Een AI-beleid voor je medewerkers: welke tools, welke data, wie houdt toezicht
Je medewerkers gebruiken AI al, met of zonder je medeweten. Een kort, helder beleid zorgt dat ze het veilig en op dezelfde manier doen. Deze gids toont wat erin hoort, hoe je het toezicht regelt en geeft een voorbeeldbeleid dat je kan aanpassen aan je bedrijf.
Geen juridisch advies. Dit is een praktische handleiding met een sjabloon. Het vervangt geen advies van een jurist of van je functionaris voor gegevensbescherming. Laat het beleid bij twijfel nakijken, zeker als je met gezondheidsgegevens of personeelsdossiers werkt.
In deze gids
Waarom een AI-beleid?
Het grootste risico zit zelden in een groot AI-project. Het zit in het ongeregelde gebruik: een medewerker die een klantendossier in een gratis chatbot plakt om een samenvatting te krijgen, een tweede die een privéaccount gebruikt omdat dat sneller gaat. Niemand weet dan waar de gegevens terechtkomen.
Daarnaast is er de wet. Artikel 4 van de AI Act vraagt van bedrijven die AI gebruiken dat ze maatregelen nemen om de AI-geletterdheid van hun personeel te ondersteunen, en van andere personen die namens hen met AI werken. Sinds de Digital Omnibus (Verordening (EU) 2026/1744, van kracht sinds 27 juli 2026) moet je geen bepaald niveau per persoon garanderen. Je moet wel kunnen tonen dat je er werk van maakt. Een beleid is daar het logische startpunt van. Alles over die regel lees je in AI-geletterdheid voor KMO's.
Een goed beleid is kort. Eén of twee pagina's die iedereen leest, doen meer dan een dik document dat in een map verdwijnt.
Wat erin hoort
Zeven onderdelen volstaan voor de meeste KMO's:
| Onderdeel | Vraag die het beantwoordt |
|---|---|
| Reikwijdte | Voor wie geldt het? Ook voor freelancers en interimkrachten? |
| Toegelaten tools | Welke AI-tools mogen, met welk type account? |
| Gegevens | Wat mag erin, wat nooit? |
| Controle van output | Wie leest na wat AI schrijft en wie is verantwoordelijk? |
| Klanten en transparantie | Wanneer weten klanten dat ze met AI te maken hebben? |
| Toezicht | Wie houdt het overzicht en beantwoordt vragen? |
| Melden | Wat doe je bij een fout of een vermoeden van een datalek? |
Welke tools mogen?
Begin met een eenvoudig overzicht van wat je team vandaag gebruikt. Vraag ook naar privéaccounts voor het werk, en naar AI-functies die al in je software zitten, zoals in je CRM, je boekhoudpakket of Microsoft 365. Deel de tools daarna in drie groepen:
| Groep | Wat valt eronder | Regel |
|---|---|---|
| Toegelaten | Tools met een zakelijk account en afspraken met de leverancier | Gebruik voor de afgesproken taken en gegevens |
| Onder voorwaarden | Tools die je nog bekijkt, of die enkel veilig zijn voor bepaalde gegevens | Enkel zonder persoonsgegevens, of na goedkeuring van het aanspreekpunt |
| Niet toegelaten | Privéaccounts voor bedrijfsgegevens, onbekende tools en browserextensies | Niet gebruiken voor het werk |
Controleer per tool de actuele voorwaarden. Zakelijke versies en API's bieden doorgaans betere garanties dan consumentenversies, bijvoorbeeld over het al dan niet gebruiken van je gegevens voor training. Die voorwaarden veranderen geregeld. Meer vragen voor je leveranciers vind je in AI en GDPR voor KMO's. Twijfel je tussen tools, lees dan AI-tools kiezen. Gebruik je Microsoft 365, lees dan ook onze gids over Microsoft Copilot voor KMO's.
Welke data mag erin?
Dit is het onderdeel waar medewerkers het meest aan hebben. Een verkeerslicht werkt goed, omdat het zonder nadenken te onthouden is:
| Kleur | Voorbeelden | Regel |
|---|---|---|
| Groen | Openbare informatie, eigen teksten zonder namen, algemene vragen | Vrij te gebruiken in toegelaten tools |
| Oranje | Interne documenten, offertes, prijslijsten, procedures | Enkel in goedgekeurde tools |
| Rood | Persoonsgegevens van klanten, patiënten of collega's, gezondheidsgegevens, sollicitaties, vertrouwelijke contracten, wachtwoorden en sleutels | Niet in tools die daarvoor niet uitdrukkelijk zijn goedgekeurd |
Verwijder of vervang namen en identificerende gegevens waar het kan, vooraleer je iets in een AI-tool plakt. Voor bijzondere categorieën, zoals gezondheidsgegevens, zijn bijkomende waarborgen nodig. Vraag daarvoor vooraf juridisch advies.
