AI-beleid opstellen: zo schrijft u een AI-gebruiksbeleid

De opbouw van een AI-gebruiksbeleid in twaalf onderdelen

Per onderdeel staat wat erin hoort. Bij de onderdelen die in de praktijk het lastigst zijn, staat een voorbeeldbepaling. Vervang de teksten tussen vierkante haken door uw eigen gegevens.

1. Doel en reikwijdte

Leg uit waarom het beleid er is en voor wie het geldt: werknemers, uitzendkrachten, zzp’ers, stagiairs en iedereen die namens de organisatie AI gebruikt. Neem alle soorten AI mee, niet alleen chatbots: codeassistenten, transcriptie, beeldgeneratoren en AI-functies in bestaande software.

Voorbeeld: “Dit beleid geldt voor alle medewerkers, ingehuurde krachten en andere personen die in hun werk voor [Organisatie] AI-tools gebruiken, ongeacht de afdeling en ongeacht of de tool door [Organisatie] wordt geleverd, onderdeel is van gelicentieerde software of via een privéaccount wordt gebruikt.”

2. Goedgekeurde tools

Noem de toegestane tools en voor welke informatieklassen ze gebruikt mogen worden, of verwijs naar een actuele lijst op intranet. Wees specifiek over zakelijke versies: de Copilot-licentie in uw Microsoft 365-tenant, niet de gratis consumentenversie. Beschrijf hoe iemand een nieuwe tool aanvraagt en wie goedkeurt. Haal de lijst uit uw interne AI-register, zodat beide nooit uit elkaar lopen; hoe u dat opzet staat in onze blog over een eigen AI-register en schaduw-AI.

Voorbeeld: “Gebruik voor werk uitsluitend tools die op de lijst Goedgekeurde AI-tools staan. Een nieuwe tool vraagt u aan bij [AI-verantwoordelijke] via [formulier]. Goedkeuring volgt pas na een beoordeling op beveiliging, privacy en leverancier.”

3. Informatieclassificatie: wat er nooit in mag

Dit onderdeel voorkomt de meeste incidenten. Koppel uw bestaande informatieklassen (bijvoorbeeld openbaar, intern, vertrouwelijk, geheim) aan AI-regels en som op wat in niet-goedgekeurde tools absoluut verboden is.

Voorbeeld: “Voer nooit het volgende in een AI-tool in, tenzij die tool schriftelijk is goedgekeurd voor die informatieklasse: wachtwoorden, API-sleutels of andere inloggegevens; persoonsgegevens van klanten, burgers of collega’s; bijzondere persoonsgegevens zoals gezondheid of biometrie; burgerservicenummers; betaalgegevens; niet-openbare financiële cijfers; vertrouwelijke broncode; stukken onder geheimhoudingsplicht of een NDA.”

4. Controle van output en verantwoordelijkheid

Maak duidelijk dat wie AI gebruikt, eigenaar blijft van het resultaat. Output wordt gecontroleerd op juistheid, vooringenomenheid, auteursrecht en geschiktheid voordat het wordt gebruikt of gedeeld. Besluiten over mensen vragen extra zorg.

Voorbeeld: “U bent verantwoordelijk voor al het werk dat u met hulp van AI maakt. Controleer feiten, cijfers, bronnen en code voor gebruik. AI-output is nooit de enige basis voor een besluit over iemands aanstelling, krediet, uitkering, toegang tot een dienst of rechtspositie; een bevoegde medewerker beoordeelt de uitkomst en kan die wijzigen.”

5. Verboden gebruik

Noem wat nooit mag. Begin met de verboden AI-praktijken uit artikel 5 die in een organisatie realistisch kunnen voorkomen en vul aan met uw eigen grenzen:

• emotieherkenning bij medewerkers, zoals sentimentanalyse van videovergaderingen, behalve om medische of veiligheidsredenen;
• biometrische categorisering die gevoelige kenmerken afleidt, zoals etniciteit, politieke opvattingen of seksuele geaardheid;
• manipulatieve of misleidende technieken die iemands gedrag wezenlijk verstoren en aanzienlijke schade kunnen veroorzaken, of die kwetsbaarheden door leeftijd, beperking of sociaaleconomische situatie uitbuiten;
• social scoring die leidt tot ongerechtvaardigde nadelige behandeling;
• het maken van seksueel getinte beelden van herkenbare personen zonder toestemming, of van materiaal van seksueel kindermisbruik;
• eigen grenzen, zoals je voordoen als een bestaand persoon, discriminerende content maken, beveiliging omzeilen of AI het laatste woord geven over aanname of ontslag.

