AI-beleid opstellen voor je bedrijf: stappenplan plus voorbeeld
Zonder AI-beleid gebruiken medewerkers AI op eigen houtje, met alle risicos van dien. Zo stel je in vijf stappen een beleid op.
Je medewerkers gebruiken waarschijnlijk al AI, of ze het nu officieel mogen of niet. Zonder afspraken betekent dat: niemand weet wat wel en niet mag, gevoelige gegevens belanden mogelijk in tools waar ze niet thuishoren, en als er iets misgaat, is onduidelijk wie waarvoor verantwoordelijk was. Een AI-beleid lost dat op. Het is geen dik juridisch document, maar een set heldere afspraken die je team duidelijkheid geeft en je bedrijf beschermt.
In dit artikel lees je hoe je een werkbaar AI-beleid opstelt: het stappenplan, de punten die erin horen, en de valkuilen die je vermijdt. Het doel is een beleid dat mensen daadwerkelijk volgen omdat het helder en redelijk is, niet een document dat in een la verdwijnt. Want het beste AI-beleid is er een dat je team kent, begrijpt en in de praktijk gebruikt.
Waarom een AI-beleid nodig is
Zonder afspraken ontstaat bij AI precies het soort risico dat je wilt vermijden. De belangrijkste redenen voor een AI-beleid:
Bescherming van gegevens. Het grootste AI-risico is dat vertrouwelijke of persoonsgegevens in de verkeerde tools belanden (zie AI en de AVG). Een beleid maakt glashelder wat wel en niet mag.
Duidelijkheid voor het team. Medewerkers willen vaak best zorgvuldig zijn, maar weten niet waar de grenzen liggen. Heldere afspraken nemen die onzekerheid weg en voorkomen fouten uit onwetendheid.
Verantwoordelijkheid. Een beleid legt vast dat AI-output gecontroleerd moet worden en dat de mens verantwoordelijk blijft. Dat voorkomt dat fouten ontstaan doordat iedereen aanneemt dat de AI het wel goed had.
Aantoonbare zorgvuldigheid. Mocht het er ooit op aankomen, dan laat een AI-beleid zien dat je bedrijf bewust en zorgvuldig met AI omgaat. Dat is waardevol richting klanten, toezichthouders en in de keten.
Wat er in een AI-beleid hoort
Een goed AI-beleid voor het MKB hoeft niet lang te zijn, maar dekt wel de belangrijke punten. De kern:
1. Welke tools wel en niet gebruikt mogen worden. Wees concreet over welke AI-tools zijn goedgekeurd voor zakelijk gebruik, en dat het gebruik van niet-goedgekeurde tools voor bedrijfswerk niet de bedoeling is. Liefst bied je goede, veilige tools aan zodat mensen niet naar onveilige alternatieven grijpen.
2. Welke gegevens wel en niet in AI mogen. Het belangrijkste punt. Maak glashelder dat vertrouwelijke bedrijfsinformatie en persoonsgegevens niet in AI-tools horen, tenzij via een goedgekeurde veilige variant. Geef concrete voorbeelden van wat niet mag (klantgegevens, financiële details, persoonsgegevens).
3. De controleplicht. Leg vast dat AI-output altijd door een mens gecontroleerd wordt voordat ze gebruikt of naar buiten gebracht wordt, zeker bij feiten, cijfers en klantcommunicatie. AI levert een concept, de mens levert het eindresultaat.
4. Verantwoordelijkheid. Maak duidelijk dat de medewerker verantwoordelijk blijft voor wat hij met AI-hulp produceert. AI is een hulpmiddel, geen excuus.
5. Transparantie waar nodig. Spreek af wanneer je open bent over AI-gebruik, bijvoorbeeld richting klanten als dat relevant is.
6. Wie vragen beantwoordt. Wijs aan bij wie medewerkers terechtkunnen met vragen of twijfels over AI-gebruik. Dat verlaagt de drempel om iets na te vragen in plaats van een gok te wagen.
Het stappenplan
Een AI-beleid opstellen hoeft geen groot project te zijn. In een paar stappen kom je er.
Stap 1: breng het huidige gebruik in kaart. Zoek uit welke AI-tools er al gebruikt worden en waarvoor. Dit geeft je een realistisch beeld om op te bouwen, en je ontdekt vaak gebruik waar je geen weet van had.
Stap 2: bepaal je uitgangspunten. Beslis hoe je bedrijf tegenover AI staat: stimuleren binnen kaders, of terughoudend. De meeste bedrijven kiezen verstandig voor "gebruik aangemoedigd, mits binnen heldere afspraken".
