Een AI-beleid opstellen dat je team ook echt leest

Wat moet er sowieso in een AI-beleid staan?

Acht onderdelen: doel en reikwijdte, toegestane tools, gegevens die er nooit in mogen, wie verantwoordelijk is voor de output, een controleplicht, een meldpunt, transparantie naar klanten en registratie van AI-geletterdheid. Samen passen ze op één A4 — meer wordt niet gelezen.

Geen enkele wet verplicht je tot een AI-beleid als apart document. Wat wel verplicht is, ligt verspreid over de AI-verordening, de AVG en de Wet bescherming bedrijfsgeheimen. Een AI-beleid is de plek waar je die losse verplichtingen samenbrengt tot iets dat een medewerker in twee minuten kan lezen — niet een nieuwe wet, maar het bewijs dat je de bestaande wetten hebt vertaald naar je eigen praktijk.

Welke tools staan op de lijst, en wat mag er nooit in?

Eén zakelijke versie van één AI-tool, met een verwerkersovereenkomst — en een korte lijst gegevens die daar onder geen beding in mogen: klantgegevens, personeelsdossiers, financiële cijfers en alles wat onder een geheimhoudingsbeding valt. Meer tools op de lijst betekent meer plekken waar het misgaat.

Welke gegevens precies onder de AVG of de Wet bescherming bedrijfsgeheimen vallen en wanneer een verwerkersovereenkomst verplicht is, staat uitgewerkt in mag je bedrijfsgegevens in ChatGPT zetten. Je beleid hoeft die uitleg niet te herhalen — het hoeft alleen de conclusie te noemen: dit mag, dit mag met overleg, dit mag nooit.

• Toegestane tools: noem het product en de versie met naam. "Onze goedgekeurde AI-tool" is geen instructie, "[productnaam], zakelijke versie" wel.
• Nooit toegestaan: klant- en personeelsgegevens, financiële cijfers vóór publicatie, calculaties en offertes van derden, wachtwoorden en toegangscodes.
• Met overleg: geanonimiseerde casussen en interne processen — akkoord van een leidinggevende volstaat.
• Privé-accounts: verbied ze niet stilzwijgend, verbied ze expliciet en zet het toegestane alternatief er meteen naast.

Die laatste regel is de belangrijkste. Onderzoek van Berenschot laat zien dat meer dan de helft van de organisaties geen richtlijnen heeft voor AI-gebruik door medewerkers, terwijl het gebruik zelf allang gaande is.⁵ Een verbod zonder alternatief verplaatst het gebruik naar een privételefoon, waar je geen zicht meer op hebt.

Wie is verantwoordelijk als een AI-antwoord verkeerd blijkt?

De medewerker die de output gebruikt of verstuurt, niet de tool en niet de leverancier. Leg dat letterlijk zo vast: wie een AI-tekst naar een klant stuurt of een AI-advies opvolgt, tekent ervoor — precies zoals bij een collega die het voor je had opgezocht.

De Autoriteit Persoonsgegevens publiceerde in juli 2026 een handreiking én een praktisch hulpmiddel voor organisaties die generatieve AI willen aanschaffen, implementeren en gebruiken. Dat hulpmiddel is een checklist waarmee je stap voor stap nagaat of je organisatie generatieve AI wil, kan en mag gebruiken — en welke AVG-verplichtingen en technische en organisatorische maatregelen daarbij horen.⁴ Loop die checklist één keer door voordat je je beleid vaststelt; wat eruit komt, is precies de inhoud van de paragraaf over verantwoordelijkheid en controle.

• Feiten en cijfers: altijd nakijken tegen de brondocumenten, nooit vertrouwen op het zelfverzekerde toontje.
• Namen en bedragen: een tweede blik voordat het naar een klant of de boekhouding gaat.
• Alles wat naar buiten gaat: een mens leest het laatste voordat het verzonden wordt — niet steekproefsgewijs, altijd.

Heeft de ondernemingsraad instemmingsrecht op je AI-beleid?

Vaak wel. De Wet op de ondernemingsraden verplicht een ondernemingsraad vanaf 50 werknemers,³ en die raad heeft instemmingsrecht zodra een regeling gaat over verwerking van persoonsgegevens van personeel, of over voorzieningen die geschikt zijn voor controle op aanwezigheid, gedrag of prestaties — en een AI-beleid raakt bijna altijd één van beide.

Artikel 27 lid 1 van de wet noemt dat met zoveel woorden: onderdeel k gaat over de verwerking en bescherming van persoonsgegevens van medewerkers, onderdeel l over voorzieningen gericht op waarneming of controle van aanwezigheid, gedrag of prestaties.³ Een AI-tool die meeschrijft in klantgesprekken, gespreksverslagen samenvat of productiviteit meet, valt onder minstens één van de twee.

1. 1

   Leg het voorstel schriftelijk voor

   Een AI-beleid is een voorgenomen besluit in de zin van de wet — geef de reden en de verwachte gevolgen voor het personeel erbij, niet alleen het document zelf.

