In de meeste kleine bedrijven wordt AI al gebruikt voordat er iets over is afgesproken. Iemand gebruikt ChatGPT voor mails, iemand anders een andere tool voor teksten, en niemand weet precies wat er wordt ingevoerd. Een AI-beleid is niets anders dan die praktijk expliciet maken — en het hoeft echt geen lijvig document te zijn.
Waarom je dit nodig hebt, ook met vijf medewerkers
Drie redenen, in volgorde van urgentie:
Het is deels verplicht. De Europese AI-verordening eist dat organisaties die AI inzetten zorgen dat hun mensen er voldoende kennis van hebben. Een interne instructie is de meest praktische manier om daaraan te voldoen en aantoonbaar te maken. Zie AI Act voor het mkb.
Het voorkomt het duurste incident. Het grootste AI-risico in een klein bedrijf is niet een kwaadwillende hacker maar een behulpzame medewerker die een klantdossier in een gratis tool plakt. Dat is geen onwil; het is onduidelijkheid.
Het maakt AI bruikbaarder. Zonder afspraken durven mensen niets, of juist te veel. Met duidelijke grenzen weet iedereen waar de ruimte zit en wordt AI daadwerkelijk gebruikt waar het mag.
De vijf onderdelen
1. Welke tools mogen gebruikt worden
Noem ze bij naam. "Een AI-tool kiezen" is geen beleid; "we gebruiken [tool X] via ons zakelijke account" is dat wel.
Voorbeeldtekst
Voor AI-ondersteuning gebruiken we uitsluitend [tool] via het zakelijke account van het bedrijf. Gratis of persoonlijke accounts gebruiken we niet voor werk, omdat daarbij geen verwerkersovereenkomst geldt en ingevoerde informatie gebruikt kan worden om modellen te verbeteren. Wil je een andere tool gebruiken, leg dat eerst voor aan [naam].
Die laatste zin is belangrijker dan de rest. Een verbod zonder route voor nieuwe tools leidt tot stille eigen keuzes.
2. Wat er wel en niet in mag
Maak dit concreet met voorbeelden uit jouw werk, niet met abstracte categorieën.
Voorbeeldtekst
Mag wel: algemene vragen, je eigen teksten laten verbeteren, concepten laten opstellen, publieke informatie laten samenvatten, geanonimiseerde klantsituaties.
Mag met het zakelijke account: klantmails samenvatten of beantwoorden, aanvragen voorbereiden, zoeken in onze eigen documenten.
Mag nooit: medische gegevens, BSN-nummers, gegevens over gezondheid, religie of politieke voorkeur, gegevens van kinderen, wachtwoorden en inloggegevens, informatie waarvoor we een geheimhoudingsplicht hebben.
Bij twijfel: anonimiseer, of vraag het aan [naam].
De achtergrond bij deze grenzen staat in mag je klantgegevens in ChatGPT zetten.
3. Wat altijd door een mens gaat
Dit is het onderdeel dat de meeste schade voorkomt. Werk met drie niveaus:
| Niveau | Wat het betreft | Afspraak |
|---|---|---|
| Vrij | Interne concepten, brainstorms, kladversies | Gebruik naar eigen inzicht |
| Controleren | Alles wat naar een klant of leverancier gaat | Een mens leest en bevestigt voor verzending |
| Niet zonder vakmens | Juridische, financiële en medische uitspraken; beslissingen over personeel | Altijd door een bevoegd persoon |
Voorbeeldtekst
Tekst die door AI is opgesteld en naar buiten gaat, wordt altijd door een medewerker gelezen en goedgekeurd voordat hij wordt verzonden. AI verstuurt zelf niets. Cijfers, bedragen, termijnen en verwijzingen naar wetgeving controleren we in de bron, niet in het AI-antwoord.
Waarom dat laatste nodig is, staat in waarom verzint AI dingen.
4. Wie verantwoordelijk is
Eén naam, geen functie-omschrijving. In een klein bedrijf is dat vaak de eigenaar, en dat is prima — als het opgeschreven staat.
Voorbeeldtekst
[Naam] is aanspreekpunt voor AI-gebruik: beheert de accounts, beoordeelt verzoeken voor nieuwe tools, houdt het overzicht van onze AI-toepassingen bij en neemt dit beleid minimaal jaarlijks door.
5. Wat te doen als het misgaat
Zonder dit onderdeel wordt een fout verzwegen, en dat is het echte probleem.
Voorbeeldtekst
Heb je per ongeluk gegevens ingevoerd die hier niet hadden mogen staan, meld dat dezelfde dag bij [naam]. Dat heeft geen gevolgen voor jou. We beoordelen dan samen of er iets gerepareerd of gemeld moet worden. Niet melden is wel een probleem, want dan kunnen we het niet herstellen.
Die middelste zin — "dat heeft geen gevolgen voor jou" — bepaalt of mensen daadwerkelijk melden.
