AI-beleid opstellen: wat er in twee pagina's hoort te staan

De meeste AI-beleidsstukken die we bij bedrijven tegenkomen hebben hetzelfde probleem: ze zijn geschreven om aan iets te voldoen, niet om gelezen te worden. Twintig pagina's, veel over verantwoord innoveren, en nergens een antwoord op de enige vraag die op de werkvloer echt leeft.

Die vraag is: mag ik dit erin plakken?

Een beleid dat daar antwoord op geeft, mag van ons twee pagina's zijn. Hieronder staat wat erin hoort, met de zinnen erbij zoals wij ze opschrijven.

Waarom je er sowieso eentje nodig hebt

Twee redenen, en de eerste is de praktische.

Je mensen gebruiken al AI. In vrijwel elk bedrijf waar we binnenkomen blijkt iemand offerteteksten door ChatGPT te halen, meestal op een privé-account, meestal zonder dat iemand dat weet. Dat heet schaduw-AI en je lost het niet op met een verbod, want dan verdwijnt het alleen dieper.

De tweede is de formele: de AI-geletterdheidsplicht uit de AI Act vraagt sinds februari 2025 van je dat je mensen weten waar ze mee werken. Een leesbaar beleid is het makkelijkste bewijs dat je daar iets aan gedaan hebt. Diezelfde vraag komt inmiddels ook langs in de leveranciersvragenlijsten die grote opdrachtgevers rondsturen.

De zeven punten

1. Welke tools zijn goedgekeurd, met naam

Geen categorieën, geen "erkende AI-toepassingen". Namen. Toegestaan zijn: Microsoft Copilot binnen ons 365-account, ChatGPT op het zakelijke teamaccount, en DeepL Pro. Staat een tool hier niet bij, dan is hij niet goedgekeurd.

Dit is meteen het lastigste punt, want je moet die lijst eerst maken. Vraag rond wat mensen gebruiken voordat je hem vaststelt, anders zet je een lijst op papier waar de helft van het werkelijke gebruik buiten valt.

2. Wat er wel en niet in mag

Het hart van het document. Wees concreet tot op het niveau van de bestanden die je mensen op hun bureaublad hebben staan.

• Nooit: persoonsgegevens van klanten of medewerkers, cv's en sollicitatiebrieven, medische of financiële gegevens van personen, wachtwoorden en sleutels, contracten met derden waar geheimhouding op zit.
• Alleen in een goedgekeurde zakelijke tool: interne cijfers, conceptoffertes, klantcorrespondentie waaruit je de namen hebt gehaald.
• Altijd prima: openbare informatie, je eigen teksten, algemene vragen zonder bedrijfsgegevens.

Die middelste categorie is waar het om draait. Zonder die tussenlaag krijg je een beleid dat alleen maar nee zegt, en dat is precies het beleid dat genegeerd wordt.

3. Wie verantwoordelijk is voor de uitkomst

Eén zin, en hij maakt het meeste verschil: wie op verzenden drukt, is verantwoordelijk voor wat er verstuurd wordt. Niet de tool, niet de collega die de prompt bedacht. Een taalmodel verzint met hetzelfde zelfvertrouwen een bedrag, een datum of een artikelnummer als waarmee het de rest opschrijft.

4. Wanneer je erbij vertelt dat er AI is gebruikt

Deels een wettelijke vraag: artikel 50 van de AI Act vraagt sinds augustus 2026 dat mensen weten wanneer ze met een chatbot praten of naar door AI gemaakt materiaal kijken. Deels een kwestie van afspraken met je klant. Werk je voor opdrachtgevers die AI-gebruik contractueel hebben ingeperkt, dan hoort dat hier te staan, want de collega die het rapport schrijft kent die contractbijlage niet.

5. Wat je doet als het misgaat

Iemand plakt per ongeluk een klantenlijst in een gratis tool. Dat gebeurt. De vraag is of diegene het meldt of hoopt dat het niemand opvalt.

Meld het dezelfde dag bij [naam]. Er volgt geen sanctie op een melding. Zet dat er letterlijk bij. Zonder die tweede zin krijg je de eerste melding nooit, en dan weet je ook niet of er een datalek te beoordelen valt.

6. Hoe iemand een nieuwe tool aanvraagt

Het punt dat bijna altijd vergeten wordt, en de reden dat schaduw-AI terugkomt. Er verschijnt elke maand iets nieuws. Is er geen route om het te vragen, dan probeert iemand het gewoon. Wil je iets nieuws gebruiken, mail [naam]. Je krijgt binnen een week antwoord.

7. Wie het bijhoudt en wanneer het herzien wordt

Een naam en een datum onderaan. Twee keer per jaar opnieuw bekijken is genoeg, en een beleid met een datum erop is bovendien het bewijsstuk waar een opdrachtgever om vraagt.

Zakelijke accounts zijn geen detail

Punt één en punt twee vallen of staan hiermee. Bij consumentenversies van AI-tools wordt wat je invoert vaak standaard gebruikt om modellen verder te trainen, bij zakelijke abonnementen standaard niet. Dat verschilt per aanbieder en per abonnement, dus zoek het na voor de tools die op jouw lijst staan en zet de uitkomst erbij.

Het gaat niet alleen om training. Bij een zakelijk account weet je waar de gegevens staan, heb je een verwerkersovereenkomst en kun je een vertrokken medewerker de toegang ontnemen. Bij het privé-account van diezelfde medewerker heb je niets van dat alles. Draait je werk toch al in Microsoft 365, dan is Copilot vaak de kortste route naar iets dat binnen je eigen afspraken valt. Moet er echt niets naar buiten, dan is zelf hosten op een Cloud VPS een reële optie.

Waar het in de praktijk op stukloopt

Te lang. Past het niet op twee pagina's, dan wordt het niet gelezen en verandert er niets aan wat mensen doen.

Eenmalig rondgestuurd. Een mail met een bijlage is geen invoering. Bespreek het een keer van tien minuten in een werkoverleg en laat mensen hun eigen voorbeelden noemen. Dat is meteen de uitleg die artikel 4 van je vraagt, en het hangt prima aan een security awareness training die je toch al draait.

Alleen verbieden. Een beleid dat nergens beschrijft wat wel mag, leest als een verbod. Dan gaat het gebruik door op telefoons en privé-accounts, en ben je slechter af dan voorheen.

Geschreven door iemand die het werk niet kent. Een gedownload model-AI-beleid noemt processen die je niet hebt en mist het ene proces waar het bij jou echt om gaat. Begin bij wat je mensen daadwerkelijk doen.

Hoe wij het doen

Bij ons komt het beleid uit het gesprek, niet uit een sjabloon. In de AI-quickscan lopen we in 60 tot 90 minuten je processen door, kijken we welke tools er al draaien, welke data erin gaat en wat er aan persoonsgegevens in het spel is. Daarna schrijven wij het beleid uit op basis van wat er die ochtend op tafel kwam.

In hetzelfde rapport staan drie uitgewerkte businesscases met wat ze opleveren en wat ze kosten, plus welke kennis je mensen nodig hebben. Je zit nergens aan vast: het rapport is van jou, en je kunt er ook mee naar een andere partij.

Liever eerst even overleggen of dit bij je past? Bel of mail, dat scheelt je een traject dat je niet nodig had.