AI-gebruiksbeleid

Wat is een AI-gebruiksbeleid?

Een AI-gebruiksbeleid is het interne document dat zegt welke AI-tools je collega's voor hun werk mogen gebruiken, welke informatie erin mag, voor welke taken, en wie het resultaat nakijkt voor het het bedrijf verlaat. Het zijn regels waar iemand op een dinsdagvoormiddag mee vooruit kan, geen verklaring over principes. Veel bedrijven noemen het gewoon hun AI-beleid, en dat is prima zolang het document zelf concreet blijft.

Je schrijft er een omdat je mensen al AI gebruiken. Dat is in zowat elk bedrijf het vertrekpunt, ook waar er nooit over gesproken is. De vraag is dus niet of AI binnenkomt, wel of ze binnenkomt met een geschreven regel of zonder. Zonder regel krijg je shadow AI, en beslist elke collega zelf wat waar geplakt mag worden.

Wat de AI Act van je vraagt

Er is een wettelijke haak, en het helpt om te weten hoe ver die reikt. Artikel 4 van de Europese AI Act verplicht aanbieders en gebruiksverantwoordelijken van AI-systemen om maatregelen te nemen die de AI-geletterdheid van hun personeel ondersteunen, en van iedereen die in hun naam met een AI-systeem werkt. Dat artikel geldt sinds 2 februari 2025.

In 2026 is de formulering veranderd. De digitale omnibus AI, verordening (EU) 2026/1744, verscheen op 24 juli 2026 in het Publicatieblad en trad op 27 juli 2026 in werking. Ze herschrijft artikel 4 van een plicht om een voldoende niveau van AI-geletterdheid te verzekeren naar een plicht om maatregelen te nemen die de ontwikkeling ervan ondersteunen, met een extra zin die zegt dat je bij geen enkele medewerker een specifiek niveau moet garanderen. De plicht is dus niet weg. Ze is een inspanningsverbintenis geworden in plaats van een resultaatsverbintenis.

De vragen en antwoorden van de Europese Commissie over AI-geletterdheid zeggen dat er geen certificaat nodig is en dat een intern overzicht van opleidingen en andere initiatieven volstaat. Ze waarschuwen ook dat een praktijk overnemen uit de publieke voorbeeldenverzameling van de Commissie geen automatisch vermoeden van conformiteit oplevert. Voor een bedrijf van twintig mensen is een geschreven gebruiksbeleid, met een nota van wie het wanneer doorgenomen heeft, dat overzicht.

Wat er echt in hoort

Zes dingen. Wat er daarnaast bij komt, staat er meestal om het document grondig te doen lijken.

• De tools die mogen, met hun naam erbij. Geen categorie zoals goedgekeurde AI-assistenten, maar het product en het account: Copilot aangemeld met het bedrijfsaccount, de ChatGPT-werkruimte waar het bedrijf voor betaalt, de AI-functies in software waar je al een licentie voor hebt.

• De informatie die er nooit in gaat. Schrijf ze als een lijst zelfstandige naamwoorden, kort genoeg om te onthouden. Hier verdient een lichte vorm van dataclassificatie haar plaats: drie niveaus volstaan, en de enige lijn die mensen in hun hoofd moeten hebben, is welk niveau de goedgekeurde tools niet mag verlaten. Een boekhoudkantoor komt uit bij identiteitsdocumenten, loongegevens en alles uit een klantendossier, met één tool bij naam waar die zaken wel nog mogen.

• Wat je aan collega's en aan klanten zegt. Intern: zeg wanneer een ontwerp uit een AI-tool komt en wat je zelf nagekeken hebt. Naar klanten toe: beslis waar je het meldt voor het lastige telefoongesprek, niet tijdens. Draait er een chatbot op je site, dan vragen de transparantieregels in artikel 50 van de AI Act, die sinds 2 augustus 2026 gelden, al dat de persoon weet dat hij met een machine praat.

• Wie nakijkt voor er iets buitengaat. Degene die het verstuurt. Zet dat er letterlijk in, want dat is de zin die de meeste beleidsdocumenten weglaten en net de zin die bepaalt of de rest iets uithaalt. Offertes, juridische formuleringen en alles waar een klantennaam in staat, worden regel per regel gelezen door iemand die ze in een vergadering kan verdedigen.

