Wat is een AI-beleid?
Een AI-beleid is een kort document waarin je vastlegt hoe je bedrijf AI gebruikt: welke tools zijn toegestaan, welke gegevens erin mogen, wie de output controleert en bij wie je terechtkunt met vragen of fouten. Het voorbeeld verderop in dit artikel past op twee A4'tjes.
In veel bedrijven ontbreekt zo'n document nog. Uit onderzoek van ABN AMRO en MWM2 onder 777 Nederlandse organisaties bleek in juni 2026 dat 78 procent van de mkb-bedrijven AI gebruikt en dat 9 procent een formeel beleid heeft voor externe AI-tools (Dutch IT Channel). De MKB Barometer van Exact, uitgevoerd door Markteffect onder ruim 1.700 ondernemers, kwam in augustus 2026 uit op 70 procent AI-gebruik. Van de ondernemers weet 47 procent nog niet hoe ze AI effectief inzetten en 48 procent aarzelt om medewerkers met bedrijfsdata in AI-toepassingen te laten werken (MKB Servicedesk).
Zonder afspraken ontstaat schaduw-AI (shadow AI): medewerkers gebruiken op eigen initiatief AI-tools die het bedrijf niet kent of niet heeft goedgekeurd, vaak met een gratis persoonlijk account. Een AI-beleid maakt die tools zichtbaar.
Ben je verplicht om een AI-beleid op te stellen?
Geen wet schrijft een document met de naam AI-beleid voor. Een paar regels vragen afspraken die je in zo'n beleid vastlegt:
- AI-geletterdheid (artikel 4 AI Act). Sinds 2 februari 2025 moeten organisaties die AI gebruiken maatregelen nemen om de AI-geletterdheid van hun mensen te ontwikkelen. Sinds Verordening (EU) 2026/1744, die op 27 juli 2026 inging, schrijft de wet daarbij geen vast niveau voor. Volgens de vragen en antwoorden van de Europese Commissie is er geen certificaat en geen speciale governance-structuur nodig. Je mag intern bijhouden welke trainingen en andere maatregelen je hebt genomen.
- Afspraken over invoer (Autoriteit Persoonsgegevens). De AP waarschuwde in augustus 2024 voor datalekken doordat medewerkers persoonsgegevens van klanten of patiënten in AI-chatbots invoerden. Het advies: bepaal of medewerkers zulke tools mogen gebruiken en zo ja, welke gegevens ze wel en niet mogen invoeren. In juli 2026 publiceerde de AP een hulpmiddel voor organisaties die generatieve AI willen inzetten. De eerste vraag daarin is of je generatieve AI kunt gebruiken zonder persoonsgegevens te verwerken.
- Transparantie (artikel 50 AI Act). Sinds 2 augustus 2026 gelden transparantieregels voor AI die met mensen communiceert en voor content die met AI is gemaakt. De Europese Commissie publiceerde op 20 juli 2026 richtsnoeren over artikel 50.
- Datalekken (artikel 33 AVG). Belandt een persoonsgegeven in een tool waar het niet hoort, dan kan dat een datalek zijn. Volgens de AVG meld je dat binnen 72 uur bij de AP, tenzij het lek waarschijnlijk geen risico oplevert voor de betrokkenen.
Een Nederlandse toezichthouder voor AI Act-boetes is nog niet aangewezen; de uitvoeringswet gaat volgens planning in het tweede kwartaal van 2027 naar de Tweede Kamer (peildatum november 2026). De volledige tijdlijn staat in de uitleg over de EU AI Act.
Wat staat er in een AI beleid template?
