Vraag een ondernemer welke AI er in zijn bedrijf draait en je hoort meestal één naam: ChatGPT. De echte lijst is langer. In de mail zit een assistent die gesprekken samenvat, het boekhoudpakket herkent bonnetjes, de telefooncentrale maakt verslagen van klantgesprekken en op de website staat een chatbot die iemand twee jaar geleden heeft aangezet. Daarnaast zijn er de tools die medewerkers zelf meebrengen.
Hoe je die laatste groep opspoort, lees je in onze gids Schaduw-AI opsporen. Dit stuk gaat over wat je daarna bijhoudt: één register met alle AI in je bedrijf, met per regel een eigenaar. Dat klinkt als papierwerk, en een beetje is het dat ook. Maar het is papierwerk dat drie wettelijke vragen tegelijk beantwoordt.
Waarom een lijst, en waarom nu
AI-geletterdheid. Sinds 2 februari 2025 moet elk bedrijf dat AI gebruikt werken aan de AI-geletterdheid (de kennis om verstandig met AI om te gaan) van de mensen die ermee werken. Met de AI Omnibus, Verordening (EU) 2026/1744 die op 27 juli 2026 in werking trad, is die plicht versoepeld: je neemt maatregelen om de ontwikkeling van AI-geletterdheid te ondersteunen, rekening houdend met de context waarin de systemen worden gebruikt, zonder dat je een bepaald niveau hoeft te garanderen (Bron: EUR-Lex). Die context ken je alleen als je weet welke systemen er zijn. De Autoriteit Persoonsgegevens is daar concreet over: “Maak een inventarisatie van alle AI-systemen binnen de organisatie”, en het AVG-verwerkingsregister kan daarbij “helpen als vertrekpunt” (Bron: Autoriteit Persoonsgegevens).
Hoog-risico-AI. Gebruik je AI voor bijvoorbeeld het selecteren van sollicitanten, dan ben je volgens de AI-verordening een gebruiksverantwoordelijke van een hoog-risico-systeem. Je moet het systeem dan volgens de gebruiksinstructies inzetten, het menselijk toezicht beleggen bij mensen met “the necessary competence, training and authority”, automatisch gegenereerde logs minstens zes maanden bewaren en werknemers vooraf informeren als je het systeem op de werkvloer gebruikt (Bron: AI Act Service Desk). Door de Omnibus gelden die regels voor de hoog-risico-toepassingen uit bijlage III (waaronder werving) vanaf 2 december 2027 (Bron: Europese Commissie). Dat geeft je ruim een jaar, maar alleen als je weet dat zo’n systeem bij jou draait.
Privacy. Gaan er persoonsgegevens in een AI-tool, dan is dat een verwerking die in je verwerkingsregister hoort (artikel 30 van de AVG). De uitzondering voor bedrijven onder de 250 medewerkers is smaller dan veel ondernemers denken: zodra je met enige regelmaat persoonsgegevens verwerkt, of bijzondere gegevens zoals gezondheid, moet je het register toch bijhouden (Bron: Ondernemersplein). Een salarisadministratie is al regelmatig.
Waar de AI zit die je niet ziet
De lastigste regels in je register zijn de systemen die niemand bewust heeft gekozen. Ze komen mee met software die je al jaren gebruikt.
Werk je met Microsoft 365, dan heeft je team vaak al toegang tot Copilot Chat: Microsoft noemt dat de basisversie die bij geschikte Microsoft 365-licenties is inbegrepen, zonder aparte Copilot-licentie (Bron: Microsoft Learn). Google deed in januari 2025 iets vergelijkbaars en nam Gemini op in de Business- en Enterprise-abonnementen van Workspace (Bron: Google). Bij telefonie gaat het net zo: zakelijke abonnementen bieden steeds vaker AI-samenvattingen van gesprekken, zoals KPN Mobiel AI.
Loop daarom per pakket vier plekken langs: je mail en kantoorsoftware, je boekhouding, je CRM of klantsysteem, en je telefonie of klantenservice. Vraag per pakket of er AI-functies in zitten en of ze aan staan. De release-notes of het instellingenmenu geven meestal sneller antwoord dan de verkoper.
Dan blijft de derde groep over: wat medewerkers met een privéaccount doen. Volgens het onderzoek van Alert Online gebruikt 49 procent van de werknemers weleens een privé AI-account voor werk (Bron: Alert Online). Wat dat voor jou betekent, lees je in ons stuk over privé AI-accounts. Ook die tools horen op de lijst, met als eigenaar degene die ze gebruikt, tot je een besluit neemt.
