AI-beleid voor je medewerkers op één A4

Een AI-beleid voor het mkb past op één A4: waar het over gaat, welke hulpmiddelen mogen, wat er nooit in gaat, wie beslist en wat je doet als het misgaat. De tekst staat hieronder, klaar om over te nemen.

Een AI-beleid voor een mkb-organisatie past op één A4 en beantwoordt vijf vragen: waar het over gaat, welke hulpmiddelen zijn goedgekeurd, welke gegevens er nooit in gaan, wie beslist wat naar buiten gaat, en wat je doet als het misgaat. Hieronder staat die tekst, klaar om over te nemen, met daarachter de keuzes die je zelf moet maken voordat je hem rondstuurt.

Dit is algemene uitleg en geen juridisch advies. Werk je met gegevens over gezondheid, met een ondernemingsraad of met opdrachtgevers die eigen eisen stellen, laat het dan nakijken.

Waarom één A4 en niet vijftien pagina’s?

Omdat een beleid dat niet gelezen wordt het gedrag niet verandert, en gedrag is precies waar het hier om gaat.

De aanleiding is bijna altijd hetzelfde. Iemand op de calculatieafdeling gebruikt al een half jaar een chatbot om offerteteksten netter te maken, de werkvoorbereider laat er bestekteksten mee samenvatten, en niemand heeft ooit gevraagd wat daar precies in geplakt wordt. Dat heet schaduwgebruik. Het ontstaat meestal omdat het werk erdoor sneller gaat. Wat daarbij komt kijken staat op shadow AI.

De AI-verordening komt er nog bij. Die is in augustus 2024 in werking getreden en wordt in stappen van toepassing. Het onderdeel over AI-geletterdheid geldt sinds 2 februari 2025 en vraagt van organisaties die AI-systemen gebruiken dat de mensen die ermee werken er voldoende van begrijpen, passend bij hun rol en kennis. Uitleg over wat de verordening verder van het mkb vraagt staat in de AI-verordening voor het mkb.

Het beleid, om over te nemen

Wat hieronder staat is de tekst zelf. Vul in wat tussen vierkante haken staat, haal weg wat bij jou niet speelt, en laat het niet langer worden dan één vel.

1. Waar dit over gaat

Dit vel gaat over het gebruik van AI-hulpmiddelen bij [bedrijfsnaam]: chatbots, schrijfhulp, vertaalhulp, samenvatters, beeldgeneratie en AI-functies die in software zitten die we al gebruiken. Het geldt voor iedereen die voor ons werkt, ook voor inleners en zzp’ers.

2. Wat je mag gebruiken

Goedgekeurd zijn: [lijst met de toegestane hulpmiddelen en de bijbehorende accounts]. Gebruik daarvoor je zakelijke account, niet je privéaccount. Andere hulpmiddelen gebruik je pas na overleg met [naam].

3. Wat er niet in gaat

In een AI-hulpmiddel dat niet op deze lijst staat, zet je geen:

• gegevens van klanten of opdrachtgevers: namen, adressen, telefoonnummers, mailadressen, foto’s van woningen, dossiernummers;
• gegevens van collega’s: contracten, beoordelingen, verzuim, salaris;
• inkoopprijzen, calculaties, marges of andere bedrijfsgegevens die we niet aan een derde zouden geven;
• wachtwoorden, sleutels of toegangscodes;
• documenten van opdrachtgevers die onder geheimhouding vallen, zoals tekeningen, bestekken en contracten.

Twijfel je of iets hieronder valt, dan valt het eronder. Vraag het dan even.

4. Je blijft zelf verantwoordelijk voor wat je verstuurt

Een AI-hulpmiddel levert een concept. Wat jij verstuurt of ondertekent, is van jou. Lees het na, controleer namen en bedragen, en verstuur niets dat je zelf niet kunt uitleggen.

5. Getallen komen niet uit een taalmodel

Bedragen, hoeveelheden, uren, termijnen en artikelnummers haal je uit ons eigen systeem, niet uit een chatbot. Ook niet als het antwoord er goed uitziet. Neem een getal over uit de bron waar het vandaan komt.

6. Nieuwe hulpmiddelen meld je aan

Zie je iets dat ons werk sneller maakt, meld het bij [naam]. Dan kijken we naar de voorwaarden en zetten we het op de lijst als het kan. Zelf een gratis account aanmaken voor werk doe je niet.

