AI-beleid opstellen: zo maak je afspraken met je team

Kort antwoord

Een AI-beleid is een kort document met afspraken over welke AI-tools je team mag gebruiken, waarvoor, met welke gegevens en wie het resultaat controleert. Voor een kmo of mkb-bedrijf past het vaak op twee A4'tjes. Je begint met een lijst van de tools die nu al gebruikt worden, en schrijft daarna per tool op wat mag en wat niet.

Dit artikel is praktische uitleg, geen juridisch advies.

Waarom heb je een AI-beleid nodig?

Omdat je team al AI gebruikt, ook als niemand dat officieel heeft besloten. Iemand laat ChatGPT een offerte herschrijven, een ander vat een vergadering samen met een gratis tool, een derde laat een AI-assistent in de browser meelezen. Zonder afspraken weet niemand welke gegevens waar terechtkomen.

Dat heet shadow AI: medewerkers die AI-tools gebruiken zonder dat het bedrijf weet welke, of met welke gegevens. Het probleem is zelden kwade wil. Meestal is het gemak, en een gebrek aan duidelijke regels.

Een AI-beleid helpt je op drie punten tegelijk. Je weet welke persoonsgegevens naar AI-diensten gaan, wat je nodig hebt voor de AVG. Je laat zien welke maatregelen je neemt voor de AI-geletterdheid die de AI Act vraagt. En je klanten weten waar ze aan toe zijn.

Is een AI-beleid verplicht?

Een document met de naam "AI-beleid" staat niet in de wet. Wel vraagt artikel 4 van de AI Act dat je maatregelen neemt om de AI-geletterdheid van je personeel te ondersteunen. Volgens de vragen en antwoorden van de Europese Commissie (gecontroleerd op 31 oktober 2026) is er daarvoor geen certificaat nodig en geen aparte AI-officer of governancestructuur. Een interne vastlegging van je trainingen en afspraken volstaat.

Een AI-beleid is voor een klein bedrijf de eenvoudigste vorm van die vastlegging. Wat AI-geletterdheid precies inhoudt, lees je in AI-geletterdheid: wat de AI Act van je team vraagt. Het bredere verhaal over de wet staat in AI Act voor mkb en kmo.

Wat staat er in een AI-beleid?

Houd het kort en concreet. Een beleid dat niemand leest, beschermt niemand. Deze onderdelen horen erin:

Onderdeel	Wat je vastlegt	Voorbeeld
Toegestane tools	Welke AI-tools mogen, met welk account	ChatGPT Business via het bedrijfsaccount, geen privéaccounts voor werk
Gegevens	Welke gegevens nooit in een AI-tool gaan	Geen namen, adressen, cv's of contracten in een gratis tool
Taken	Waarvoor AI wel en niet gebruikt mag worden	Wel: teksten herschrijven. Niet: beslissingen over sollicitanten
Controle	Wie een AI-resultaat nakijkt voordat het naar buiten gaat	Elke klantmail wordt door een medewerker gelezen en verstuurd
Transparantie	Wanneer je vertelt dat AI is gebruikt	Een chatbot meldt in het eerste bericht dat het AI is
Uitleg	Hoe medewerkers leren werken met de tools	Korte uitleg per tool bij de start, met een lijstje wie wat volgde
Contactpersoon	Bij wie je terecht kunt met vragen	De zaakvoerder of een vaste collega
Herziening	Wanneer je het beleid opnieuw bekijkt	Elk halfjaar, of als er een nieuwe tool bijkomt

Hoe stel je een AI-beleid op in zes stappen?

Vraag rond wat er al gebruikt wordtVraag elke collega welke AI-tools hij of zij gebruikt, met welk account en waarvoor. Zonder oordeel, anders hoor je niet alles.
Deel de tools inMaak drie groepen: toegestaan, toegestaan onder voorwaarden, en niet toegestaan. Kijk daarbij naar het account: een zakelijk abonnement met training standaard uit is iets anders dan een gratis account.
Leg de gegevensregels vastSchrijf op welke gegevens nooit in een AI-tool gaan. Hoe concreter, hoe beter: "geen klantnamen" werkt beter dan "wees voorzichtig met gegevens".
Bepaal waar een mens beslistAlles wat naar een klant gaat of over een persoon beslist, wordt door een mens nagekeken.
Leg uit en schrijf opBespreek het beleid met je team, geef per tool een korte uitleg en noteer wie wat heeft gehad.
Plan een herzieningAI-tools veranderen snel. Zet een datum in je agenda om het beleid elk halfjaar te bekijken.

