AI-beleid opstellen: 7 eenvoudige stappen tegen het grootste risico

Wil je AI-beleid opstellen, maar weet je niet waar je moet beginnen? Je collega plakt een klantmail in ChatGPT, een ander uploadt een offerte naar een gratis tool, en niemand weet wat mag. Met een korte set afspraken los je dat in een middag op.

Waarom moet je AI-beleid opstellen?

Omdat medewerkers AI al gebruiken, met of zonder jouw toestemming. Zonder afspraken weet niemand waar de grens ligt, en dat levert fouten en datalekken op.

De Autoriteit Persoonsgegevens (AP, de Nederlandse privacytoezichthouder) meldde tientallen datalekken doordat medewerkers persoonsgegevens naar AI-chatbots uploadden. Een datalek is elk moment waarop persoonsgegevens bij de verkeerde partij terechtkomen.

Er speelt nog iets. Sinds 2 februari 2025 verplicht de Europese AI-verordening organisaties die AI inzetten om werk te maken van AI-geletterdheid. Dat betekent dat medewerkers genoeg kennis moeten hebben om AI verantwoord te gebruiken. Een duidelijk beleid helpt daarbij. Dit is geen juridisch advies; check bij twijfel een specialist.

Er is ook een positieve reden. Met duidelijke afspraken durven mensen AI juist wél te gebruiken. Ze weten dan wat veilig is, en je team bespaart tijd op teksten, samenvattingen en voorbereiding, zonder dat je bang hoeft te zijn voor onnodige risico’s.

Wat staat er in goed AI-beleid?

Goed AI-beleid is kort en beantwoordt vier vragen: welke tools, welke gegevens, welke taken en wie is verantwoordelijk. Hoe korter, hoe groter de kans dat iemand het leest.

• Toegestane tools: noem bij naam wat je mag gebruiken, bijvoorbeeld de zakelijke versie van Copilot of ChatGPT.
• Verboden gegevens: klantnamen, medische gegevens, wachtwoorden, contracten en alles wat vertrouwelijk is.
• Controleplicht: elke tekst, berekening of bron van AI check je zelf voordat je hem deelt.
• Openheid: je meldt aan je leidinggevende of klant wanneer AI een belangrijk deel van het werk deed.
• Aanspreekpunt: één persoon die vragen beantwoordt en nieuwe tools beoordeelt.

Houd de taal eenvoudig. Schrijf zinnen als: je plakt nooit een klantnaam in een gratis chatbot. Vermijd juridisch jargon, want je wilt dat een stagiair het in één keer snapt.

Hoe ga je AI-beleid opstellen in 7 stappen?

Je kunt je AI-beleid opstellen in zeven stappen, zonder jurist of ICT-afdeling. Reken op een paar uur voor de eerste versie.

1. Inventariseer wat al gebeurt. Vraag je team anoniem welke AI-tools ze gebruiken en waarvoor. Je vindt vaak verrassingen.
2. Kies de toegestane tools. Liever twee goede zakelijke tools dan tien gratis varianten waar je geen zicht op hebt.
3. Maak een rode lijst. Schrijf op welke gegevens nooit in een chatbot mogen. Zie ook onze 7 regels voor veilig AI gebruiken.
4. Maak een groene lijst. Noem taken waarvoor AI prima is, zoals een concept schrijven, samenvatten of brainstormen.
5. Leg de controle vast. Een mens leest alles na dat naar buiten gaat.
6. Geef training. Een uur uitleg met echte voorbeelden werkt beter dan een pdf.
7. Plan een evaluatie. Zet een datum in de agenda, bijvoorbeeld over zes maanden.

Ben je zelf nog aan het begin met AI op de werkvloer? Lees dan eerst hoe je veilig en slim met AI op je werk begint.

