Hoe maak je een AI-beleid dat medewerkers daadwerkelijk kunnen toepassen?

Een AI-beleid dat medewerkers daadwerkelijk kunnen toepassen, bestaat uit korte, concrete werkafspraken. Leg vast welke AI-tools zijn toegestaan, welke gegevens medewerkers mogen invoeren, wanneer menselijke controle verplicht is en bij wie ze terechtkunnen met vragen. Maak de belangrijkste regels zichtbaar op één pagina, met herkenbare voorbeelden uit het dagelijkse werk. Een stoplichtmodel helpt medewerkers snel bepalen wat wel en niet mag.

Begin niet met een uitgebreid juridisch document, maar met de situaties waarin medewerkers AI daadwerkelijk gebruiken. Denk aan het samenvatten van teksten, voorbereiden van e-mails, analyseren van documenten en opstellen van rapportages. Beschrijf per toepassing wat is toegestaan, welke risico's bestaan en wie verantwoordelijk blijft. Laat het beleid juridisch toetsen, maar zorg dat medewerkers de dagelijkse regels zonder juridische kennis kunnen begrijpen.

Waarom een lang AI-beleid meestal niet werkt

Veel organisaties behandelen AI-beleid als een traditioneel compliance-document. Het bevat definities, verwijzingen naar wetgeving, uitgebreide verantwoordelijkheden en algemene verplichtingen. Juridisch kan zo'n document nuttig zijn, maar als dagelijkse werkinstructie schiet het vaak tekort.

Medewerkers hebben meestal een praktische vraag: mag ik dit document in een AI-assistent plakken? Mag ik een gegenereerde tekst rechtstreeks versturen? Kan ik een nieuwe AI-tool gebruiken?

Als het antwoord ergens in een lang beleidsdocument verborgen staat, ontstaat onzekerheid. Sommige medewerkers gebruiken AI dan helemaal niet. Anderen gaan zelfstandig experimenteren, buiten de afgesproken werkwijze.

Een bruikbaar beleid geeft op dit soort vragen direct antwoord. Bewaar de juridische onderbouwing eventueel in een afzonderlijke bijlage. De dagelijkse instructie blijft kort en toegankelijk.

Begin met doel en reikwijdte

Beschrijf eerst waarom de organisatie AI gebruikt. Bijvoorbeeld om administratief werk te ondersteunen, teksten voor te bereiden of interne kennis toegankelijker te maken.

Leg vervolgens vast voor wie het beleid geldt. Denk aan werknemers, tijdelijke krachten en externe medewerkers die toegang hebben tot bedrijfsinformatie.

Bepaal ook wat onder het beleid valt. Dat zijn niet alleen losse chatbots, maar bijvoorbeeld AI-functies in kantoorsoftware, automatische transcriptietools, programmeerassistenten en agents die zelfstandig handelingen uitvoeren.

Maak duidelijk dat het beleid geldt ongeacht of medewerkers een gratis account, een betaald abonnement of een ingebouwde AI-functie gebruiken.

Welke AI-tools mogen medewerkers gebruiken?

Een algemene regel zoals 'gebruik alleen veilige AI' is onvoldoende. Medewerkers kunnen niet zelfstandig beoordelen welke leveranciers aan de beveiligings- en privacyvereisten van hun organisatie voldoen.

Maak daarom een actuele lijst met toegestane toepassingen. Vermeld per tool waarvoor deze gebruikt mag worden en onder welke voorwaarden. Bijvoorbeeld: een goedgekeurde tekstassistent mag openbare teksten samenvatten en concepten opstellen. Een interne AI-assistent mag uitsluitend binnen de vastgestelde toegangsrechten bedrijfsdocumenten verwerken. Een programmeerassistent mag alleen worden gebruikt binnen goedgekeurde ontwikkelomgevingen. Niet-goedgekeurde tools mogen geen bedrijfsinformatie ontvangen.

Een goedgekeurde tool betekent overigens niet dat alle gegevens erin mogen worden ingevoerd. De specifieke toepassing en de gemaakte afspraken blijven bepalend.

Gebruik een stoplichtmodel voor gegevens

Een stoplichtmodel maakt de regels concreet. Koppel de kleuren aan herkenbare gegevens en werkzaamheden.

Groen: toegestaan binnen de afgesproken toepassingen. Voorbeelden zijn openbare webteksten, algemene productinformatie en zelfgeschreven voorbeelden zonder persoonsgegevens of vertrouwelijke informatie. Deze gegevens mogen naar goedgekeurde AI-tools, mits het beoogde gebruik is toegestaan.

Oranje: alleen onder vastgestelde voorwaarden. Denk aan interne procesbeschrijvingen, niet-openbare rapportages, conceptoffertes en zakelijke documenten die mogelijk vertrouwelijke informatie bevatten. Controleer of de gebruikte tool voor deze gegevenscategorie is goedgekeurd. Vraag bij twijfel toestemming aan de verantwoordelijke.

