AI-beleid opstellen: opbouw, voorbeeld en valkuilen

Je mensen gebruiken AI, ook als er niets is afgesproken. Meestal met een privéaccount en zonder idee wat er wel en niet in mag. Een AI-beleid legt vast welke tools mogen, welke gegevens erin mogen en wie waarvoor verantwoordelijk is. Het verschil tussen een beleid dat werkt en een beleid dat in een map verdwijnt, zit zelden in de juridische kwaliteit. Het zit in de lengte en in hoe concreet het is.

Dit artikel is algemene informatie, geen juridisch advies. Laat beleid dat raakt aan medezeggenschap of bijzondere persoonsgegevens juridisch toetsen.

Is een AI-beleid verplicht?

Nee. De AI-verordening schrijft geen beleidsdocument voor. Maar je hebt wel verplichtingen die je zonder vastgelegde afspraken lastig kunt aantonen. Artikel 4 vraagt dat je maatregelen neemt om AI-geletterdheid bij je mensen te ondersteunen. Artikel 50 regelt transparantie, bijvoorbeeld dat mensen weten dat ze met een AI-systeem praten; die regels gelden sinds 2 augustus 2026. En de AVG geldt zodra er persoonsgegevens in een AI-tool gaan. Het beleid is de plek waar je die afspraken vastlegt en dateert. Meer over artikel 4 lees je in AI-geletterdheid verplicht.

Waarom je het toch wilt hebben

Om gebruik te sturen dat er al is. Een verbod werkt niet: mensen gaan het buiten je zicht doen. Een korte lijst van wat wel mag, met een goed alternatief, werkt wel.

Om vragen te kunnen beantwoorden. Klanten en aanbestedende partijen vragen naar AI-governance in leveranciersvragenlijsten. Een gedateerd beleid is dan een antwoord van vijf minuten.

Om fouten te voorkomen die je niet kunt terugdraaien. Een klantcontract in een gratis chatbot of een cijfer uit AI-output dat ongecontroleerd in een offerte belandt.

De tien onderdelen van een werkbaar AI-beleid

1. Doel en reikwijdte

Waarom het document bestaat en voor wie het geldt. Neem expliciet inhuurkrachten, uitzendkrachten en leveranciers mee die namens je werken. Die groep valt anders buiten beeld.

2. Definities

Drie tot vijf, in gewone taal. Wat is een AI-systeem, wat is generatieve AI, wat noemen jullie vertrouwelijk.

3. Rollen

Wie is eigenaar van het beleid, wie beoordeelt nieuwe tools, bij wie meld je een incident, wie regelt de training. Zet er namen bij. "IT" is geen naam.

4. Goedgekeurde tools

Een korte, actuele lijst. Bijvoorbeeld: de zakelijke versie van ChatGPT, Microsoft Copilot en de AI-functies in het eigen CRM. Niet toegestaan: privéaccounts en tools zonder verwerkersovereenkomst. Een lijst van dertig tools houdt niemand bij.

5. Welke gegevens mogen erin?

Het belangrijkste onderdeel, en het onderdeel dat het vaakst te vaag is. Werk met vier categorieën en geef voorbeelden.

• Openbaar, zoals websiteteksten en gepubliceerde brochures: mag in goedgekeurde tools.
• Intern, zoals procesbeschrijvingen, interne notities en conceptoffertes zonder klantnaam: mag in goedgekeurde zakelijke accounts.
• Vertrouwelijk, zoals klantcontracten, prijsafspraken, personeelsdossiers, broncode en financiële cijfers: alleen na toestemming van de beleidseigenaar.
• Bijzonder, zoals gezondheidsgegevens en andere bijzondere persoonsgegevens uit de AVG: niet, tenzij er een vastgelegde grondslag en beoordeling ligt.

Geef er één vuistregel bij die iedereen onthoudt: wat je niet zonder nadenken naar een externe partij zou mailen, zet je niet zonder check in een AI-tool.

6. Menselijke controle

AI maakt concepten, samenvattingen en analyses. Een mens controleert en verstuurt. Besluiten over mensen, zoals sollicitanten, beoordelingen en klachten, worden niet automatisch genomen. Benoem per proces wie controleert, anders controleert iedereen en dus niemand.

7. Controle van uitkomsten

Cijfers, wetsartikelen, namen, citaten en juridische uitspraken uit AI-output worden gecontroleerd voordat ze naar buiten gaan. Zie AI-hallucinaties voorkomen.

8. Transparantie naar klanten

Een chatbot maakt zich bekend als AI. Beeld dat met AI is gemaakt en op echt materiaal lijkt, wordt gemarkeerd. Schrijft AI mee in klantcontact, dan blijft een mens eindverantwoordelijk.

9. Nieuwe tools en incidenten

Een korte toets voor nieuwe tools: welk probleem lost het op, welke gegevens gaan erin, is er een verwerkersovereenkomst, waar worden de gegevens verwerkt, wordt er op jullie invoer getraind en wat kost het. En voor incidenten: bij wie meld je het, hoe snel, en wie beoordeelt of het een datalek is.

