AI beleid en governance voor organisaties

Waarom een AI beleid nodig is

Medewerkers gebruiken AI al, of er nu een AI beleid is of niet. Ze vatten documenten samen met een chatbot, laten conceptmails schrijven of zetten een vergadertool aan die automatisch notuleert. Dat is meestal goedbedoeld en vaak nuttig. Het probleem is dat niemand overzicht heeft: welke tools draaien er, welke klantgegevens gaan erin, en wie is aanspreekbaar als het misgaat?

Een AI beleid lost dat op met een paar heldere afspraken. Het geeft medewerkers duidelijkheid over wat wel mag, zodat ze niet uit onzekerheid stoppen of uit gemak eromheen werken. Het geeft de directie zicht op risico’s. En het maakt aantoonbaar dat je nadenkt over verantwoord gebruik, wat steeds vaker wordt gevraagd door klanten, toezichthouders en accountants.

Er zijn drie concrete aanleidingen om er nu werk van te maken:

• Schaduwgebruik. Zonder afspraken kiest iedereen zijn eigen tool, vaak met een privéaccount waar je als organisatie geen grip op hebt.
• Wet- en regelgeving. De AVG geldt al jaren voor elke verwerking van persoonsgegevens, ook als een AI-tool die uitvoert. De AI Act voegt daar verplichtingen aan toe, onder meer rond AI-geletterdheid en transparantie.
• Strategie. Een beleid dwingt je om te kiezen waar AI wel en niet past. Dat sluit direct aan op je AI strategie: wat je wilt bereiken bepaalt welke risico’s je accepteert.

Een AI beleid is dus geen rem. Het is de voorwaarde om AI met vertrouwen breder in te zetten.

Onderdelen van een AI beleid

Een werkbaar beleid beantwoordt vier vragen: wat mag je gebruiken, wat mag erin, wie beslist en hoe houd je het veilig? Die vragen vormen de ruggengraat van elk beleid, of je nu twintig of tweeduizend medewerkers hebt.

Toegestane tools

Leg vast welke tools goedgekeurd zijn en onder welke voorwaarden. Maak onderscheid tussen zakelijke licenties, waarbij je contractuele afspraken hebt over dataverwerking, en gratis consumentenversies, waarbij dat vaak niet zo is. Een korte lijst werkt beter dan een lang verbod: noem de tools die mogen, voor welk werk, en hoe je een nieuwe tool aanvraagt.

Voorbeelden van afspraken die in de praktijk goed werken:

• Gebruik alleen tools met een zakelijk account van de organisatie.
• Nieuwe tools vraag je aan via één vast aanspreekpunt, met een beslissing binnen een afgesproken termijn.
• Tools die automatisch vergaderingen opnemen of notuleren vallen onder aparte afspraken; lees daarover meer bij notuleren met AI.

Data en privacy

Dit is voor de meeste organisaties het belangrijkste onderdeel. Deel gegevens in een paar categorieën in, bijvoorbeeld openbaar, intern, vertrouwelijk en persoonsgegevens, en spreek per categorie af wat in welke tool mag. Zodra persoonsgegevens worden verwerkt, heb je volgens de AVG een grondslag nodig; de Autoriteit Persoonsgegevens legt de zes grondslagen uit. Leg ook vast of er een verwerkersovereenkomst met de leverancier is en waar de data wordt opgeslagen.

Werk je met AI-toepassingen die zelfstandig taken uitvoeren en daarbij klant- of medewerkersgegevens raken, dan worden de privacyvragen scherper. Die situatie behandel ik apart in AI agents en de AVG.

Rollen en verantwoordelijkheden

Een beleid zonder eigenaar is een intentieverklaring. Benoem minimaal:

• Een eigenaar van het beleid, meestal iemand uit de directie of het MT, die het vaststelt en periodiek herziet.
• Een eigenaar per toepassing, die verantwoordelijk is voor het doel, de kwaliteit en het gebruik ervan.
• Een aanspreekpunt voor vragen, aanvragen van nieuwe tools en meldingen als er iets misgaat.
• De rol van privacy en informatiebeveiliging, zoals je functionaris gegevensbescherming of security officer, bij de beoordeling van nieuwe toepassingen.

