In deze gids zet je in vijf stappen een AI-beleid voor je bedrijf op papier: welke tools mogen, welke gegevens er nooit in gaan, hoe je aan de AI-kennis van je team werkt en wie waarvoor aanspreekbaar is. Voor ondernemers met een team van een paar tot een paar honderd mensen die merken dat er al volop met AI gewerkt wordt, zonder dat er iets is afgesproken.
Je hoeft niet bij nul te beginnen. Bij deze gids hoort een gratis Word-sjabloon met invulvelden en voorbeeldzinnen: download het AI-beleid-sjabloon (.docx).
Wat heb je nodig
- Het Word-sjabloon (werkt in Word, Pages en LibreOffice)
- Een lijstje van de AI-tools die jullie nu gebruiken, ook de stille gebruikers
- Eén persoon die aanspreekpunt wordt, bij kleine bedrijven vaak de eigenaar
- Twee uur voor het eerste concept en een half uur teamoverleg
Stap 1: Breng in kaart wat er al gebeurt
Een AI-beleidAI-beleidDe afspraken die je binnen je bedrijf vastlegt over hoe medewerkers AI gebruiken: welke tools mogen wel en niet, wat je wel en niet in een chatbot mag typen, en wie waarvoor verantwoordelijk is.Hele uitleg: AI-beleid is een set afspraken over hoe je bedrijf AI gebruikt. Maar je kunt geen afspraken maken over tools die je niet kent. Vraag daarom eerst rond, zonder oordeel: welke AI gebruik je, waarvoor en met welk account? Een gratis privéaccount van ChatGPT is iets anders dan Copilot in jullie zakelijke Microsoft-omgeving.
Hoe je dat in een week doet zonder dat het als controle voelt, staat in Schaduw-AI opsporen. Zet wat je vindt in een overzicht met per tool een eigenaar; dat is je AI-register. Het stappenplan daarvoor vind je in AI-register bijhouden. Dat overzicht vormt straks de tabel in paragraaf 3 van het sjabloon.
Stap 2: Kies welke tools mogen
Vul in het sjabloon de tabel “Welke AI-tools mogen” in. Per tool leg je vast: welk account, waarvoor jullie het gebruiken, of er klantgegevens in mogen en wie het aanspreekpunt is.
Let bij elke tool op twee dingen. Eén: gebruikt de aanbieder jouw invoer om zijn model te trainen? Bij gratis accounts staat dat vaak standaard aan (Bron: OpenAI). Twee: krijg je een verwerkersovereenkomstVerwerkersovereenkomstEen verplicht contract tussen jou (verwerkingsverantwoordelijke) en een leverancier die persoonsgegevens namens jou verwerkt, zoals een AI-tool.Hele uitleg: Verwerkersovereenkomst, het contract waarin de aanbieder belooft zorgvuldig met persoonsgegevens om te gaan (Bron: Autoriteit Persoonsgegevens)? Die bieden aanbieders meestal alleen bij zakelijke abonnementen.
Leg ook vast hoe iemand een nieuwe tool aanvraagt. Het sjabloon stelt voor: een bericht aan het aanspreekpunt, antwoord binnen vijf werkdagen. Een snelle route voorkomt dat mensen het stiekem gaan proberen.
Stap 3: Trek een grens rond gegevens
Dit is de belangrijkste paragraaf, want hier zit het AVGAVG (Algemene Verordening Gegevensbescherming)De Europese privacywet die geldt sinds 2018 en bepaalt hoe je persoonsgegevens van klanten en medewerkers mag verzamelen, bewaren en gebruiken.Hele uitleg: AVG (Algemene Verordening Gegevensbescherming)-risico. Het sjabloon gebruikt een stoplicht:
- Groen: openbare informatie, eigen teksten zonder namen, algemene vragen. Mag in alle goedgekeurde tools.
- Oranje: naam en bedrijf van een klant, een projectomschrijving, interne cijfers zonder namen. Alleen in tools met een zakelijk account en verwerkersovereenkomst.
- Rood: BSN, medische gegevens, salarissen, sollicitatiebrieven, wachtwoorden, klantcontracten. Nooit, tenzij het aanspreekpunt vooraf schriftelijk toestemming geeft.
