Naar de inhoud
EN Plan een startsprint

Compliance en security

AI‑beleid opstellen: wat erin moet en hoe je begint

David Homan · · 3 min lezen

Het korte antwoord

Een AI‑beleid legt vast welke AI‑tools je medewerkers mogen gebruiken, welke gegevens erin mogen, wie verantwoordelijk is en hoe je mensen ermee leren werken. De AI Act noemt het document niet bij naam. Je hebt het wel nodig om te laten zien dat je aan artikel 4 en de transparantieregels voldoet, en voor de meeste organisaties past het op twee A4.

Waarom je het nodig hebt

Je medewerkers gebruiken AI al, met of zonder afspraken. Een AI-beleid maakt dat gebruik zichtbaar en veilig. Het voorkomt dat klantgegevens in de verkeerde tool belanden, het geeft mensen duidelijkheid over wat mag, en het is je bewijs richting klanten, accountants en toezichthouders.

De AI Act schrijft geen apart beleidsdocument voor. Maar artikel 4 vraagt dat je maatregelen neemt voor de AI-geletterdheid van je mensen, en de transparantieregels vragen dat je laat zien wanneer iets door AI is gemaakt of beantwoord. Afspraken op papier zijn de eenvoudigste manier om dat aan te tonen. Lees meer in de AI Act.

Wat er in een AI-beleid staat

Acht vaste onderdelen. Samen passen ze op twee A4.

OnderdeelWat je vastlegt
Doel en reikwijdteVoor wie het geldt en welke soorten AI eronder vallen
Toegestane toolsWelke tools mogen, in welke versie (zakelijk of consument), en hoe je een nieuwe tool aanvraagt
GegevensklassenWelke gegevens erin mogen: openbaar, intern, vertrouwelijk, persoonsgegevens
Menselijke controleDat een mens elke uitkomst controleert voordat die naar buiten gaat of tot een besluit leidt
TransparantieWanneer je klanten vertelt dat ze met AI te maken hebben
TrainingWie welke training krijgt en hoe je dat vastlegt (artikel 4)
Eigenaar en meldpuntWie het beleid beheert en waar je een fout of incident meldt
HerzieningWanneer het beleid opnieuw bekeken wordt

Stappenplan

  1. Inventariseer het gebruik. Vraag teams welke AI ze gebruiken en waarvoor. Klaar als: je een lijst hebt van tools, gebruikers en soorten gegevens.
  2. Deel je gegevens in. Bepaal welke klassen gegevens je hebt en welke in welke tool mogen. Klaar als: elke medewerker in één zin kan zeggen wat wel en niet in een prompt mag.
  3. Kies je tools. Kies per toepassing een tool met zakelijke voorwaarden, en bij persoonsgegevens een verwerkersovereenkomst. Klaar als: er een korte lijst toegestane tools is.
  4. Schrijf het concept. Gebruik de acht onderdelen hierboven. Klaar als: het op twee A4 past.
  5. Toets het met gebruikers. Laat een paar mensen die AI dagelijks gebruiken het lezen. Klaar als: hun vragen beantwoord zijn in de tekst.
  6. Train en leg vast. Zorg dat iedereen het kent en ermee kan werken. Klaar als: je kunt laten zien wie wanneer is getraind.
  7. Plan de herziening. Zet een datum in de agenda. Klaar als: er een eigenaar en een datum staan.

Wat er vaak misgaat

  • Te lang. Twintig pagina’s juridische tekst leest niemand.
  • Alleen verbieden. Een beleid dat alleen verbiedt, wordt omzeild. Leg ook vast wat wel mag en welke tool je daarvoor gebruikt.
  • Niet getoetst. Zonder input van gebruikers mist het de situaties die echt voorkomen.
  • Geen eigenaar. Zonder eigenaar is het na een half jaar verouderd.

Als je zelf AI laat bouwen

Een eigen AI-toepassing vraagt extra afspraken: wat het systeem logt, wie toezicht houdt, waar het draait en hoe lang gegevens bewaard blijven. Bij een bouw zit dat in het ontwerp, en de afspraken komen in je beleid. Lees meer in menselijk toezicht en logging.

Wat AI Heroes hier doet

Met de AI Act-check zien we welke AI je gebruikt en welke afspraken je nodig hebt. Het sjabloon op deze pagina baseren we op het AI-beleid dat we voor onszelf opstellen. Voor de assistent op deze site staan de afspraken openbaar op de transparantiepagina.

Veelgestelde vragen

Is een AI‑beleid verplicht?

De AI Act schrijft geen apart beleidsdocument voor. Wel moet je aan artikel 4 (AI‑geletterdheid) en de transparantieregels voldoen, en dat laat je het makkelijkst zien met vastgelegde afspraken. Werk je met persoonsgegevens, dan vraagt ook de AVG om aantoonbare maatregelen.

Hoe lang moet het zijn?

Voor de meeste organisaties twee A4. Langer is zelden beter: een beleid dat niemand leest, verandert niets aan hoe mensen werken.

Wie stelt het op en wie is eigenaar?

Iemand met mandaat, meestal uit directie, IT of compliance, samen met een paar mensen die AI dagelijks gebruiken. Wijs één eigenaar aan die het bijhoudt en vragen beantwoordt.

Mogen medewerkers ChatGPT gebruiken met klantgegevens?

Alleen als je daar afspraken over hebt gemaakt: een zakelijke versie met een verwerkersovereenkomst, en duidelijk welke gegevens erin mogen. Met een gratis consumentenaccount en persoonsgegevens loop je risico onder de AVG. Lees AI en de AVG.

Hoe vaak herzie je het?

Minstens één keer per jaar, en elke keer als er een nieuwe tool bijkomt of de regels veranderen.

Is er een sjabloon?

Het komt eraan: een sjabloon in Word en pdf, dat je op deze pagina aanvraagt. Tot het er is, helpen we je graag direct verder via info@aiheroes.io.

Wil je weten welke afspraken jouw organisatie nodig heeft? De AI Act‑check laat zien welke AI je gebruikt en wat je moet regelen.

Bekijk de AI Act-check

Verder lezen