Een praktisch voorbeeld bij stap één: stuur een korte anonieme vragenlijst met drie vragen. Welke AI-tool gebruik je? Waarvoor? Welke gegevens stop je erin? Je krijgt binnen een dag een eerlijk beeld, en je kunt je rode lijst direct baseren op wat echt gebeurt.

Wat is het verschil tussen een rode en groene lijst voor AI?

De groene lijst zegt wat mag en de rode lijst wat nooit mag. Samen vormen ze de kern van elk AI-beleid, omdat mensen in drukke momenten snel willen weten waar ze aan toe zijn.

Situatie	Groen of rood?	Waarom
Een algemene nieuwsbrief laten schrijven	Groen	Geen gevoelige gegevens nodig
Een vergadering van het team samenvatten	Afhankelijk	Alleen met een goedgekeurde tool en zonder gevoelige inhoud
Een klantdossier uploaden	Rood	Persoonsgegevens horen niet in een gratis chatbot
Een eigen werkprompt verbeteren	Groen	Je deelt geen bedrijfsgeheimen
Een personeelsbeoordeling laten schrijven	Rood	Gevoelig en mogelijk risicovol onder de AI-verordening

Over vergaderingen schreven we al een aparte gids: vergadering samenvatten met AI. Kijk daar naar de privacytips voordat je iets groen noemt.

Zit een situatie er niet tussen? Geef je team dan een simpele vuistregel: zou je dit ook op een ansichtkaart durven schrijven? Zo nee, dan hoort het niet in een gratis chatbot. Voeg die regel onderaan je beleid toe als vangnet voor alles wat je niet had voorzien.

Wat is een slimme tip bij AI-beleid opstellen die bijna niemand doet?

Bij het AI-beleid opstellen geldt: schrijf bij elke regel een voorbeeld van een echte situatie uit je eigen bedrijf. Een regel als bescherm klantgegevens is vaag, maar een voorbeeld met een klantmail en een gratis chatbot blijft hangen.

Een tweede tip: maak een kleine voorbeeldmap met goede prompts (de opdrachten die je aan AI geeft). Zo gebruikt iedereen dezelfde veilige aanpak. Begin eventueel met onze 25 handige prompts voor je werk en haal er alles uit wat persoonsgegevens vraagt.

Een derde tip: beloon meldingen. Als iemand zegt dat hij per ongeluk iets heeft geplakt, kun je snel handelen. Bij een datalek met persoonsgegevens kan een meldplicht gelden bij de AP, dus snelheid telt.

Welke fouten maak je vaak bij AI-beleid opstellen?

Bij het AI-beleid opstellen zijn de grootste fouten: te lang schrijven, alles verbieden en het daarna nooit meer aanpassen. Alle drie leiden ertoe dat het beleid in de la verdwijnt.

• Een beleid van twintig pagina’s. Niemand leest dat. Houd het bij één tot twee pagina’s.
• Alles verbieden. Dan gebruiken mensen AI stiekem op hun telefoon, en heb je minder zicht dan eerst.
• Geen eigenaar. Zonder aanspreekpunt blijven vragen liggen.
• Vergeten bij te werken. AI-tools veranderen snel. Voorwaarden en functies kunnen na een update anders zijn.
• Geen aandacht voor fouten. AI kan zelfverzekerd onzin vertellen. Zonder controle komt dat bij klanten terecht.

Ook kosten tellen mee. Zakelijke abonnementen kosten geld per gebruiker; kijk voor actuele prijzen bij de aanbieder en reken uit of het past in je budget.

Wie is verantwoordelijk bij AI-beleid opstellen?

Eén persoon is eindverantwoordelijk, maar iedereen is verantwoordelijk voor zijn eigen gebruik. Zet dat letterlijk in je beleid, zodat niemand later kan zeggen dat het de taak van een ander was.

In een klein bedrijf is dat vaak de eigenaar of kantoormanager. In een grotere organisatie kan het iemand van ICT, privacy of HR zijn. Belangrijker dan de functie is dat mensen weten wie ze kunnen bellen. Noem dus een naam en een e-mailadres.

