AI-beleid opstellen: wat erin moet en wat je kunt laten

Waarom moet je nu een AI-beleid opstellen?

Omdat je mensen AI waarschijnlijk al gebruiken, en zonder afspraken weet niemand welke gegevens er in welke tool terechtkomen. Dat geldt voor een team van vijftien net zo goed als voor een organisatie met duizenden medewerkers.

De Autoriteit Persoonsgegevens (6 augustus 2024) kreeg meerdere meldingen van datalekken doordat medewerkers persoonsgegevens van klanten of patiënten in een AI-chatbot zetten. De AP is daarin duidelijk: gebeurt dat tegen de afspraken met de werkgever in, dan is het een datalek. Staat de organisatie het toe, dan is het geen datalek, maar vaak ook niet wettelijk toegestaan. De AP raadt daarom aan om afspraken te maken over welke tools mogen en welke gegevens er wel en niet in mogen.

Hoe snel het gaat, liet de gemeente Eindhoven (18 december 2025) zien. In een steekproef van 30 dagen bleken bestanden met persoonsgegevens van inwoners en medewerkers naar openbare AI-websites te zijn gestuurd, waaronder Jeugdwetdocumenten en cv’s. Volgens Tweakers (19 december 2025) ging het in die periode om 2.368 geüploade bestanden. De gemeente blokkeerde openbare AI-websites, liet medewerkers alleen nog Copilot binnen de eigen omgeving gebruiken en stelde een AI-gedragscode vast.

Het punt is niet dat medewerkers kwaadwillig zijn. Het punt is dat niemand ze had verteld waar de grens lag. Dat is wat een AI-beleid oplost.

Is een AI-beleid verplicht onder de EU AI Act?

Nee, de EU AI Act schrijft geen document voor dat AI-beleid heet, maar je moet wel aantoonbaar maatregelen nemen voor AI-geletterdheid, en een kort beleid is daar de eenvoudigste basis voor. Dit is mijn praktische lezing, geen juridisch advies.

Artikel 4 van de AI-verordening (Verordening (EU) 2024/1689, 13 juni 2024) geldt sinds 2 februari 2025. Door de AI-omnibus (Verordening (EU) 2026/1744, 8 juli 2026), die volgens de Europese Commissie (27 juli 2026) op 27 juli 2026 in werking trad, is dat artikel aangepast: je neemt maatregelen om de AI-geletterdheid van je mensen te ondersteunen, afgestemd op hun kennis en de context waarin ze AI gebruiken. Een vast niveau per persoon is niet meer voorgeschreven. Volgens de Q&A over AI-geletterdheid van de Europese Commissie (bijgewerkt 20 oktober 2026) is er geen certificaat nodig en volstaat een interne registratie van trainingen en andere initiatieven. Toezicht en handhaving lopen vanaf 2 augustus 2026.

Daarnaast gelden sinds 2 augustus 2026 de transparantieregels van artikel 50 bij de AI Act Service Desk (stand 27 juli 2026): wie met een AI-systeem praat, moet dat weten, tenzij het overduidelijk is. De regels voor hoog-risico AI uit bijlage III, zoals AI bij werving en selectie, gelden na de omnibus pas vanaf 2 december 2027. En los van de AI Act vraagt artikel 24 van de AVG (Verordening (EU) 2016/679) passende maatregelen voor persoonsgegevens, en waar dat in verhouding staat ook een passend gegevensbeschermingsbeleid.

Wil je weten welke van deze regels voor jouw toepassingen gelden, dan is dat precies waar de EU AI Act Quick Scan voor is. Een bredere uitleg staat in wat je echt moet doen voor de EU AI Act.

Wat moet er in een AI-beleid?

Een AI-beleid moet vastleggen welke tools mogen, welke data er nooit in gaat, wie de uitkomst controleert, hoe je klanten informeert, wie eigenaar is, hoe je een incident meldt en wanneer je het herziet. Meer is voor een eerste versie zelden nodig.

1. Doel en reikwijdte. Voor wie geldt het, en welke AI valt eronder? Vergeet de AI-functies in software die je al gebruikt niet, zoals je CRM, mail of boekhouding.
2. Toegestane tools. Alleen tools uit het AI-register met de status “toegestaan”, met zakelijke accounts. Geen privéaccounts voor werk.
3. Data die er nooit in mag. Maak het concreet: wachtwoorden, BSN, medische gegevens, vertrouwelijke contracten, en klantgegevens in tools zonder verwerkersovereenkomst.
4. Controle van de uitkomst. Wie AI gebruikt, controleert de uitkomst voordat die naar een klant of collega gaat. Spreek per type werk af hoe streng.
5. Transparantie. Hoe vertel je klanten dat ze met een chatbot praten of dat een tekst met AI is gemaakt?
6. Eigenaar en nieuwe tools. Eén naam die vragen beantwoordt en nieuwe tools goedkeurt, met een vaste reactietermijn.
7. Incidenten en herziening. Waar meld je het als er iets misgaat, binnen welke termijn, en wanneer wordt het beleid opnieuw bekeken?

