Blog
AI-beleid opstellen: maak in vijf minuten een beleid dat bij je bedrijf past
21 oktober 2026 Door Tijn Meijerink
Kort antwoord. Een AI-beleid legt vast welke AI-tools je mensen gebruiken, welke gegevens daar wel en niet in mogen, wie controleert wat AI oplevert en wie eigenaar is. Geen wet eist een document met die naam. Het is wel de snelste manier om te laten zien dat je doet wat de AI Act en de AVG vragen: maatregelen voor AI-geletterdheid (sinds februari 2025), openheid naar klanten over AI (sinds augustus 2026) en de strengere regels voor werving en kredietbeoordeling vanaf 2 december 2027. Met de generator hieronder heb je in vijf minuten een beleid dat past bij jouw tools, jouw gegevens en jouw risico’s.
Geschreven voor organisaties van 10 tot 250 medewerkers. Gebaseerd op de AI Act zoals gewijzigd door de Digital Omnibus op AI van juli 2026, en op de AVG.
Live document
AI-beleid [naam organisatie]
1Doel en reikwijdte
- AI Act art. 4
Dit beleid regelt hoe we bij [naam organisatie] AI gebruiken: verstandig, veilig en op een manier die we kunnen uitleggen aan klanten, medewerkers en toezichthouders.
Het geldt voor iedereen die namens [naam organisatie] met AI werkt: medewerkers, leidinggevenden, stagiairs, uitzendkrachten en freelancers. Het geldt voor alle AI-tools, ook voor AI-functies die in bestaande software zijn ingebouwd.
AI mag ons werk sneller en beter maken. De verantwoordelijkheid voor wat we met de uitkomst doen, ligt altijd bij een mens.
2Begrippen
- AI-tool: software die tekst, beeld, geluid, code of voorspellingen maakt, zoals ChatGPT, Copilot of een AI-functie in een CRM.
- Register: de lijst van AI-tools en toepassingen die bij [naam organisatie] zijn goedgekeurd, met per tool een eigenaar.
- Gevoelige gegevens: persoonsgegevens, gegevens van klanten, financiële gegevens, vertrouwelijke bedrijfsinformatie en broncode.
- Output: alles wat een AI-tool oplevert, van een samenvatting tot een berekening of een advies.
3Eerst in kaart: welke AI draait er al
We weten nog niet precies welke AI-tools er voor het werk worden gebruikt. Meld daarom binnen 30 dagen na de vaststelling van dit beleid bij de AI-eigenaar welke AI-tools je voor je werk gebruikt, ook gratis tools en privé-accounts.
Melden heeft geen gevolgen, ook niet als een tool niet aan dit beleid voldoet. We zoeken dan samen een goedgekeurd alternatief. Na deze periode is werken met een niet-gemelde tool een overtreding van dit beleid.
4Welke AI-tools je mag gebruiken
- AVG art. 28
Je gebruikt alleen tools uit het register, met een account van [naam organisatie]. Per soort tool geldt:
Gratis en persoonlijke AI-toolsOnder voorwaarden
Alleen voor openbare informatie en algemene vragen. Nooit met namen, klantgegevens of interne documenten, omdat gratis versies je invoer kunnen gebruiken om hun modellen te trainen.
Zakelijke AI-abonnementenOnder voorwaarden
Toegestaan voor intern werk, ook met gevoelige gegevens, als aan vier voorwaarden is voldaan: een zakelijk account van [naam organisatie], training op onze gegevens staat uit, er is een verwerkersovereenkomst, en opslag en verwerking gebeuren waar mogelijk in de EU.
Microsoft 365 CopilotOnder voorwaarden
Toegestaan binnen onze Microsoft 365-omgeving. Copilot vindt alles waar jij toegang toe hebt. Daarom controleert de AI-eigenaar eerst de rechten op SharePoint, Teams en OneDrive, en deel je bestanden nooit ruimer dan nodig.
Wil je een nieuwe tool met interne gegevens gebruiken, vraag hem dan aan bij de AI-eigenaar. Je krijgt binnen tien werkdagen een besluit. Uitproberen met openbare informatie mag zonder aanvraag.
5Welke gegevens je wel en niet in AI zet
- AVG art. 5
- AVG art. 9
Voordat je iets in een AI-tool zet, kijk je naar het soort gegeven. Twijfel je, dan geldt de strengste kleur.