Een AI-beleid voor het mkb bestaat uit negen onderdelen:
| Onderdeel | Wat je vastlegt | Waarom |
|---|---|---|
| 1. Doel en reikwijdte | Voor wie het beleid geldt en voor welk werk | Ook freelancers en stagiairs weten waar ze aan toe zijn |
| 2. Toegestane tools | Welke tools en abonnementen mogen, en hoe je een nieuwe tool aanvraagt | Maakt schaduw-AI zichtbaar |
| 3. Gegevens | Wat er wel, niet en alleen geanonimiseerd in mag | Advies van de AP en de AVG |
| 4. Menselijke controle | Wie output nakijkt voordat die naar buiten gaat | AI maakt fouten; besluiten over personen horen niet alleen bij een systeem (artikel 22 AVG) |
| 5. Transparantie | Wanneer je klanten vertelt dat AI is gebruikt | Artikel 50 AI Act |
| 6. AI-geletterdheid | Introductie, training, test en een overzicht van wie wat heeft gedaan | Artikel 4 AI Act |
| 7. Rollen | Eigenaar van het beleid en een aanspreekpunt | Eén vast adres voor vragen en twijfelgevallen |
| 8. Incidenten | Wat je doet als er iets misgaat en binnen welke termijn | Meldplicht datalekken, artikel 33 AVG |
| 9. Evaluatie | Datum van de volgende herziening | Tools en regels veranderen |
Over transparantie: laten weten dat iemand met AI communiceert is een plicht van de aanbieder van het systeem, en bouw je zelf een AI agent voor je website, dan kun je die aanbieder zijn. Maak je met AI beelden die echt lijken (deepfakes), dan meld je dat. AI-teksten over zaken van algemeen belang meld je, tenzij een mens ze heeft gecontroleerd en er redactioneel verantwoordelijk voor is.
AI beleid voorbeeld: tekst om te kopiëren
Kopieer de tekst hieronder, vul de onderdelen tussen haken in en schrap wat niet bij je bedrijf past. Het voorbeeld is geschreven voor een mkb-bedrijf dat AI-assistenten gebruikt voor teksten, samenvattingen en klantcontact. Laat het bij twijfel nalezen door een jurist.
AI-beleid [Bedrijfsnaam], versie [datum]
1. Doel en reikwijdte. Dit beleid beschrijft hoe we bij [Bedrijfsnaam] AI-tools gebruiken. Het geldt voor iedereen die voor ons werkt: medewerkers, freelancers en stagiairs, op kantoor en thuis.
2. Toegestane tools. Voor werk gebruik je alleen deze tools, met het zakelijke account van het bedrijf: [tool 1 en abonnement], [tool 2 en abonnement]. Persoonlijke en gratis accounts gebruik je niet voor werk. Wil je een nieuwe tool proberen, vraag het dan eerst aan [aanspreekpunt]. Die laat binnen [5 werkdagen] weten of de tool op de lijst komt.
3. Gegevens. In een toegestane tool mag je openbare informatie, je eigen concepten en geanonimiseerde gegevens invoeren. Je voert nooit in: burgerservicenummers, medische gegevens, wachtwoorden en inlogcodes, financiële gegevens van klanten en [vertrouwelijke contracten]. Klantgegevens met naam of contactgegevens voer je alleen in bij tools waarmee we een verwerkersovereenkomst hebben: [tool].
4. Menselijke controle. Je bent zelf verantwoordelijk voor alles wat je met hulp van AI maakt. Controleer feiten, cijfers, namen en bronnen voordat een tekst naar een klant of naar buiten gaat. Beslissingen over personen, zoals sollicitanten, klanten of collega's, neemt altijd een mens.
5. Transparantie. Communiceren klanten rechtstreeks met een AI-systeem van ons, dan maken we bij het eerste contact duidelijk dat het om AI gaat. Beelden, video en audio die met AI zijn gemaakt en echt lijken, vermelden we als AI-gegenereerd. [Optioneel: we vermelden ons AI-gebruik in de privacyverklaring.]
6. AI-geletterdheid. Iedereen die met AI werkt, krijgt binnen [een maand] na de start een introductie in dit beleid en in de tools. We doen jaarlijks [de AI-geletterdheidstest of een training] en houden in [document] bij wie welke training heeft gevolgd.