Controle, verantwoordelijkheid en klanten
- Lees na wat AI schrijft. Wie AI-output naar een klant stuurt, heeft ze gelezen en is er verantwoordelijk voor. Taalmodellen kunnen overtuigend klinken en toch fout zijn.
- Een mens beslist over mensen. Beslissingen met gevolgen voor een persoon, zoals een sollicitant afwijzen of een klant weigeren, neemt nooit enkel AI.
- Geen emoties van collega's afleiden. De AI Act verbiedt in artikel 5 het gebruik van AI om emoties van personen af te leiden op de werkplek, behalve om medische of veiligheidsredenen.
- Voorzichtig met personeelsbeslissingen. AI voor werving en selectie valt onder de hoog-risicocategorie van de AI Act. De Digital Omnibus schoof de toepassing van die verplichtingen op naar 2 december 2027. Dat is uitstel, geen vrijbrief: de GDPR geldt nu al.
- Zeg klanten dat ze met AI praten. Zet je een chatbot of digitale collega in voor klantcontact, stel hem dan voor als AI en laat de klant een mens vragen. Zie de uitleg over transparantie en onze digitale collega's.
Wie houdt toezicht?
Een beleid zonder eigenaar vergeet iedereen na een maand. Wijs daarom rollen aan, ook als één persoon er meerdere draagt:
| Rol | Taak |
|---|---|
| Zaakvoerder of directie | Keurt het beleid goed en beslist over toepassingen met meer risico |
| AI-aanspreekpunt | Houdt het overzicht van tools bij, beantwoordt vragen, beoordeelt nieuwe tools en verzamelt meldingen |
| Teamleiders | Zien erop toe dat het team de afspraken volgt |
| Alle medewerkers | Volgen het beleid en melden fouten of twijfels |
| IT of externe leverancier | Beheert accounts, rechten en instellingen |
In een KMO is het AI-aanspreekpunt vaak de zaakvoerder of de kantoorverantwoordelijke. Laat die persoon een eenvoudig register bijhouden: tool, doel, gebruikers, soort gegevens en datum van het laatste nazicht. Herbekijk het beleid bij een nieuwe tool, een nieuwe medewerker of een nieuwe toepassing. Een vast jaarlijks nazicht is een redelijke extra afspraak, maar de wet legt geen frequentie op.
Spreek ook af wat je doet bij een incident. Bij een datalek met persoonsgegevens moet de verwerkingsverantwoordelijke de toezichthouder in principe binnen 72 uur na kennisname verwittigen (artikel 33 GDPR), tenzij het onwaarschijnlijk is dat het een risico voor personen inhoudt. Medewerkers moeten een vermoeden daarom meteen melden aan het aanspreekpunt en niet een week laten liggen.
Voorbeeldbeleid (sjabloon)
Hieronder een tekst die je kan overnemen en aanpassen. Alles tussen [haakjes] vul je zelf in. Schrap wat niet past en laat het beleid niet langer worden dan twee pagina's.
AI-beleid van [bedrijfsnaam]
Versie: [datum] · Eigenaar: [naam en functie]
1. Doel en reikwijdte
Dit beleid zegt hoe we bij [bedrijfsnaam] veilig en verantwoord met AI werken. Het geldt voor alle medewerkers, en voor freelancers, interimkrachten en externen die namens ons met AI-tools werken.
2. Toegelaten tools
- Toegelaten: [lijst van tools], enkel met het zakelijke account van [bedrijfsnaam].
- Onder voorwaarden: [lijst], enkel zonder persoonsgegevens of na goedkeuring van het AI-aanspreekpunt.
- Niet toegelaten: privéaccounts voor werkgegevens en tools die niet in deze lijst staan.
- Wil je een nieuwe tool gebruiken? Vraag het eerst aan [naam aanspreekpunt].
3. Gegevens
- Groen (vrij): openbare informatie en teksten zonder namen of vertrouwelijke gegevens.
- Oranje (enkel in toegelaten tools): [interne documenten, offertes, prijslijsten].
- Rood (nooit in niet-goedgekeurde tools): persoonsgegevens van klanten, patiënten en collega's, gezondheidsgegevens, sollicitaties, vertrouwelijke contracten, wachtwoorden en sleutels.
- Verwijder of vervang namen en identificerende gegevens waar het kan.
4. Controle van output
- AI-output is een voorstel. Je leest ze na voor je ze gebruikt of doorstuurt.
