Beleid
Wat er in een AI-beleid hoort te staan, hoe je het in acht stappen opstelt, een fictief voorbeeld van beleidsregels en de fouten die je beter overslaat.
Een AI-beleid beschrijft welke AI-tools medewerkers mogen gebruiken, voor welke taken, met welke gegevens en onder wiens verantwoordelijkheid. Het regelt daarnaast wat er gebeurt bij een fout of incident, hoe medewerkers worden getraind en wanneer het document wordt herzien. Goed beleid past op een paar pagina's en is te begrijpen zonder juridische kennis.
Er is geen wet die letterlijk zegt dat je een document met de naam "AI-beleid" moet hebben. Wel zijn er verplichtingen die je zonder afspraken op papier moeilijk kunt nakomen. De Autoriteit Persoonsgegevens (AP) schrijft in haar waarschuwing over AI-chatbots en datalekken dat organisaties met hun medewerkers duidelijke afspraken moeten maken: mogen ze chatbots gebruiken, en zo ja, welke gegevens mogen ze wel en niet invoeren? Een AI-beleid is de plek waar die afspraken staan.
Het is geen technische handleiding, geen verkooppraatje voor een tool en geen opsomming van wetsartikelen. Het is ook geen garantie. Een beleid dat niemand leest, verandert niets aan wat er in de praktijk gebeurt. Waarom dat gebruik vaak buiten beeld blijft, lees je in het artikel over shadow AI.
De tabel hieronder kun je gebruiken als inhoudsopgave. Elk onderdeel beantwoordt één vraag en heeft één eigenaar. Staat er bij een onderdeel geen naam, dan gebeurt het niet.
| Onderdeel | De vraag die het beantwoordt | Eigenaar |
|---|---|---|
| Doel en reikwijdte | Voor wie en voor welk gebruik geldt dit? | Directie |
| Toegestane tools | Welke AI-tools en welke abonnementen mogen we gebruiken? | IT of de applicatiebeheerder |
| Gegevens | Welke gegevens mogen erin, en welke nooit? | Privacyverantwoordelijke of FG |
| Toegestaan en verboden gebruik | Voor welke taken wel en niet? | Directie, met input van teamleiders |
| Menselijke controle | Wie controleert de uitkomst voor ze de deur uitgaat? | Teamleiders |
| Rollen en besluiten | Wie keurt een nieuwe tool of een nieuw gebruik goed? | Directie |
| Incidenten | Waar meld je een fout en wie beoordeelt haar? | Privacyverantwoordelijke of FG |
| Training | Wat moet iemand weten voor hij met AI werkt? | HR of de leidinggevende |
| Leveranciers | Welke overeenkomsten zijn er en wie beheert ze? | Inkoop of directie |
| Transparantie | Wat vertellen we klanten en medewerkers over ons AI-gebruik? | Directie |
| Herziening | Wanneer kijken we opnieuw en wie neemt het initiatief? | Eigenaar van het beleid |
"Gebruik alleen goedgekeurde AI-tools" is geen regel als nergens staat welke dat zijn. Noem de tool en het abonnement. Het verschil tussen een gratis account en een zakelijk abonnement van dezelfde aanbieder is groot, zie de vergelijking van abonnementen. Zet er een peildatum bij, want aanbieders passen hun voorwaarden geregeld aan.
De meeste organisaties komen uit met een eenvoudige indeling.
Een uitwerking per soort gegeven staat in Mag je klantgegevens in een AI-chatbot zetten?.
Leg één route vast voor nieuwe tools en nieuw gebruik. Wie mag een aanvraag doen, wie toetst haar en binnen welke termijn komt er een antwoord? Duurt een aanvraag maanden, dan regelen mensen het zelf. Een termijn van een of twee weken voor eenvoudige aanvragen is haalbaar als de criteria vooraf vaststaan.
Een medewerker die per ongeluk een bestand met persoonsgegevens in de verkeerde tool heeft gezet, moet dat zonder drempel kunnen melden. De AVG vraagt bij een datalek om een melding aan de toezichthouder zonder onredelijke vertraging en, indien mogelijk, binnen 72 uur. Dat staat in artikel 33 van de AVG. Die termijn haal je alleen als de interne melding dezelfde dag binnenkomt. Hoe je beoordeelt of je moet melden, staat in Datalek via een AI-chatbot.
