Een AI-beleid is een korte set afspraken over hoe uw bedrijf AI gebruikt: welke tools mogen, welke gegevens er niet in gaan, wie het resultaat controleert en bij wie medewerkers terechtkunnen met vragen. Voor een mkb-bedrijf is één tot twee A4 meestal genoeg. De AI Act schrijft geen beleidsdocument voor, maar het helpt wel bij twee dingen die wél verplicht zijn: maatregelen voor AI-geletterdheid (AI Act) en zorgvuldig omgaan met persoonsgegevens (AVG). Belangrijker nog: het voorkomt dat iedere medewerker zijn eigen regels verzint. Een herkenbaar gevolg daarvan is een klantmail, met naam en adres, in een gratis chatbot.
Vimonto is geen juridisch adviseur. Hieronder staat een praktische opbouw; laat de definitieve versie zo nodig door een jurist nalezen.
Waarom het helpt
Zonder afspraken gebruikt iedereen AI op zijn eigen manier. De een gebruikt een zakelijk account, de ander zijn privéaccount. De een controleert alles, de ander stuurt het antwoord direct door. Dat gaat lang goed, tot het een keer niet goed gaat en niemand weet wat er is afgesproken.
Een beleid maakt dat zichtbaar. Het is ook het eerste dat u kunt laten zien als iemand vraagt wat uw bedrijf aan AI-geletterdheid heeft gedaan.
Wat erin hoort
1. Welke tools zijn toegestaan
Noem ze bij naam, met het soort account. Bijvoorbeeld: ChatGPT via het zakelijke account van het bedrijf, de AI-functie in uw boekhoudpakket, de chatbot op de website. Alles wat niet op de lijst staat, vraagt een medewerker eerst aan. Zo houdt u overzicht zonder elke nieuwe tool te hoeven verbieden.
2. Welke gegevens er niet in mogen
Wees concreet. Geen namen, adressen of telefoonnummers van klanten in tools die niet op de lijst staan. Geen medische gegevens, geen burgerservicenummers, geen wachtwoorden, geen vertrouwelijke offertes of contracten. Wilt u een toepassing wél met klantgegevens laten werken, dan hoort daar een leverancier bij met een verwerkersovereenkomst.
3. Waarvoor wel, en waarvoor niet
Wel: eerste versies van teksten, samenvattingen, vertalingen, meedenken. Niet zonder menselijke beslissing: alles wat gevolgen heeft voor een klant, sollicitant of medewerker. AI mag een sollicitatiebrief samenvatten. De keuze wie er op gesprek komt, maakt een mens.
4. Wie controleert wat
Leg vast dat alles wat naar buiten gaat eerst door een mens is gelezen. Leg ook vast dat feiten, cijfers en bronnen uit een AI-antwoord worden nagekeken. Taalmodellen klinken even zeker als ze het mis hebben.
5. Eerlijk naar klanten
Praat een klant met een chatbot of telefoonassistent, dan moet hij weten dat het AI is. Die regel uit de AI Act geldt sinds 2 augustus 2026. Neem in uw beleid op dat elke AI die met klanten praat zich als AI meldt, en dat een klant altijd een mens kan krijgen.
6. Wie is aanspreekpunt, en wat doet u als het misgaat
Eén persoon, met naam. Bij die persoon meldt een medewerker het als er per ongeluk gegevens in een verkeerde tool zijn beland. Gaat het om persoonsgegevens, dan kan dat een datalek zijn dat u binnen 72 uur bij de Autoriteit Persoonsgegevens moet melden. Met een vaste meldroute weet iedereen wat hij moet doen, en verliest u geen tijd met uitzoeken wie het oppakt.
7. Hoe u medewerkers wegwijs maakt
Beschrijf kort wat nieuwe medewerkers te horen krijgen en wat iedereen hoort als er een tool bijkomt. Een half uur uitleg met voorbeelden uit uw eigen werk is meer waard dan een lange cursus over AI in het algemeen.
8. Wanneer u het herziet
Zet er een datum in. Een halfjaarlijkse check is voor de meeste bedrijven genoeg, en verder telkens als er een nieuwe tool bijkomt.
Zo klinkt het in gewone taal
Een beleid hoeft niet juridisch te klinken. Onderdeel 2 kan er bijvoorbeeld zo uitzien:
Klantgegevens. Namen, adressen, telefoonnummers en e-mails van klanten gaan alleen in de tools op de lijst. ChatGPT gebruiken medewerkers via het zakelijke account van het bedrijf, nooit via een eigen account. Bij twijfel eerst vragen aan het aanspreekpunt.
Kort en concreet, zodat iedereen begrijpt wat er bedoeld wordt. Schrijf de andere onderdelen op dezelfde manier.
Laat het ook niet door één persoon bedenken. Vraag de collega’s die AI al gebruiken wat ze ermee doen. Zij weten waar de afspraken nodig zijn, en een beleid waar zij aan hebben meegedacht, wordt beter nageleefd.
Wat het niet vervangt
Een AI-beleid is een interne afspraak. Het vervangt geen verwerkersovereenkomst met uw leveranciers en geen privacyverklaring naar klanten. Verwerkt een AI-toepassing veel of gevoelige persoonsgegevens, dan kan de AVG een gegevensbeschermingseffectbeoordeling (DPIA) vragen. Twijfelt u daarover, dan is dat een vraag voor een jurist of privacyadviseur.
Zo houdt u het levend
Houd het beleid kort, zodat mensen het onthouden. Hang de lijst met toegestane tools en verboden gegevens ergens waar mensen hem zien, en bespreek in het werkoverleg af en toe een voorbeeld. Een beleid dat alleen in een map staat, raakt snel vergeten.
Als u AI laat bouwen
Laat u een AI-toepassing op maat maken, dan is uw beleid meteen de opdracht voor het ontwerp. Welke gegevens mag de toepassing zien, wie keurt de uitkomst goed, wat wordt er vastgelegd? Bij Vimonto spreken wij vooraf af welke gegevens een toepassing nodig heeft. Wat niet nodig is, gaat er niet in.
Welke toepassingen wij bouwen, leest u op AI voor bedrijven. Bijvoorbeeld een AI-chatbot die antwoordt uit uw eigen informatie, of AI-automatisering voor het werk dat nu met de hand gaat. Meer over de wettelijke kant leest u in AI Act voor het mkb.
Bronnen
