Een medewerker gebruikt Claude om sneller een offerte op te stellen en voert daarbij bepaalde klantgegevens in. Handig, alleen heeft niemand nog nagedacht over waar die data precies terechtkomt. Dit scenario speelt zich inmiddels dagelijks af in organisaties van elke omvang.
De vraag is dan eigenlijk ook niet meer of je als organisatie een AI-beleid nodig hebt, maar wanneer je die nou eindelijk eens laat opstellen! Onze specialisten in AI-recht leggen in deze blog dus nog maar een keertje geduldig uit waarom een AI-beleid onmisbaar is.
Waarom ontbrekende kaders een groter probleem zijn dan de tools zelf
AI-tools als ChatGPT, Microsoft Copilot en Google Gemini zijn zo laagdrempelig dat medewerkers ze soms gebruiken zonder dat de organisatie het weet, laat staan heeft goedgekeurd. Dit heet shadow AI. Het probleem is dan niet zozeer meer de technologie, maar het ontbreken van kaders. Want zonder beleid weet niemand wat wel en niet mag, en dat is precies waar het misgaat. Niet de tool richt schade aan, maar het ongecontroleerde gebruik ervan.
Drie juridische redenen om nu een AI-beleid op te stellen
De AVG
Zodra een medewerker persoonsgegevens invoert in een externe AI-tool, is de AVG van toepassing. Je organisatie verwerkt die data immers via een derde partij, en dat brengt concrete juridische verplichtingen met zich mee. Zonder AI-beleid is er geen fundament om daar grip op te houden.
De EU AI-verordening
De EU AI-verordening verplicht organisaties die AI inzetten om ervoor te zorgen dat medewerkers voldoende AI-geletterd zijn. Dat is geen aanbeveling, maar een wettelijke verplichting die sinds februari 2025 geldt. Dezelfde verordening verbiedt per die datum ook een aantal specifieke AI-systemen. Een AI-beleid helpt om beide verplichtingen in de praktijk te borgen.
Contractuele verplichtingen
Veel overeenkomsten met klanten of partners bevatten vertrouwelijkheidsclausules of beperkingen op het delen van informatie met derden. Externe AI-tools vallen daar doorgaans onder. Medewerkers die zonder richtlijnen werken, kunnen onbewust contractbreuk plegen.
Aanvullende verplichtingen in gereguleerde sectoren
Voor organisaties in gereguleerde sectoren komt daar nog een laag bovenop. Wie actief is in de financiële dienstverlening, de zorg of de publieke sector heeft niet alleen te maken met de AI-verordening en de AVG, maar ook met sectorspecifieke toezichtsverwachtingen. De DNB en AFM verwachten van instellingen dat nieuwe technologieën beheerst en aantoonbaar verantwoord worden ingezet. Dat geldt ook voor AI. De NIS2-richtlijn voegt daar nog eisen aan toe op het gebied van risicobeheer en incidentrapportage, ook wanneer AI een rol speelt in de bedrijfsprocessen.
Voor organisaties in deze sectoren is een AI-beleid dan ook niet alleen een kwestie van interne orde. Het is een instrument om bij een toezichthouder te kunnen laten zien dat je weet wat er binnen je organisatie gebeurt, dat je risico’s hebt geïdentificeerd en dat je daar actief op stuurt. Wie dat niet kan aantonen, staat bij een audit of incident met lege handen
Wat staat er in een AI-beleid?
Een goed AI-beleid is geen juridisch document dat in een la verdwijnt. Het is een praktisch kader dat medewerkers helpt om de juiste keuzes te maken, zonder dat ze daar een juridische achtergrond voor nodig hebben.
Dat begint met de vraag voor wie het beleid geldt. Denk niet alleen aan vaste medewerkers, maar ook aan externen, zzp’ers en stagiaires die toegang hebben tot systemen of klantinformatie. Zij vormen hetzelfde risico als eigen personeel, maar vallen er in de praktijk vaak buiten.
Vervolgens moet het beleid duidelijk maken welke tools zijn toegestaan. Maak onderscheid tussen goedgekeurde tools, tools die onder bepaalde voorwaarden mogen worden gebruikt en tools die niet zijn toegestaan. Houd die lijst actueel, want het aanbod verandert snel. Wijs medewerkers er ook expliciet op dat een aantal AI-systemen onder de EU AI-verordening inmiddels verboden is.