Beschrijf ook wat je van medewerkers verwacht: dat ze AI-uitvoer controleren voordat ze die gebruiken, en dat ze verantwoordelijk blijven voor het eindresultaat.

Risicobeheer

Niet elke AI-toepassing verdient dezelfde aandacht. Een tool die een conceptmail schrijft vraagt om andere controles dan een systeem dat sollicitanten voorselecteert. Deel toepassingen daarom in naar risico en koppel per niveau de maatregelen: van alleen registreren tot een formele beoordeling vooraf, testen en periodieke controle. Een praktische indeling in drie niveaus staat in mijn artikel over AI-governance zonder bureaucratie.

AI governance inrichten

Waar het AI beleid vastlegt wat de afspraken zijn, gaat AI governance over hoe je die afspraken in de praktijk laat werken. Het grootste risico is niet te weinig regelen, maar zoveel regelen dat mensen eromheen gaan werken. Mijn uitgangspunt: licht waar het kan, zwaar alleen waar het risico dat rechtvaardigt.

In het artikel over governance beschrijf ik vier lichte mechanismen die je minimaal nodig hebt: een register van toepassingen, één beoordelingsmoment, een periodieke toets en een helder escalatiepad. Hier herhaal ik dat niet; het belangrijkste punt is dat je governance koppelt aan wat er al is. Voeg AI toe aan het risico-overleg of de stuurgroep die al bestaat, in plaats van een nieuwe commissie op te tuigen.

Heb je geen capaciteit om dit zelf te trekken, dan kan een Fractional AI Lead de governance en cadans opzetten en bewaken; de investering is €2.600 / €5.200 / €10.400 per maand.

AI Act en compliance

De AI Act (Verordening (EU) 2024/1689) deelt AI-systemen in naar risico, met verboden praktijken, hoog-risicosystemen met strenge eisen, transparantieverplichtingen en een grote groep systemen met minimaal risico. Volgens de Europese Commissie valt het overgrote deel van de AI-systemen die nu in de EU worden gebruikt in die laatste categorie.

Voor je AI beleid zijn twee dingen nu al relevant:

• AI-geletterdheid. Sinds 2 februari 2025 moeten organisaties die AI-systemen aanbieden of gebruiken aandacht besteden aan de AI-kennis van hun medewerkers. Met de Digital Omnibus, die op 27 juli 2026 in werking trad, is die plicht aangepast: je moet maatregelen nemen om AI-geletterdheid te ondersteunen, zonder dat een bepaald niveau per persoon wordt voorgeschreven. Een certificaat is volgens de Commissie niet nodig; je kunt intern bijhouden welke trainingen en andere initiatieven je hebt ingezet. Een training in AI-geletterdheid is een voor de hand liggende maatregel om in je beleid op te nemen.
• Transparantie. Zet je bijvoorbeeld een chatbot in richting klanten, dan moeten mensen weten dat ze met AI communiceren.

Welke verplichtingen verder voor jouw organisatie gelden, hangt af van je rol en je toepassingen. De Omnibus heeft bovendien de hoog-risicoregels uitgesteld. Hoe dat zit, per risicocategorie, per rol en met de actuele tijdlijn, lees je in het overzicht de AI Act voor bedrijven.

Deze pagina geeft een praktische toelichting en is geen juridisch advies. Laat de juridische kwalificatie van je toepassingen toetsen door een jurist of je functionaris gegevensbescherming.

Responsible AI

Responsible AI gaat verder dan wat de wet vraagt. Het gaat om de vraag of je een toepassing verantwoord vindt, ook als die juridisch mag. Denk aan eerlijkheid (behandelt het systeem groepen mensen gelijk?), uitlegbaarheid (kun je aan een klant uitleggen waarom een besluit zo uitviel?), menselijk toezicht (wie kan ingrijpen?) en de impact op het werk van medewerkers.

