Waarom een AI-beleid nodig is
Een medewerker die een klantmail in een gratis chatbot plakt om er een nette reactie van te maken, deelt die klantgegevens met de aanbieder van de chatbot. Als daar geen afspraken over zijn, kan dat een datalek zijn.
Dat is geen theorie. De Autoriteit Persoonsgegevens (AP) meldde in augustus 2024 dat zij meerdere meldingen van datalekken had gekregen door het gebruik van AI-chatbots. In één geval had een medewerker van een huisartsenpraktijk medische gegevens van patiënten in een chatbot ingevoerd, tegen de afspraken in (NOS en AP, augustus 2024). De AP adviseert organisaties om duidelijke afspraken te maken over welke gegevens wel en niet in chatbots mogen.
AI-geletterdheid: wat de AI-verordening vraagt
Sinds 2 februari 2025 vraagt artikel 4 van de Europese AI-verordening van organisaties die AI-systemen gebruiken, dat zij werk maken van AI-geletterdheid van hun medewerkers (digitaleoverheid.nl, 2026). Dat geldt ook voor het mkb. Het gaat erom dat mensen die met AI werken, weten wat het kan, waar het misgaat en wat de risico's zijn.
Er is geen verplichte standaardcursus of certificaat. De AP beschrijft in haar handreiking vier stappen: in kaart brengen welke AI er wordt gebruikt en door wie, doelen bepalen die passen bij de risico's en rollen, uitvoeren, en evalueren (AP, handreiking AI-geletterdheid, 2025). De invulling hangt af van uw situatie. Een kapsalon met één chatbot heeft minder nodig dan een kantoor waar tien mensen dagelijks met AI werken.
Gebruikt u een chatbot richting klanten? Dan geldt sinds 2 augustus 2026 ook de plicht om te melden dat het AI is (EU-AI-verordening, art. 50). Zie De AI-wet en uw chatbot.
Wat mag wel en niet? Een overzicht
Dit is een voorbeeld dat u kunt aanpassen. Het onderscheid tussen een gratis consumentenaccount en een zakelijke versie met verwerkersovereenkomst is daarbij het belangrijkst.
| Soort informatie | Gratis of privéaccount | Zakelijke versie met verwerkersovereenkomst |
|---|---|---|
| Openbare informatie (website, folder) | Mag | Mag |
| Interne teksten zonder namen of cijfers | Liever niet | Mag |
| Namen, adressen, telefoonnummers van klanten | Nee | Alleen als het nodig is voor de taak |
| Medische gegevens, BSN, financiële gegevens van personen | Nee | Nee, tenzij uitdrukkelijk goedgekeurd en vastgelegd |
| Wachtwoorden, codes, sleutels | Nooit | Nooit |
| Vertrouwelijke bedrijfsinformatie (contracten, prijzen) | Nee | Volgens afspraak met leidinggevende |
Welke zakelijke versies er zijn en wat ze kosten, leest u op ChatGPT zakelijk.
Voorbeeldbeleid op één pagina
Een beleid werkt alleen als mensen het lezen. Houd het kort. U kunt deze punten overnemen:
- Welke tools: "Je gebruikt voor werk alleen de AI-tools die op deze lijst staan: [lijst]. Wil je een andere tool gebruiken, vraag het eerst aan [naam]."
- Welke gegevens: "Je voert geen persoonsgegevens van klanten, patiënten of collega's in, tenzij de tool op de lijst staat met het label 'mag met klantgegevens'."
- Controle: "Je controleert alles wat AI maakt voordat je het gebruikt of verstuurt. Jij blijft verantwoordelijk."
- Eerlijk naar buiten: "Gaat een tekst die AI heeft gemaakt zonder controle naar buiten, dan staat erbij dat AI is gebruikt."
- Fouten melden: "Heb je per ongeluk gegevens ingevoerd die er niet in horen? Meld het direct bij [naam]. Dan kunnen we beoordelen of het een datalek is." Een datalek moet u vaak binnen 72 uur bij de AP melden (AVG, art. 33).
- Leren: "Je volgt de korte uitleg over AI die we jaarlijks geven."
Stappenplan voor de invoering
- Inventariseer welke AI-tools nu al worden gebruikt. Vraag het gewoon; vaak zijn het er meer dan u denkt.
- Kies welke tools u toestaat, en regel voor zakelijk gebruik een verwerkersovereenkomst.
- Schrijf het beleid op één pagina, in gewone taal.
- Leg uit in een korte sessie: wat kan AI, waar gaat het mis (verzonnen feiten, verouderde informatie) en wat zijn de regels.
- Leg vast wat u hebt gedaan. Zo kunt u laten zien dat u werk maakt van AI-geletterdheid.
- Kijk elk jaar opnieuw: tools en regels veranderen snel.
Een veilig alternatief bieden
Verbieden zonder alternatief werkt slecht: mensen gaan dan stiekem door. Beter is een tool aanbieden die wel mag. Dat kan een zakelijke versie van een bekende chatbot zijn, of een interne AI-assistent die alleen uw eigen documenten gebruikt. IT Live, de maker van deze site, biedt zelf ook AI-oplossingen voor bedrijven aan (Slimbot en maatwerk); zie wat IT Live aanbiedt. Vergelijk dat altijd met andere aanbieders.
Waar moet u op letten bij een zakelijke AI-tool?
- Is er een verwerkersovereenkomst?
- Worden uw gegevens gebruikt om het model te trainen? Kunt u dat uitzetten?
- Waar staan de gegevens: in de EU of daarbuiten?
- Kunt u als beheerder accounts aanmaken en weer verwijderen als iemand vertrekt?
- Is er een logboek van gebruik?
Meer hierover op Privacy en AVG.
Veelgemaakte fouten
- Een beleid van tien pagina's dat niemand leest. Eén pagina werkt beter.
- Alleen verbieden, zonder een tool die wel mag.
- Geen aanspreekpunt. Medewerkers moeten weten bij wie ze terechtkunnen met een vraag of een fout.
- Eenmalig regelen. Nieuwe tools en functies komen er steeds bij; kijk het beleid elk jaar na.
Hulp bij uw AI-beleid?
Wilt u weten welke AI-tool past bij uw team en uw regels? Vul het formulier in, dan denken we vrijblijvend mee. Of start met de keuzehulp.