AI-beleid voor medewerkers: wat moet er minimaal in staan?
Medewerkers gebruiken AI meestal al voordat er beleid is. Een verbod verandert dat zelden. Een document van twaalf pagina’s evenmin.
Wat wel helpt: één korte afspraak die bij een concrete werkdag past. Iedereen kan daarin vinden welke tools zijn toegestaan, welke informatie er niet in mag en wie de uitkomst controleert.
Het korte antwoord
Een bruikbaar AI-beleid regelt minimaal zeven dingen: toegestane tools, toegestane taken, gegevens, menselijke controle, transparantie, melden en eigenaarschap.
De wet verplicht niet ieder bedrijf om een document met de titel “AI-beleid” te hebben. De AI-verordening verlangt wel passende maatregelen om de AI-geletterdheid te ondersteunen. Afhankelijk van het gebruik gelden daarnaast verboden, transparantieregels en de AVG. Een kort beleid kan helpen om die regels uitvoerbaar te maken, maar het vervangt de uitvoering niet.
1. Welke tools en accounts zijn toegestaan?
Noem de tools die voor werk gebruikt mogen worden en via welk account. Schrijf ook op wat iemand doet als een nieuwe tool nodig lijkt: niet zelf een account openen, maar eerst laten beoordelen.
De merknaam alleen is niet genoeg. Een gratis privéaccount kan andere voorwaarden en instellingen hebben dan de zakelijke omgeving die je hebt goedgekeurd.
2. Voor welke taken mag AI worden gebruikt?
Geef herkenbare voorbeelden. Een eerste opzet voor een interne tekst, een samenvatting van eigen notities of ideeën voor een planning zegt meer dan “laag risico”.
Noem ook de grens. Laat AI niet zelfstandig beslissen over mensen, betalingen, veiligheid of bindende afspraken. Voor gebruik dat mensen beoordeelt, klanten direct raakt of moeilijk terug te draaien is, volgt eerst een aparte beoordeling.
3. Welke informatie mag er niet in?
Maak dit concreet. Denk aan wachtwoorden, toegangscodes, bijzondere persoonsgegevens, niet-openbare personeelsinformatie, vertrouwelijke klantstukken en informatie die je volgens een contract geheim moet houden.
Een algemene zin als “houd rekening met de AVG” helpt een medewerker niet op het moment dat hij een bestand wil uploaden. Zet erbij bij wie hij vooraf kan navragen of informatie wel mag worden gebruikt.
4. Wie controleert de uitkomst?
AI-uitvoer is een concept, geen besluit. Degene die het resultaat gebruikt, controleert feiten, bedragen, bronnen, afspraken en toon voordat het wordt verstuurd of in een systeem wordt gezet.
Leg per taak vast wat die controle inhoudt. “Menselijke controle” is te vaag als niemand weet waarop hij moet letten. De medewerker blijft verantwoordelijk voor wat hij met de uitkomst doet.
5. Wanneer moet je vertellen dat AI is gebruikt?
Als een klant rechtstreeks met een AI-systeem praat, moet dat in beginsel duidelijk zijn tenzij het vanzelf spreekt. Voor bepaalde AI-gegenereerde of bewerkte inhoud gelden daarnaast markerings- en transparantieregels.
Maak daarom per toepassing een afspraak. Wie zet de melding erbij, waar staat zij en wie controleert dat dit gebeurt? Zeg niet dat iedere tekst die met hulp van AI is gemaakt altijd een etiket nodig heeft; dat volgt niet uit de regel.
6. Wat doe je bij een fout of incident?
Noem één eenvoudige meldroute. Medewerkers melden het als vertrouwelijke informatie in de verkeerde tool is gezet, AI-uitvoer onjuist naar buiten is gegaan of de tool zich onverwacht gedraagt.
Schrijf erbij wat er direct moet gebeuren: niet verder verspreiden, de betrokken taak stilzetten en de aangewezen verantwoordelijke informeren. Een fout die snel op tafel ligt is meestal beter te herstellen dan een fout die uit schaamte blijft liggen.
7. Wie beheert de afspraak?
Noem een rol die eigenaar is van het beleid. Die houdt de lijst met tools bij, beantwoordt vragen en bekijkt de afspraak opnieuw als een tool, taak of regel verandert.
Leg ook vast welke uitleg medewerkers krijgen. Artikel 4 van de AI-verordening vraagt om maatregelen die passen bij hun kennis, ervaring en gebruikscontext. Een korte oefening met de eigen taak kan daarom nuttiger zijn dan één algemene presentatie voor iedereen.
Een minimale opzet op één pagina
Je kunt de zeven punten zo samenvatten:
- Wij gebruiken voor werk alleen: [tools en zakelijke accounts].
- Deze taken zijn toegestaan: [concrete taken].
- Deze informatie voeren we niet in: [concrete gegevens en documenten].
- De uitkomst wordt vóór gebruik gecontroleerd op: [controlepunten].
- Bij deze toepassingen vertellen we dat AI wordt gebruikt: [situaties en melding].
- Fouten, twijfel en incidenten melden we bij: [rol en route].
- [Rol] beheert deze afspraak en past haar aan zodra gebruik of regels veranderen.
Voeg per taak een korte werkinstructie toe als de controle of gegevensgrens verschilt. Zo blijft het algemene beleid kort, zonder belangrijke details weg te drukken.
Wat een beleid niet oplost
Een beleid vertelt hoe je wilt werken. Het laat nog niet zien welke AI al wordt gebruikt, of een leverancier je gegevens goed beschermt en of de afspraken in de praktijk worden gevolgd.
Begin daarom met een inventarisatie. Het artikel over AI invoeren beschrijft hoe je van één losse proef naar een controleerbare werkafspraak gaat. De bestaande uitleg over de AI-verordening en de zelftest helpen om toepassingen te vinden die extra aandacht vragen. De AI-doorlichting zet gebruik, tijdwinst en risico’s voor je eigen bedrijf naast elkaar.
Bronnen
Dit stuk is gecontroleerd aan de hand van Verordening (EU) 2024/1689, geconsolideerde versie van 27 juli 2026, met name artikelen 4, 5 en 50, en Verordening (EU) 2016/679 (AVG), met name artikelen 5, 25, 32 en 35. De Europese Commissie publiceert voorbeelden van AI-geletterdheidsmaatregelen, maar vermeldt daarbij dat zo’n voorbeeld op zichzelf geen bewijs van naleving is.