6. Transparantie en AI-melding

Leg vast wanneer medewerkers moeten melden dat AI is gebruikt. Artikel 50 vraagt dat mensen weten dat ze met een AI-systeem communiceren als dat niet evident is, en dat deepfakes en AI-tekst over zaken van algemeen belang die zonder redactionele controle worden gepubliceerd, als zodanig worden aangeduid. De uitzonderingen staan in ons artikel over artikel 50 en het AI-label.

Voorbeeld: “Chatbots en spraakassistenten die met klanten of burgers praten, melden aan het begin van het gesprek dat zij een AI-systeem zijn. Beeld, video en audio die met AI zijn gemaakt of ingrijpend bewerkt en die bestaande personen, plaatsen of gebeurtenissen weergeven, krijgen vóór publicatie een AI-label.”

7. Auteursrecht en geheimhouding

Beschrijf wie eigenaar is van output, het risico dat AI beschermd materiaal reproduceert en hoe u de vertrouwelijkheid van klanten bewaakt. Vraag om controle van licentievoorwaarden bij gegenereerde code en beelden. Overheidsorganisaties houden daarnaast rekening met hun geheimhoudingsplichten en met de Woo en de Archiefwet: prompts en AI-output kunnen zelf overheidsinformatie zijn.

8. Beveiliging en schaduw-AI

Verbied privéaccounts voor werk en niet-goedgekeurde browserextensies of plug-ins die pagina-inhoud lezen. Eis single sign-on waar dat kan. Leg uit waarom: consumentenvoorwaarden staan de aanbieder soms toe te trainen op wat u invoert, en er is geen logging.

Voorbeeld: “Gebruik geen privéaccounts van AI-diensten voor werk voor [Organisatie] en installeer geen AI-extensies, plug-ins of vergaderbots die niet op de lijst Goedgekeurde AI-tools staan. IT kan niet-goedgekeurde tools blokkeren of verwijderen.”

9. Incidenten melden

Definieer wat een AI-incident is: vertrouwelijke informatie in een niet-goedgekeurde tool, een schadelijk of discriminerend antwoord, een chatbot die klanten verkeerd informeert. Laat melden via de bestaande route voor beveiligingsincidenten. Raakt het persoonsgegevens, dan kan het een datalek zijn dat u binnen 72 uur bij de AP moet melden. Maak het veilig om eerlijke fouten te melden, anders meldt niemand.

10. AI-geletterdheid en training

Eis een rolgerichte training voordat iemand toegang krijgt en herhaal die periodiek. Rollen met meer risico, zoals een recruiter met een selectietool of een acceptant die een kredietmodel gebruikt, krijgen verdieping. Leg deelname en inhoud vast; de AP adviseert in haar handreikingen over AI-geletterdheid een meerjarig actieplan.

11. Rollen en verantwoordelijkheden

Benoem de eigenaar van het beleid (vaak de CISO of een AI-verantwoordelijke), wie tools goedkeurt, wie privacyvragen beantwoordt (de functionaris gegevensbescherming) en wat leidinggevenden doen. Zonder namen volgt niemand het op.

12. Herziening en naleving

Leg een herzieningsdatum vast, minstens jaarlijks en vaker zolang techniek en regels snel veranderen. Vermeld dat overtredingen via de gewone procedures worden afgehandeld en houd een versiegeschiedenis bij.

Doe en doe niet: het beleid op één pagina

Veel organisaties voegen een samenvatting op één A4 toe. Deze tabel werkt goed in het introductieprogramma voor nieuwe collega’s.

