De meeste organisaties hebben geen AI-beleid. Wat ze wel hebben, is AI-gebruik — verspreid over privé-accounts, ongedocumenteerd, en met data waarvan niemand weet waar die terechtkomt.
Een AI-beleid is geen wettelijke verplichting op zich. Je vindt in de AI Act geen artikel dat zegt “gij zult een beleidsdocument hebben”. Maar het is wel de manier waarop je in de praktijk aantoont dat je aan de AI-geletterdheidsplicht voldoet, dat je de transparantieregels van 2 augustus 2026 respecteert, en dat je de GDPR niet uit het oog verliest.
Belangrijker nog: het is de goedkoopste manier om de fouten te voorkomen die echt geld kosten.
In dit artikel: de acht regels die in elk AI-beleid horen, een structuur die je kunt overnemen, en de valkuilen die zo’n document doen belanden in een map die niemand opent.
Waarom twee pagina’s beter werken dan twintig
Ik zie regelmatig AI-beleidsdocumenten van vijftien tot dertig pagina’s, meestal gekocht als template of overgenomen van een groot bedrijf. Ze zijn juridisch waterdicht en praktisch waardeloos, om één reden: niemand leest ze.
Een beleid dat werkt, kan een medewerker in vijf minuten lezen en de dag erna nog navertellen. Alles wat langer is, verplaatst het probleem van “we weten het niet” naar “we hebben het opgeschreven maar we weten het nog steeds niet”.
Voor een kmo tot ongeveer honderd medewerkers is twee pagina’s genoeg. Groeit de organisatie of wordt AI kernbedrijfsvoering, dan kun je later verdiepen — maar begin licht.
De 8 regels die erin horen
1. Welke tools zijn goedgekeurd — en welke niet
Begin met een concrete lijst. Niet “AI-tools met een adequaat beschermingsniveau”, maar de namen: welke tools mag men gebruiken, in welke versie, en via welk account.
Het onderscheid dat hier het meeste uitmaakt, is dat tussen consumentenversies en zakelijke versies. Bij een gratis of persoonlijk account is er doorgaans géén verwerkersovereenkomst beschikbaar en mag je data soms voor training worden gebruikt. Bij een zakelijk abonnement met verwerkersovereenkomst en uitgeschakelde datatraining ligt dat anders.
Voeg er één zin aan toe die veel gedoe voorkomt: “Staat een tool niet op deze lijst, vraag het dan aan [naam] voor je hem gebruikt.”
2. Welke data er nooit in mag
De belangrijkste regel van je hele beleid, en de enige die medewerkers echt moeten onthouden.
Wees concreet in plaats van categorisch. “Geen vertrouwelijke informatie” betekent voor iedereen iets anders. Dit werkt beter:
- Klantgegevens: namen, adressen, e-mailadressen, telefoonnummers, klantenbestanden
- Personeelsgegevens: cv’s, evaluaties, ziektebriefjes, loongegevens
- Gezondheidsgegevens en andere bijzondere categorieën
- Financiële en contractuele informatie: offertes, prijszettingen, onderhandelingen
- Broncode en technische documentatie van eigen of klantsystemen
- Alles wat onder een geheimhoudingsovereenkomst valt
En geef de uitweg mee, want anders wordt de regel omzeild: leg uit hoe je een tekst anonimiseert voor je hem in een tool plakt, of welke goedgekeurde omgeving er wél mag met dit soort data.
3. Wie beslist over nieuwe tools
Eén naam, één e-mailadres, en een toezegging over de reactietermijn. Zonder duidelijk aanspreekpunt ontstaat schaduwgebruik: mensen die iets nodig hebben, wachten niet.
Geef die persoon ook een kort beoordelingskader: waar staat de data, is er een verwerkersovereenkomst, wordt de input gebruikt voor training, en wat gebeurt er bij opzegging. Vier vragen volstaan voor de meeste beslissingen.
4. Output controleren voor gebruik
Taalmodellen voorspellen taal; ze zoeken geen feiten op. Dat verklaart vrijwel alle problemen die ontstaan wanneer output ongecontroleerd naar buiten gaat: verzonnen bronnen, verouderde cijfers, wetsartikelen die niet bestaan.
Schrijf op wie waarvoor verantwoordelijk is. Een werkbare formulering: “Wie AI-output gebruikt, is verantwoordelijk voor de juistheid ervan. Feiten, cijfers, citaten en bronnen worden geverifieerd voor publicatie of verzending naar een klant.”
Dit is niet alleen kwaliteitsbeheer. Het is ook de manier waarop je onder de labelplicht voor gepubliceerde AI-teksten uitkomt — daarover meer bij regel 6.