7. Als het misgaat, meld je het meteen

Heb je per ongeluk klantgegevens of bedrijfsgegevens in een hulpmiddel gezet dat niet op de lijst staat: verwijder het gesprek niet, maak een schermafdruk en meld het diezelfde dag bij [naam]. Wie zelf meldt, krijgt daar geen maatregel voor. We hebben die melding nodig om te beoordelen of er iets gemeld moet worden bij de Autoriteit Persoonsgegevens, en daar hebben we wettelijk 72 uur voor.

8. Bij wie je terechtkunt

[Naam], bereikbaar op [telefoonnummer en mailadres]. Vervanger: [naam]. Dit vel is voor het laatst bijgewerkt op [datum] en wordt minstens één keer per jaar nagelopen.

Welke keuzes moet je zelf maken?

Vijf, en ze bepalen of het beleid werkt of alleen bestaat. Neem ze bewust, want ze volgen niet uit de wet maar uit hoe jouw bedrijf werkt.

Welke hulpmiddelen komen op de lijst? Noem ze bij naam en noem het abonnement erbij. Het verschil tussen twee abonnementsvormen van dezelfde aanbieder is vaak groter dan het verschil tussen twee aanbieders. Waar het bij die voorwaarden om draait, staat in mag je klantgegevens in ChatGPT zetten.

Mogen er klantgegevens in, en zo ja waar? Hier zijn drie werkbare antwoorden: nergens, alleen in een dienst waarmee je een verwerkersovereenkomst hebt, of alleen in een systeem dat bij je op kantoor draait. Kies er één en schrijf hem op. Punt 3 hierboven gaat ervan uit dat je een goedgekeurde plek hebt; heb je die niet, dan maak je van punt 3 een algemeen verbod op klantgegevens.

Wie keurt goed wat naar buiten gaat? Bij een conceptantwoord aan een klant is dat meestal de medewerker zelf. Bij een offerte, een factuur of een brief met juridische gevolgen wil je een tweede paar ogen. Zet dat onderscheid erin, anders ontstaat het vanzelf op de verkeerde plek.

Vertel je klanten dat je AI gebruikt? Dat hoeft lang niet altijd, maar als je opdrachtgevers hebt met eigen inkoopvoorwaarden, staat er soms iets over in het contract. Kijk dat na voordat je iets belooft.

Wat doe je met privéaccounts op werkapparatuur? Volledig blokkeren is technisch mogelijk maar zelden volledig, want er staat een telefoon naast het toetsenbord. Een duidelijke afspraak plus een goedgekeurde route die prettiger werkt, doet doorgaans meer dan een blokkade.

Hoe zorg je dat het gelezen wordt?

Door het één keer te bespreken en daarna aan te wijzen wanneer het ertoe doet.

Loop het vel door in een werkoverleg van twintig minuten en gebruik twee voorbeelden uit je eigen bedrijf: een mailtje dat prima door een hulpmiddel mag, en een offerte die dat niet mag. Laat ook zien wat een taalmodel fout doet met een bedrag, want dat maakt punt 5 geloofwaardiger dan een regel op papier; de uitleg daarvoor staat in waarom een taalmodel niet mag rekenen.

Neem het daarna op in de introductie van nieuwe medewerkers, zet de datum erop en loop het jaarlijks na. Die bespreking en de aantekening dat hij is gehouden, zijn meteen je invulling van de AI-geletterdheid uit de AI-verordening. Bewaar de presentielijst.

Wat je er beter niet in zet

Drie dingen maken een AI-beleid onbruikbaar.

Een verbod zonder alternatief. Dan verdwijnt het gebruik naar privéapparatuur en zie je niets meer.

Vage taal. “Ga zorgvuldig om met bedrijfsinformatie” betekent voor iedereen iets anders. “Geen adressen van opdrachtgevers” is te volgen.

Dreiging als hoofdtoon. Je hebt meldingen nodig om binnen 72 uur te kunnen beoordelen of er iets naar de toezichthouder moet. Wie bang is voor een maatregel, meldt niet. Dan hoor je het pas als een klant belt. Wat er daarna moet gebeuren staat in datalek via een AI-chatbot.

Wat je nu kunt doen

Neem de tekst over, vul de haakjes in en zet er een datum op. Vraag daarna aan drie mensen uit verschillende delen van het bedrijf welk AI-hulpmiddel ze op dit moment gebruiken, zonder er iets van te vinden. De antwoorden bepalen welke hulpmiddelen echt op je lijst horen, en meestal blijkt daaruit ook welke taken zich lenen voor een omgeving waarin de gegevens niet het pand verlaten. Hoe dat er technisch uitziet, staat op dataveiligheid.