• Code die AI geschreven heeft. Gegenereerde code gaat door dezelfde review als code die iemand zelf getikt heeft, de ontwikkelaar die ze commit staat ervoor in, en aanmeldgegevens of connectiestrings naar productie gaan niet in een prompt. Aanvaard je grote blokken die niemand gelezen heeft, dan heb je een onderhoudsprobleem in je eigen repository gezet onder de naam van iemand anders.

• Bij wie je terechtkan. Eén naam, voor het geval dat niet in de lijst staat. Laat je die weg, dan is de terugvaloptie een gok, en die gok is bijna altijd ja.

Een beleid van één pagina, sectie per sectie

Het geheel past op één kant van een A4.

1. Waarom dit blad bestaat. Twee zinnen. We gebruiken AI, zo doen we dat, vraag het als je twijfelt.

2. Goedgekeurde tools. De lijst, met het account waarmee je aanmeldt.

3. Data die binnen blijft. Klantendossiers, personeelsdossiers, contracten, broncode, alles onder een geheimhoudingsovereenkomst.

4. Waarvoor AI mag dienen. Eerste versies, samenvattingen, vertalingen, brainstormen, hulp bij code.

5. Waar ze niet alleen over beslist. Aanwerving, ontslag, krediet, de prijs voor één specifieke klant, alles wat ongelezen bij een persoon terechtkomt.

6. Nakijken en melden. De verzender kijkt na. Intern zeg je wanneer AI geholpen heeft, en aan klanten zeg je het waar de wet of gewone eerlijkheid het vraagt.

7. Een voorval melden. Wat je doet als er toch iets in een tool beland is dat er niet in hoorde, en een zin die zegt dat de melding geen gevolgen heeft.

8. Eigenaar en herzieningsdatum. Een naam en een datum. Dat is de sectie die de zeven andere levend houdt.

Hang het daarna waar je mensen toch al kijken. Een bestand op een gedeelde schijf dat nog nooit iemand geopend heeft, is geen beleid.

Een AI-gebruiksbeleid tegenover een verbod

Allebei zijn het een beslissing van de directie over AI op het werk. Ze verschillen in wat je een jaar later in handen hebt.

Een jaar na een verbod heb je een zin in het arbeidsreglement. Geen lijst met tools, geen spoor van wat er nagekeken is, en ongeveer hetzelfde gebruik als vroeger, verhuisd naar privéaccounts en eigen gsm's waar jij niets van ziet. Het verbod heeft geen enkele informatie over je eigen bedrijf opgeleverd, en dat was net wat je nodig had.

Een jaar na een gebruiksbeleid heb je een toollijst die iemand bijhoudt, een korte lijst met data die binnen blijft, een eigenaar met een naam die al een tiental lastige vragen gekregen heeft, en een paar voorvallen waar je van weet omdat melden veilig was. Je hebt ook een overzicht van wie welke uitleg gekregen heeft, en dat is precies het bewijs dat artikel 4 van je verwacht.

Het verbod is niet zwakker omdat het strenger is. Het is zwakker omdat het niets oplevert dat je kan inkijken.

Waar moet je op letten bij een AI-gebruiksbeleid

Geen goedgekeurde tool, geen beleid. Een document dat oplijst wat verboden is en er niets voor in de plaats geeft, vraagt je mensen om trager te werken dan ze kunnen. Er moet één tool zijn die het dagelijkse geval dekt, op een bedrijfsaccount, beschikbaar in de week dat het beleid rondgaat.

Tien pagina's is een beslissing om niet gelezen te worden. Lengte leest als juridische indekking. Passen de regels niet op één blad, dan concurreren de regels die tellen met de regels die dat niet doen.

Niemand is er eigenaar van. Een beleid zonder naam erop is van iedereen en dus van niemand. De eigenaar is een persoon en geen werkgroep, en het werk bestaat erin vragen te beantwoorden en de toollijst bij te houden. Die lijst veroudert sneller dan je denkt, want leveranciers zetten AI-functies aan in producten waar je al voor betaalt, dus een lijst van januari klopt in april niet meer. Een kwartier per kwartaal met de eigenaar houdt ze eerlijk.

Het komt binnen als een waarschuwing. Een beleid dat als een strenge mail rondgaat, wordt gelezen als een dreiging, en daarna vertelt niemand je nog wat hij echt gebruikt. Overloop het met het team, met hun eigen werk als voorbeeld, en vraag wat ze vandaag gebruiken voor je iets aanscherpt.