In bijna elke organisatie die ik spreek, gebruiken medewerkers al AI. Voor een mail, een samenvatting, een eerste opzet van een offerte. Vaak met een eigen account, en zonder dat de directie precies weet wat er in die chats terechtkomt.

Dat is geen reden om het te verbieden. Het is wel een reden om afspraken te maken. Een goed AI-beleid maakt AI niet trager, het maakt het juist veiliger om ermee door te gaan. En het hoeft niet ingewikkeld te zijn: één A4 is genoeg om te beginnen.

Wat is een AI-beleid?

Een AI-beleid is een korte set afspraken over hoe je organisatie AI gebruikt: welke tools, met welke gegevens, wie de uitkomst controleert en bij wie je terechtkunt met vragen. Het is geen juridisch document, maar een werkafspraak die iedereen kent.

In het PSL AI Maturity Framework hoort het bij de pijler Governance en ethiek. Bij veel organisaties die de AI Maturity Scan doen, is dat precies de pijler die het laagst scoort.

Waarom heeft het mkb een AI-beleid nodig?

Om drie redenen:

  • Je gegevens. Zonder afspraken belanden klantgegevens, cv's of vertrouwelijke cijfers in AI-tools die daar niet voor bedoeld zijn. De AVG geldt ook voor een chatbot.
  • De AI Act. Sinds februari 2025 moet elke organisatie die AI gebruikt, zorgen dat haar mensen voldoende AI-geletterd zijn. Een beleid met een korte uitleg is de meest praktische manier om dat te regelen. Meer daarover lees je in AI-geletterdheid en verantwoord AI-gebruik.
  • Rust in je team. Medewerkers durven AI meer te gebruiken als ze weten waar de grenzen liggen. Onduidelijkheid zorgt voor stiekem gebruik of voor niet durven.

Hoe maak je een AI-beleid in vijf stappen?

  1. Kijk wat er al gebeurt. Vraag je team welke AI-tools ze gebruiken, waarvoor en met welk account. Doe dat zonder oordeel; je wilt een eerlijk beeld.
  2. Scoor het werk op risico. Gebruik de risicomatrix hieronder: wat mag AI zelfstandig, wat keurt een mens goed, en wat doet alleen een mens?
  3. Schrijf de afspraken op. Op één A4, in gewone taal. Gebruik het voorbeeld onderaan als begin.
  4. Laat het MT het vaststellen en uitleggen. Een beleid dat de directie zelf uitlegt en zelf naleeft, wordt serieus genomen.
  5. Kijk elk kwartaal of het nog klopt. Er komen nieuwe tools en nieuwe mogelijkheden bij. Pas het beleid aan als dat nodig is.

De risicomatrix: wat mag AI zelfstandig?

Niet alles wat AI kan, mag zonder controle. Scoor elke stap in een werkproces als laag, middel of hoog.

  • Laag: AI mag het zelfstandig. Weinig impact, makkelijk terug te draaien en het blijft binnen je eigen muren. Bijvoorbeeld bronnen samenvatten, een analyse maken of een eerste concept schrijven.
  • Middel: een mens keurt goed voordat het wordt uitgevoerd. Bijvoorbeeld een veld in je CRM bijwerken, bestanden verplaatsen of een afspraak in de agenda zetten.
  • Hoog: alleen een mens, altijd. Alles wat de deur uitgaat, geld kost, juridische gevolgen heeft of moeilijk terug te draaien is. Bijvoorbeeld een mail naar een klant versturen, een prijs of korting toezeggen, of iets beslissen over een sollicitant of medewerker.

Sluit af met één regel die voor iedereen geldt, bijvoorbeeld: "Alles wat naar een klant gaat, lees ik zelf voordat het verstuurd wordt."

De controlelijst voor alles wat naar buiten gaat

Voordat een tekst of document dat met AI is gemaakt de deur uitgaat:

  • kloppen namen en functies?
  • komen tarieven, budgetten en toezeggingen uit je eigen materiaal?
  • zijn cijfers nagerekend, en niet zomaar overgenomen?
  • klinkt het als jouw bedrijf?
  • staan er geen persoonsgegevens in die er niet in horen?

Voorbeeld: een AI-beleid op één A4

Neem dit over, vul de namen in en pas het aan op jouw organisatie.