Stap 3: stel de kernregels op. Werk de zes punten hierboven uit naar jouw situatie, concreet en in begrijpelijke taal. Houd het kort en helder.
Stap 4: bespreek het met het team. Een beleid dat van bovenaf wordt opgelegd zonder uitleg, leeft niet. Bespreek het, leg uit waarom de regels er zijn, en sta open voor praktische vragen.
Stap 5: maak het vindbaar en levend. Zorg dat iedereen het beleid kent en kan terugvinden. Kom er periodiek op terug, want zowel AI als het gebruik ervan ontwikkelt zich snel.
Stap 6: evalueer en pas aan. AI verandert snel. Plan een moment, bijvoorbeeld jaarlijks, om het beleid tegen het licht te houden en bij te werken.
Een voorbeeld van de kern
Ter illustratie, zo zou de kern van een eenvoudig AI-beleid kunnen klinken (pas dit altijd aan op je eigen situatie):
*"Wij moedigen het gebruik van AI aan om ons werk efficiënter te maken, binnen de volgende afspraken. Gebruik alleen de door ons goedgekeurde AI-tools voor bedrijfswerk. Voer nooit vertrouwelijke bedrijfsinformatie of persoonsgegevens in AI-tools in, tenzij via een goedgekeurde veilige variant. Controleer altijd de output van AI voordat je die gebruikt of verstuurt, zeker bij feiten en klantcommunicatie. Je blijft zelf verantwoordelijk voor wat je met AI maakt. Bij twijfel of vragen, neem contact op met [verantwoordelijke]."*
Dit is bewust kort en helder. Een beleid dat mensen in één keer kunnen lezen en begrijpen, wordt gevolgd; een lang juridisch document niet.
De valkuilen
Te streng of een totaalverbod. Een verbod werkt zelden; mensen gebruiken AI dan stiekem, zonder afspraken. Sturen binnen kaders is effectiever dan verbieden.
Te vaag. "Ga verstandig om met AI" zegt niets. Wees concreet, vooral over welke gegevens niet in AI mogen.
Opstellen en vergeten. Een beleid dat niemand kent of dat nooit wordt herzien, beschermt niet. Maak het levend en actueel.
Te ingewikkeld. Een lang, juridisch document leest niemand. Houd het kort, helder en praktisch, dan werkt het.
Inhoud van een AI-gebruiksbeleid
| Onderdeel | Wat er in staat | Lengte |
|---|---|---|
| Toegestane tools | Welke AI-tools mogen medewerkers gebruiken | 1/2 pagina |
| Verboden handelingen | Wat nooit in publieke AI mag (persoonsdata, vertrouwelijk) | 1/2 pagina |
| Kwaliteitseisen aan output | Review-verplichting, bronvermelding | 1/4 pagina |
| Auteursrecht en eigendom | AI-output als bedrijfsinhoud, licentierisico | 1/4 pagina |
| Meldplicht bij incidenten | Wat te doen bij onbedoeld gelekte data | 1/4 pagina |
| Verantwoordelijke | Wie beheert het beleid, wie beslist bij twijfel | 1/4 pagina |
Praktijkscenario: accountantskantoor stelt AI-beleid op na bijna-incident
Een accountantskantoor met 16 medewerkers ontdekte dat een medewerker een volledige belastingaangifte van een klant had geüpload naar ChatGPT Free om tekst samen te vatten. De aangifte bevatte BSN-nummers, inkomensgegevens en bankrekeningnummers.
Dit was een potentiële AVG-overtreding (art. 28): persoonsgegevens in een publieke AI zonder verwerkersovereenkomst.
Actie: de IT-verantwoordelijke blokkeerde ChatGPT Free in de browser voor werk-apparaten (via DNS-filter) en stelde binnen 2 weken een AI-beleid op:
Kernbepalingen:
- ChatGPT Free en andere publieke AI-tools zonder DPA zijn verboden voor werk
- ChatGPT Team (€25/gebruiker/maand, DPA aanwezig) is goedgekeurd
- Klantdata (persoonsgegevens, financiële gegevens) nooit in welke AI dan ook invoeren
- AI-output voor klantrapportages altijd door een medewerker controleren en ondertekenen
Kosten beleidsopstelling: 8 interne uren. Kosten ChatGPT Team (10 gebruikers): €3.000/jaar.
