Voor wie: directeuren en eigenaren van een MKB-bedrijf die willen vastleggen hoe er met AI gewerkt wordt — omdat het moet, of omdat het verstandig is, of allebei.
AI-beleid opstellen: wat erin moet en wat niet
Een beleidsstuk dat niemand leest, beschermt niemand. Dit is de korte versie die je team wel gebruikt.
Kort antwoord: Bij AI-beleid opstellen gaat het om zeven dingen: welke tools zijn goedgekeurd, welke gegevens mogen er niet in, wie controleert de output, wat doe je bij twijfel, wat je klanten mag weten, wie verantwoordelijk is, en wanneer je het herziet. Meer is meestal ballast. Voor een MKB-bedrijf past dat op één A4, en dat A4 werkt beter dan een beleidsstuk van twaalf pagina's — want het wordt gelezen. Zet het op papier, bespreek het één keer in een werkoverleg, leg vast dát je dat gedaan hebt, en zet er een herzieningsdatum op.
Waarom één A4 en geen twaalf pagina's
De meeste AI-beleidstukken die ik tegenkom zijn geschreven om een dossier te vullen, niet om gevolgd te worden. Ze openen met een definitie van kunstmatige intelligentie, gaan verder met ethische uitgangspunten, en komen ergens op pagina zeven bij de vraag die de medewerker daadwerkelijk heeft: mag ik dit klantbestand in ChatGPT plakken?
Dat is niet alleen zonde van de tijd. Het is contraproductief, want een medewerker die het antwoord niet binnen dertig seconden vindt, beslist zelf. En dan zit je bij de situatie waar de Autoriteit Persoonsgegevens voor waarschuwt: iemand voert tegen de afspraken in gegevens in een chatbot in, en dan is het een datalek.
De vuistregel die werkt: je beleid is zo lang als iemand het in de rij bij de koffieautomaat kan lezen. Alles wat langer is, hoort in een bijlage die niemand hoeft te kennen.
De zeven onderdelen
Dit is wat er echt in hoort. Nummer 2 en 3 zijn de belangrijkste; de rest is randvoorwaarde.
- Welke tools zijn goedgekeurd — en op welk account. Niet alleen "ChatGPT mag", maar "ChatGPT via het zakelijke account dat je van ons krijgt". Het verschil tussen een gratis consumentenversie en een zakelijk account bepaalt of er op jullie invoer getraind wordt.
- Welke gegevens er niet in mogen. Concreet en met voorbeelden uit jullie eigen werk. "Geen persoonsgegevens" is te abstract; "geen klantnamen, geen dossiers, geen loongegevens, geen contracten" is duidelijk.
- Wie de output controleert. AI-output gaat nooit ongelezen naar buiten. Wie het gebruikt, is verantwoordelijk voor wat erin staat — ook als het model het verzon.
- Wat je doet bij twijfel. Eén naam en één manier om die te bereiken. Zonder dit punt wordt elke grensvraag een eigen interpretatie.
- Wat klanten mogen weten. Gebruik je AI in klantcommunicatie of in een offerte, spreek dan af of en hoe je dat vermeldt.
- Wie er verantwoordelijk is. Eén persoon, bij naam. Niet "de directie" en niet "IT".
- Wanneer je het herziet. Eén regel. Elk halfjaar is genoeg, mits je het dan ook doet.
Wat je beter weglaat
Drie dingen die veel voorkomen en zelden helpen.
Een definitie van AI
Je medewerkers weten wat ChatGPT is. Een alinea over "systemen die menselijke intelligentie simuleren" kost een halve pagina en verandert geen enkel gedrag.
Een verbod dat je niet handhaaft
"AI mag niet gebruikt worden" is een geldig standpunt, maar alleen als je het meent en controleert. Zo niet, dan krijg je het slechtste van twee werelden: mensen gebruiken het toch, en nu ook nog buiten je zicht — met de risico's van dien.
Een opsomming van ethische principes
Transparantie, eerlijkheid en menselijke controle zijn goede uitgangspunten. Ze horen alleen thuis in de manier waarop je de zeven punten hierboven invult, niet als aparte lijst. Een principe zonder handeling is decoratie.
Hoe het eruitziet
Ter illustratie: dit is de kern van zo'n A4, in de vorm waarin het leesbaar blijft. De invulling verschilt per bedrijf.
| Vraag | Antwoord bij ons |
|---|---|
| Welke tools? | Alleen via het zakelijke account dat je van ons krijgt. Andere tools eerst overleggen. |
| Wat mag er niet in? | Klantnamen en -dossiers, personeelsgegevens, contracten, alles met een BSN. |
| Wat mag wél? | Eigen teksten, openbare informatie, geanonimiseerde voorbeelden, interne procedures. |
| Wie controleert? | Degene die het gebruikt. Jij bent verantwoordelijk voor wat je verstuurt. |
| Twijfel? | Vraag het [naam]. Liever één keer te veel dan één keer te weinig. |
| Herzien | Elk half jaar, eerstvolgend: [datum]. |
Zes regels. Dat is het. Wat een medewerker moet weten om zijn werk goed te doen, past hierin — en wat erbuiten valt, is een gesprek en geen document.
Invoeren zonder dat het verdwijnt
Het schrijven is het makkelijke deel. Beleid dat in een gedeelde map belandt, is na drie weken onvindbaar. Wat wel werkt:
- Bespreek het één keer mondeling. Twintig minuten in een werkoverleg, met ruimte voor de vraag "en als ik nou…". Die vragen zijn waardevoller dan het document zelf, want ze laten zien waar de grens onduidelijk is.
- Leg vast dat je het besproken hebt. Een presentielijst of een e-mail. Dat heb je nodig voor je verantwoording onder de AI Act.
- Zet het waar het werk gebeurt. Niet alleen in de personeelsmap, maar op de plek waar mensen met AI werken.
- Herhaal het bij nieuwe mensen. Anders geldt het alleen voor wie er die ene woensdag bij was.
Punt 3 is waar de meeste bedrijven het laten liggen, en waar het meeste te winnen valt. Zolang de afspraken in een los document staan, moet iedereen ze onthouden. Zitten ze in het systeem waarmee gewerkt wordt — in de instructies van de assistent, in de werkwijzen die zijn vastgelegd — dan gelden ze vanzelf, ook voor de volgende toepassing die je erbij bouwt. Dat is het idee achter een AI Operating System: je legt het één keer vast en het geldt overal.
Verhouding tot de AI Act
Een AI-beleid en de geletterdheidsplicht uit de AI Act worden vaak als twee klussen verkocht. Dat zijn ze niet. Het beleid is het document; de geletterdheid is dat je mensen het begrijpen en toepassen. Wie het beleid opstelt, bespreekt en vastlegt dat hij het besproken heeft, doet beide tegelijk.
Wat er precies verplicht is, per wanneer, en welk dossier je bij een controle nodig hebt, staat in AI-geletterdheid verplicht: wat je vóór 2 augustus regelt. En voor de vraag welke gegevens er nu echt niet in mogen — met de voorbeelden van de Autoriteit Persoonsgegevens erbij — zie bedrijfsgegevens en AI.