AI-geletterdheid: de verplichting die het mkb structureel mist

Er staat een verplichting in de EU AI Act waar bijna niemand het over heeft. Niet omdat hij ingewikkeld is, maar omdat hij zo kort is dat je hem overslaat. Artikel 4, AI-geletterdheid: gebruikt jouw organisatie AI, dan moet je maatregelen nemen om de AI-geletterdheid van de mensen die ermee werken te ondersteunen.

Hij geldt sinds 2 februari 2025. Er zit geen drempel van vijftig medewerkers onder en geen lijst met sectoren. Gebruik je ChatGPT, draait er Copilot in je Microsoft 365, of roept een automatisering ergens een model aan, dan geldt het. Ook met vier man.

Wat artikel 4 van je vraagt

De tekst richt zich op aanbieders en op gebruiksverantwoordelijken. Dat tweede ben jij: je maakt zelf geen AI, je zet hem in. Van jou wordt gevraagd dat je de AI-geletterdheid van je personeel ondersteunt, rekening houdend met hun kennis, hun opleiding en de context waarin ze de tool gebruiken.

Dat klinkt vaag en dat is het ook een beetje, maar de kern is heel concreet: iemand die met een tool werkt moet weten wat het ding wel en niet kan, waar de uitkomst vandaan komt en wanneer hij er niet op moet vertrouwen. De medewerker die een klantbrief laat schrijven en hem ongelezen verstuurt, is precies wat dit artikel wil voorkomen.

Welke uitleg en begeleiding passend zijn, hangt af van de kennis en ervaring van je medewerkers, de gebruikte AI-systemen en de context en risico's van het gebruik. Een vaste cursusduur of hetzelfde kennisniveau voor iedereen is daarom geen bruikbaar uitgangspunt.

AI-geletterdheid vraagt om een eigen aanpak

Artikel 4 is van toepassing sinds 2 februari 2025. Bepaal wat je medewerkers nodig hebben voor de AI-systemen waarmee zij werken. Voor hoogrisico-AI kunnen daarnaast andere verplichtingen gelden; een algemene introductie in AI-geletterdheid dekt die niet automatisch af.

Waar het in de praktijk over gaat: die ene transparantieregel

Artikel 50 raakt je sneller dan je denkt. Heb je een chatbot op je site, dan moet een bezoeker kunnen weten dat hij met een machine praat. Publiceer je beeld of tekst die door AI is gemaakt en gaat het over een onderwerp van algemeen belang, dan hoort daar een vermelding bij. Voor de meeste bedrijven is dit een regel van vijf minuten werk, maar wel eentje die sinds augustus geldt.

Wat je níét hoeft te doen

Geen certificaat halen. Er bestaat geen AI Act-certificering voor gebruikers. Wie er eentje verkoopt, verkoopt lucht. Dat is dezelfde truc die we bij de Cyberbeveiligingswet voorbij zagen komen met het niet-bestaande NIS2-certificaat.

Geen vaste cursusvorm of examen voor artikel 4. Kies uitleg, werkinstructies en begeleiding die passen bij het AI-gebruik en de risico's. Ga niet uit van een vast aantal minuten dat voor iedere medewerker of toepassing voldoende is. Voor hoogrisico-AI kunnen aanvullende opleidings- en toezichtverplichtingen gelden.

Niet iedereen trainen. Het gaat om de mensen die er daadwerkelijk mee werken. De collega die alleen facturen inboekt hoeft niet te weten hoe een taalmodel tot een antwoord komt.

Zo begin je met AI-geletterdheid in je bedrijf

1. Kijk eerst wat er al draait

Dit is bijna altijd de verrassing. Ergens gebruikt iemand ChatGPT op een privé-account voor offerteteksten, iemand anders heeft een gratis vertaaltool aangezet en er loopt een proefabonnement dat niemand meer weet. Dat noemen ze schaduw-AI, en je kunt geen uitleg geven over tools waarvan je niet weet dat ze bestaan.

Vraag het gewoon rond, zonder dat er een straf op staat. Zodra mensen denken dat ze iets fout hebben gedaan, krijg je een onvolledige lijst.

2. Zet per tool op papier wat erin mag

De vraag die op de werkvloer echt leeft is niet "hoe werkt een taalmodel", maar "mag ik dit erin plakken". Klantgegevens, een cv, een conceptcontract, de cijfers van vorig kwartaal. Daar hoort een antwoord op te staan dat iemand kan opzoeken. Hoe zo'n antwoord eruitziet, staat in AI-beleid opstellen: wat er in twee pagina's hoort te staan.

3. Geef die uitleg ook echt

Begin met concrete uitleg: wat de tool kan, waar hij fouten maakt, hoe je uitkomsten controleert en wat je doet als je gevoelige gegevens hebt ingevoerd. Hoeveel uitleg en oefening nodig zijn, hangt af van de tools, de taken, de risico's en de ervaring van je medewerkers. Je kunt aansluiten bij bestaande security awareness training, maar controleer of de AI-specifieke onderwerpen daarmee voldoende aan bod komen.

4. Leg vast dat je het gedaan hebt

Leg vast welke uitleg of begeleiding je hebt gegeven, wanneer, aan wie en voor welke tools. Zo maak je je aanpak inzichtelijk. Een aanwezigheidsregel is op zichzelf geen bewijs dat de maatregelen passen bij het AI-gebruik en de risico's. Bekijk opnieuw wat nodig is als je andere tools of toepassingen gaat gebruiken.

Het is ook het soort bewijsstuk dat je opdrachtgever straks opvraagt. Grote klanten vragen inmiddels standaard naar AI-gebruik in hun leveranciersvragenlijsten, en net als bij een restoretest geldt: beleid kan iedereen kopiëren, een uitgevoerde sessie met een datum erbij niet.

De valkuil: alles verbieden

De snelste manier om hieraan te voldoen lijkt een mail waarin staat dat AI niet is toegestaan. Dat werkt niet. Je mensen gebruiken het dan op hun telefoon, op een privé-account, met bedrijfsgegevens, buiten elk zicht. Je hebt het risico niet weggenomen maar onzichtbaar gemaakt.

Een zakelijk account waarin je invoer niet voor training wordt gebruikt en dat onder je eigen afspraken valt, is bijna altijd veiliger dan een verbod dat wordt genegeerd. Draait je werk toch al in Microsoft 365, dan is Copilot daarvoor vaak de kortste route. Wil je juist dat er niets naar buiten gaat, dan kun je modellen op je eigen server draaien.

Hoe wij het doen

Wij lopen dit bij klanten door in één sessie. Welke tools er draaien, welke data erin gaat, wat er aan kennis nodig is en wat je aan je mensen moet uitleggen. Dat is onderdeel van de AI-quickscan: 60 tot 90 minuten praten, en daarna een rapport met een AI-beleid dat je kunt rondsturen en een paragraaf over welke kennis je team nodig heeft. Dat helpt je bepalen welke uitleg en begeleiding nodig zijn; de scan vervangt niet het uitvoeren en bijhouden daarvan.

Er staan ook drie uitgewerkte businesscases in, want in de praktijk is de vraag "waar levert dit ons tijd op" interessanter dan de vraag "waar voldoen we aan". De verplichting is een bijvangst die je toch moet regelen.

Twijfel je of het bij je past? Bel of mail even, dan zeggen we binnen vijf minuten of het zin heeft.