AI-beleid opstellen dat je ook kunt aantonen: vijf regels voor je bedrijf

De meeste bedrijven die AI gebruiken hebben inmiddels wel iets van een AI-beleid. Vaak een pagina in een handboek, ooit geschreven toen ChatGPT net populair werd, sindsdien niet meer aangeraakt. Dat is beter dan niets, maar het houdt geen stand zodra er iets misgaat of zodra een klant ernaar vraagt.

Het verschil zit in aantoonbaarheid. Niet: hebben we regels opgeschreven? Maar: kunnen we laten zien welke AI-tools we gebruiken, wie ermee werkt, welke gegevens erin gaan en wie de uitkomst heeft gecontroleerd? Dat is de vraag die een klant, een verzekeraar of een toezichthouder stelt.

Dit artikel gaat over de inhoud van je AI-afspraken en hoe je ze hard maakt. Wil je weten hoe je zulke regels opstelt en je team erin meeneemt — wie beslist wat, hoe je mensen erbij betrekt, hoe je traint — lees dan eerst AI-regels voor je team. Hier gaan we ervan uit dat dat proces loopt.

Regel 1: bepaal vooraf waar AI wel en niet mag

Een verbod werkt niet en “gebruik je gezond verstand” ook niet. Wat wel werkt is een indeling in drie categorieën, met voorbeelden uit je eigen werk.

Groen: mag zonder overleg. Een mail herschrijven, een tekst samenvatten, ideeën verzamelen, code of formules uitleggen. Oranje: mag met controle door een collega. Klantcommunicatie, offerteteksten, analyses waar een beslissing op volgt. Rood: niet zonder toestemming. Alles met persoonsgegevens van klanten of medewerkers, alles wat onder een geheimhoudingsafspraak valt, en alles wat direct naar buiten gaat zonder dat iemand ernaar kijkt.

Zet die drie lijstjes op één pagina met echte voorbeelden uit jouw bedrijf. Een pagina die mensen begrijpen wordt gevolgd; een beleidsstuk van acht pagina’s niet.

Regel 2: er blijft altijd een mens verantwoordelijk

AI schrijft overtuigend, ook als het niet klopt. Een verzonnen bronvermelding, een verkeerd bedrag, een regel die vorig jaar veranderd is — het leest allemaal even vloeiend. De enige bescherming daartegen is dat iemand met kennis van zaken ernaar kijkt voordat het naar buiten gaat of voordat er een besluit op volgt.

Leg vast dat AI-uitvoer nooit ongecontroleerd wordt gepubliceerd of verstuurd, en dat de persoon die het verstuurt verantwoordelijk is voor de inhoud — niet de tool. Zie ook de zeven valkuilen van AI op het werk.

Er speelt nog iets. In Nederland en de rest van de EU ontstaat auteursrecht alleen bij een werk met menselijke creatieve keuzes. Materiaal dat volledig door een AI-tool is gemaakt zonder wezenlijke menselijke inbreng, is daardoor lastig als eigen werk te beschermen. Voor je website of een blog is dat zelden een ramp; voor iets wat de kern van je product raakt, is het goed om te weten. Wij zijn geen juristen — is het belangrijk voor je bedrijf, leg het dan voor aan iemand die dat wel is.

Regel 3: leg vast wat je gebruikt

Dit is de regel die het meeste oplevert en die bijna niemand heeft. Houd een eenvoudig overzicht bij: welke AI-tools gebruiken we, wie is de eigenaar, welke medewerkers werken ermee, waarvoor gebruiken we ze, welke gegevens gaan erin, en is er een verwerkersovereenkomst?

Een spreadsheet is genoeg. Waar het om gaat is dat de vraag “welke AI gebruiken jullie?” een antwoord heeft dat niet begint met “even rondvragen”. Loop bij het opstellen ook de app-toegang op je Microsoft 365- of Google-omgeving na, want daar hangen de AI-tools die iemand ooit heeft goedgekeurd — zie externe apps en koppelingen beoordelen.

Verwacht dat de lijst langer is dan je denkt. Dat is normaal, en het is precies waarom je hem maakt: shadow AI verdwijnt niet door een verbod, maar door zicht en een goed alternatief.

Regel 4: wees expliciet over gegevens

Elke keer dat iemand iets in een AI-tool plakt, verlaat die informatie je eigen omgeving. Bij een zakelijke tool met een verwerkersovereenkomst is dat beheerst geregeld. Bij een gratis account op een willekeurige website is dat het niet.

Benoem daarom concreet wat er nooit in mag: persoonsgegevens van klanten en medewerkers, medische of financiële gegevens, informatie onder geheimhouding, broncode of ontwerpen die je niet wilt delen, en inloggegevens. En benoem net zo concreet wat het alternatief is: welke tool je wél mag gebruiken en waarom die anders is. Zie bestanden veilig opslaan en versturen en AI-tools kiezen.

