Hoe u een AI-beleid opstelt voor een klein bedrijf

Wat is een AI-beleid?

Een AI-beleid is een kort bedrijfsdocument dat medewerkers vertelt welke AI-tools ze mogen gebruiken, voor welke taken, met welke informatie en wat er moet gebeuren voordat een met AI gemaakt resultaat wordt gebruikt. In een klein bedrijf beslaat het meestal een paar pagina's en valt het onder de verantwoordelijkheid van een oprichter, een operationeel leidinggevende of degene die al voor gegevens en contracten zorgt.

De term omvat verschillende documenten die vaak door elkaar worden gehaald. Een beleid voor aanvaardbaar gebruik bevat de regels die medewerkers dagelijks volgen. Een beleid voor generatieve AI gaat over tools die tekst, afbeeldingen of code produceren, en over de risico's van die gegenereerde inhoud. Een bestuurskader vormt de bestuurlijke laag achter beide: wie een tool goedkeurt, wie het register bijhoudt en hoe vaak besluiten worden herzien. De meeste bedrijven met minder dan 200 medewerkers kunnen alle drie in één document onderbrengen, zolang elk onderdeel duidelijk is aangeduid.

Deze gids behandelt de beslissingen die elk AI-beleid vereist, met voorbeeldbepalingen voor een fictief bedrijf. Het is algemene informatie, geen juridisch advies. Wetgeving over gegevensbescherming, arbeid en consumentenbescherming verschilt per land en sector. Laat de versie die u invoert daarom beoordelen door een deskundige adviseur.

Wat moet een AI-beleid voor een klein bedrijf regelen?

Bruikbaar beleid helpt iemand te beslissen wat te doen voordat die informatie in een hulpmiddel invoert of het resultaat ervan gebruikt. Het moet duidelijk maken welke diensten zijn goedgekeurd, welke taken geschikt zijn, welke informatie wel en niet mag worden gebruikt, wie verantwoordelijk is voor controle en bij wie iemand terechtkan als verder overleg nodig is. Een lijst waarschuwingen zonder die praktische keuzes laat medewerkers in het ongewisse. Mensen die moeten gissen, stoppen met het gebruik van de hulpmiddelen of gebruiken ze zonder het te melden.

Begin met de werkprocessen die mensen daadwerkelijk uitvoeren. Een conceptuitnodiging op basis van openbare feiten vraagt om andere controles dan een samenvatting van vertrouwelijk klantmateriaal. Noteer voor elk werkproces het doel, het bronmateriaal, de beoogde lezer en de gevolgen van een fout. Die context is een beter uitgangspunt dan elk gebruik van AI als hetzelfde te behandelen.

Een goede toets is of een nieuwe medewerker na het lezen drie vragen kan beantwoorden: welk account gebruik ik, wat mag ik nooit invoeren en bij wie kan ik terecht met vragen. Als het document die vragen niet beantwoordt, doet het zijn werk nog niet, hoe grondig het er ook uitziet.

Is een klein bedrijf wettelijk verplicht een AI-beleid te hebben?

Op de meeste plaatsen bestaat geen algemene wet die elk klein bedrijf verplicht een document met de naam AI-beleid te hebben. Bestaande verplichtingen blijven wel gelden voor de manier waarop medewerkers AI gebruiken. Privacywetgeving, geheimhoudingsbepalingen in klantcontracten, arbeidsrecht en reclameregels blijven van toepassing, ook als een tool het concept heeft gemaakt. Beleid is een praktische manier om medewerkers te laten zien hoe die bestaande verplichtingen gelden voor hun AI-gebruik.