5. Geen AI voor beslissingen over mensen
Sollicitanten rangschikken, prestaties beoordelen, kredietwaardigheid inschatten, klanten weigeren: hier komen de AI Act en de GDPR samen, en hier wordt het duur.
Zulke toepassingen vallen in de AI Act vaak in de categorie hoog risico, met een zwaar verplichtingenpakket vanaf december 2027. En onder de GDPR heeft iemand het recht niet onderworpen te worden aan een uitsluitend geautomatiseerd besluit met aanmerkelijke gevolgen.
Voor de meeste kmo’s is de verstandigste regel eenvoudig: AI mag ondersteunen bij beslissingen over mensen, maar niet beslissen. Wil je verder gaan, laat het dan vooraf beoordelen — dit is niet het onderwerp om achteraf recht te zetten.
6. Transparantie bij publicatie
Sinds 2 augustus 2026 gelden de transparantieverplichtingen van artikel 50. Vertaal ze naar drie praktische afspraken:
- Chatbots melden zich. Wie een AI-assistent op de website of in de klantendienst inzet, zorgt dat de bezoeker dat bij de eerste boodschap weet.
- Deepfakes worden gelabeld. Publiceer je AI-beeld, -geluid of -video dat lijkt op bestaande personen, plaatsen of gebeurtenissen en echt zou kunnen ogen, dan zet je er een zichtbaar of hoorbaar label bij.
- Gepubliceerde teksten over onderwerpen van algemeen belang krijgen een menselijke review. Dat is de uitzondering op de labelplicht, en meteen de beste kwaliteitscontrole. Let op: een spellingcontrole telt uitdrukkelijk niet als review — het moet om een inhoudelijke beoordeling gaan door iemand met kennis van zaken.
7. Wat te doen als het misgaat
Er gaat iets mis. Iemand plakt per ongeluk een klantenbestand in een chatbot, of er verschijnt een fout in een gepubliceerde tekst.
Zet in je beleid bij wie men dat meldt en binnen welke termijn. En — dit is het deel dat werkt — zet erbij dat melden geen sanctie oplevert. Een medewerker die bang is voor de gevolgen, meldt niets, en dan hoor je het pas als het te laat is.
Ging er persoonsgegevens de verkeerde kant op, dan zit je mogelijk in datalekgebied, met een meldingstermijn van 72 uur richting de Gegevensbeschermingsautoriteit. Dat is een reden te meer om de drempel om te melden zo laag mogelijk te houden.
8. Wanneer het beleid herzien wordt
Zet er een datum op en een eigenaar. Eén keer per jaar herzien, plus telkens wanneer je een nieuwe tool invoert of wanneer de regelgeving verandert.
Dit klinkt als administratieve franje, maar het is precies wat je aan een toezichthouder toont: niet dat je ooit iets hebt opgeschreven, maar dat je het onderhoudt.
De structuur van je AI-beleid
Een indeling die in de praktijk goed werkt. Reken op twee pagina’s.
| Onderdeel | Inhoud | Omvang |
|---|---|---|
| 1. Waarom dit document | Twee zinnen: we gebruiken AI, we willen dat veilig en correct doen | 2 regels |
| 2. Voor wie het geldt | Medewerkers, freelancers, stagiairs — iedereen die namens ons met AI werkt | 2 regels |
| 3. Goedgekeurde tools | Naam, versie, waarvoor, via welk account | Tabel |
| 4. Wat er nooit in mag | De concrete lijst uit regel 2, plus hoe je anonimiseert | 10 regels |
| 5. Controle van output | Wie verantwoordelijk is, wat er geverifieerd wordt | 4 regels |
| 6. Beslissingen over mensen | Wat mag ondersteunen, wat niet mag beslissen | 4 regels |
| 7. Publiceren met AI | Chatbot, deepfakes, teksten over algemeen belang | 6 regels |
| 8. Nieuwe tools aanvragen | Bij wie, hoe, binnen welke termijn | 3 regels |
| 9. Als het misgaat | Bij wie melden, binnen welke termijn, geen sanctie op melden | 4 regels |
| 10. Beheer | Eigenaar, versie, datum, herzieningsmoment | 3 regels |
Voeg als bijlage je toolinventaris toe: welke AI-tools draaien er, wie gebruikt ze, waarvoor, en of er een verwerkersovereenkomst is. Die bijlage werk je vaker bij dan het beleid zelf.
De GDPR-laag eronder
Lees ook: Geldt de GDPR ook voor mijn kleine onderneming?
Een AI-beleid dat de privacykant negeert, is een halve oplossing. Zodra er persoonsgegevens in een AI-tool gaan, heb je drie dingen nodig.