Net zo belangrijk is de vraag welke informatie medewerkers mogen invoeren. Persoonsgegevens, vertrouwelijke bedrijfsinformatie, klantdata en broncode zijn veelvoorkomende risicocategorieën. Geef concrete voorbeelden, zodat medewerkers zonder nadenken kunnen inschatten wat wel en niet acceptabel is.
Tot slot moet het beleid helder maken wie waarvoor verantwoordelijk is. Wie controleert AI-output voordat die naar buiten gaat? Wat als een AI-gegenereerd document fouten bevat? De menselijke eindverantwoordelijkheid blijft altijd, ongeacht wat de AI produceert. Leg ook vast wie binnen de organisatie het aanspreekpunt is voor vragen en meldingen rondom AI-gebruik.
AI-training is geen bijzaak
Een beleid zonder uitleg werkt niet. De AI-verordening maakt dit expliciet via het begrip AI-geletterdheid: medewerkers moeten begrijpen welke risico’s AI-gebruik met zich meebrengt, waar de grenzen van de tools liggen en wat verantwoord gebruik in de praktijk betekent. Dat is niet iets wat je met een eenmalige sessie afdoet.
Investeer daarom in doorlopende bewustwording en leg vast wie daarvoor verantwoordelijk is. Zorg er ook voor dat nieuw personeel vanaf dag één op de hoogte is van het AI-beleid. Kennis die pas komt als er iets misgaat, komt altijd te laat.
Heeft jouw organisatie een AI-beleid nodig?
Deze vraag is eigenlijk snel beantwoord. Zodra medewerkers of externen AI-tools gebruiken, ook via persoonlijke accounts of op eigen initiatief, heb je een beleid nodig. Voor organisaties die onder de reikwijdte van de EU AI-verordening vallen is het geen keuze meer.
Het ontbreken van een beleid is op zichzelf al een risico. Niet omdat morgen een toezichthouder aanbelt, maar omdat je als organisatie moeilijk kunt aantonen dat je grip had op wat er gebeurde. Een datalek via een AI-tool, een onjuist advies op basis van AI-output, een schending van een geheimhoudingsbeding: de schade is reëel, en zonder beleid is er achteraf weinig om op terug te vallen.
Vergeet de leverancierskant niet
Een AI-beleid richt zich primair op medewerkers, maar raakt onvermijdelijk ook aan inkoopprocessen. Bij centraal ingekochte AI-tools kun je als organisatie voorwaarden stellen aan leveranciers over zaken als gegevensverwerking, datalocatie en de manier waarop trainingsdata wordt gebruikt. Die grip verdwijnt zodra medewerkers zelf tools kiezen buiten het zicht van de organisatie. Een helder beleid helpt om die grens te bewaken en maakt duidelijk wat centraal wordt ingekocht en wat simpelweg niet is toegestaan.
AI-beleid als onderdeel van je bredere compliance
Een AI-beleid staat niet op zichzelf. Het sluit aan op wat je al hebt geregeld in je privacybeleid, informatiebeveiligingsbeleid en gedragscode, en moet daarmee consistent zijn. Wat op papier al verboden is, moet in de praktijk ook gelden voor het gebruik van AI-tools.
De EU AI-verordening voegt daar nieuwe verplichtingen aan toe die je in bestaande processen moet integreren. Denk aan risicobeoordelingen, documentatieplichten en eisen rondom menselijk toezicht op AI-output. Voor medewerkers vertaalt zich dat naar concrete gedragsregels: wanneer moet output worden gecontroleerd, in welke situaties is AI-gebruik niet toegestaan en hoe meld je een incident. Een AI-beleid is de plek waar al die lijnen samenkomen.
AI-beleid laten opstellen door gespecialiseerde juristen?
Medewerkers gebruiken AI, of je het weet of niet. De vraag is dus niet meer óf je een AI-beleid nodig hebt, maar hoe je het goed regelt. Het hoeft geen juridisch meesterwerk te zijn. Het gaat om heldere, praktische regels die medewerkers helpen om de juiste keuzes te maken en die jou als organisatie beschermen als het een keer misgaat.
Wil je een AI-beleid dat juridisch klopt en werkt in de praktijk? Neem gerust contact met ons op.
