AI-beleid opstellen: een kader dat je vandaag kunt gebruiken

De meeste AI-beleidsdocumenten die we zien zijn juridische essays: tien pagina's over aansprakelijkheid en risicoclassificatie, geschreven om een jurist gerust te stellen en genegeerd door iedereen die er dagelijks mee moet werken. Dit is geen essay. Het is een kader dat je vandaag kunt invullen en morgen kunt ophangen.

We schreven eerder wat een AI-beleid is en waarom kort beter werkt dan volledig. Dit stuk is de invuloefening die daarbij hoort.

Waarom de meeste beleidsdocumenten nooit worden gelezen

Een beleidsdocument dat met een jurist is geschreven, is geschreven om elk scenario te dekken. Dat maakt het compleet en dat maakt het onleesbaar voor wie het zou moeten gebruiken: de medewerker die twijfelt of hij een klantvraag in een taalmodel mag plakken.

Een beleid dat werkt, beantwoordt drie vragen en niet meer. Wat mag wel, wat mag niet, en bij wie meld je twijfel. Alles daarboven is theorie die nooit wordt gelezen op het moment dat het ertoe doet, namelijk vlak voordat iemand iets in een tool typt.

Een checklist afvinken. Vier blokken, elk een halve dag werk.

Het kader in vier blokken

Vul dit in voor je eigen bedrijf. Elk blok is een halve dag werk, niet een project.

Blok 1: wat mag zonder overleg. Noem de tools die je al toestaat en waarvoor. Meestal is dit korter dan gedacht: een taalmodel voor conceptteksten, een tool voor het samenvatten van eigen documenten. Wees specifiek over wat er niet in mag: klantgegevens, personeelsdossiers, financiële cijfers die nog niet openbaar zijn.

Blok 2: wat altijd overleg vraagt. Alles wat een besluit over een persoon raakt, hoort hier. Een sollicitant beoordelen, een prestatiebeoordeling voorbereiden, een ontslag onderbouwen. Dit is ook precies het gebied waar de AI Act het zwaarst weegt, zie bijlage III.

Blok 3: wat nooit mag. Kort en hard. Emotieherkenning op de werkvloer, ongericht verzamelen van biometrische gegevens, en voor de meeste bedrijven: klantgegevens in een gratis, publieke tool zetten waarvan je de dataverwerking niet kent.

Blok 4: wie je belt bij twijfel. Eén naam, geen commissie. Een medewerker die twijfelt en nergens terechtkan, beslist zelf, en dat beslissingsmoment is precies waar het misgaat.

Iets opschrijven. Eén naam om te bellen bij twijfel, geen commissie.

Waarom dit niet vrijblijvend is

Een AI-beleid voelt als iets voor bedrijven die het "netjes willen doen", maar er zit een harde verplichting onder. Artikel 4 van de AI Act vraagt dat je aantoonbaar iets doet om AI-geletterdheid te ondersteunen, en een beleid is precies het document waarmee je dat laat zien. Zonder beleid heb je geen basis om te tonen wat wel en niet mag, en dus ook geen basis om artikel 4 aan te tonen.

Dat betekent niet dat het beleid om de wet moet draaien. Het betekent dat een goed beleid toevallig twee dingen tegelijk doet: het voorkomt dat iemand klantgegevens in een verkeerde tool plakt, en het is precies het bewijsstuk dat een toezichthouder zou vragen. Je hoeft er niet apart voor te bouwen.

Een ingevuld voorbeeld

Om het minder abstract te maken, een ingevuld voorbeeld voor een fictief bedrijf van honderdtwintig mensen in de dienstverlening.

Wat mag zonder overleg: een taalmodel voor conceptteksten en interne notities, een tool voor het samenvatten van eigen, niet-vertrouwelijke documenten. Nooit klantnamen, contractbedragen of personeelsgegevens erin.

Wat altijd overleg vraagt: elke uitkomst die een sollicitant, een medewerker of een klant direct raakt in een beslissing. Een conceptmail aan een klant mag AI-hulp krijgen; het besluit om een offerte af te wijzen niet.