Zo voert u het AI-gebruiksbeleid in

1. Begin bij wat er al gebruikt wordt. De lijst met goedgekeurde tools moet de werkelijkheid weerspiegelen, anders wordt hij genegeerd. Inventariseer eerst kort welke AI-tools in omloop zijn.
2. Beoordeel leveranciers voordat u goedkeurt. Kijk per tool naar datagebruik, bewaartermijn, opslaglocatie, beveiliging en modelwijzigingen. Met een vaste vragenlijst voorkomt u dat elke beoordeling anders uitpakt.
3. Test het concept op echte gebruikers. Laat iemand van sales, HR, development en finance het lezen en vraag of de regels passen bij hun werk. Herschrijf wat verkeerd wordt begrepen.
4. Betrek de ondernemingsraad op tijd. Een onderneming met in de regel 50 of meer werknemers moet een ondernemingsraad hebben. Volgens artikel 27 van de Wet op de ondernemingsraden heeft de OR instemmingsrecht bij onder meer een regeling over het verwerken en beschermen van persoonsgegevens van werknemers (lid 1, onder k), een regeling over voorzieningen die geschikt zijn om aanwezigheid, gedrag of prestaties te volgen (onder l) en een regeling over personeelsopleiding (onder f). Een AI-gebruiksbeleid dat logging van AI-gebruik, monitoring of verplichte training regelt, kan daar dus onder vallen. Instemming is niet nodig voor zover de cao het onderwerp al inhoudelijk regelt. Stem tijdig af met HR en uw arbeidsjurist. Voor AI-systemen met een hoog risico op de werkplek eist artikel 26 lid 7 van de AI-verordening bovendien dat werknemersvertegenwoordigers en betrokken werknemers vooraf worden geïnformeerd.
5. Lanceer met training, niet alleen met een mail. Een sessie van een half uur met echte voorbeelden uit uw eigen organisatie doet meer dan een pdf op intranet. Registreer de deelname.
6. Ondersteun met techniek. SSO voor goedgekeurde tools, gericht blokkeren van niet-goedgekeurde diensten of extensies waar dat proportioneel is, en logging van AI-gebruik.
7. Houd het bij. Herzie het beleid minstens jaarlijks, en bij een belangrijke nieuwe tool of een wijziging van de regels.

Het gebruiksbeleid is één laag. Hoe het past bij uw privacykader, leest u in ons artikel over de AI-verordening en de AVG.

Veelgestelde vragen

Wat is het verschil tussen een AI-beleid en een AI-gebruiksbeleid?

‘AI-beleid’ wordt breed gebruikt: soms voor de strategie van een organisatie, soms voor de regels voor medewerkers. Een AI-gebruiksbeleid is specifiek het tweede: de dagelijkse spelregels voor wie met AI werkt. Bestuurlijke afspraken over rollen, risicobeoordeling en goedkeuring horen in een AI governance-raamwerk, dat boven het gebruiksbeleid staat.

Zijn we verplicht om een AI-beleid te hebben?

Niet letterlijk. De AI-verordening vraagt resultaten: maatregelen om AI-geletterdheid te bevorderen, geen verboden AI-praktijken en transparantie bij bepaald AI-gebruik. Voor de meeste organisaties is een gebruiksbeleid met training de meest praktische manier om aan te tonen dat die maatregelen er zijn. Klanten en aanbestedende diensten vragen er ook steeds vaker naar.

Moet de ondernemingsraad instemmen met ons AI-beleid?

Dat hangt af van de inhoud. Regelt het beleid de verwerking van personeelsgegevens, het volgen van gedrag of prestaties, bijvoorbeeld via logging van AI-gebruik, of verplichte opleiding, dan valt het onder het instemmingsrecht van artikel 27 WOR, tenzij de cao het al inhoudelijk regelt. Leg het concept daarom vroeg aan de OR voor.

Moeten we ChatGPT verbieden?

Een totaalverbod werkt zelden. Medewerkers wijken uit naar privéaccounts en telefoons, en dan ontstaat schaduw-AI zonder enige controle. Beter is het om zakelijke versies met passende contractvoorwaarden goed te keuren, duidelijke regels te stellen voor informatie en alleen te blokkeren wat niet veilig te maken is.

Hoe vaak herzien we het AI-gebruiksbeleid?

Minstens jaarlijks, en daarnaast bij elke grote wijziging: een nieuw type tool, een andere leverancier, nieuwe richtsnoeren van de Europese Commissie of de AP, of een incident dat een zwakke plek blootlegde. Zolang het AI-gebruik snel groeit, kiezen veel organisaties voor een halfjaarlijkse herziening.

Liever niet bij een leeg vel beginnen?

Met de opbouw hierboven schrijft u het beleid zelf. Of beantwoord de vragen en laat het voor uw organisatie opstellen, in Word, gratis: via de gratis scan voor AI-beleid en AI governance beantwoordt u in veertien stappen, ongeveer 40 minuten, vragen in het Nederlands. Zodra u verzendt, ontvangt u vier documenten op basis van uw antwoorden: een AI-gebruiksbeleid, een AI governance-raamwerk, een Checklist AI-leveranciersbeoordeling en een Sjabloon AI-risicoanalyse, plus een volwassenheidsbeeld over tien domeinen. De documenten worden geleverd in het Engels, als bewerkbare Word-bestanden die van u zijn. Vrijblijvend.

Dit artikel is algemene informatie, geen juridisch advies. Raadpleeg de geconsolideerde tekst van Verordening (EU) 2024/1689, zoals gewijzigd bij Verordening (EU) 2026/1744, en de actuele tekst van de Wet op de ondernemingsraden. Stand oktober 2026.