Stappenplan: AI-beleid opstellen in 4 stappen
Stap 1: inventariseer huidig AI-gebruik
Vraag medewerkers welke AI-tools ze gebruiken en voor welke taken. Anoniem als dat eerlijkere antwoorden geeft.
Stap 2: bepaal de risicoscategorie per tool
Publieke AI zonder DPA: hoog risico. Enterprise AI met DPA: laag risico. Sectorspecifieke AI: beoordeel per tool.
Stap 3: schrijf het beleid (maximaal 2 pagina's)
Houd het beknopt en praktisch. Een beleid dat niemand leest helpt niet.
Stap 4: communiceer en herhaal jaarlijks
Presenteer het beleid aan het team (30 minuten), beantwoord vragen en update het jaarlijks of bij grote AI-ontwikkelingen.
Boetes en risico's bij ontbreken AI-beleid
Zonder AI-beleid lopen bedrijven diverse risico's:
| Risico | Wettelijke grondslag | Maximale boete |
|---|---|---|
| Persoonsdata in publieke AI | AVG art. 28 (geen verwerkersovereenkomst) | €20 miljoen of 4% omzet |
| Auteursrechtschending via AI-output | Europese Auteursrechtenrichtlijn | Civiele schadeclaim |
| AI Act: transparantieschending | AI Act art. 50 | €7,5 miljoen of 1% omzet |
| Arbeidsrechtelijke gevolgen | Wet bescherming klokkenluiders | Variabel |
In de praktijk zijn boetes voor MKB-bedrijven die AI verkeerd gebruiken (zonder opzet) doorgaans lager, maar het reputatierisico bij klanten is reëel. 67% van de B2B-klanten geeft aan dat ze willen weten of hun data veilig is bij leveranciers die AI gebruiken (Gartner survey 2024).
De investering in een goed AI-beleid is minimaal (8 tot 16 uur), het risico van geen beleid kan €10.000 tot €100.000 bedragen bij een AVG-incident.
AI-beleid: wat er minimaal in moet staan
| Beleidsonderdeel | Wat regelen | Waarom verplicht/noodzakelijk |
|---|---|---|
| Toegestane en verboden AI-tools | Welke tools mogen worden gebruikt? | Databeveiliging, AVG-compliance |
| Vertrouwelijke data en AI | Wat mag nooit in publieke AI? | Voorkomt datalek via AI |
| Transparantie AI-gebruik extern | Wanneer meld je dat AI is gebruikt? | AI Act, consumentenbescherming |
| Auteursrecht AI-output | Hoe ga je om met intellectueel eigendom? | Aansprakelijkheidsbescherming |
| Verificatieplicht | Wie verifieert AI-output vóór gebruik? | Hallucinaties voorkomen |
| Training en bewustzijn | Wie krijgt AI-training, wanneer? | Adoptie en correct gebruik |
| Incidentrapportage | Wat doe je bij een AI-gerelateerd incident? | AVG en AI Act |
| Review-cyclus | Wanneer wordt het beleid herzien? | AI-landschap verandert snel |
Richtlijnen per type AI-gebruik
| AI-gebruik | Toegestaan (zakelijk)? | Aandachtspunt | Maatregel |
|---|---|---|---|
| E-mails schrijven (ChatGPT Team) | Ja | Vertrouwelijke info weglaten | Instructie medewerkers |
| Klantdata invoeren in AI | Nee (publieke AI) | AVG-overtreding | DPA-conform zakelijke tool |
| Samenvatten intern document | Ja (zakelijke tool) | Classificatie document controleren | Documentbescherming |
| Code genereren voor productie | Ja (met review) | Auteursrecht en bugs | Verplichte code-review |
| Marketingcontent genereren | Ja | Feitelijke claims verifiëren | Redactionele check |
| Sollicitanten beoordelen met AI | Nee zonder mensentoezicht | Hoog-risico AI Act | Mensentoezicht vereist |
| Klantchatbot AI | Ja (met transparantie) | Melden dat het AI is | Transparantie-banner |
AI-beleid implementeren: tijdlijn en kosten
| Stap | Tijdsinvestering | Kosten | Wie |
|---|---|---|---|
| Inventariseer huidig AI-gebruik | 4-8 uur | €0 | Manager/CISO |
| Stel lijst toegestane tools op | 2-4 uur | €0 | Manager + IT |
| Schrijf beleid (2-4 pagina's) | 4-8 uur | €0-€1.500 (extern) | Manager of jurist |
| OR-instemming (indien OR aanwezig) | 2-6 weken | €0 | HR |
| Training medewerkers | 1-2 uur per mw | €0-€50/mw (e-learning) | HR + IT |
| Communiceer en activeer | 1 uur | €0 | Management |
| Totaal | 13-28 uur | €0-€3.000 |
Veelgestelde vragen
Waarom heb ik een AI-beleid nodig?