1. Waarom we AI gebruiken

We zetten AI in waar het tijd scheelt en het werk beter maakt, zonder de verantwoordelijkheid uit handen te geven. AI stelt voor, een mens beslist.

2. Welke tools we gebruiken

We werken alleen met de zakelijke AI-tools die [bedrijf] heeft afgesproken, bijvoorbeeld [Claude Team, Copilot of ChatGPT Business], met je werkaccount. Nooit met een privéaccount. Een nieuwe tool gebruiken? Vraag het eerst aan [aanspreekpunt].

3. Welke gegevens er wel en niet in mogen

Nooit in een chat: persoonsgegevens van klanten, kandidaten of collega's, zoals namen met contactgegevens, cv's of gespreksverslagen over personen. Ook nooit: wachtwoorden, sleutels en codes. Wel: je eigen teksten, openbare informatie en geanonimiseerde voorbeelden.

4. De mens beslist

Alles wat AI maakt, is een concept. AI verstuurt niets zelf; jij doet de laatste klik. Het beoordelen van mensen, zoals sollicitanten en medewerkers, doe je zelf. AI helpt met teksten en ideeën, niet met het oordeel over mensen.

5. Controleren voordat iets naar buiten gaat

Je gebruikt de controlelijst. Tarieven, cijfers en toezeggingen komen uit ons eigen materiaal. Wat AI niet van jou heeft gekregen, klopt niet zeker. De verantwoordelijkheid blijft bij jou.

6. Eerlijk over AI

Is een tekst of beeld grotendeels door AI gemaakt en is dat voor de ontvanger van belang, dan zeggen we dat.

7. Leren en vragen

Iedereen volgt de korte uitleg over AI bij [bedrijf] en weet wat AI wel en niet kan. Vragen of twijfel? Ga naar [aanspreekpunt]. Gaat er iets mis, meld het dan meteen; daar leren we van.

8. Bijhouden

[Aanspreekpunt] houdt dit beleid bij en kijkt er elk kwartaal naar met het MT. Vastgesteld op [datum].

Veelgemaakte fouten

  • Te lang. Een beleid van veertig pagina's leest niemand. Begin met één A4 en verwijs voor details naar andere stukken.
  • Alleen verbieden. Een beleid dat alles verbiedt, zorgt dat mensen het stiekem doen. Zeg ook wat wel mag, en geef de tools.
  • Geen eigenaar. Zonder aanspreekpunt veroudert het beleid binnen een paar maanden.
  • Niet uitleggen. Een beleid in een map helpt niet. Bespreek het met het team en laat zien hoe het in het echte werk werkt.

Wil je weten hoe jouw organisatie scoort op governance en de zeven andere pijlers? Doe de gratis AI Maturity Scan. Wil je het beleid samen met je MT opstellen als onderdeel van een AI-roadmap, dan is de AI Leadership Masterclass of De Doorlichting daarvoor gemaakt.

Veelgestelde vragen

Is een AI-beleid verplicht?

Er staat geen verplichting in de wet om een document met die naam te hebben. Wel moet je volgens de AI Act zorgen dat je medewerkers voldoende AI-geletterd zijn, en volgens de AVG dat persoonsgegevens goed beschermd zijn. Een kort AI-beleid met uitleg is de meest praktische manier om allebei te regelen.

Hoe lang moet een AI-beleid zijn?

Eén A4 is genoeg om te beginnen. Het belangrijkste is dat iedereen het leest en begrijpt. Details, zoals een lijst met toegestane tools, kun je apart bijhouden.

Wie stelt het AI-beleid vast?

De directie of het MT. Laat één persoon eigenaar zijn die het bijhoudt en vragen beantwoordt, en bespreek het elk kwartaal opnieuw.

Mogen medewerkers ChatGPT of Claude gebruiken?

Ja, als je dat afspreekt en het via zakelijke accounts gaat, waarbij je gegevens niet worden gebruikt om het model te trainen. Leg in je beleid vast welke tools zijn toegestaan en welke gegevens er niet in mogen.

Wat doe je als iemand zich niet aan het AI-beleid houdt?

Begin met uitleg, niet met straf. Vaak weet iemand niet precies wat de afspraak is. Gaat het om een datalek met persoonsgegevens, dan gelden de gewone regels van de AVG, zoals vastleggen en waar nodig melden.

Bronnen