Rood: niet invoeren in algemene AI-tools. Voorbeelden zijn wachtwoorden, API-sleutels, medische gegevens, personeelsdossiers, identiteitsdocumenten en vertrouwelijke klantdossiers. Deze gegevens mogen niet in algemene AI-tools worden ingevoerd. Verwerking in een specifiek goedgekeurde, afgeschermde AI-omgeving kan uitsluitend wanneer dit uitdrukkelijk is toegestaan en passende waarborgen zijn vastgesteld.

Leg ook uit dat anonimiseren meer betekent dan alleen een naam verwijderen. Context kan personen of organisaties alsnog herkenbaar maken.

Wanneer moet een mens controleren?

Niet iedere AI-uitkomst vereist dezelfde controle. Een concept voor een interne brainstorm heeft andere gevolgen dan een juridisch relevante brief of een beslissing over een medewerker.

Bepaal daarom welke resultaten altijd menselijke beoordeling vereisen. Denk aan externe communicatie met feitelijke claims, financiële informatie, contractuele teksten, personeelsbeslissingen en adviezen waarop klanten kunnen vertrouwen.

Beschrijf wat controleren betekent: feiten verifiëren, bronnen raadplegen, vertrouwelijkheid beoordelen en nagaan of de uitkomst past bij de oorspronkelijke opdracht.

Bij AI-agents geldt daarnaast dat acties met gevolgen voor externe systemen, betalingen, gegevensverwijdering of toegangsrechten afzonderlijke autorisatie kunnen vereisen.

De medewerker blijft verantwoordelijk voor het gebruik van de uitkomst. Een AI-antwoord is geen bewijs dat informatie correct is.

Hoe vraag je een nieuwe AI-tool aan?

Maak het aanvraagproces eenvoudig. Medewerkers moeten een nieuwe tool kunnen voorstellen zonder eerst ingewikkelde formulieren te doorlopen.

Vraag naar het doel, de gegevens die de tool verwerkt, de gewenste koppelingen en de reden waarom bestaande toepassingen onvoldoende zijn.

Laat een aangewezen verantwoordelijke beoordelen of beveiliging, privacy, contractvoorwaarden en toegangsbeheer voldoende zijn geregeld.

Publiceer vervolgens de beslissing en eventuele gebruiksvoorwaarden. Zo voorkom je dat iedere afdeling dezelfde beoordeling opnieuw uitvoert.

Wijs een eigenaar aan en houd het beleid actueel

Een beleid zonder eigenaar veroudert snel. Wijs daarom een functie of team aan dat verantwoordelijk is voor wijzigingen, vragen en uitzonderingen.

Zorg dat medewerkers weten waar ze twijfelgevallen en incidenten kunnen melden, bijvoorbeeld wanneer vertrouwelijke informatie per ongeluk in een verkeerde tool terechtkomt.

Herzie het beleid periodiek en wanneer nieuwe tools, functies of gegevensverwerkingen worden geïntroduceerd. Controleer daarbij of de goedgekeurde toepassingen nog overeenkomen met de praktijk.

Houd een wijzigingslogboek bij en communiceer veranderingen in gewone taal.

Train medewerkers met herkenbare voorbeelden

Een beleidsdocument publiceren is niet hetzelfde als medewerkers leren ermee te werken.

Gebruik korte oefeningen met situaties die zij herkennen. Laat bijvoorbeeld beoordelen of een klantmail mag worden samengevat, of een spreadsheet mag worden geanalyseerd en wanneer een gegenereerd antwoord gecontroleerd moet worden.

Maak een compacte besliskaart: welke tool gebruik ik, welke gegevens voer ik in, en moet iemand het resultaat controleren?

Bespreek ook fouten zonder medewerkers automatisch te bestraffen. Een open meldcultuur helpt risico's eerder zichtbaar te maken.

Herhaal trainingen wanneer het beleid verandert en neem de basisregels op in het inwerkprogramma voor nieuwe medewerkers.

Conclusie

Een werkbaar AI-beleid is een praktische gebruiksinstructie, geen verzameling algemene verboden. Met één pagina basisregels, een stoplichtmodel, een lijst goedgekeurde tools, duidelijke controlemomenten en een vaste eigenaar kunnen medewerkers verantwoorde keuzes maken. Laat het beleid en de bijbehorende gegevensverwerkingen juridisch toetsen.

Veelgestelde vragen

Moet een AI-beleid verplicht op één pagina passen? Nee. De belangrijkste dagelijkse werkafspraken passen bij voorkeur op één pagina. Aanvullende juridische en technische documenten kunnen afzonderlijk beschikbaar blijven.

Mogen medewerkers persoonsgegevens invoeren in een goedgekeurde AI-tool? Niet automatisch. Dat hangt af van het doel, de gegevenscategorie, de toepasselijke voorwaarden en de getroffen waarborgen. Leg expliciet vast welke verwerking is toegestaan.

Hoe vaak moet je een AI-beleid aanpassen? Controleer het periodiek en bij relevante wijzigingen in tools, werkprocessen, risico's of regelgeving. Pas de instructies aan zodra bestaande afspraken niet meer aansluiten op de praktijk.