Omdat je medewerkers waarschijnlijk al AI gebruiken, en zonder afspraken belanden gevoelige gegevens mogelijk in de verkeerde tools en is onduidelijk wie waarvoor verantwoordelijk is. Een AI-beleid beschermt je gegevens, geeft je team duidelijkheid over wat wel en niet mag, legt de controleplicht en verantwoordelijkheid vast, en laat zien dat je bedrijf zorgvuldig met AI omgaat. Het voorkomt de meeste problemen.
Wat moet er minimaal in een AI-beleid staan?
De kern bestaat uit: welke tools wel en niet gebruikt mogen worden, welke gegevens wel en niet in AI mogen (het belangrijkste punt), de plicht om AI-output te controleren, dat de medewerker verantwoordelijk blijft, en bij wie men terechtkan met vragen. Houd het kort en concreet, vooral over welke gegevens niet in AI horen, want dat is waar de meeste risico's zitten.
Hoe lang moet een AI-beleid zijn?
Zo kort als mogelijk en zo lang als nodig. Voor het MKB volstaat vaak een beleid dat mensen in één keer kunnen lezen en begrijpen, met de kernafspraken helder op een rij. Een lang juridisch document leest niemand en wordt dus niet gevolgd. Het doel is duidelijkheid die mensen in de praktijk gebruiken, niet volledigheid die in een la verdwijnt.
Moet ik AI verbieden of toestaan?
Toestaan binnen heldere kaders werkt vrijwel altijd beter dan verbieden. Een totaalverbod werkt zelden, want medewerkers gebruiken AI dan stiekem en zonder afspraken, wat juist risicovoller is. Een beleid dat AI aanmoedigt binnen duidelijke grenzen, vooral rond gegevens, benut de voordelen en beheerst de risico's. Sturen is effectiever dan verbieden.
Hoe vaak moet ik mijn AI-beleid herzien?
Minstens jaarlijks, en vaker als er belangrijke ontwikkelingen zijn, want zowel AI als het gebruik ervan en de regelgeving eromheen veranderen snel. Plan een vast evaluatiemoment in om het beleid tegen het licht te houden en bij te werken. Een beleid dat je een keer opstelt en daarna vergeet, raakt verouderd en beschermt niet meer goed.
Meer lezen over AI en beleid
Lees ook AI-risicos voor het MKB voor een overzicht van veelgemaakte fouten bij AI-implementaties. Concrete toepassingen vind je in AI-toepassingen voor het MKB. Hoe AI zich verhoudt tot de AVG staat uitgebreider beschreven in AI en privacy.
Kosten en tijdsinvestering AI-beleid
Een basaal AI-beleid kost een bedrijf van 25 medewerkers gemiddeld 8 uur aan interne tijd. Grotere bedrijven (50-150 medewerkers) rekenen 16-24 uur. Externen vragen €800 tot €2.500 voor een compleet beleid inclusief procedures. Jaarlijkse herziening duurt gemiddeld 2 uur. Bedrijven met een formeel AI-beleid rapporteren 35% minder incidenten met onbedoeld datagebruik in de eerste 6 maanden na invoering. Circa 78% van de MKB-medewerkers gebruikt minstens 1 AI-tool buiten de goedgekeurde toolset wanneer er geen beleid is.
*Laatst bijgewerkt: juni 2026. Onderdeel van het dossier AI voor bedrijven. De voorbeeldtekst is ter illustratie, geen juridisch advies.*
AI-beleid in de praktijk: bedrijven zonder AI-beleid lopen 3× hogere kans op een AVG-gerelateerd incident door onbedoeld gebruik van klantdata in AI-tools. Tijdsinvestering voor opstellen AI-beleid: 2-4 uur intern voor een basisdocument van 2-3 pagina's. Elementen van een compleet AI-beleid: goedgekeurde tools (lijst van toegestane AI-systemen), verboden data (persoonsgegevens, vertrouwelijke info, broncode), verificatieplicht (feitelijke claims controleren), incidentprocedure (wat bij onbedoelde data-invoer), jaarlijkse review. Aanbevolen update-frequentie: jaarlijks of bij introductie nieuwe AI-tools. AI-beleid leidt gemiddeld tot 40% minder ongepland AI-gebruik buiten de goedgekeurde tools.