niet van belang.
4. 04Is een verwerkersovereenkomst per tool verplicht? Bij persoonsgegevens is het antwoord volgens de AVG eigenlijk altijd ja.
5. 05Moet een mens AI-output controleren? Altijd, alleen bij risico, of niet.
6. 06Mag de leverancier je data gebruiken om te trainen? Toegestaan of verboden.

Daaromheen horen nog een paar onderdelen:

• Toegestane tools. Een korte lijst, met per tool het type account (zakelijk) en waarvoor hij bedoeld is.
• Rollen en verantwoordelijkheden. Wie is eigenaar van het beleid, wie keurt nieuwe tools goed, bij wie meld je een incident.
• Een AI-register. Een overzicht van de AI-toepassingen die draaien: wat doen ze, met welke data, wie is eigenaar.
• Training en AI-geletterdheid. Wie krijgt welke training, en hoe leg je dat vast.
• Transparantie. Wanneer vertel je klanten of kandidaten dat er AI in het spel is.
• Incidenten. Wat doe je als er toch iets misgaat, zoals een datalek of een fout naar een klant.
• Evaluatie. Wanneer kijk je er opnieuw naar.

Neem deze structuur over en vul hem in voor jullie organisatie. Per hoofdstuk staat erbij wat erin hoort, met een voorbeeldzin. Houd het geheel op een paar pagina's; details zet je in bijlagen.

1. Doel en reikwijdte

Waarom dit beleid er is en voor wie het geldt. Vergeet ingehuurde krachten, stagiairs en freelancers niet.

Dit beleid geldt voor iedereen die namens ons werkt en daarbij AI-tools gebruikt, ook tijdelijke medewerkers en freelancers.

2. Uitgangspunten

Drie tot vijf principes waar alles op terugvalt. Bijvoorbeeld: AI ondersteunt, de mens beslist. We zijn open over AI-gebruik. Privacy gaat voor gemak.

AI mag ons werk sneller en beter maken. De verantwoordelijkheid voor het resultaat blijft altijd bij een medewerker.

3. Toegestane tools

Welke AI-tools mogen, met welk account. Zet de lijst in een bijlage, zodat je hem kunt bijwerken zonder het hele beleid te herschrijven.

Voor werk gebruik je alleen de AI-tools uit bijlage A, met je zakelijke account. Een nieuwe tool vraag je aan bij de eigenaar van dit beleid.

4. Welke data mag waar in

De kern van het beleid. Deel je informatie in drie kleuren: groen (openbaar), oranje (intern), rood (persoonsgegevens, vertrouwelijk, wachtwoorden). Zie de tabel onder dit artikel.

Persoonsgegevens, klantdossiers en wachtwoorden zet je nooit in een AI-tool, tenzij die tool in bijlage A staat als geschikt voor die gegevens.

5. Controle door een mens

Waar moet een mens AI-output nakijken voordat het gebruikt wordt? Minimaal bij alles wat naar buiten gaat of een besluit over een persoon raakt.

Teksten, berekeningen en adviezen die met AI zijn gemaakt, controleer je voordat ze naar een klant, kandidaat of leverancier gaan.

6. Rollen en verantwoordelijkheden

Wie is eigenaar van het beleid, wie beoordeelt nieuwe tools, wie houdt het AI-register bij en wie is het aanspreekpunt bij vragen.

7. Het AI-register

Een lijst van de AI-toepassingen die in de organisatie draaien, van de chat-tool tot een agent die facturen boekt. Per toepassing: doel, data, leverancier, eigenaar en risico.

8. Training en AI-geletterdheid

Welke training krijgt wie, en hoe houd je dat bij. Meer daarover in de volgende sectie.

Iedereen die met AI werkt, volgt binnen drie maanden na de start een basistraining. We houden bij wie welke training heeft gevolgd.

9. Transparantie en incidenten

Wanneer vertel je dat er AI is gebruikt, en wat doe je als er iets misgaat? Sluit aan op je bestaande procedure voor datalekken.

Heb je per ongeluk gegevens in een AI-tool gezet die er niet in horen, meld het dan direct bij de privacyfunctionaris. Melden is goed, verzwijgen niet.

10. Evaluatie

Wanneer kijk je opnieuw? Ons advies: elk half jaar, en daarnaast bij elke grote verandering in tools of wetgeving.

Een beleid werkt alleen als mensen het snappen. AI-geletterdheid betekent dat iedereen die met AI werkt genoeg weet om het verantwoord te gebruiken: wat het kan, waar het fout gaat en wat de afspraken zijn. Sinds 2 februari 2025 vraagt artikel 4 van de AI Act daar ook om.

In de AI Act staat dat organisaties die AI gebruiken werk maken van de AI-geletterdheid van hun mensen, en van anderen die namens hen met AI werken. Sinds een wijziging van juli 2026 (Verordening (EU) 2026/1744) staat er dat je maatregelen neemt die AI-geletterdheid ondersteunen. Een certificaat is niet verplicht, schrijft de Europese Commissie in haar vragen en antwoorden over AI-geletterdheid (2025). Wel slim: vastleggen wie welke training kreeg.