In het Verenigd Koninkrijk publiceert de Britse gegevensbeschermingsautoriteit richtlijnen over AI en gegevensbescherming en een hulpmiddel voor risicobeoordeling voor organisaties. Beide pagina's vermelden momenteel dat de richtlijnen worden herzien naar aanleiding van de wet inzake gegevensgebruik en -toegang. Controleer daarom de actuele status voordat u op specifieke details vertrouwt. In de EU is artikel 4 van de EU AI Act over AI-geletterdheid sinds 2 February 2025 van toepassing op aanbieders en gebruiksverantwoordelijken van AI-systemen. De vragen en antwoorden over AI-geletterdheid van de Europese Commissie stellen dat er geen uniforme aanpak is, dat certificaten niet verplicht zijn en dat een interne registratie van trainingen volstaat. Ze geven ook het voorbeeld van medewerkers die een chatassistent gebruiken voor reclameteksten of vertalingen: zij moeten worden geïnformeerd over specifieke risico's zoals hallucinaties.

Als u aan klanten in de EU verkoopt, daar mensen in dienst hebt of persoonsgegevens van EU-inwoners verwerkt, win dan advies in over welke regels voor u gelden. Het punt in deze gids is beperkter: schriftelijk beleid in combinatie met praktische training is een redelijke manier om aan te tonen dat mensen zijn geïnformeerd over de risico's en hoe ze daarmee moeten omgaan.

Wie moet verantwoordelijk zijn voor de beslissingen?

Wijs één beleidsverantwoordelijke aan en bepaal wie tools en gevoelige werkprocessen mag goedkeuren. In een bedrijf met 12 medewerkers kan de oprichter dat allemaal doen. In een bedrijf met 80 medewerkers kan de operationeel leidinggevende verantwoordelijk zijn voor tools, de verantwoordelijke voor gegevensbescherming voor persoonsgegevens en de afdelingshoofden voor de controle van uitvoer binnen hun afdeling. Medewerkers hebben één aanspreekpunt nodig voor vragen waarop het beleid geen antwoord geeft.

Het onderdeel over besturing in de NIST-praktijkgids voor AI-risicobeheer bespreekt vastgelegde rollen en verantwoordelijkheden, training voor personeel over AI-risico's en communicatielijnen. De structuur hier is een praktische aanpassing voor een klein team. Door deze koppen te gebruiken, voldoet een beleid niet automatisch aan enige wet en wordt het niet door NIST onderschreven.

Neem de naam van de verantwoordelijke en een vervanger op in het beleid zelf, niet alleen een functietitel. In kleine bedrijven veranderen functietitels sneller dan documenten. Een escalatieroute die verwijst naar een functie die niemand vervult, is helemaal geen route.

Hoe legt u vast welke tools zijn goedgekeurd?

Leg de exacte dienst, het abonnement en het toegestane gebruik vast, want achter alleen een merknaam gaan belangrijke verschillen schuil. Een persoonlijk consumentenaccount, een zakelijke bedrijfswerkruimte en een API-integratie van hetzelfde product kunnen verschillende voorwaarden hebben voor bewaartermijnen, modeltraining en beheerrechten. Leg de relevante instellingen en voorwaarden vast in plaats van aan te nemen dat één uitspraak voor elke versie geldt.

Vraag afzonderlijk naar modeltraining, bewaartermijnen, toegang, verwerkingslocaties en verwijdering. Een verklaring dat gegevens niet voor training worden gebruikt, betekent niet dat er niets wordt opgeslagen of dat u een klantdocument mag uploaden. Als voorbeeld van hoe leveranciers dit beschrijven: in de documentatie van Microsoft voor Copilot Chat voor organisaties staat dat instructies en antwoorden onder het addendum inzake gegevensbescherming vallen en niet worden gebruikt om basismodellen te trainen, en dat de specifieke beheermogelijkheden per abonnement verschillen. Leg zulke abonnementspecifieke verklaringen vast, met de datum waarop u ze hebt gecontroleerd.

Wijs voor elke goedkeuring een verantwoordelijke en een herbeoordelingsdatum aan, zodat de lijst kan worden aangepast wanneer de dienst of de werkwijze verandert. De gids voor het governancekader toont een registerindeling die op één pagina past.

Wat mogen medewerkers in een AI-tool plakken?