Regels werken pas als mensen begrijpen waarom ze er zijn. Leg vast welke training iemand volgt voor hij toegang krijgt, hoe vaak ze wordt herhaald en waar je bijhoudt wie haar heeft gevolgd.
Voor een organisatie met enkele tientallen medewerkers is een eerste versie in een paar weken haalbaar, als de inventarisatie niet uitloopt. Wacht niet op een volmaakt document. Een eerste versie die drie tools en drie groepen gegevens regelt, is beter dan een concept dat een half jaar rondgaat.
Hieronder staat een fragment uit het AI-beleid van een fictief adviesbureau, Bureau Voorbeeld, met achttien medewerkers. Het is een illustratie van toon en opbouw en geen model om over te nemen. De namen van tools zijn weggelaten: vul je eigen keuze in.
Wat opvalt: elke regel is in één keer te lezen, zegt wat je wel doet en niet alleen wat verboden is, en noemt een plek waar je terechtkunt. Regel 5 is bewust streng. AI inzetten voor besluiten over personen kan onder de AI Act zwaardere eisen meebrengen, en dat vraagt een aparte beoordeling.
Het beleid is het voorblad van drie andere stukken. Het verwijst ernaar en herhaalt ze niet.
Artikel 30 van de AVG vraagt dat een verwerkingsverantwoordelijke een register bijhoudt van zijn verwerkingsactiviteiten, met onder meer de doeleinden, de categorieën van betrokkenen en van persoonsgegevens, en de ontvangers. Verwerk je persoonsgegevens met een AI-tool, dan hoort dat in het register: als nieuwe verwerking of als aanvulling op een bestaande, met de aanbieder als ontvanger. Voor kleine organisaties kent het artikel een uitzondering onder voorwaarden. Ga niet zonder meer uit van die uitzondering en vraag je privacyadviseur of ze voor jou geldt.
Artikel 35 schrijft een gegevensbeschermingseffectbeoordeling voor als een verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van mensen, in het bijzonder bij nieuwe technologieën. De beoordeling doe je vóór je begint. Of jouw AI-gebruik eronder valt, hangt af van de gegevens en de schaal. Je beleid legt vast wie die afweging maakt en wanneer. De uitwerking staat in DPIA voor AI-tools.
Sinds 2 februari 2025 geldt artikel 4 van de AI-verordening. De tekst is in de zomer van 2026 aangepast door de digitale omnibus inzake AI. Aanbieders en gebruiksverantwoordelijken van AI-systemen nemen maatregelen om de ontwikkeling van AI-geletterdheid van hun personeel te ondersteunen. Een bepaald niveau per persoon hoeven ze niet te waarborgen. Het hoofdstuk over training in je beleid is de plek waar je die maatregelen beschrijft. Wat dat voor werkgevers betekent, lees je in AI-geletterdheid is verplicht.
Het beleid is geen register, geen DPIA en geen verwerkersovereenkomst. Het zegt dat die er zijn, wie ze beheert en waar ze staan. Of je organisatie daarmee aan haar verplichtingen voldoet, is een oordeel dat je zelf vormt, zo nodig met een jurist of je functionaris gegevensbescherming.
Aan gedrag, niet aan het document. Medewerkers stellen vragen voor ze iets nieuws proberen. Er komen meldingen binnen van kleine vergissingen. De lijst met toegestane tools groeit op aanvraag. Blijft het stil, dan is dat zelden een goed teken.
PrivaSearch is een zoeklaag voor documenten met persoonsgegevens: het pseudonimiseert, laat een collega het resultaat goedkeuren en maakt daarna zoeken met bronverwijzing mogelijk. Bij die omgeving hoort papierwerk, en een deel daarvan schrijft de omgeving zelf. Op de pagina over de AVG en de AI Act staat welke documenten dat zijn.
Een van die documenten is een AI-beleid. Volgens die pagina bestaat het uit dertien hoofdstukken over toegestaan en verboden AI-gebruik, rollen, incidenten en de classificatie onder de AI Act, met bijlagen voor de technische inrichting en een checklist voor medewerkers. Het wordt gemaakt uit één formulier, zonder taalmodel, en de inhoud volgt de daadwerkelijke inrichting van je omgeving. Er staat dus geen maatregel in die niet aanstaat.