Het overzicht dat erbij hoort
Naast het beleid heb je een simpele tabel nodig van waar je AI gebruikt. Zonder dat overzicht kun je niet onderbouwen dat je de risico's hebt beoordeeld.
| Toepassing | Tool | Doel | Persoonsgegevens? | Risicocategorie | Verantwoordelijke |
|---|---|---|---|---|---|
| Mails voorbereiden | [tool] | Concepten | Ja, klantnaam | Minimaal | [naam] |
| Website-teksten | [tool] | Concepten | Nee | Minimaal | [naam] |
| Interne zoekfunctie | [tool] | Documenten vinden | Ja, dossiers | Minimaal | [naam] |
| Chatbot op de site | [tool] | Klantvragen | Ja, contactgegevens | Beperkt | [naam] |
Vul dit in voor wat je nu al gebruikt — inclusief de AI-functies in software die je al had. Dat laatste wordt bijna altijd vergeten.
Hoe voer je het in?
Een beleid dat per mail wordt rondgestuurd, verandert niets. Wat werkt:
- Schrijf het concept zelf, in je eigen woorden. Een gekopieerd model van internet past niet bij jouw werk en wordt als zodanig herkend.
- Leg het voor aan degene die het werk doet. Zij weten welke uitzonderingen je vergeet en waar een regel onwerkbaar is.
- Neem het door in een werkoverleg. Een halfuur, met echte voorbeelden uit je eigen praktijk. Dit is het moment waarop het gedrag verandert — en tegelijk je invulling van de AI-kennisplicht.
- Leg vast dat je het gedaan hebt. Datum, aanwezigen, versie van het document. Dat is je bewijs.
- Zet een herinnering voor over een jaar. Tools en regels veranderen snel.
Wil je stap 3 steviger aanpakken, dan is een praktische AI-workshop met je team een efficiënte manier om beleid en vaardigheid in één keer te regelen.
Wat je niet in je beleid zet
Drie dingen die het document onbruikbaar maken:
Een verbod zonder alternatief. "AI mag niet gebruikt worden" wordt genegeerd, en daarmee verlies je elk zicht op wat er gebeurt. Beter een toegestane tool met duidelijke grenzen.
Technische uitleg. Niemand hoeft te weten wat een taalmodel is om er goed mee te werken. Houd het bij afspraken.
Regels die je niet handhaaft. Een afspraak waar niemand naar kijkt, ondermijnt de rest van het document. Schrijf alleen op wat je echt bedoelt.
Veelgestelde vragen
Veelgestelde vragen over ai beleid opstellen
Is een AI-beleid wettelijk verplicht?
Een document met die titel is niet voorgeschreven. Wel verplicht de AI-verordening organisaties die AI inzetten om te zorgen dat hun medewerkers er voldoende kennis van hebben, en de AVG verplicht je om te kunnen aantonen dat je verwerkingen beheerst. Een korte interne instructie is de meest praktische manier om aan beide te voldoen en het aantoonbaar te maken.
Hoe lang moet een AI-beleid zijn?
Twee tot vier pagina's is voor een klein bedrijf ruim voldoende, inclusief het overzicht van toepassingen. De vijf onderdelen uit dit artikel passen daar makkelijk in. Langer betekent in de praktijk dat het niet gelezen wordt, en een ongelezen beleid beschermt je niet.
Kan ik een voorbeeldbeleid van internet gebruiken?
Als vertrekpunt wel, maar herschrijf het naar jouw situatie. De waarde van dit document zit in de concrete voorbeelden uit jouw werk — welke tool, welke gegevens, welke processen. Een algemeen model dat niet over jouw praktijk gaat, wordt niet toegepast en helpt ook niet als je moet aantonen dat je het serieus hebt aangepakt.
Moet ik dit ook met zzp'ers en freelancers afspreken?
Ja, en dat wordt vaak vergeten. Wie namens jouw bedrijf met klantgegevens werkt, valt onder jouw verantwoordelijkheid. Neem de afspraken op in je opdrachtovereenkomst of laat hen hetzelfde beleid ondertekenen. Dat geldt ook voor het ingehuurde bureau dat je teksten schrijft.
Hoe vaak moet ik het bijwerken?
Minimaal jaarlijks, en verder bij elke wijziging die ertoe doet: een nieuwe tool, een nieuwe toepassing, of een wijziging in de regelgeving. Zet een terugkerende herinnering in je agenda, want de ontwikkelingen gaan sneller dan je jaarlijkse documentronde.
Wat doe ik als medewerkers tools blijven gebruiken die niet mogen?
Zoek eerst uit waarom. In bijna alle gevallen is de toegestane tool niet beschikbaar, te omslachtig of kan hij iets niet dat de andere wel kan. Dat los je op door de goede tool goed te regelen, niet door strenger te verbieden. Blijft het daarna gebeuren, dan is het een gewoon arbeidsrechtelijk gesprek — maar dat is zelden nodig.