Uitgeprinte vellen papier en een pen op een vergadertafel, naast een laptop en twee koffiekopjes — Sfeerbeeld: een AI-beleid voor een klein bedrijf past vaak op twee A4'tjes.

Hoe ziet een voorbeeld van een AI-beleid eruit?

Een paar regels uit een beleid zoals ik het voor een klein team zou opschrijven:

We gebruiken voor werk alleen het zakelijke ChatGPT-account van het bedrijf. Privéaccounts gebruiken we niet voor werk.
In geen enkele AI-tool zetten we namen, adressen, telefoonnummers, cv's, contracten of financiële gegevens van klanten of collega's.
AI mag een concept maken. Een medewerker leest het na en verstuurt het zelf.
Over sollicitanten en medewerkers beslist altijd een mens. AI mag hooguit een voorstel doen, met een onderbouwing.
Een chatbot of DM-bot meldt in het eerste bericht dat het AI is, en hoe je een mens spreekt.
Wil je een nieuwe AI-tool gebruiken, vraag het dan eerst aan de contactpersoon.

Hoe je ChatGPT zelf veilig instelt, lees je in ChatGPT veilig gebruiken in je bedrijf.

Hoe zie je die afspraken terug in echte systemen?

De regels uit een AI-beleid gelden ook voor automatiseringen. Ik bouw ze er vanaf het begin in, zodat je ze niet achteraf hoeft te controleren.

Bij metaalbedrijf Almetaal zet een AI-systeem taken in het ERP en een conceptantwoord in Outlook, maar verstuurt een medewerker altijd zelf. Eén mail wordt zo zeven taken, in 2 minuten en 33 seconden. Bij CrossJob gaat alleen de werkervaring uit een cv naar de AI, en kiest een recruiter zelf wie een mail krijgt. Bij DaimoonMedia antwoordt een AI-verkoper zelf, maar gaan grote budgetten altijd naar eigenaar Tom, en zet hij met één knop alles op pauze. In twee weken gingen er meer dan 1.700 mails door dat systeem.

Hoe je zulke grenzen bij een AI-agent regelt, lees je in AI-agents veilig inzetten. Wil je er een laten bouwen, kijk dan bij AI-agent laten bouwen. Over de privacykant gaat Is AI-automatisering AVG-proof?

Kan ik een AI-beleid laten genereren?

Ja. Daarvoor bouwde ik AuditAI, eigen software voor EU AI Act-compliance voor mkb en kmo. Je registreert welke AI-tools je gebruikt en krijgt per tool een risicoklasse, met verwijzing naar de wettekst. AuditAI maakt daarna het AI-beleid, een DPIA en een FRIA als Word-bestand, en heeft een training AI-geletterdheid met certificaat. Je vindt AuditAI op de homepage, bij "Ook van mijn hand".

Een gegenereerd beleid is een goed vertrekpunt. Loop het wel samen met je team door, want de afspraken moeten passen bij hoe jullie echt werken.

Wil je eerst weten welke AI-toepassingen in jouw bedrijf zin hebben? Op AI-automatisering op maat lees je hoe ik werk. Stuur me een WhatsApp of plan een gratis videocall.

Veelgestelde vragen

Wat is een AI-beleid?

Een AI-beleid is een kort document met afspraken over welke AI-tools je team mag gebruiken, waarvoor, met welke gegevens en wie het resultaat controleert. Voor een klein bedrijf past het vaak op twee A4'tjes.

Is een AI-beleid verplicht onder de AI Act?

Een document met die naam is niet verplicht. Wel moet je maatregelen nemen om de AI-geletterdheid van je personeel te ondersteunen. Volgens de Europese Commissie volstaat een interne vastlegging, en is een certificaat niet nodig. Een AI-beleid is daar een eenvoudige vorm van.

Wat is shadow AI?

Shadow AI is het gebruik van AI-tools door medewerkers zonder dat het bedrijf weet welke tools, of met welke gegevens. Meestal gebeurt het uit gemak. Een AI-beleid met duidelijke regels en een toegestaan zakelijk account maakt het zichtbaar.

Hoe vaak pas je een AI-beleid aan?

Bekijk het elk halfjaar, en ook als er een nieuwe tool bijkomt of een abonnement verandert. AI-tools en hun instellingen veranderen snel.

Alles over AI-automatisering

Jurgen Claassens bouwt AI-automatiseringen voor ondernemers, mkb en kmo. Vijftien jaar operations bij Vattenfall, daarna mede-eigenaar van sales- en marketingbureaus. Bekijk zijn projecten.