- Een verwerkingsgrond. Meestal gerechtvaardigd belang of uitvoering van een overeenkomst — zelden toestemming, want die is bij medewerkers en klanten lastig vrij te geven.
- Een verwerkersovereenkomst met de leverancier. Die is bij gratis consumentenversies doorgaans niet beschikbaar. Meer daarover in wanneer een verwerkersovereenkomst verplicht is.
- Een vermelding in je verwerkingsregister. Elke AI-tool die persoonsgegevens verwerkt, hoort daarin te staan.
Staat de tool op Amerikaanse servers, dan komt de vraag over internationale doorgifte erbij. Dat is een apart gesprek, maar wel één dat je beter voert vóór je een tool uitrolt dan erna. In ChatGPT en AI-tools GDPR-conform gebruiken ga ik daar dieper op in.
Vier fouten die je beleid onbruikbaar maken
- Een verbod op alles. “AI-gebruik is niet toegestaan” leidt niet tot minder AI-gebruik, maar tot AI-gebruik dat je niet ziet. Verbieden werkt alleen als je een goed alternatief aanbiedt.
- Vage taal. “Gebruik AI verantwoord” en “wees voorzichtig met gevoelige data” zijn geen regels. Ze verschuiven de beoordeling naar de medewerker, die precies de context mist om ze te maken.
- Eenmalig rondsturen. Een beleid dat één keer in een e-mail passeert, bestaat na drie maanden niet meer. Koppel het aan je onboarding en aan de jaarlijkse sessie uit je AI-geletterdheidsprogramma.
- Geen inventaris. Zonder overzicht van welke tools er draaien, schrijf je regels voor een situatie die je niet kent. Begin altijd met de inventaris, niet met het document.
Veelgestelde vragen
Is een AI-beleid wettelijk verplicht?
Niet als afzonderlijk document. Wel is het de praktische manier om aan te tonen dat je aan de AI-geletterdheidsplicht en de transparantieverplichtingen voldoet, en om je GDPR-verantwoordingsplicht in te vullen. Toezichthouders vragen naar documentatie, niet naar intenties.
Kan ik een template van het internet gebruiken?
Als startpunt: prima. Maar een template kent jouw tools niet, jouw datastromen niet en jouw organisatie niet. De twee onderdelen die je zelf moet invullen — de lijst met goedgekeurde tools en de lijst met data die er nooit in mag — zijn precies de onderdelen die een template niet voor je kan doen. En dat zijn de twee die er echt toe doen.
Moet dit in het arbeidsreglement?
Wil je er tuchtrechtelijke gevolgen aan koppelen, dan is opname in het arbeidsreglement in België doorgaans nodig, met de bijhorende procedure en overlegverplichtingen. Wil je vooral duidelijkheid scheppen, dan volstaat een intern beleidsdocument. Bespreek dit met je sociaal secretariaat voor je iets sanctioneerbaar maakt.
Wij zijn met drie. Is dit niet overdreven?
Bij drie mensen kun je het tot één pagina terugbrengen: goedgekeurde tools, wat er nooit in mag, wie beslist, en wie controleert. Dat is een uur werk en het voorkomt precies dezelfde fouten als bij een groter bedrijf. De kans op een fout is niet kleiner omdat je klein bent — alleen de impact is beter te overzien.
Hoe vaak moet ik het bijwerken?
Het beleid zelf: jaarlijks, plus bij regelgevingswijzigingen. De toolinventaris in de bijlage: telkens wanneer er een tool bijkomt of afvalt. In de praktijk is dat elk kwartaal even bijhouden.
Kort samengevat
Een AI-beleid is geen juridisch monument maar een werkdocument. Twee pagina’s met acht duidelijke regels doen meer dan dertig pagina’s die niemand leest.
Begin met de inventaris: welke tools draaien er en wie gebruikt ze. Schrijf daarna op welke tools mogen, welke data er nooit in gaat, wie beslist, wie controleert, en wat er gebeurt als het misgaat. Koppel het aan je AI-geletterdheidssessie en herzie het jaarlijks.
Wil je de bredere context begrijpen, lees dan de AI Act uitgelegd in gewone taal. En wil je weten of je privacybasis op orde is voor je AI erbovenop zet: doe de gratis GDPR-scan.
Liever samen doorlopen? Bekijk mijn aanpak rond privacy en AI of stuur me je situatie door. Je krijgt binnen 24 uur een eerste inschatting, gratis en zonder verplichtingen.
Feiten laatst gecontroleerd op 30 juli 2026. Dit artikel is algemene informatie en geen juridisch advies over jouw specifieke situatie. Voor de arbeidsrechtelijke inbedding van een AI-beleid raadpleeg je best je sociaal secretariaat.
