AI-beleid voor je organisatie: praktisch template

Wat gebeurt er als een medewerker klantdata in ChatGPT plakt en die data lekt? Wie is verantwoordelijk als een AI-gegenereerd rapport fouten bevat? Zonder AI-beleid heb je op deze vragen geen antwoord, en dat is een risico dat je niet wilt lopen.

Waarom je een AI-beleid nodig hebt

Steeds meer medewerkers gebruiken AI-tools, of je dat nu weet of niet. Zonder duidelijke richtlijnen ontstaan risico's:

• Datalekken: Medewerkers die klantgegevens of bedrijfsgevoelige informatie in publieke AI-tools invoeren (zie ook welke data je wel en niet mag delen)
• Juridische aansprakelijkheid: AI-gegenereerde content die auteursrechten schendt
• Kwaliteitsproblemen: Ongecontroleerde AI-output die naar klanten gaat
• Ongelijkheid: Sommige medewerkers hebben een oneerlijk voordeel doordat ze AI wel gebruiken en anderen niet
• Reputatieschade: Fouten in AI-gegenereerde klantcommunicatie

Een AI-beleid is geen bureaucratische hindernis, het is een enabler. Het geeft medewerkers het vertrouwen om AI te gebruiken omdat ze weten wat wel en niet mag.

De structuur van een goed AI-beleid

Een effectief AI-beleid bevat zeven secties. Hieronder beschrijf ik elke sectie met voorbeeldteksten die je kunt aanpassen.

Sectie 1: Doel en reikwijdte

Voorbeeldtekst:

Dit beleid beschrijft de richtlijnen voor het gebruik van AI-tools (zoals ChatGPT, Claude, Copilot, Gemini en vergelijkbare diensten) door medewerkers van [Organisatienaam]. Het beleid is van toepassing op alle medewerkers, stagiairs en externe inhuurkrachten die namens [Organisatienaam] werken. Het doel is om AI verantwoord, veilig en effectief in te zetten.

Sectie 2: Toegestaan gebruik

Beschrijf waarvoor AI wél mag worden gebruikt:

Voorbeeldtekst:

Medewerkers worden aangemoedigd om AI-tools te gebruiken voor:

- Het opstellen van conceptteksten (e-mails, rapporten, presentaties)

- Het samenvatten van documenten en vergaderingen

- Brainstormen en ideeëngeneratie

- Het verbeteren van eigen teksten (spelling, grammatica, stijl)

- Het beantwoorden van algemene kennisvragen

- Het analyseren van openbaar beschikbare data

>

Alle AI-gegenereerde output moet door een medewerker worden gecontroleerd voordat deze extern wordt gedeeld.

Sectie 3: Dataclassificatie en -bescherming

Dit is de belangrijkste sectie. Maak heel concreet welke data wel en niet in AI-tools mag.

Gebruik een tabel met drie niveaus:

| Categorie | Voorbeelden | Mag in AI-tools? |

|---|---|---|

| Openbaar | Gepubliceerde website-content, persberichten, openbare prijzen | ✅ Ja |

| Intern | Interne procedures, vergadernotities (zonder namen), conceptteksten | ⚠️ Ja, mits geanonimiseerd |

| Vertrouwelijk | Klantgegevens, financiële data, personeelsdossiers, wachtwoorden, contracten | ❌ Nee, nooit |

Aanvullende regels:

- Voer nooit persoonsgegevens (namen, e-mailadressen, telefoonnummers, BSN) in AI-tools in

- Gebruik geen AI-tools voor het verwerken van klantdata tenzij de tool een verwerkersovereenkomst heeft

- Schakel bij twijfel altijd met je leidinggevende of de privacy-officer

Sectie 4: Goedgekeurde tools

Maak een lijst van goedgekeurde en niet-goedgekeurde tools:

Voorbeeldtekst:

Goedgekeurd voor zakelijk gebruik:

- [Tool A], zakelijk account via IT

- [Tool B], alleen via het bedrijfsaccount

>

Niet goedgekeurd:

- Gratis versies van AI-tools zonder zakelijke voorwaarden

- AI-tools die data gebruiken voor modeltraining

- Onbekende AI-plugins of browser-extensies

>

Wil je een nieuwe AI-tool gebruiken? Dien een verzoek in via [proces/formulier].