Leg ook vast wat het aanspreekpunt doet. Bijvoorbeeld: nieuwe tools beoordelen voordat ze worden gebruikt, vragen beantwoorden, meldingen van fouten verzamelen en het beleid elk half jaar laten bekijken. Dat is niet veel werk, maar het voorkomt dat beslissingen blijven liggen.

Gebruikt je team AI ook voor beslissingen over mensen, zoals sollicitanten of beoordelingen? Wees dan extra voorzichtig. Zulke toepassingen kunnen onder strengere regels van de AI-verordening vallen. Laat dit toetsen door een specialist en gebruik AI hier hooguit als hulpmiddel, nooit als enige beslisser.

Hoe maak je van AI-beleid opstellen een succes in je team?

Je team gebruikt je afspraken alleen als ze ze begrijpen en nuttig vinden. Betrek mensen dus vanaf het begin bij het AI-beleid opstellen.

Vraag collega’s welke taken ze graag door AI willen laten doen. Zo krijg je draagvlak en vind je ook de risico’s die jij zelf niet ziet. Een medewerker bij klantcontact ziet andere gevaren dan iemand op de administratie.

Bespreek het beleid kort in een teamoverleg en herhaal de belangrijkste regels na een maand. Deel ook een voorbeeld van wat goed ging, zodat AI niet alleen als gevaar voelt.

Een voorbeeld: AI-beleid opstellen voor een klein team

Stel, je bent kantoormanager bij een boekhoudkantoor met acht medewerkers. Je kiest één zakelijke AI-tool, verbiedt het uploaden van klantbestanden en spreekt af dat elke klantmail door een mens wordt gelezen.

Je zet de regels op één pagina en bespreekt ze in een teamoverleg van een half uur. Iedereen noemt een taak waarbij AI helpt. Zo wordt het geen verbod, maar een hulpmiddel met duidelijke grenzen.

Na drie maanden vraag je het team wat werkt en wat niet. Misschien blijkt dat een medewerker een handige tool gebruikt die nog niet op de lijst staat. Je beoordeelt die samen met het aanspreekpunt en voegt hem toe, of legt uit waarom niet. Zo blijft het beleid levend.

Zzp’er of eigen bedrijf? Dan werkt AI-beleid opstellen vooral als spiekbriefje voor jezelf en eventuele inhuurkrachten. Meer startadvies vind je in 5 eerste stappen met AI voor zzp en mkb.

Let op: de uitkomst is een concept. Laat het lezen door iemand met verstand van privacy, en pas het aan op jouw situatie.

Veelgestelde vragen

Moet ik als bedrijf verplicht AI-beleid opstellen?

Een apart AI-beleidsdocument is niet als zodanig verplicht. Wel verplicht de AI-verordening sinds 2 februari 2025 organisaties om te zorgen voor voldoende AI-geletterdheid. Een beleid is een praktische manier om dat te regelen.

Hoe lang moet AI-beleid zijn?

Een tot twee pagina’s is genoeg voor de meeste teams. Kort beleid wordt gelezen en gebruikt, lang beleid niet.

Mogen medewerkers gratis AI-tools gebruiken?

Dat bepaal jij in je beleid. Houd er rekening mee dat gratis varianten andere voorwaarden kunnen hebben dan zakelijke versies. Lees de voorwaarden van de aanbieder en voer nooit persoonsgegevens in zonder goede afspraken.

Hoe vaak pas je AI-beleid aan?

Plan minstens een keer per half jaar een korte evaluatie. Pas het ook aan als je een nieuwe tool introduceert of als de regels veranderen.

Je volgende stap bij AI-beleid opstellen: neem het stappenplan door en schrijf vandaag je rode lijst. Wil je het ook voor je team begrijpelijk maken? Lees dan AI-geletterdheid voor ondernemers.

• AI Act
• Copilot
• Privacy