Pas de voorbeelden aan op je branche. Een fysiotherapeut heeft meer rood dan een webshop in tuinmeubelen. Voeg drie controlevragen toe die iemand zich stelt voordat hij iets plakt; die staan al in het sjabloon.
Stap 4: Regel controle en AI-kennis
Wie AI gebruikt, blijft verantwoordelijk voor het resultaat. Schrijf op dat alles wat naar buiten gaat eerst door een mens wordt nagelezen en dat cijfers, namen en wetsverwijzingen altijd tegen de bron worden gecheckt. AI kan die overtuigend verzinnen; dat heet een hallucinatieHallucinatieEen antwoord dat overtuigend klinkt maar feitelijk onjuist is, zoals een verzonnen bron of niet-bestaand jurisprudentienummer. Geen storing, maar een eigenschap van hoe taalmodellen werken: controleer feiten dus altijd zelf.Hele uitleg: Hallucinatie. Wil je dit steviger inrichten, met steekproeven en een tweede lezer, gebruik dan Menselijke controle op AI inrichten.
Daarnaast vraagt artikel 4 van de AI-verordeningAI-verordeningDe officiële Nederlandse naam van de EU AI Act: de Europese wet die regels stelt aan het ontwikkelen en gebruiken van AI, met zwaardere eisen naarmate het risico groter is.Hele uitleg: AI-verordening dat je werk maakt van de AI-geletterdheidAI-geletterdheidDe basiskennis die medewerkers nodig hebben om AI-tools verantwoord te gebruiken: begrijpen wat een model wel en niet kan, wanneer je output moet controleren, en welke risico's er zijn.Hele uitleg: AI-geletterdheid van je mensen. Sinds de AI Omnibus op 27 juli 2026 in werking trad, heet dat: maatregelen nemen om die kennis te ondersteunen (Bron: Rendement). Een cursus of certificaat schrijft de wet niet voor. Het sjabloon heeft een tabel per rol: wat moet iemand weten, hoe regelen jullie dat en wanneer. Bewaar wie wat gedaan heeft; dat is je bewijs. Meer in AI-geletterdheid: wat de AI Act van je bedrijf vraagt.
Stap 5: Wijs een eigenaar aan en bespreek het
Een beleid zonder eigenaar veroudert binnen drie maanden. Vul in het sjabloon in wie het AI-aanspreekpunt is, wie over privacy en datalekken gaat en wie het AI-register bijhoudt. In een bedrijf van acht mensen is dat vaak één en dezelfde persoon en dat is prima.
Neem ook een meldregel op: wie per ongeluk gegevens in een AI-tool zet of een AI-fout naar een klant stuurt, meldt dat dezelfde dag, zonder straf. Zo hoor je het op tijd. Gaat het om persoonsgegevens, dan beoordeel je of het een datalek is dat binnen 72 uur naar de Autoriteit Persoonsgegevens moet, zo staat in artikel 33 van de AVG (AP).
Bespreek het concept daarna een half uur met je team. Laat iedereen het ondertekenen op de laatste pagina en zet een herzieningsdatum in je agenda, bijvoorbeeld over zes maanden.
Troubleshoot
“Het team ziet het als wantrouwen.” Begin met de vraag wat mensen al handig vinden aan AI. Het beleid regelt dat ze het veilig mogen blijven doen. De DNB-cijfers achter Je team gebruikt AI al laten zien dat veel werknemers juist steun missen.
“We hebben geen zakelijke accounts.” Dan is oranje voorlopig rood. Begin met zakelijke licenties voor de mensen die met klantgegevens werken.
“Het sjabloon is te lang voor ons.” Schrap paragrafen. Welke tools, welke gegevens, wie controleert en wie is aanspreekpunt: die vier moeten blijven.
“De invulvelden werken niet in mijn programma.” De grijze velden zijn Word-inhoudsbesturingselementen. In Pages en Google Docs zie je ze als gewone tekst; typ er dan gewoon overheen.
“Wanneer moet het beleid opnieuw?” Bij elke nieuwe AI-tool, bij een nieuwe regel uit Brussel en in elk geval op de herzieningsdatum.
Volgende stap
Staat het beleid, kies dan één werkproces om met AI te verbeteren. Het stappenplan voor AI-implementatie helpt je kiezen en met AI invoeren in je team neem je iedereen mee.