Sectie 5: Kwaliteit en verantwoordelijkheid

Voorbeeldtekst:

- De medewerker die AI-output gebruikt, is verantwoordelijk voor de inhoud, niet de AI

- Controleer AI-gegenereerde tekst altijd op feitelijke juistheid

- Controleer of AI-output geen auteursrechtelijk beschermd materiaal bevat

- Vermeld niet dat content AI-gegenereerd is, tenzij de ontvanger daarom vraagt of het wettelijk verplicht is

- Bij klant-gerichte communicatie: laat AI-concepten reviewen door een collega

Sectie 6: Transparantie

Voorbeeldtekst:

- Bij interne documentatie is vermelding van AI-gebruik optioneel

- Bij extern gepubliceerde content (blogs, whitepapers, rapporten) volgen we de branche-standaard

- Bij automatische klantinteractie via AI (chatbots) melden we dat de klant met een AI-systeem spreekt

- We zijn transparant naar klanten en partners over ons AI-gebruik wanneer dit relevant is

Sectie 7: Governance en evaluatie

Voorbeeldtekst:

- Dit beleid wordt beheerd door [functie/afdeling]

- Het beleid wordt minimaal elk kwartaal geëvalueerd en indien nodig bijgewerkt

- Vragen en meldingen over AI-gebruik kunnen worden gericht aan [e-mailadres/persoon]

- Overtredingen van dit beleid worden behandeld conform het bestaande disciplinaire beleid

Implementatie in vijf stappen

Stap 1: Draagvlak creëren

Bespreek het belang van AI-beleid met het managementteam. Gebruik concrete voorbeelden van risico's (datalekken, fouten) en kansen (tijdsbesparing, kwaliteitsverbetering).

Stap 2: Inventariseren

Breng in kaart welke AI-tools al worden gebruikt, door wie, en waarvoor. Dit geeft je de basis voor het beleid.

Stap 3: Opstellen

Gebruik het template hierboven als startpunt. Pas het aan op je organisatie, branche en risicoprofiel. Laat het reviewen door juridische zaken of een privacy-officer.

Stap 4: Communiceren

Publiceer het beleid niet alleen op het intranet, bespreek het actief met teams. Gebruik concrete voorbeelden en scenario's zodat iedereen begrijpt wat het betekent voor hun dagelijkse werk.

Stap 5: Evalueren en bijstellen

AI-technologie verandert snel. Plan een kwartaalreview van het beleid. Verzamel feedback van medewerkers en pas het beleid aan op basis van nieuwe inzichten en technologie.

Veelgemaakte fouten bij AI-beleid

1. Te restrictief, Een beleid dat alles verbiedt, wordt genegeerd. Focus op wat wél mag.
2. Te vaag, "Gebruik AI verantwoord" is geen beleid. Maak het concreet met voorbeelden.
3. Eenmalig, Een beleid dat niet wordt bijgewerkt, is binnen zes maanden verouderd.
4. Zonder training, Een beleid zonder uitleg leidt tot verwarring en shadow AI.
5. Top-down zonder input, Betrek medewerkers bij het opstellen. Zij weten waar de praktische vragen zitten.

Direct toepassen

Download het template hierboven en pas het aan voor je organisatie. Begin met de drie belangrijkste secties: toegestaan gebruik, dataclassificatie, en goedgekeurde tools. Bespreek het concept met één team, verzamel feedback, en rol het daarna breder uit.

Lees ook

• AVG-checklist voor dagelijks AI-gebruik
• Shadow AI: de onzichtbare risico's van ongecontroleerd AI-gebruik
• Een AI-champion aanstellen in je team

Veelgestelde vragen

Wie moet het AI-beleid opstellen binnen de organisatie?

Idealiter stel je het AI-beleid op met een multidisciplinair team: IT voor technische haalbaarheid, juridische zaken voor compliance, HR voor medewerkerscommunicatie en een vertegenwoordiger van het management voor draagvlak. De eindverantwoordelijkheid ligt bij de directie of het managementteam, maar de uitvoering kun je delegeren aan een AI-champion of privacy-officer.

Hoe vaak moet een AI-beleid worden bijgewerkt?

Minimaal elk kwartaal, en direct wanneer er belangrijke veranderingen plaatsvinden zoals nieuwe AI-wetgeving (bijvoorbeeld de EU AI Act), grote updates van AI-tools of incidenten binnen je organisatie. AI-technologie evolueert zo snel dat een jaarlijkse review niet volstaat, plan vaste evaluatiemomenten in en wijs iemand aan die verantwoordelijk is voor updates.

Moeten we AI-gebruik volledig verbieden als we geen beleid hebben?

Nee, een volledig verbod is zelden effectief en leidt tot zogenaamde "shadow AI" waarbij medewerkers toch ongecontroleerd AI-tools gebruiken. Het is beter om snel een basisbeleid op te stellen met minimale richtlijnen, bijvoorbeeld welke data nooit in AI-tools mag, en dit gaandeweg uit te breiden. Een pragmatisch basisbeleid is altijd beter dan geen beleid.