Een AI-beleid opstellen voor je medewerkers, met voorbeeldpunten
Je medewerkers gebruiken waarschijnlijk al AI, ook als jij het nog niet hebt ingevoerd. Een AI-beleid legt in één of twee pagina's vast welke tools mogen, welke gegevens erin mogen, wie controleert en wat je nooit doet. De Autoriteit Persoonsgegevens (AP) adviseert om expliciet vast te leggen welke gegevens wel en niet in AI-systemen mogen. Hier vind je wat erin hoort, tien voorbeeldpunten en een stappenplan.
Kort antwoord
Een AI-beleid is een korte, schriftelijke afspraak over welke AI-tools medewerkers mogen gebruiken, welke gegevens daarin mogen en wie de uitkomst controleert. Begin met de gegevens die nooit mogen, kies goedgekeurde tools, wijs een verantwoordelijke aan en zet de regels op één tot twee pagina's. Bespreek het met je team en herzie het elk half jaar.
Wat is een AI-beleid?
In een AI-beleid staat wat medewerkers wel en niet met AI mogen doen. Dan hoeft niemand te raden, en plakt niemand per ongeluk klantgegevens in een chatbot. Verbieden is niet het doel.
Het beleid beantwoordt vijf vragen, en meer niet. Welke tools mogen? Voor welke taken? Welke gegevens mogen erin en welke nooit? Wie controleert de uitkomst? En bij wie meld je een probleem?
Verwar het niet met een AI-strategie. Daarin beschrijf je wat je met AI wilt bereiken, terwijl het beleid regelt hoe je medewerkers dat veilig doen. Wil je eerst beginnen met invoeren, lees dan het stappenplan voor AI in je bedrijf.
Waarom een AI-beleid nu nodig is
Het CBS meldde dat in 2025 ongeveer 17 procent van de bedrijven met twee of meer werknemers AI gebruikte. Dat zijn alleen de officiële toepassingen. Medewerkers gebruiken daarnaast tools op eigen initiatief, zie schaduw-AI.
De risico's zijn concreet. De AP kreeg meldingen van datalekken doordat medewerkers persoonsgegevens in AI-chatbots invoerden. Volgens berichtgeving over de gemeente Eindhoven voerden medewerkers in 30 dagen grote aantallen vertrouwelijke documenten in, waaronder cv's en jeugdzorgdossiers. Wat er precies is gedeeld, was niet meer volledig te achterhalen.
Zelfstandigen lopen ook risico. In de Knab Zzp AI Monitor 2026 zegt 26 procent van de ondervraagde zzp'ers geen formele afspraken te hebben over controle, gegevens of openheid. Het onderzoek is zelfgerapporteerd en gaat over klanten van één bank, maar het laat zien dat afspraken vaak ontbreken.
En de AI-verordening vraagt om AI-geletterdheid, waarvoor een beleid een goede basis is. Lees meer in het artikel over AI-geletterdheid.
Tien voorbeeldpunten voor je AI-beleid
Gebruik de tabel als startpunt. Alle tien overnemen hoeft niet: zes goede regels werken beter dan twintig die niemand onthoudt. Pas de punten aan op jouw bedrijf en branche. Een zorgpraktijk heeft strengere regels nodig dan een bouwbedrijf.
| Onderwerp | Voorbeeldpunt |
|---|---|
| 1. Goedgekeurde tools | We gebruiken alleen de tools op de lijst. Nieuwe tools vraag je eerst aan. |
| 2. Zakelijk account | Werkgerelateerd gebruik loopt via een zakelijk account, niet via een privéaccount. |
| 3. Verboden gegevens | Geen persoonsgegevens, bijzondere persoonsgegevens, wachtwoorden of vertrouwelijke contracten in tools zonder goedkeuring. |
| 4. Menselijke controle | Een mens leest en verantwoordt alles wat naar buiten gaat. |
| 5. Feiten controleren | Cijfers, namen, wetten en bronnen controleer je altijd zelf. |
| 6. Besluiten over mensen | AI neemt geen besluiten over werving, beoordeling of klanten zonder menselijke toets. |
| 7. Auteursrecht | Gebruik geen beschermd werk van anderen als invoer, tenzij je het mag gebruiken. |
| 8. Openheid | Bij chatbots en grote AI-aandelen zijn we open naar klanten. |
| 9. Melden | Per ongeluk gegevens gedeeld? Meld het meteen aan de verantwoordelijke. |
| 10. Herzien | We bespreken dit beleid elk half jaar. |
Je AI-beleid opstellen in vijf stappen
- Inventariseer. Vraag je team welke tools ze nu gebruiken en waarvoor. Zeg erbij dat je niet straft, anders krijg je geen eerlijk antwoord.
- Bepaal de gegevens. Maak drie lijsten: gegevens die altijd mogen, gegevens die alleen in goedgekeurde zakelijke tools mogen en gegevens die nooit mogen.
- Kies tools en verantwoordelijke. Controleer per tool wat de leverancier met ingevoerde gegevens doet. OpenAI schrijft bijvoorbeeld dat het zakelijke gegevens niet voor training gebruikt. Zoek dit voor elke tool zelf op.
