Een AI-beleid opstellen voor je kmo: wat moet erin?

Een AI-beleid is één korte afspraak die vastlegt welke AI-tools je team mag gebruiken, welke gegevens erin mogen en wie verantwoordelijk blijft voor het resultaat. Je kmo heeft die afspraak nu nodig omdat je mensen sowieso al AI gebruiken, met of zonder jouw toestemming. Eén pagina volstaat, en hieronder staat wat erin hoort plus een voorbeeld dat je meteen kan overnemen.

Waarom heeft je kmo een AI-beleid nodig?

Omdat het alternatief stilzwijgend gedogen is, en dat brengt klantgegevens in gratis chatbots zonder dat iemand het ziet. Een korte afspraak haalt dat gebruik uit de schaduw en geeft je team duidelijkheid in plaats van een verbod dat toch wordt omzeild.

Het veelbesproken (en op zijn methode bekritiseerde) MIT-rapport over AI in bedrijven stelde vast dat in ruim 90% van de onderzochte bedrijven werknemers persoonlijke AI-tools voor het werk gebruiken, ook waar officieel niets geregeld is. Dat patroon herkent iedereen die er op de werkvloer naar vraagt: klantgegevens in gratis chatbots, zonder verwerkersovereenkomst, buiten elk zicht. Eén duidelijke pagina lost meer op dan een verbod, want een verbod verplaatst het gebruik alleen naar de privételefoon.

Er is ook een wettelijke reden. De plicht om je personeel basiskennis over AI bij te brengen geldt al sinds februari 2025, zoals we uitlegden in ons artikel over de AI Act. Een beleid is daarvoor het natuurlijke startpunt.

Wat moet er minimaal in een AI-beleid staan?

Zes afspraken volstaan voor de meeste kmo's: welke tools mogen, welke data erin mag, dat een mens elke output controleert, wie eindverantwoordelijk is, wanneer je AI-gebruik meldt en hoe een nieuwe tool op de lijst geraakt. Samen passen ze op één pagina.

1. Welke tools toegelaten zijn, met naam. Een korte lijst die je aanvult, in plaats van een vage categorie.
2. Welke gegevens erin mogen en welke nooit: persoonsgegevens van klanten en personeel, prijsafspraken en vertrouwelijke documenten blijven eruit, tenzij de tool onder een verwerkersovereenkomst valt.
3. Dat een mens elke output controleert die het bedrijf verlaat: offertes, mails, rapporten, code.
4. Wie eindverantwoordelijk is: degene die het resultaat verstuurt of gebruikt, nooit "de AI".
5. Wanneer je AI-gebruik meldt aan klanten, kandidaten of collega's.
6. Hoe een nieuw programma op de lijst geraakt: één aanspreekpunt, korte check, beslissing binnen de week.

Welke tools laat je toe en welke data mag erin?

De waterscheiding is de verwerkersovereenkomst. Gratis tools gebruik je alleen voor publieke of geanonimiseerde informatie; klant- en personeelsgegevens horen uitsluitend thuis in tools waarmee een verwerkersovereenkomst bestaat. Wie twijfelt over een specifiek programma, vraagt het na in plaats van te gokken.

Zakelijke abonnementen zoals ChatGPT Business of Copilot met een bedrijfslicentie bieden contractuele garanties dat jouw gegevens niet als trainingsdata dienen; gratis consumentenversies bieden die meestal niet. Welke tools je centraal beschikbaar maakt en hoe je ze veilig aan elkaar koppelt, is precies wat we bedoelen met AI-orchestratie.

Wie is verantwoordelijk als AI een fout maakt?

De mens die de output gebruikte, nooit het systeem. Dat principe verdient een eigen lijn in je beleid, want wie weet dat hij zelf tekent voor de offerte, leest ze ook na.

Het sluit aan bij hoe de AI Act naar werkgevers kijkt: jij blijft als bedrijf aanspreekbaar voor wat je systemen doen, dus organiseer je de controle aan jouw kant. Daarom hoort de menselijke eindcontrole letterlijk in de tekst, zodat ze niet afhangt van wie er die dag toevallig oplet.

Hoe hou je het beleid levend?

Door de toollijst elk kwartaal te herbekijken en melden makkelijk te maken. Een AI-beleid veroudert sneller dan eender welk ander bedrijfsdocument, want het aanbod verschuift per kwartaal. Plan dus een vast moment in en koppel er wat opleiding aan.

• Herbekijk de toollijst elk kwartaal. Schrap wat niemand gebruikt, beoordeel wat het team aanvraagt.
• Maak melden makkelijk. Eén bericht aan wie de lijst beheert volstaat om iets nieuws te laten toetsen. Hoe lager die drempel, hoe minder er buiten het zicht gebeurt.
• Koppel er opleiding aan. Een halve dag per jaar houdt de basiskennis op peil en is subsidieerbaar via de kmo-portefeuille. Wil je verder gaan dan losse tools, lees dan hoe je AI structureel in je bedrijf implementeert.

Hoe ziet een AI-beleid in zeven zinnen eruit?

Zo, kort genoeg om op één scherm te passen. Kopieer de zinnen hieronder, pas de namen en de locatie aan en je bent vertrokken.

1. Wij gebruiken AI als hulpmiddel; de eindverantwoordelijkheid ligt altijd bij de collega die het resultaat gebruikt.
2. Toegelaten tools staan op de lijst in [locatie]; wat er niet op staat, gebruik je niet voor werk.
3. Persoonsgegevens, prijsafspraken en vertrouwelijke documenten voer je alleen in bij tools van de lijst met het label "verwerkersovereenkomst".
4. Alles wat het bedrijf verlaat, wordt door een mens nagelezen.
5. Waar AI rechtstreeks met klanten of kandidaten communiceert, vermelden we dat.
6. Nieuwe tools meld je bij [naam]; je krijgt binnen de week antwoord.
7. Elk kwartaal overlopen we de lijst en de afspraken in het teamoverleg.

---

Wil je naast de afspraken ook de technische kant geregeld zien, van veilige AI-tools tot een eigen oplossing waar je data binnenshuis blijft? We denken graag met je mee in een vrijblijvend gesprek.