Ik raad aan om hier geen apart ethisch kader naast je beleid te zetten, maar een paar principes op te nemen die je daadwerkelijk toepast bij de beoordeling van nieuwe toepassingen. Bijvoorbeeld: “Bij beslissingen die mensen raken, neemt altijd een medewerker het laatste besluit.” Of: “We zetten AI niet in om individuele prestaties van medewerkers te beoordelen, tenzij de directie daar expliciet toe besluit.” Principes die je kunt toetsen, zijn meer waard dan waarden die mooi klinken.

Responsible AI raakt ook aan adoptie. Medewerkers gebruiken AI eerder als ze begrijpen waarom de afspraken er zijn en merken dat ze meetellen; daarover schreef ik in AI-adoptie begint bij het werk.

AI-beleid voor het MKB: voorbeeld en template

Een mkb-bedrijf heeft geen compliance-afdeling en hoeft ook geen beleid van twintig pagina’s. Wat wel nodig is: een AI-beleid dat iedereen in tien minuten kan lezen en dat antwoord geeft op de vragen die medewerkers echt hebben. Het stappenplan en het template hieronder zijn daarvoor bedoeld.

Stappenplan

1. Inventariseer wat er al gebruikt wordt. Vraag teams welke AI-tools ze gebruiken en waarvoor. Oordeel nog niet; je wilt een eerlijk beeld.
2. Kies de toegestane tools. Beslis welke tools je zakelijk aanbiedt en welke je uitfaseert. Kijk naar functionaliteit, maar vooral naar de afspraken over data.
3. Deel je data in. Spreek af welke gegevens nooit in een AI-tool mogen, zoals persoonsgegevens van klanten zonder grondslag of vertrouwelijke contracten.
4. Wijs eigenaren aan. Eén eigenaar van het beleid en één aanspreekpunt voor vragen en aanvragen.
5. Schrijf de eerste versie op één tot drie pagina’s. Gebruik het template hieronder.
6. Train en communiceer. Leg uit waarom de afspraken er zijn en hoe je AI goed gebruikt; dat is meteen een invulling van je plicht rond AI-geletterdheid.
7. Evalueer na drie maanden. Wat werkt, wat wordt omzeild, welke vragen komen steeds terug? Pas het beleid daarop aan.

Download het template

Het AI-beleid template (pdf) volgt deze opzet, met in te vullen velden, tabellen voor tools en gegevenscategorieën en een checklist om af te ronden. Je kunt de opzet ook direct overnemen in je eigen document:

1. Doel en reikwijdte: waarom dit beleid er is en voor wie het geldt, inclusief externe medewerkers.
2. Toegestane tools: lijst met goedgekeurde tools, accounts en toepassingen, plus de procedure om een nieuwe tool aan te vragen.
3. Data: de gegevenscategorieën en per categorie wat wel en niet in een AI-tool mag.
4. Gebruiksregels: controleer uitvoer altijd, vermeld AI-gebruik waar dat relevant is, en blijf zelf verantwoordelijk voor het resultaat.
5. Rollen: eigenaar van het beleid, aanspreekpunt, eigenaren van toepassingen.
6. Risico’s en meldingen: hoe nieuwe toepassingen worden beoordeeld en waar je een incident of twijfel meldt.
7. AI-geletterdheid: welke training of instructie medewerkers krijgen en hoe je dat bijhoudt.
8. Herziening: wanneer en door wie het beleid wordt geëvalueerd.

Wil je weten waar je organisatie staat voordat je het beleid schrijft? Het AI Readiness Assessment brengt in 2-3 weken je uitgangspositie in kaart, inclusief een risico- en compliance-scan en je positie onder de AI-verordening, voor €7.000. Alle bedragen en pakketten staan op de pagina tarieven.

Ik werk onafhankelijk: ik verkoop geen tools en ontvang geen commissies van leveranciers, dus het beleid gaat over wat bij jullie past. Meer over mijn achtergrond lees je op over mij. Waar uitvoering nodig is, bijvoorbeeld bij technische inrichting, kan ik partijen uit mijn partnernetwerk voorstellen die je rechtstreeks contracteert.

Wil je sparren over een eerste versie van jullie AI beleid? Plan een gesprek van dertig minuten; aan het eind weet je wat ik als eerste zou regelen.