- Schrijf en bespreek. Schrijf het beleid in gewone taal en bespreek het met het team. Leg bij elke regel uit waarom hij er staat.
- Train en leg vast. Geef een korte training. Een certificaat is volgens de Europese Commissie niet nodig, maar je kunt trainingen en richtlijnen wel vastleggen.
Veelgemaakte fouten bij een AI-beleid
De grootste fout is een beleid dat te lang en te juridisch is. Medewerkers lezen het niet en volgen het dus ook niet. Laat woorden als „conform” en „dienaangaande” weg en schrijf op het niveau van een goede werkinstructie.
Alleen verbieden werkt ook niet. Wie AI verbiedt zonder alternatief, krijgt schaduwgebruik. Medewerkers die tijd willen winnen, zoeken zelf een weg, en dan weet jij niet meer welke gegevens waar terechtkomen. Bied liever een goedgekeurde tool aan en maak afspraken over het gebruik.
Dan het beleid dat één keer geschreven wordt en daarna in een la verdwijnt. Tools, prijzen en voorwaarden veranderen snel. En als er geen eigenaar is, weet niemand aan wie je een vraag of melding doet, zodat een eerste incident blijft liggen tot het te laat is. Neem ook de controle van leveranciers op; meer daarover staat in het artikel over afspraken met AI-leveranciers.
Het AI-beleid controleren en bijhouden
Toets je beleid. Plan elk half jaar een kort gesprek. Vraag welke regels onduidelijk zijn, welke tools erbij zijn gekomen en wat er bijna misging. Pas het beleid aan en noteer de datum. Vraagt een klant of toezichthouder ernaar, dan laat je zien wanneer je wat hebt afgesproken en dat je het bijhoudt.
Neem ook je website mee. Maken medewerkers teksten met AI, dan moet iemand de feiten, prijzen en claims controleren. AI-assistenten gebruiken je website als bron en kunnen fouten die erop staan overnemen in hun antwoorden over jou. Wat AI nu over je bedrijf zegt, zie je met de vermeldingscheck.
Wat dit betekent voor jou
Een jurist heb je niet nodig om te beginnen. Neem de tabel hierboven, schrap wat niet past en voeg toe wat bij jouw vak hoort. Schrijf als eerste de lijst met gegevens die nooit in een AI-tool mogen. Die regel voorkomt de meeste schade. Zet daarna een naam bij het beleid en plan een eerste bespreking met je team. Lees ook over persoonsgegevens in AI-tools, zodat je weet waar de AVG op let.
Conclusie
Een AI-beleid hoeft niet dik te zijn. Leg vast welke tools en gegevens mogen, wie controleert en wat je doet bij een fout, bespreek het met je team en herzie het elk half jaar. Hoe AI-assistenten je bedrijf nu beschrijven, zie je met de gratis GEO-scan of de vermeldingscheck.
Veelgestelde vragen
Is een AI-beleid verplicht?
Niet als aparte verplichting. Wel moeten organisaties die AI gebruiken sinds 2 februari 2025 maatregelen nemen voor AI-geletterdheid, en de AVG vraagt om passende maatregelen voor persoonsgegevens. Met een schriftelijk AI-beleid laat je zien dat je dit geregeld hebt, bijvoorbeeld als een klant of toezichthouder ernaar vraagt.
Hoe lang moet een AI-beleid zijn?
Eén tot twee pagina's. Een beleid dat niemand leest, beschermt niemand. Zet de belangrijkste regels bovenaan, zoals welke gegevens nooit in een AI-tool mogen, en bewaar de uitleg en voorbeelden in een bijlage. Schrijf het zo dat een nieuwe collega het op de eerste dag begrijpt.
Mogen medewerkers gratis AI-tools gebruiken?
Dat bepaal jij. De AP waarschuwt dat gegevens in gratis tools kunnen worden bewaard of voor training gebruikt. Veel bedrijven staan gratis tools alleen toe zonder bedrijfs- of persoonsgegevens, en geven voor al het andere een zakelijk account. Zet die keuze als regel in je beleid.
Wie is verantwoordelijk als AI een fout maakt?
De organisatie en de medewerker die de uitkomst gebruikt. Een tool kun je niet aanspreken. Leg daarom vast dat een mens elk resultaat controleert voordat het naar een klant, een instantie of de website gaat, en dat cijfers, namen, wetten en bronnen altijd zelf worden nagekeken.
Moet ik klanten vertellen dat ik AI gebruik?
Dat hangt af van de situatie. Zet je een chatbot in, dan moet duidelijk zijn dat klanten met een systeem praten. Bij werk waar AI een groot aandeel in had, is openheid verstandig, zoals een rapport of offerte die grotendeels door AI is geschreven. Leg je lijn vast in het beleid.
Bronnen
- Autoriteit Persoonsgegevens: Let op, gebruik AI-chatbot kan leiden tot datalekken
- Autoriteit Persoonsgegevens: Verder bouwen aan AI-geletterdheid (oktober 2025)
- Europese Commissie: AI literacy, questions and answers
- CBS: Bedrijven gebruiken AI vaakst voor marketing of verkoop (december 2025)
- Knab: Zzp AI Monitor 2026
- Accountant.nl: AP slaat alarm over datalekken door AI (december 2025)