Rood: nooit in een AI-tool
- Wachtwoorden, API-sleutels en andere toegangsgegevens
- BSN en kopieën van identiteitsbewijzen
- Informatie waarvoor een klant uitdrukkelijk geheimhouding heeft gevraagd
Oranje: alleen in zakelijke tools uit het register
Gebruik zo min mogelijk gegevens: laat namen en nummers weg als je ze niet nodig hebt.
- Persoonsgegevens van klanten, sollicitanten en medewerkers
- Contracten, dossiers en andere vertrouwelijke bedrijfsinformatie
Groen: mag in alle tools uit het register
- Openbare informatie, zoals onze website en gepubliceerde stukken
- Eigen teksten en ideeën zonder namen of klantgegevens
- Algemene vragen en kennis
6Menselijke controle
AI maakt fouten die overtuigend klinken. Controleer feiten, cijfers, namen, bronnen en berekeningen voordat je output gebruikt. Hoe groter de gevolgen, hoe grondiger de controle.
Jij bent verantwoordelijk voor wat je met AI-output doet, net als voor ander werk. Output die je naar klanten of de buitenwereld stuurt, lees je eerst zelf. Voor geautomatiseerde toepassingen legt de eigenaar vast hoe de controle is geregeld.
7Open over AI
- AI Act art. 50
Praat een klant met een AI-systeem van ons, zoals een chatbot of een automatisch verstuurd antwoord, dan maken we dat duidelijk bij het eerste contact. Een klant kan altijd vragen om een mens.
Antwoorden over contracten, prijzen, claims of rechten van een klant controleert een medewerker voordat ze verstuurd worden.
8Privacy en beveiliging
- AVG art. 28
- AVG art. 32
- Alleen zakelijke accounts van [naam organisatie], met tweestapsverificatie.
- Met elke AI-leverancier die persoonsgegevens verwerkt, hebben we een verwerkersovereenkomst.
- Training op onze gegevens staat uit, en opslag en verwerking gebeuren waar mogelijk in de EU.
- Een AI-tool krijgt alleen toegang tot de gegevens die hij voor zijn taak nodig heeft.
- Wie uit dienst gaat, verliest direct de toegang tot alle AI-tools.
9Vertrouwelijkheid en auteursrecht
- Auteurswet
Afspraken over geheimhouding met klanten en partners gelden ook als je AI gebruikt. Controleer AI-output die je publiceert op herkenbaar werk van anderen, zoals teksten, beelden of merken, en gebruik het niet als je twijfelt.
10Regels voor onze sector
Werken we met dossiers of vertrouwelijke informatie van opdrachtgevers, dan gelden de afspraken met die opdrachtgever ook voor AI-gebruik. Vraag bij twijfel toestemming voordat je hun gegevens in een AI-tool zet.
11AI-geletterdheid
- AI Act art. 4
Iedereen die namens [naam organisatie] met AI werkt, volgt binnen 30 dagen na de start, of na de vaststelling van dit beleid, een basistraining: wat AI wel en niet kan, hoe je output controleert, welke gegevens waar mogen, en dit beleid.
Wie AI-systemen bouwt, beheert of gebruikt bij besluiten over mensen, krijgt verdieping die bij die rol past. Elk jaar is er een korte opfrissing.
We houden bij wie welke training heeft gevolgd. Zo laten we zien dat we maatregelen nemen voor AI-geletterdheid, zoals artikel 4 van de AI Act vraagt.
12Incidenten melden
- AVG art. 33
Meld binnen 24 uur bij de AI-eigenaar: gevoelige gegevens in een tool die daar niet voor is goedgekeurd, onjuiste AI-output die bij een klant terechtkwam, of een AI-uitkomst die iemand benadeelt.
Is er mogelijk een datalek, dan beoordeelt de privacyverantwoordelijke of we het binnen 72 uur moeten melden bij de Autoriteit Persoonsgegevens. Een melding is nooit een reden voor straf. Verzwijgen wel.
13Eigenaarschap, register en herziening
De AI-eigenaar is eigenaar van dit beleid en houdt het AI-register bij: per tool en toepassing wat het doet, wie het gebruikt, welke gegevens erin gaan, wie eigenaar is en hoe groot het risico is.
AI verandert snel. We herzien dit beleid elk halfjaar, en eerder als de wet, onze tools of onze toepassingen veranderen.