De wet schrijft geen vast format voor. Stem het af op de rol:

• Iedereen: wat AI is, wat het niet is, waarom het soms overtuigend onzin vertelt en wat de huisregels zijn.
• Medewerkers die er dagelijks mee werken: goed prompten op hun eigen taken, output controleren, en weten welke data waar in mag.
• Teamleiders en directie: waar AI waarde oplevert, welke risico's er zijn en hoe je het organiseert.
• Mensen die bouwen: veilig koppelen, testen, logging en wanneer een mens moet goedkeuren.

Het beleid en de training versterken elkaar. Het beleid zegt wat de afspraken zijn, de training laat zien hoe je ermee werkt. Een AI-workshop van een dagdeel op het eigen werk van je team kost bij ons € 4.500, exclusief btw. Meer over wat de wet vraagt per rol lees je op AI-geletterdheid.

Begin met kijken wat er al gebruikt wordt, deel je data in, kies je tools, schrijf een kort concept met een kleine groep, leg het uit aan iedereen en plan een evaluatie. Reken op een paar dagen werk, verspreid over een maand.

1. 01Inventariseer. Vraag anoniem wie welke AI-tools gebruikt, en waarvoor. Je schrikt waarschijnlijk, en dat is goed: nu weet je waar je staat.
2. 02Deel je data in. Groen, oranje, rood. Wat is openbaar, wat is intern, wat mag nooit in een AI-tool.
3. 03Kies je tools. Minstens één zakelijke AI-tool met een verwerkersovereenkomst, zodat mensen een goed alternatief hebben voor hun privé-account. Twijfel je welke? Lees ChatGPT, Copilot of Claude.
4. 04Schrijf een concept met een kleine groep. IT, HR, de privacyfunctionaris of jurist, en vooral iemand van de werkvloer die AI dagelijks gebruikt. Die laatste voorkomt regels die in de praktijk niet werken.
5. 05Leg het uit en train. Een mail met een pdf is geen invoering. Een kort moment in het teamoverleg, een training en een vast aanspreekpunt wel.
6. 06Evalueer elk half jaar. Nieuwe tools, nieuwe toepassingen, nieuwe regels. Werk het register en de lijst met tools bij.

Klein bedrijf? Dan past het misschien op twee pagina's en schrijft de directeur het zelf in een middag, met deze structuur ernaast. Dat is prima. Beter een kort beleid dat leeft dan een lang beleid in een la.

De meest gemaakte fout is een verbod zonder alternatief. Daarna komen: te lang en te juridisch, alleen door IT geschreven, geen eigenaar en nooit bijgewerkt. Elk van die fouten leidt tot hetzelfde: mensen negeren het beleid.

• Een verbod zonder alternatief. 'AI is niet toegestaan' betekent in de praktijk: AI wordt stiekem gebruikt, met privé-accounts. Geef een zakelijke tool en duidelijke regels.
• Te lang en te juridisch. Veertig pagina's met verwijzingen naar wetsartikelen leest niemand. Schrijf in gewone taal, met voorbeelden.
• Alleen door IT geschreven. Dan klopt het technisch, maar past het niet bij hoe mensen werken. Betrek de werkvloer.
• Geen eigenaar. Wie beslist of die nieuwe tool mag? Als niemand dat is, beslist iedereen zelf.
• Nooit bijgewerkt. Een beleid van 2024 noemt tools die niet meer bestaan en mist de tools die iedereen nu gebruikt.
• Freelancers en uitzendkrachten vergeten. Ook zij werken namens jou met AI.
• Geen voorbeelden. 'Gebruik AI verantwoord' zegt niets. 'Een klantmail samenvatten mag, met de naam eruit' wel.

In de AI Quick Scan leggen we jullie AI-beleid vast als onderdeel van de dag, en scoren we governance als een van de zeven punten van de nulmeting. In een workshop zetten we je team op hetzelfde niveau. En binnen het AI Partnership houden we beleid, register en training bij.

• AI Quick Scan: één dag op locatie, € 6.000. We beginnen bij de directie met de ambitie, de kaders en het AI-beleid. Daarna een nulmeting op zeven punten, waaronder governance, en een business case per kans.
• AI-workshop: een dagdeel hands-on op het eigen werk van je team, € 4.500. Een sterke maatregel voor AI-geletterdheid.
• AI Partnership: een vast team dat bouwt, traint en het geheel bijhoudt, vanaf € 4.500 per maand.

Alle bedragen exclusief btw. Wil je je team daarna meteen iets in handen geven? Op onze freebies-pagina staan gratis prompts, materiaal voor Claude en n8n-workflows om mee te oefenen, binnen de afspraken die je net hebt gemaakt.

Dit artikel is uitleg, geen juridisch advies. Laat je beleid controleren door je privacyfunctionaris of jurist, zeker als je met bijzondere persoonsgegevens werkt.