2. 2

   Agendeer het in een overlegvergadering

   De OR mag pas beslissen na minstens één keer overleg. Reken op enkele weken tussen voorleggen en besluit, niet op een handtekening dezelfde dag.

3. 3

   Verwerk wat wél of niet werkt op de werkvloer

   De OR kent de praktijk beter dan het management. Vragen over het meldpunt of de toegestane tools komen vaak van hier, en zijn meestal terecht.

4. 4

   Leg de instemming schriftelijk vast

   Neemt de ondernemer het besluit zonder instemming, dan kan de OR het binnen een maand schriftelijk nietig laten verklaren. De wet eist niet met zoveel woorden dat de instemming zélf schriftelijk is, maar leg hem toch vast — een mail met een duidelijk akkoord kost niets en voorkomt dat je later moet bewijzen dat er is ingestemd.

Wat vertel je klanten over AI-gebruik?

Sinds 2 augustus 2026 gelden de transparantieverplichtingen van artikel 50 van de AI-verordening: een chatbot of ander systeem dat rechtstreeks met mensen communiceert, moet kenbaar maken dat het geen mens is, tenzij dat al vanzelfsprekend is.² AI-gegenereerde tekst over onderwerpen van publiek belang moet je als zodanig markeren, tenzij een mens de tekst redactioneel heeft nagekeken en er verantwoordelijkheid voor draagt.

Dat geldt ook voor beeld, audio en video: kunstmatig gegenereerde of bewerkte content moet herkenbaar zijn als zodanig, met uitzondering van evident artistiek, satirisch of fictioneel werk.² De volledige uitleg van wat dat voor jouw klantcontact betekent staat in de transparantieplicht uit de AI-verordening — neem in je beleid alleen de conclusie op die voor jouw kanalen geldt.

• Chatbot op de website: meld het bij het eerste contact, in de interface zelf.
• AI-gegenereerde teksten die je publiceert: vermeld het, tenzij een medewerker de tekst controleerde en ervoor tekent.
• Beeld of video: een zichtbare markering, ook als die klein is.
• Intern gebruik zonder klantcontact: geen meldplicht aan klanten, wel de rest van je beleid.

Hoe zet je de AI-geletterdheidsplicht in het beleid, niet ernaast?

Door het ondertekenmoment van het beleid te combineren met de registratie van artikel 4: iedereen die het beleid krijgt uitgelegd en ondertekent, staat op dezelfde lijst als bewijs van AI-geletterdheid. Geen los trainingsproject, één afvinkmoment.

Artikel 4 van de AI-verordening verplicht aanbieders en gebruiksverantwoordelijken om maatregelen te nemen die de ontwikkeling van AI-geletterdheid bij hun personeel ondersteunen. Sinds de wijziging door de Digital Omnibus op 27 juli 2026 staat er uitdrukkelijk bij dat je géén specifiek niveau van AI-geletterdheid bij een individu hoeft te garanderen — het is een inspanningsverplichting, geen resultaatsverplichting.⁶ Wat dat precies eist, wie eronder valt en waarom er geen vast urenaantal of certificaat bestaat, staat uitgewerkt in AI-geletterdheid is verplicht. Voor je beleid is alleen relevant wat je vastlegt: naam, datum en welke uitleg iemand kreeg.

Behandel dat als één lijst, niet als twee losse dingen. Wie het beleid heeft ondertekend, heeft per definitie ook de uitleg gehad die bij artikel 4 hoort — mits je die uitleg daadwerkelijk geeft voordat er een handtekening onder gaat, en niet andersom.

Hoe voorkom je dat het beleid een dode letter wordt?

Door het te koppelen aan gedrag dat je kunt waarnemen, niet aan het bestaan van een document. Een meldpunt dat daadwerkelijk meldingen krijgt, een tool die van de lijst verdwijnt omdat hij niet werkt, een vaste herzieningsdatum die ook echt in de agenda staat — dat is het verschil tussen beleid en een pdf.

Uit onderzoek van Berenschot blijkt dat slechts 9 procent van de organisaties AI structureel gebruikt op basis van vastgesteld beleid, tegenover ruim de helft die geen richtlijnen heeft.⁵ Het probleem zit zelden bij het schrijven van het beleid — het zit bij het feit dat niemand ernaar terugkeert nadat het is rondgestuurd.

• Goed teken: het meldpunt krijgt meldingen, ook kleine. Stilte daar is zelden een compliment.
• Goed teken: de lijst met toegestane tools is dit jaar al een keer gewijzigd. Tools veranderen sneller dan beleid, dus een ongewijzigde lijst na een jaar is verdacht.
• Waarschuwing: niemand in het team kan zonder na te denken zeggen wat er in het beleid staat.
• Waarschuwing: de herzieningsdatum is verstreken zonder dat iemand het heeft gemerkt.

Leg het beleid ergens neer waar het ook echt wordt teruggevonden, niet op een netwerkschijf die drie klikken verderop ligt. Datzelfde principe geldt voor de rest van je afspraken en procedures — hoe je dat inricht staat in een interne kennisbank maken.