Let bij vergaderassistenten extra op: die luisteren mee met gesprekken waarin dingen worden gezegd die niemand op schrift wilde hebben. Daarover gaat wie ziet je opname eigenlijk?

Regel 5: herzie het elk kwartaal

AI verandert sneller dan je beleid. Een tool krijgt er een functie bij, je leverancier past de voorwaarden aan, of de regels veranderen. Sinds 2 augustus 2026 gelden de transparantieverplichtingen uit de Europese AI-verordening: gebruikers moeten weten dat ze met een AI-systeem te maken hebben, en door AI gemaakte beeld-, audio- of videobestanden moeten als zodanig herkenbaar zijn. De strengste eisen voor hoogrisicotoepassingen komen later, in 2027 en 2028.

Er is nog een verplichting die weinig mensen kennen: organisaties die AI inzetten moeten zorgen voor voldoende AI-kennis bij de mensen die ermee werken. Dat hoeft geen opleidingstraject te zijn, maar het betekent wel dat “we hebben het rondgemaild” te mager is. Koppel het aan je reguliere trainingsritme.

Zet een halfuur per kwartaal in de agenda: klopt de tool-lijst nog, zijn er nieuwe tools opgedoken, is er iets misgegaan waar we van kunnen leren? Neem het mee in je jaarlijkse IT-review. Het bredere regelkader staat in de dataregels van 2026.

Een voorbeeld uit de praktijk

Een technisch adviesbureau met 26 medewerkers kreeg van een grote opdrachtgever een vragenlijst over het gebruik van AI. Vier vragen: welke tools, welke gegevens, wie controleert de uitvoer, hoe vaak herziet u dit?

Op papier had het bureau een AI-beleid. Bij het invullen bleek dat niemand een lijst van tools had. Na een rondvraag kwamen er elf naar boven, waarvan er zes op persoonlijke accounts stonden. Twee waren gebruikt voor documenten met klantgegevens erin, zonder verwerkersovereenkomst.

Het beleid klopte inhoudelijk prima. Wat ontbrak was het bewijs. Een middag rondvragen, een spreadsheet en één groepsafspraak over welke tool voortaan de standaard is, en de vragenlijst was in te vullen — eerlijk, zonder mooier te maken dan het was. Dat laatste bleek geen probleem: de opdrachtgever wilde vooral zien dat er iemand aan het stuur zat.

Veelgestelde vragen

We zijn met twaalf man. Is dit niet overdreven?

De omvang van je bedrijf verandert de risico’s niet, alleen de vorm van de oplossing. Voor twaalf mensen zijn één pagina met groen-oranje-rood, een lijstje met toegestane tools en een kwartaalcheck genoeg. Dat kost je een ochtend.

Moeten we vastleggen wat mensen precies in AI typen?

Nee, en dat is meestal ook niet wenselijk: het meelezen met wat medewerkers doen raakt aan de AVG. Leg vast op tool-niveau — wat gebruiken we, waarvoor, met welke gegevens — niet op prompt-niveau. Voor kritische processen kun je uitzonderingen maken, en dan bespreek je dat vooraf met de betrokkenen.

Wat als een medewerker zich er niet aan houdt?

Kijk eerst waarom. Bijna altijd is het antwoord dat de toegestane route omslachtiger is dan de verboden route. Een regel die tegen het dagelijks werk in gaat verliest het altijd; los dat op voordat je aan sancties denkt.

Geldt de AI-verordening ook voor ons als we alleen ChatGPT of Copilot gebruiken?

Als gebruiker heb je aanzienlijk lichtere verplichtingen dan de partij die het systeem aanbiedt. De transparantie-eisen en de zorg voor voldoende AI-kennis bij je mensen raken je wel. Zie Microsoft 365 Copilot uitgelegd voor wat er in je eigen omgeving blijft, en laat bij twijfel juridisch toetsen wat op jouw situatie van toepassing is.

Hoe stel je een AI-beleid op als je nog niets hebt?

Begin met een inventarisatie in plaats van met een document. Vraag je medewerkers welke AI-tools ze nu gebruiken en waarvoor, zet dat in één overzicht en beslis daarna per categorie wat wel en niet mag. Leg vast wie binnen de organisatie eigenaar is, hoe je uitkomsten controleert en welke gegevens er nooit in mogen. Voeg er een korte training aan toe, zodat de AI-kennis die de wet- en regelgeving verwacht ook echt aantoonbaar is. Een ochtend werk levert meestal meer op dan een beleidsstuk waar niemand aan meeschreef.

Wil je een AI-afspraak die op één pagina past en die je ook kunt laten zien als een klant ernaar vraagt? We helpen je de tool-lijst te maken en de regels zo te formuleren dat je team ze snapt.