AI-beleid opstellen: welke afspraken maakt u?

Een AI-beleid is een korte set afspraken.

Een goed AI-beleid zegt welke AI-diensten medewerkers mogen gebruiken, welke gegevens erin mogen, wie de uitkomst controleert en wie eigenaar is van elke toepassing. Het is geschreven voor de mensen die ermee werken. Een document dat niemand leest, verandert niets aan het werk.

Begin bij het gebruik dat er al is. Medewerkers gebruiken AI vaak al voordat er afspraken zijn: het ene team laat notulen samenvatten, een ander test een tool van een leverancier. Een beleid dat dat gebruik negeert, komt te laat.

Wat er in een AI-beleid staat.

Sprezzatura gebruikt deze voorbeeldopzet als startpunt. Elke organisatie vult hem anders in.

1. Doel en reikwijdte. Voor wie het beleid geldt en welke soorten AI eronder vallen: chatdiensten, AI in software die u al gebruikt en tools van leveranciers.
2. Toegestane diensten. Een lijst van goedgekeurde diensten en accounts, en de route om een nieuwe dienst aan te vragen. Houd deze lijst apart bij, zodat het beleid zelf niet bij elke wijziging opnieuw langs de directie hoeft.
3. Gegevens. Welke gegevens wel en niet in een AI-dienst mogen, bijvoorbeeld persoonsgegevens van klanten of vertrouwelijke dossiers. Stem dit af met de verantwoordelijken voor privacy en informatiebeveiliging.
4. Controle van de uitkomst. Wat een medewerker nakijkt voordat een AI-uitkomst gebruikt wordt, en bij welke beslissingen een mens altijd het laatste woord heeft.
5. Rollen. Wie eigenaar is van een toepassing, wie die gebruikt, wie de uitkomst controleert en wie toegang en beveiliging regelt.
6. Uitleg per rol. Wat elke rol moet weten om goed met AI te werken, en hoe die uitleg wordt gegeven.
7. Melden. Waar een medewerker een fout, een incident of een nieuwe toepassing meldt.
8. Onderhoud. Wie het beleid bijwerkt, en wanneer: bij elke nieuwe toepassing en op een vast moment per jaar.

Wie besluit wat.

De directie stelt de kaders vast: welke risico's de organisatie accepteert en wie eindverantwoordelijk is. De eigenaar van een proces besluit hoe AI binnen dat proces wordt gebruikt. IT regelt toegang en beveiliging. De verantwoordelijken voor privacy en informatiebeveiliging toetsen welke gegevens erin mogen. Medewerkers die dagelijks met AI werken, laten zien waar het werk echt verandert.

Schrijf het beleid daarom met een kleine groep uit deze rollen, niet alleen vanuit juridische zaken of IT. Op de pagina over AI-implementatie staat hoe directie, proceseigenaar, gebruikers en IT de verantwoordelijkheid verdelen.

Een verbod zonder alternatief werkt zelden.

Verbiedt u AI zonder een goedgekeurde dienst aan te bieden, dan gaat het gebruik vaak door op privéaccounts. Dan ziet niemand meer welke gegevens erin gaan. Een beter begin is één toegestane dienst met duidelijke grenzen voor gegevens en controle. Daarna breidt u uit, per toepassing.

AI-geletterdheid hoort erbij.

Sinds 2 februari 2025 geldt artikel 4 van de AI-verordening over AI-geletterdheid. Sinds 27 juli 2026 vraagt dat artikel organisaties die AI aanbieden of gebruiken om maatregelen te nemen die de AI-geletterdheid ondersteunen van hun medewerkers en anderen die namens hen met AI werken. Een bepaald kennisniveau per persoon hoeven ze niet te garanderen. Een certificaat of een verplichte training is volgens de Europese Commissie niet vereist.

Wat passend is, hangt af van de technische kennis, ervaring en opleiding van de mensen die met AI werken, van de context waarin AI wordt ingezet en van de mensen op wie het effect heeft. De Autoriteit Persoonsgegevens raadt een meerjarige aanpak aan en adviseert de aanpak en de voortgang intern te documenteren.

Een AI-beleid met uitleg per rol is een praktische plek om bij te houden wat u daarvoor doet. Sprezzatura geeft geen juridisch advies. Voor juridische vragen verwijzen we u naar uw eigen jurist. Meer over de wettelijke context leest u op de pagina AI-gebruik beheersbaar maken.

Bronnen: Verordening (EU) 2026/1744 op EUR-Lex en Europese Commissie, AI literacy: questions and answers.

Zo begint u.

1. Breng het gebruik in kaart. Vraag per team welke AI-diensten het gebruikt, waarvoor en met welke gegevens.
2. Kies de toegestane diensten en de grenzen voor gegevens. Begin met wat nu al gebruikt wordt en wat het meeste risico geeft.
3. Leg rollen en controles vast per toepassing. Eén eigenaar per toepassing, en een duidelijke afspraak over wat iemand nakijkt.
4. Geef uitleg per rol en plan het onderhoud. Spreek af wie het beleid bijwerkt en wanneer.

Hoort het AI-beleid bij een bredere vraag over waar u met AI begint, dan neemt de gratis AI-roadmap de risico's, rollen en open beslissingen mee. Gaat het om een toepassing die van een pilot naar meerdere teams moet, lees dan Van een AI-pilot naar gebruik over teams heen.

Veelgestelde vragen.