14Vaststelling
Dit beleid is vastgesteld door de AI-eigenaar en geldt vanaf de datum van ondertekening. Vragen over dit beleid stel je aan de AI-eigenaar.
Ik heb dit beleid gelezen en houd me eraan.
Naam
Functie
Datum
Handtekening
14 artikelen · 1.030 woorden · 8 wetsverwijzingen
Dit beleid is een stevige basis, geen juridisch advies. Gebruik je AI voor toepassingen met een hoog risico, laat het dan toetsen voordat je het vaststelt.
Waarom je dit nu regelt, en niet volgend jaar
AI wordt in de meeste bedrijven niet ingevoerd, het sluipt binnen. Iemand op sales gebruikt een gratis ChatGPT-account voor offertes, de administratie laat facturen samenvatten, en sinds Copilot in Outlook zit, schrijven collega’s hun mails met AI. Niemand heeft het verboden, niemand heeft het geregeld. Dat heet shadow AI, en het grootste risico zit niet in de tools zelf maar in wat erin gaat: klantgegevens, contracten, salarissen.
Een beleid lost dat niet op door te verbieden. Het lost het op door een paar duidelijke grenzen te trekken en een goed alternatief te bieden. Mensen gebruiken AI toch. De vraag is of ze dat doen met een zakelijk account, de juiste gegevens en een collega die meekijkt waar het ertoe doet.
Wat er in een goed AI-beleid staat
De generator bouwt het beleid op uit dezelfde bouwstenen die we bij klanten gebruiken. Elk artikel heeft een reden:
- Reikwijdte. Voor wie het geldt, ook freelancers en stagiairs. De AI Act spreekt uitdrukkelijk over iedereen die namens jou met AI werkt.
- Een register van tools. Welke tools toegestaan zijn, onder welke voorwaarden, en wie per tool eigenaar is.
- Een gegevensstoplicht. Rood, oranje en groen: wat nooit in AI gaat, wat alleen in zakelijke tools mag en wat overal kan. Dit is het artikel waar medewerkers het meest aan hebben.
- Menselijke controle. Wie checkt wat, en hoe grondig, afhankelijk van de gevolgen.
- Openheid. Klanten weten wanneer ze met AI praten, en echt ogend AI-beeld is herkenbaar.
- Hoog-risicotoepassingen. Werving, beoordeling van personeel en kredietbeoordeling vragen extra regels: onder de AVG nu al, onder de AI Act vanaf 2 december 2027.
- AI-geletterdheid. Een basistraining voor iedereen en verdieping per rol, met een overzicht van wie wat heeft gevolgd.
- Incidenten. Wat je meldt, bij wie en binnen hoeveel tijd, zonder dat melden wordt bestraft.
- Eigenaar en herziening. Wie het beleid bijhoudt en wanneer je het herziet. AI verandert sneller dan elk ander beleidsonderwerp.
Wat de wet eist, en wat niet
AI Act artikel 4: AI-geletterdheid
Sinds 2 februari 2025 moet je maatregelen nemen voor de AI-geletterdheid van iedereen die namens jou met AI werkt. Met de Digital Omnibus is dat sinds 27 juli 2026 verzacht: je ondersteunt de ontwikkeling van AI-geletterdheid, maar hoeft geen bepaald niveau te garanderen. Er staat geen boete op. Wat er precies veranderde, lees je in ons stuk over artikel 4.
AI Act artikel 50: openheid
Sinds 2 augustus 2026 gelden de transparantieregels. Mensen moeten weten dat ze met een AI-systeem communiceren, en beeld, video of geluid dat met AI is gemaakt en echt lijkt, moet herkenbaar zijn als AI-gemaakt. Zet je een chatbot of automatische antwoorden in, dan hoort dit in je beleid.
Hoog risico: werving, personeel en krediet
AI bij werving en selectie, bij besluiten over promotie of ontslag, bij het beoordelen van medewerkers, bij kredietwaardigheid van personen en bij premies voor levens- en ziektekostenverzekeringen staat in bijlage III van de AI Act. Voor gebruikers gelden daarvoor vanaf 2 december 2027 extra plichten (artikel 26): het systeem volgens de instructies gebruiken, menselijk toezicht door bevoegde mensen, logs minstens zes maanden bewaren en medewerkers informeren voordat je zo’n systeem op de werkvloer inzet. Wie nu al zo werkt, hoeft straks niets om te gooien.