Dit zijn dezelfde onderdelen als in de invulbare template in de starterkit onderaan dit stuk. Je hoeft dus niet bij een leeg vel te beginnen.

Hoe lang moet een AI-beleid zijn?

De regels zelf passen op één A4; alles wat vaker verandert, zoals het overzicht van tools en de trainingsregistratie, zet je in bijlagen. Zo blijft het beleid stabiel terwijl de tools wisselen.

In een eerder stuk schreef ik dat een werkend AI-beleid twee tot vier pagina’s is. Dat klopt nog steeds als je de bijlagen meetelt: het AI-register, een tabel met AI-geletterdheid per rol en eventueel een uitwerking per afdeling. De kern, de afspraken waar iedereen zich aan houdt, moet op één pagina passen. Dat lees je terug in je team gebruikt al AI, jij hebt alleen nog geen afspraak.

Voor grotere organisaties werkt dezelfde opbouw. Eén centraal A4 voor de hele organisatie, met per afdeling een korte aanvulling waar het werk echt anders is, bijvoorbeeld bij HR of klantenservice. Een tweede, langer beleid voor de afdeling Juridische Zaken maakt het voor de rest alleen onduidelijker.

Wat kun je beter weglaten?

Laat alles weg wat niemand helpt een beslissing te nemen: herhaalde wetteksten, toolnamen in de beleidstekst, vage woorden zonder voorbeeld en verplichtingen die de wet niet stelt. Elke regel die je schrapt, maakt de rest beter leesbaar.

• De wettekst. Eén zin dat verboden AI-praktijken niet mogen is genoeg. De volledige lijst uit artikel 5 overschrijven helpt niemand.
• Toolnamen in het beleid zelf. Die veranderen elk kwartaal. Zet ze in het AI-register en verwijs ernaar.
• Een verplichte AI-officer of AI-board. Volgens dezelfde Q&A van de Europese Commissie schrijft artikel 4 geen specifieke governancestructuur voor. Een eigenaar is genoeg om te beginnen.
• “Verantwoord gebruik” zonder voorbeeld. Niemand weet wat dat betekent bij een klantmail. Schrijf liever “geen klantnamen in de gratis versie van een chatbot”.
• Een totaalverbod zonder alternatief. Dan gaat het gebruik ondergronds. Eindhoven blokkeerde openbare tools, maar gaf medewerkers wel een goedgekeurd alternatief.

Hoe stel je een AI-beleid op?

Begin met een inventaris, schrijf daarna pas het A4, bespreek het met de mensen die ermee moeten werken en leg vast wie welke uitleg heeft gehad. Wie omgekeerd begint, schrijft regels voor tools die niemand gebruikt.

1. Inventariseer. Vraag elk team welke AI-tools het gebruikt, ook gratis tools, privéaccounts en AI in bestaande software.
2. Vul het AI-register. Per tool één regel: doel, gebruikers, welke data erin gaat, eigenaar en een eerste risico-inschatting.
3. Schrijf het concept-A4. Gebruik de zeven onderdelen hierboven en vul ze in met jullie eigen voorbeelden.
4. Bespreek het in een teamoverleg. Vraag waar de regels in de praktijk wringen. Pas daarna vaststellen.
5. Regel de randvoorwaarden. Zakelijke accounts, modeltraining uit waar dat kan en een verwerkersovereenkomst met de leverancier als er persoonsgegevens in gaan.
6. Leg AI-geletterdheid per rol vast. Wie heeft welke uitleg of training gehad, met datum. Een simpele tabel is genoeg.
7. Plan de herziening. Elke zes of twaalf maanden, en eerder bij een nieuwe tool of een incident.

Voor een B.V. met een binnendienst is er ook een kant-en-klare variant: het AI-beleid template voor B.V.’s met een binnendienst, met een checklist en vijf automatiseringen erbij.

Hoe zorg je dat het beleid ook gebruikt wordt?

Een AI-beleid wordt gebruikt als er een eigenaar is die vragen snel beantwoordt, als nieuwe tools een kort aanvraagpad hebben en als mensen weten waarom de regels er zijn. Een PDF op het intranet doet dat niet vanzelf.

Ik zie vaak een goedgekeurd beleid dat niemand kan toepassen omdat er geen naam bij staat voor twijfelgevallen. Dan doen mensen het zelf. Waarom dat misgaat, beschreef ik in een AI-policy in SharePoint is nog geen governance.

Koppel het beleid daarom aan uitleg. Korte trainingen per rol, op het eigen werk, werken beter dan één algemene sessie, en ze vullen meteen je registratie voor artikel 4. Meer daarover staat in wat artikel 4 vraagt van je AI-training. En meet na drie maanden: welke vragen kwamen er binnen, welke tools zijn aangevraagd, welke regel werd het vaakst overtreden? Dat is je input voor versie twee.

Veelgestelde vragen