AI-beleid

Schrijf het nadat je hebt gekeken, niet ervoor

De gebruikelijke fout is beleid opstellen voor een hypothetische situatie. In vrijwel elke organisatie gebruiken medewerkers al AI-tools voordat er beleid is, meestal op persoonlijke accounts. Beleid dat is geschreven zonder te weten wat er echt in gebruik is, reguleert een bedrijf dat niet bestaat.

De volgorde is dus: eerst uitzoeken wat er wordt gebruikt, daarna de regels schrijven.

Wat er in werkbaar beleid staat

• Welke tools zijn toegestaan, met naam, en hoe een nieuwe wordt goedgekeurd
• Wat er nooit in mag: klantgegevens, personeelsdossiers, alles onder geheimhouding, prijzen die niet openbaar zijn
• Wie beslist, per rol, als iets buiten de lijst valt
• Waar een mens de controle houdt, en voor welke besluiten dat niet onderhandelbaar is
• Wat je vastlegt, want verplichtingen uit de AI Act rusten op de maatregelen die je kunt aantonen

Waar het op stukloopt

Lengte. Beleid van tien pagina's is beleid dat niemand leest, en ongelezen beleid verandert niets aan wat er op vrijdagmiddag in een chatvenster wordt geplakt. Twee pagina's die mensen echt kennen zijn meer waard dan een grondig document in een map.

De tweede valkuil is een verbod zonder alternatief. AI-tools verbieden zonder een goedgekeurde route te bieden drukt het gebruik ondergronds, waar je het niet meer ziet.

De verhouding tot de AI Act

Beleid is niet hetzelfde als naleving. De AI Act stelt concrete verplichtingen, waaronder sinds 2 februari 2025 de plicht te zorgen voor een toereikend niveau van AI-geletterdheid bij mensen die namens jou AI-systemen bedienen. Beleid is een van de maatregelen waarmee je aan die plicht voldoet, en het is de maatregel die de rest zichtbaar maakt.