AI-beleid voor bedrijven: model in 10 punten en fouten

👁 119 keer gelezen

„ChatGPT mag gebruikt worden” laat de belangrijkste vragen open. Met welk account? Voor welke documenten? Mag een medewerker een klantmail uploaden, en wie controleert het antwoord voordat het teruggaat? Ik zou een AI-beleid voor een Nederlands mkb-bedrijf beginnen met die dagelijkse beslissingen. Een algemene verklaring over innovatie helpt een medewerker niet die nu een bestand wil toevoegen.

De Autoriteit Persoonsgegevens publiceerde op 13 juli 2026 een hulpmiddel voor organisaties die generatieve AI willen invoeren. De eerste vraag is of de toepassing zonder persoonsgegevens kan werken. Dat is ook een bruikbare start voor het beleid: bepaal wat de taak nodig heeft, voordat je bepaalt welke informatie naar een dienst mag.

Een werkafspraak met een eigenaar

Een intern beleid vervangt geen beoordeling van privacy, beveiliging of sectorspecifieke verplichtingen. Het vertaalt die beoordeling naar een instructie waarmee medewerkers kunnen werken. Ik scheid daarom de korte gebruiksregels van de onderliggende stukken, zoals contracten, instellingen en de beoordeling van een concrete toepassing.

Voor de Europese AI Act is AI-geletterdheid relevant. De actuele uitleg van de Europese Commissie beschrijft maatregelen die passen bij de kennis van medewerkers en de context waarin de systemen worden gebruikt. Een algemene cursusnaam of een doorgestuurd pdf-bestand toont op zichzelf niet aan hoe een team met zijn eigen toepassingen omgaat. Een beleid kan die aanpak ondersteunen, maar is geen zelfstandig keurmerk.

Ik zou voor elk toegestaan gebruik één verantwoordelijke aanwijzen. In een klein bedrijf kan dat de eigenaar zijn, geholpen door de IT-beheerder of privacyadviseur. Leg ook vast wie vervangt bij afwezigheid. „Vraag het aan IT” werkt niet als niemand de aanvraag oppakt.

Een model met tien invulbare afspraken

Onderstaande tekst is mijn praktische basis voor interne afstemming. De invulvelden moeten worden ingevuld op basis van de eigen systemen en werkzaamheden. De regels zijn een voorgesteld bedrijfsbeleid, geen letterlijke weergave van wettelijke verplichtingen.

1. Bereik. Dit beleid geldt voor medewerkers en ingehuurde krachten die namens [organisatie] AI gebruiken. Het omvat losse diensten, browserextensies en AI-functies in bestaande kantoorsoftware.
2. Toegestane toepassingen. Alleen combinaties van tool, account en taak die in [intern register] zijn goedgekeurd, mogen voor bedrijfswerk worden gebruikt. Een goedgekeurde tekstassistent is niet automatisch goedgekeurd voor personeelsbeoordelingen.
3. Nieuwe aanvragen. Nieuwe tools of functies worden gemeld bij [verantwoordelijke]. Vermeld de taak, benodigde gegevens, ontvangers van de uitvoer en gewenste koppelingen. Tot beoordeling is afgerond, worden geen bedrijfsgegevens ingevoerd.
4. Invoer. Openbare oefenteksten en zelfgemaakte voorbeelden mogen worden gebruikt binnen de goedgekeurde toepassing. Vertrouwelijke informatie en persoonsgegevens mogen alleen worden verwerkt als die gegevenscategorie en werkwijze expliciet zijn beoordeeld. Wachtwoorden en API-sleutels worden niet in een chatprompt gezet.
5. Controle. De medewerker controleert bedragen, namen, bronnen, conclusies en toezeggingen voordat de uitvoer wordt gebruikt. Bij twijfel wordt de oorspronkelijke bron geraadpleegd of de taak doorgegeven aan [inhoudelijk verantwoordelijke].
6. Acties. Het verzenden van berichten, publiceren van content, wijzigen van klantdossiers en uitvoeren van betalingen blijft onder menselijke goedkeuring, tenzij voor de specifieke handeling een afzonderlijk goedgekeurde werkwijze bestaat.
7. Communicatie. Voor klantgerichte chatbots en gegenereerd beeld, geluid of video bepaalt [communicatieverantwoordelijke] vóór publicatie welke informatie of aanduiding nodig is. Een medewerker mag die beoordeling niet vervangen door alleen „gemaakt met AI” onder elk bestand te zetten.
8. Uitgesloten inzet. Toepassingen voor werving, beoordeling van personen, medische beslissingen of andere gevoelige processen vallen buiten dit algemene beleid. Zij krijgen een aparte beoordeling voordat gegevens of resultaten worden gebruikt.
9. Incidenten. Onbedoelde invoer van gegevens, foutieve externe communicatie of ongewenste acties worden direct gemeld via [intern meldkanaal]. Leg vast wat er gebeurde, welk systeem betrokken was en welke actie is uitgevoerd, zonder de gevoelige inhoud verder te verspreiden.
10. Instructie en onderhoud. Iedere gebruiker krijgt uitleg over de goedgekeurde taken, beperkingen en meldroute. [Beheerder] houdt de versie en controledatum bij en herziet het beleid bij nieuwe koppelingen, gewijzigde voorwaarden of een incident.