AVG: wat al jaren geldt
Verwerkt een AI-leverancier persoonsgegevens voor jou, dan heb je een verwerkersovereenkomst nodig (artikel 28). Bij een hoog privacyrisico doe je vooraf een DPIA (artikel 35). Een besluit dat volledig automatisch tot stand komt en mensen in aanmerkelijke mate treft, mag alleen op basis van een overeenkomst, de wet of uitdrukkelijke toestemming, en altijd met recht op menselijke tussenkomst (artikel 22). En een datalek meld je binnen 72 uur bij de Autoriteit Persoonsgegevens, tenzij het waarschijnlijk geen risico oplevert (artikel 33). Meer over AI en privacy lees je in ons stuk over bedrijfsdata en de AVG.
De ondernemingsraad
Heb je een ondernemingsraad, dan heeft die instemmingsrecht bij regelingen over aanstelling, ontslag en promotie (artikel 27 WOR, lid 1 onder e), personeelsopleiding (onder f), beoordelingssystemen (onder g), het verwerken van personeelsgegevens (onder k) en systemen die aanwezigheid, gedrag of prestaties van medewerkers kunnen volgen (onder l). Raakt je AI-beleid die onderwerpen, leg het dan vooraf voor.
Zo voer je het beleid in vier weken in
- Week 1: inventariseren. Vraag iedereen welke AI-tools ze gebruiken, ook gratis en privé. Zonder gevolgen, anders hoor je het niet.
- Week 2: kiezen. Bepaal welke tools je zakelijk aanbiedt, sluit verwerkersovereenkomsten af en zet training op je gegevens uit. Wie ChatGPT zakelijk of Copilot overweegt, vindt daar de verschillen.
- Week 3: uitleggen. Geef een korte basistraining van een à twee uur waarin je het beleid zelf behandelt, vooral het gegevensstoplicht.
- Week 4: vaststellen. Laat het beleid ondertekenen, publiceer het register intern en zet de eerste herziening in de agenda.
Vijf fouten die een AI-beleid waardeloos maken
Alles verbieden. Een verbod zonder alternatief duwt AI-gebruik naar privételefoons en gratis accounts. Je ziet het niet meer, maar het gebeurt wel.
Regels zonder register. Een beleid dat zegt "gebruik alleen goedgekeurde tools" zonder lijst van die tools, wordt door niemand gevolgd.
Geen zakelijke tool aanbieden. Als het enige alternatief voor gratis ChatGPT "niets" is, kiezen mensen voor gratis ChatGPT.
Alleen IT laat het schrijven. Een beleid over tools zonder de mensen die de tools gebruiken, mist de vragen die er in de praktijk toe doen.
Nooit herzien. Tools, prijzen en wetgeving veranderen snel. Een beleid uit 2024 mist tools die nu dagelijks worden gebruikt.
Veelgestelde vragen
Is een AI-beleid verplicht?
Nee, een document met die naam is niet verplicht. Wel verplicht zijn de maatregelen voor AI-geletterdheid, openheid over AI en zorgvuldige omgang met persoonsgegevens. Een AI-beleid is een praktische manier om die aantoonbaar te regelen.
Mogen medewerkers gratis ChatGPT gebruiken?
Voor openbare informatie en algemene vragen is dat te verdedigen. Voor klantgegevens, contracten of andere interne informatie niet: gratis versies kunnen je invoer gebruiken om hun modellen te trainen en je hebt er geen verwerkersovereenkomst mee. Bied een zakelijke versie aan, dan verdwijnt de reden om het toch te doen.
Hoe vaak herzie je een AI-beleid?
Minstens elk jaar, en liefst elk halfjaar. Herzie het ook eerder als je een nieuwe tool invoert, AI gaat gebruiken bij besluiten over mensen of als de wet verandert.
Wat is het verschil tussen een AI-beleid en AI-governance?
Het AI-beleid is het document met de regels. AI-governance is het geheel eromheen: wie beslist, het register, de controles, de training en de herziening. Het beleid is het zichtbare deel.
Is dit beleid genoeg als ik AI gebruik voor werving of kredietbeoordeling?
Het is een stevige basis, maar bij hoog-risicotoepassingen hoort er meer bij: een DPIA, een beschrijving van het systeem, afspraken met de leverancier en ingericht menselijk toezicht. Laat het beleid dan toetsen voordat je het vaststelt.