Daarnaast krijg je een startdocument voor een DPIA, een regel voor je verwerkingsregister en een uitgeschreven grondslag met belangenafweging. Het zijn startdocumenten en geen juridisch advies. De rest van je verwerkingsregister, het advies van je functionaris gegevensbescherming en de formele vaststelling blijven van jou. Ga ook zelf na of het document al het AI-gebruik in je organisatie dekt, zoals e-mails herschrijven of vergaderingen samenvatten, en vul aan waar dat niet zo is.
De training uit het beleid zit in het product. Medewerkers volgen een korte AI-geletterdheidstraining met periodieke herhaling, en zonder geldige training opent de werkruimte niet. Hoe dat werkt, staat op de pagina over de werking. De koppeling met een AI-assistent werkt met Claude, ChatGPT Business en Mistral Vibe. Wat dat betekent voor de AVG, lees je op de pagina over AI-chatbots en de AVG.
Wil je de documenten zien voor je eigen situatie, vraag dan een demo aan.
Geen wet schrijft een document met die naam voor. Wel vragen de AVG en de AI Act om zaken die je zonder vastgelegde afspraken moeilijk kunt regelen, zoals een register van verwerkingen, een beoordeling van risico's en maatregelen voor AI-geletterdheid. De Autoriteit Persoonsgegevens vraagt organisaties om duidelijke afspraken met medewerkers te maken over het gebruik van AI-chatbots. Een AI-beleid is de gangbare manier om dat te doen.
Zo kort als kan. Voor veel organisaties volstaan twee tot vier pagina's met regels, aangevuld met bijlagen voor de lijst van toegestane tools en de technische inrichting. De regels zelf moeten in een paar minuten te lezen zijn. Wordt het document langer, splits dan de regels voor medewerkers van de onderbouwing voor directie en toezichthouder.
De directie of het bestuur, omdat het gaat om keuzes over risico's, budget en verantwoordelijkheid. De inhoud komt meestal van een eigenaar die samenwerkt met IT, de privacyverantwoordelijke of functionaris gegevensbescherming en een paar medewerkers uit de praktijk. Heeft je organisatie een ondernemingsraad, ga dan vooraf na of die een rol heeft, bijvoorbeeld als het beleid ook over het controleren van medewerkers gaat.
Je kunt een chatbot een opzet laten maken, maar het resultaat beschrijft een algemene organisatie en niet de jouwe. De tools, abonnementen, instellingen en verantwoordelijken moet je zelf invullen en controleren. Voer daarbij geen interne of vertrouwelijke gegevens in een tool in waarmee je niets hebt geregeld. Laat het concept toetsen door iemand met verstand van privacy voor je het vaststelt.
Plan minstens één vaste herziening per jaar en benoem aanleidingen voor een tussentijdse. Denk aan een nieuwe tool, een incident, gewijzigde voorwaarden van een aanbieder of nieuwe regels. In 2026 is bijvoorbeeld de tekst van de Europese regel over AI-geletterdheid aangepast. De lijst met toegestane tools en abonnementen verdient vaker aandacht, bijvoorbeeld elk kwartaal.
Een AI-beleid zijn de afspraken voor medewerkers: welke tools, welke gegevens, wie beslist. Een DPIA is een beoordeling van de risico's van één verwerking voor de mensen over wie de gegevens gaan, met de maatregelen die je daartegen neemt. De AVG schrijft een DPIA voor bij een waarschijnlijk hoog risico. Het beleid verwijst naar de DPIA, maar vervangt haar niet.
Wie beslist over AI-tools, wie beoordeelt de risico's en wie houdt toezicht? De rollen op een rij, met een eenvoudige overlegstructuur en een AI-register.
Medewerkers gebruiken AI-chatbots vaak buiten het zicht van de organisatie. Wat dat is, wat er mis kan gaan en hoe je er in stappen grip op krijgt.
Copilot toont wat een medewerker al mag openen, ook wat te ruim is gedeeld. Wat Microsoft vastlegt, wat de DPIA's zeggen en wat je vooraf regelt.
We laten het zien met fictieve dossiers uit jouw branche: upload, herkenning, review, zoeken en de koppeling met je AI-assistent. Daarna weet je precies wat je team veilig kan gebruiken.
Plan een demo →