Onder de regels zet ik een versienummer, datum, eigenaar en goedkeurder. Het actuele toolregister hoeft geen grote database te zijn. Een gedeelde lijst met toepassing, toegestane gegevens, verantwoordelijke en beoordelingsdatum maakt al zichtbaar wie welke beslissing heeft genomen.

Drie voorbeelden voor een Nederlands team

Een zzp’er schrijft een offerte. Een algemene beschrijving van de dienst kan als oefentekst dienen. De klantnaam, niet-openbare begroting en contractbijlage vragen een afzonderlijke afweging. In het register staat daarom niet alleen „teksten schrijven”, maar bijvoorbeeld „offerteconcept uit openbare productinformatie, zonder klantdocumenten”. De prijsberekening wordt apart gecontroleerd.

Een webwinkel behandelt retourvragen. De openbare retourpagina is een andere gegevensbron dan een klantenbestand. Een assistent die beide kan lezen, heeft ruimere toegang dan een hulpmiddel dat alleen antwoordteksten opstelt. Ik zou in het beleid vastleggen welke ordervelden nodig zijn en wie een terugbetaling autoriseert. Een bruikbaar ontwerpvoorbeeld staat in de gids met twaalf AI-agenttoepassingen.

Een bureau maakt een campagnebeeld. Een verzonnen scène zonder klantgegevens vraagt andere controles dan een bewerking van een echte medewerker of een klantfoto. Het team controleert rechten op de invoer, de toestemming voor het beoogde gebruik en mogelijke misleiding door het resultaat. Het gekozen abonnement is één onderdeel van die controle, geen algemene toestemming voor ieder beeld.

Deze voorbeelden zijn fictief. Ze laten zien waarom ik toepassingen per taak beoordeel. Eenzelfde dienst kan bruikbaar zijn voor een openbare vacaturetekst en ongeschikt voor het beoordelen van de kandidaten die erop reageren.

Invoeren zonder een papieren eindstation

Begin met een inventarisatie van werkelijk gebruik: welke AI-functies zitten al in de software, welke accounts bestaan en waar gaan bestanden heen? Bespreek daarna met één medewerker per betrokken afdeling een echte taak, maar gebruik bij de instructie fictieve of daarvoor goedgekeurde gegevens.

Laat iedere medewerker aanwijzen waar de grens ligt: welke invoer mag, wat moet gecontroleerd worden en wanneer moet iemand anders beslissen? Leg vast welke instructie is gegeven en welke vragen overbleven. De volgende versie van het beleid kan juist die onduidelijkheden oplossen.

Voor een bedrijf dat persoonsgegevens verwerkt, hoort de beoordeling bij de eigen AVG-verantwoordelijkheden. De AP-checklist helpt om de relevante vragen te ordenen; een ingevuld intern sjabloon bewijst niet automatisch dat de verwerking rechtmatig is. Bij een gevoelige toepassing laat ik de concrete gegevensstroom beoordelen voordat het team ermee gaat werken.

Mijn eindcontrole is eenvoudig: kan een medewerker met het beleid een concrete handeling wel of niet uitvoeren, en weet diegene wie de open vraag beantwoordt? Als dat nog onduidelijk is, moet die afspraak scherper voordat het document wordt vastgesteld.

// lees verderCustomer.io in de praktijk: onboarding, winkelwagentjes en klanten terugwinnenHandleidingenWarp terminal handleiding: AI-agent, blokken en commando’sHandleidingenBrain.fm in de praktijk: focus, studeren en slapenHandleidingen

Kinetyra