Wat nooit mag: gezichtsherkenning voor iets anders dan toegangsbeveiliging waarvoor expliciet toestemming is gegeven, en het gebruik van gratis, publieke AI-tools voor iets met klant- of personeelsgegevens erin.

Wie je belt: de HR-manager, met een vervanger genoemd voor als die met vakantie is. Herzieningsdatum: elk kwartaal, gekoppeld aan het teamoverleg.

Dat is het complete beleid. Geen sub-clausules, geen bijlagen.

Iets opschrijven. Eén naam om te bellen bij twijfel, geen commissie.

Vier fouten die het beleid nutteloos maken

Het beleid is geschreven vóór het is besproken. Een beleid dat top-down wordt opgelegd zonder dat de mensen die het moeten gebruiken input hebben gegeven, mist precies de situaties die in de praktijk voorkomen. Bespreek het concept met drie mensen die er dagelijks mee werken voordat het definitief wordt.

Het staat alleen op een gedeelde schijf. Een document dat niemand toevallig tegenkomt, bestaat in theorie en niet in de praktijk. Print het, hang het op, of maak er een tegel van op het intranet die iedereen ziet.

Het noemt geen concrete voorbeelden. "Gebruik AI verantwoord" is geen regel, het is een wens. "Plak nooit een klantnaam in een publieke chatbot" is een regel. Specifiek wint van algemeen.

Er is geen eigenaar. Een beleid zonder iemand die verantwoordelijk is voor de herziening, veroudert stil. Wijs één naam aan, niet een afdeling.

Een sjabloon dat je vandaag invult

De laatste rij wordt het vaakst overgeslagen en is net zo belangrijk als de eerste vijf. Een beleid zonder herzieningsdatum is over een jaar een document over tools die niemand meer gebruikt.

Waar de grens tussen blok 1 en blok 2 vaak fout wordt getrokken

Het lastigste onderdeel is niet het schrijven van de blokken, het is de grens tussen wat zonder overleg mag en wat een mens moet zien. Twee vuistregels helpen daarbij.

Raakt de uitkomst een persoon in een beslissing, of raakt hij alleen tekst? Een conceptmail is tekst. Een score die meeweegt of iemand wordt aangenomen, is een beslissing. Die tweede categorie hoort altijd in blok 2, ook als de uiteindelijke keuze door een mens wordt gemaakt, want het advies zelf kleurt die keuze al.

Is de uitkomst inzichtelijk voor degene die hem gebruikt? Een samenvatting van een document kun je zelf checken tegen het origineel. Een risicoscore die uit een model komt zonder uitleg, kun je niet checken, en dat betekent dat er een mens moet zijn die weet wat er wél en niet in die score is meegewogen voordat hij gebruikt wordt.

Bij twijfel geldt: schuif het naar blok 2. Een extra overleg kost een kwartier. Een verkeerde beslissing die niemand heeft gezien kost veel meer.

Waarom kort win van compleet

Een beleid van twee pagina's wordt gelezen. Een beleid van twintig pagina's wordt eenmaal doorgebladerd en daarna nooit meer geopend. De hele waarde van een beleid zit in wat mensen doen als niemand meekijkt, en dat wordt bepaald door wat ze zich herinneren, niet door wat er ergens staat opgeschreven.

Dit is dezelfde reden waarom we bij AI-geletterdheid pleiten voor een kwartier per kwartaal over een echt geval, in plaats van een jaarlijkse cursus. Beleid en training werken volgens hetzelfde principe: kort, herhaald en concreet wint van compleet en eenmalig.

Wat je hiermee doet

Zet dit kader om in een half A4'tje, print het uit, en hang het op waar mensen werken. Niet in een map op een gedeelde schijf die niemand opent.

Bespreek het één keer met het team, met echte voorbeelden uit je eigen bedrijf. Herzie het elk kwartaal met dezelfde mensen die het artikel over AI-geletterdheid al bijhouden, want dat is precies dezelfde vergadering.

Over deze pagina

Dit kader is onze eigen aanpak, gebaseerd op wat we in trajecten bij bedrijven van vijftig tot driehonderdvijftig mensen zien werken. Het is geen juridisch advies en geen vervanging voor een jurist bij complexe situaties. Dit is de stand van 18 augustus 2026.