7. Rollen. Eigenaar van dit beleid is [naam, functie]. Vragen over tools, gegevens of twijfelgevallen stel je aan [naam], via [e-mailadres of kanaal].
8. Incidenten. Heb je per ongeluk gegevens ingevoerd die er niet in horen, of is een fout van AI bij een klant beland? Meld het binnen [24 uur] bij [naam]. Die beoordeelt of het om een datalek gaat en meldt dat zo nodig binnen 72 uur bij de Autoriteit Persoonsgegevens.
9. Evaluatie. We bekijken dit beleid elke [6 maanden] opnieuw, en ook zodra we een nieuwe tool toelaten. Volgende herziening: [datum].
Hoe voer je het AI-beleid in bij je team?
Een beleid werkt als je team het kent en de lijst klopt met wat mensen echt gebruiken. Deze stappen passen in een paar weken:
- Vraag eerst rond. Laat iedereen opschrijven welke AI-tools ze nu gebruiken, ook op hun telefoon. Zo breng je de schaduw-AI in kaart voordat je de lijst vastlegt.
- Kies de tools en abonnementen. Kies per taak één tool met een zakelijk account. Welke abonnementen je invoer niet gebruiken om modellen te trainen, lees je in AI en privacy. Wat je met de aanbieder regelt, staat in AI gebruiken binnen de AVG.
- Bespreek het beleid in een teamoverleg. Loop de gegevensregels door met voorbeelden uit jullie eigen werk.
- Meet de AI-geletterdheid. De gratis AI-geletterdheidstest heeft 55 vragen en geeft bij 70 procent of meer een certificaat. Het resultaat kun je opnemen in je interne overzicht van maatregelen voor artikel 4.
- Zet de herziening in je agenda. Koppel de datum uit onderdeel 9 aan een vaste afspraak.
Veelgestelde vragen
Is een AI-beleid verplicht voor het mkb? Geen wet schrijft een apart document met die naam voor. Artikel 4 van de AI Act vraagt sinds 2 februari 2025 maatregelen voor AI-geletterdheid, en de Autoriteit Persoonsgegevens adviseert vast te leggen welke gegevens medewerkers in AI-tools mogen invoeren. Een AI-beleid is de plek waar je die afspraken vastlegt.
Wat zet je in een AI-beleid? Negen onderdelen: doel en reikwijdte, toegestane tools, welke gegevens erin mogen, menselijke controle van output, transparantie naar klanten, AI-geletterdheid, rollen en aanspreekpunt, incidenten en een herzieningsdatum. Het voorbeeld in dit artikel past op twee A4'tjes.
Wat is schaduw-AI? Schaduw-AI (shadow AI) is AI-gebruik door medewerkers met tools die het bedrijf niet kent of niet heeft goedgekeurd, vaak via een gratis persoonlijk account. Volgens ABN AMRO en MWM2 gebruikt 78 procent van de mkb-bedrijven AI en heeft 9 procent een formeel beleid voor externe AI-tools (juni 2026).
Heb je een certificaat nodig voor AI-geletterdheid? Nee. Volgens de Europese Commissie is voor artikel 4 van de AI Act geen certificaat nodig. Je mag intern bijhouden welke trainingen en andere maatregelen je hebt genomen.
Hoe vaak pas je een AI-beleid aan? Plan een vaste herziening, bijvoorbeeld elke zes maanden, en pas het beleid aan zodra je een nieuwe tool toelaat of de regels veranderen.
Hulp bij je AI-beleid
Wil je eerst zien waar je bedrijf staat met AI? De gratis AI readiness scan heeft 7 vragen. Wil je je eigen AI-gebruik samen met een coach doorlopen, dan kan dat in de 1-op-1 AI training: 3 uur met Tarik Eraslan, vanaf €449 ex btw, met een nazorg-call van 30 minuten.