10. Herziening

Versienummer, vaststellingsdatum, wie het heeft vastgesteld en wanneer het opnieuw wordt bekeken. Minstens jaarlijks, en bij elke nieuwe tool of wetswijziging.

Een voorbeeldopzet om mee te beginnen

Gebruik dit als skelet. Vul de plaatshouders in en schrap wat niet past.

• Kop: AI-beleid [bedrijfsnaam], versie 1.0, vastgesteld op [datum] door [naam, functie], volgende herziening [datum].
• Doel en reikwijdte: dit beleid geldt voor iedereen die namens [bedrijfsnaam] werkt, ongeacht het soort contract.
• Rollen: beleidseigenaar [naam], aanspreekpunt incidenten [naam], verantwoordelijk voor training [naam].
• Goedgekeurde tools: [tool 1], [tool 2], [tool 3]. Andere tools alleen na goedkeuring van de beleidseigenaar. Geen privéaccounts voor werk.
• Gegevens: de vier categorieën met voorbeelden, plus de vuistregel.
• Controle: AI levert concepten, een mens beslist. Feitelijke claims worden gecontroleerd voor verzending.
• Transparantie: klanten weten wanneer ze met AI communiceren.
• Nieuwe tools: aanvraag bij de beleidseigenaar met doel, gegevens, leverancier, verwerkersovereenkomst, opslaglocatie en kosten.
• Incidenten: meld direct bij [naam] als vertrouwelijke gegevens in een niet-goedgekeurde tool zijn beland of als AI-output schade heeft veroorzaakt.

Maak daarnaast één A4 met de vijf regels die mensen dagelijks nodig hebben. Dat A4 lezen ze. Het beleid laat je zien als iemand ernaar vraagt.

Vijf fouten die een AI-beleid onbruikbaar maken

Te lang. Twintig pagina's die niemand leest, zijn slechter dan drie die iedereen kent. Je moet ook kunnen laten zien dat de regels bekend zijn.

Alleen verboden. "Generatieve AI is niet toegestaan" leidt tot gebruik met privéaccounts. Precies het risico dat je wilde afdekken.

Vaag over gegevens. "Ga zorgvuldig om met vertrouwelijke informatie" stuurt niets. Mensen hebben categorieën en voorbeelden nodig.

Geen eigenaar. Zonder naam worden nieuwe tools niet getoetst en incidenten niet gemeld.

Nooit herzien. Een beleid van twee jaar oud noemt tools die niemand meer gebruikt en mist de tools die iedereen gebruikt.

De rol van de ondernemingsraad

AI-beleid raakt regelmatig aan onderwerpen waarover de OR iets te zeggen heeft. Gaat AI meekijken naar aanwezigheid, gedrag of prestaties van medewerkers, dan kan instemmingsrecht gelden (artikel 27 WOR). De invoering van een belangrijke nieuwe technologie kan onder het adviesrecht vallen (artikel 25 WOR). Laat per situatie toetsen wat geldt.

Praktisch: betrek de OR bij het opstellen, niet pas bij de vaststelling. Een OR die vanaf het begin meedenkt, versnelt de invoering meestal.

Hoe het beleid aansluit op de AVG

Het AI-beleid vervangt je privacydocumentatie niet, maar er is veel overlap. De gegevenscategorieën sluiten aan op je verwerkingsregister. De toets voor nieuwe tools is grotendeels een toets op de verwerkersovereenkomst. Twee punten vragen specifiek aandacht bij AI: waar de gegevens worden verwerkt, en of de leverancier op je invoer traint. Controleer dat per abonnement in de voorwaarden van de leverancier. Bij gratis en consumentenversies is het vaak anders geregeld dan bij zakelijke abonnementen; dat is de belangrijkste reden om privéaccounts uit te sluiten. Zie ChatGPT voor bedrijven en AI Act en AVG: wat moet je regelen.

Van papier naar praktijk

• Koppel het aan de training. Behandel de huisregels in de sessie over AI-geletterdheid die je toch al organiseert.
• Maak de goedgekeurde route de makkelijkste. Is het zakelijke account omslachtiger dan een privéaccount, dan verlies je.
• Ga goed om met de eerste melding. Wie meldt dat er per ongeluk een contract in een AI-tool is beland, mag daar geen spijt van krijgen. Anders komt er geen tweede melding.
• Bespreek elk kwartaal twee echte voorbeelden. Wat ging goed, wat ging mis. Dat is meteen je input voor de herziening.

Waar je begint

Het beleid schrijven is een middag werk. De inventarisatie van wat er in je bedrijf al draait, is het echte werk. Het is dezelfde inventarisatie die je nodig hebt om te bepalen welke processen geschikt zijn voor AI. Wil je die in één keer goed doen, dan brengen we in de AI Opportunity Audit in kaart waar AI al wordt gebruikt en waar het het meeste oplevert. Het beleid en de verantwoordelijkheid ervoor blijven van jou.

Bronnen: AI-verordening, Verordening (EU) 2024/1689, Verordening (EU) 2026/1744, Wet op de ondernemingsraden, Autoriteit Persoonsgegevens over AI en algoritmes. Stand van zaken: oktober 2026.