Het register: deze kolommen vul je in
Een spreadsheet is genoeg. Begin met de vijf kernkolommen en voeg de rest toe als je de basis af hebt.
| Kolom | Wat vul je in | Voorbeeld |
|---|---|---|
| Systeem en leverancier | Naam van de tool of de AI-functie in een pakket | Copilot Chat (Microsoft 365) |
| Soort | Losse tool, ingebouwd in bestaand pakket, of privéaccount | Ingebouwd |
| Eigenaar | Eén naam, geen afdeling | Sanne, office-manager |
| Doel | Waarvoor het gebruikt wordt, in één zin | Lange klantmails samenvatten |
| Gebruikers | Wie ermee werkt | Binnendienst, 4 personen |
| Gegevens | Wat er ingaat | Klantmails met namen en adressen |
| Persoonsgegevens? | Ja/nee, plus verwijzing naar je verwerkingsregister | Ja, regel 7 |
| Risicoklasse AI Act | Verboden, hoog, transparantie of minimaal | Minimaal |
| Account en contract | Zakelijk of gratis, verwerkersovereenkomst, training op invoer uit | Zakelijk, verwerkersovereenkomst via Microsoft |
| Laatst gecontroleerd | Datum en wie | 8 oktober 2026, Sanne |
Twee kolommen verdienen extra aandacht. De kolom persoonsgegevens is de brug naar je AVG-administratie: staat er ja, dan moet de verwerking ook in je verwerkingsregister staan, met een verwerkersovereenkomst met de leverancier. De kolom account en contract laat zien waar het echte risico zit. Een gratis account onder privévoorwaarden is een andere regel dan dezelfde tool met een zakelijk contract. Welke vragen je de leverancier daarbij stelt, staat in onze inkoop-checklist voor AI-contracten.
Eén eigenaar per regel
De eigenaar is degene die je belt als er iets misgaat. Hij of zij kent de instellingen, leest de updates van de leverancier, beslist wie toegang krijgt en kan het gebruik stopzetten. In een team van acht is dat vaak degene die het abonnement heeft afgesloten of het meest met de tool werkt.
Zet er een persoon neer. “IT” of “marketing” als eigenaar betekent in de praktijk dat niemand zich aangesproken voelt. Dezelfde les geldt voor prompts en skills: in AI-eilandjes in je team zie je wat er gebeurt als niemand eigenaar is van een gedeelde map. Bij een hoog-risico-systeem is de eigenaar meestal ook de persoon die het menselijk toezicht uitvoert, en moet die dus de bekwaamheid en de bevoegdheid hebben die de wet vraagt.
De risicoklasse invullen zonder jurist
De AP stelt het helder: “het is uw eigen verantwoordelijkheid om te beoordelen in welke risicogroep dat systeem valt” (Bron: Autoriteit Persoonsgegevens). Voor de meeste regels kom je er met vier vragen in deze volgorde:
- Doet het iets wat verboden is? Bijvoorbeeld emotieherkenning op de werkplek. Dan stop je ermee; dit verbod geldt sinds 2 februari 2025.
- Bereidt het beslissingen over mensen voor in een gevoelig domein? Denk aan werving en selectie, beoordeling van personeel, kredietverlening of onderwijs. Dan is het waarschijnlijk hoog risico. Voor werving staat het uitgewerkt in AI Act en HR.
- Praat het met klanten of maakt het content die naar buiten gaat? Dan gelden transparantieregels: mensen moeten weten dat ze met AI te maken hebben.
- Geen van drieën? Dan is het minimaal risico. Dat geldt voor de meeste schrijfhulpen en samenvatters voor intern gebruik.
Beginner-tip: twijfel je bij vraag 2, mail dan de leverancier met de vraag of hun product onder bijlage III van de AI Act valt. Een serieuze leverancier van hr- of kredietsoftware heeft dat antwoord klaarliggen. Zet het antwoord in je register.
Een uitgebreider overzicht van de vier niveaus vind je in AI Act: in welk risiconiveau valt jouw AI-tool?. Neemt software zelfstandig besluiten over mensen, kijk dan ook naar artikel 22 van de AVG.
Zo zet je het op in een middag
- Vinden. Loop je abonnementen en facturen van het afgelopen jaar na, plus de vier plekken uit dit stuk. Doe de anonieme rondvraag uit de schaduw-AI-gids.
- Vastleggen. Maak de spreadsheet met de kolommen hierboven. Eén regel per systeem, ook als het een functie in een groter pakket is.
- Eigenaar kiezen. Zet bij elke regel een naam en laat die persoon de regel controleren.
- Toetsen. Vul de risicoklasse in met de vier vragen en markeer elke regel met persoonsgegevens. Werk je verwerkingsregister bij waar nodig.
- Herhalen. Plan twee vaste controlemomenten per jaar in de agenda, en spreek af dat een nieuwe tool pas gebruikt wordt als hij in het register staat.
Het register is meteen de basis voor je training. Wie met een hoog-risico-systeem werkt, heeft andere kennis nodig dan wie alleen mails laat samenvatten. Hoe je dat per rol regelt, lees je in AI-geletterdheid: wat de AI Act van je bedrijf vraagt. En de spelregels voor je team zet je op één A4 met deze drie afspraken.