- Wie iets naar een klant of partner stuurt, blijft verantwoordelijk, ook als AI het schreef.
- Beslissingen over personen, zoals aanwerving, evaluatie of weigering van een klant, neemt altijd een mens.
- We gebruiken geen AI om emoties van collega's af te leiden.
5. Klanten
- Een chatbot, voice agent of digitale collega stelt zich voor als AI.
- Een klant kan altijd vragen om een medewerker te spreken.
- [Bedrijfsnaam] vermeldt het gebruik van AI in de privacyverklaring wanneer persoonsgegevens verwerkt worden.
6. Toezicht
- [Naam] is het AI-aanspreekpunt. Je kan bij hem of haar terecht met vragen over tools en gegevens.
- Het aanspreekpunt houdt een register bij van gebruikte AI-tools en bekijkt het beleid bij elke nieuwe tool, nieuwe medewerker of nieuwe toepassing, en minstens [elk jaar].
7. Melden
- Heb je een fout gemaakt of vermoed je dat er gegevens op een verkeerde plaats terechtkwamen? Meld het meteen aan [naam] op [e-mailadres of telefoon]. Melden is geen probleem, zwijgen wel.
8. Opleiding
- Nieuwe medewerkers krijgen een uitleg over dit beleid. We organiseren [een opleiding of oefendag] voor het team en houden bij wie er deelnam.
Zo voer je het in
Inventariseer
Welke tools gebruikt het team, voor welke taken en met welke gegevens? Vraag het ook rechtstreeks aan de medewerkers.
Een namiddagSchrijf en bespreek
Pas het sjabloon aan en bespreek het met het team. Wat onhaalbaar is, haal je er beter uit dan het te negeren.
Een halve dagLaat het team oefenen
Een beleid werkt pas als mensen het toepassen. Oefen met echte taken en laat zien waar AI de mist ingaat. Onze AI-School geeft in-company opleidingen van één dag.
Een dagHoud het levend
Het aanspreekpunt bewaart het register en bekijkt het beleid bij elke wijziging.
Doorlopend
Wil je weten waar AI in je bedrijf het meeste oplevert en hoe het beleid past in een groter plan, lees dan een AI-strategie voor je KMO in vijf stappen of kijk naar de AI-procesaudit.
Veelgestelde vragen
Is een AI-beleid verplicht?
De wet vraagt geen document met die naam. Artikel 4 van de AI Act vraagt wel dat je maatregelen neemt om de AI-geletterdheid van je mensen te ondersteunen. Een beleid, een opleiding en een aanspreekpunt zijn de gebruikelijke manier om dat te doen en aan te tonen.
Hoe lang moet een AI-beleid zijn?
Eén of twee pagina's. Wat korter is, wordt vaker gelezen en toegepast.
Mogen medewerkers hun privéaccount voor ChatGPT of Claude gebruiken?
Voor bedrijfsgegevens raden we dat af. Met een zakelijk account heb je meer zicht en betere contractuele afspraken. Beslis dit in je beleid en leg uit waarom.
Geldt het beleid ook voor freelancers?
De AI Act spreekt over je personeel en over andere personen die namens jou met AI werken. Neem externen daarom op in de reikwijdte, bijvoorbeeld door het beleid mee te sturen bij de opdracht.
Wat als medewerkers het beleid negeren?
Bekijk eerst waarom. Vaak is een toegelaten tool te omslachtig of ontbreekt er een goed alternatief. Pas het beleid aan, en bespreek het gebruik met het team in plaats van enkel te verbieden.
Bronnen
- Verordening (EU) 2026/1744 (Digital Omnibus on AI): nieuwe tekst van artikel 4 en uitstel van de hoog-risicoverplichtingen (Annex III) naar 2 december 2027, EUR-Lex. Geraadpleegd op 17 oktober 2026.
- Verordening (EU) 2024/1689 (AI Act): artikel 5, lid 1, punt f, over het afleiden van emoties op de werkplek, EUR-Lex. Geraadpleegd op 17 oktober 2026.
- Verordening (EU) 2016/679 (GDPR): artikel 33, melding van een datalek binnen 72 uur, EUR-Lex. Geraadpleegd op 17 oktober 2026.
- Artificiële intelligentie en de AVG, Gegevensbeschermingsautoriteit. Geraadpleegd op 17 oktober 2026.
Bespreek waar AI in jouw bedrijf iets oplevert
Een vrijblijvend gesprek van 30 minuten met Jan Schevenels. Je vertelt hoe je vandaag werkt, je hoort eerlijk waar AI zinvol is en wat een logische eerste stap is.