Er is geen universeel antwoord dat losstaat van de tool, de gegevens en de verplichtingen van het bedrijf. Het beleid moet daarom een antwoord geven voor uw situatie. Begin met het indelen van informatie in enkele duidelijke categorieën: openbaar, intern, vertrouwelijke bedrijfs- of klantinformatie en persoonsgegevens. Geef vervolgens voor elke goedgekeurde tool aan welke categorieën zijn toegestaan. Alleen een naam verwijderen maakt een document nog niet anoniem en betekent niet dat het mag worden geüpload.

De richtlijnen van het Britse nationale centrum voor cyberbeveiliging over grote taalmodellen zijn duidelijk over het algemene punt: een vraag is zichtbaar voor de organisatie die het model aanbiedt. Het adviseert om geen gevoelige informatie op te nemen in vragen aan openbare modellen en om de gebruiksvoorwaarden en het privacybeleid te lezen voordat u gevoelige vragen stelt. Uw beleid kan dit vertalen naar specifieke instructies voor de accounts die u hebt goedgekeurd.

Geef medewerkers voor elke goedgekeurde werkwijze concrete voorbeelden van toegestaan materiaal en materiaal waarvoor beperkingen gelden. Gebruik tijdens trainingen fictieve gegevens of expliciet goedgekeurde gegevens met een laag risico. Bij onduidelijkheid moeten medewerkers stoppen en contact opnemen met de aangewezen verantwoordelijke, in plaats van midden in een taak op eigen houtje een privacyafweging te maken.

Wat moet er gebeuren voordat een resultaat wordt gebruikt?

Elk resultaat dat met hulp van AI tot stand komt, moet worden gecontroleerd op een manier die past bij het gebruik ervan. Het beleid moet vastleggen wie dat doet. Bij een conceptmail kan het voldoende zijn om die naast de aangeleverde feiten te leggen. Een cijfermatige uitleg vereist een onafhankelijke berekening. Een uitspraak over recht, gezondheid, geld of veiligheid moet worden beoordeeld door iemand met de juiste deskundigheid. Het beleid moet bestaande goedkeuringsprocedures in stand houden en niet suggereren dat hulp van AI die overbodig maakt.

Vraag medewerkers om het gegenereerde concept apart te houden van de versie die is goedgekeurd voor gebruik. Bewaar bij belangrijk werk voldoende gegevens over de beoordeling om te kunnen laten zien welke bron is gebruikt, wat is gewijzigd en wie de uiteindelijke beslissing heeft genomen. Een vloeiend antwoord, of de eigen geruststelling van een model dat het correct is, is geen onafhankelijke verificatie.

Geef expliciet aan welke beslissingen bij mensen blijven. Een veelgebruikte voorbeeldbepaling: AI-tools mogen helpen bij het opstellen of samenvatten van teksten, maar mogen niet de basis vormen voor een beslissing over aanname, beloning, functioneren, kredietverlening of een klacht van een klant zonder dat een aangewezen persoon de onderliggende informatie heeft beoordeeld.

Hoe ziet een uitgewerkt beleid eruit voor een team van realistische omvang?

Hier is een uitgewerkt voorbeeld voor een fictief marketingbureau met 25 medewerkers, Harbour Lane Studio. De medewerkers gebruiken de zakelijke bedrijfsomgeving van een chatassistent en de AI-functies in hun kantoorsoftware. Sommige medewerkers hadden ook persoonlijke accounts. De oprichter is verantwoordelijk voor het beleid en het hoofd klantrelaties keurt alles goed waarbij klantmateriaal wordt gebruikt.

Voorbeeldbepaling, goedgekeurde tools: "Gebruik alleen de zakelijke werkruimte van Harbour Lane in [assistent] en de AI-functies in ons kantoorpakket, ingelogd met uw bedrijfsaccount. Gebruik geen persoonlijke accounts voor werk voor het bedrijf of klanten."

Voorbeeldbepaling, informatie: "U mag openbare en interne informatie gebruiken in goedgekeurde tools. Voer geen klantdossiers, klanttarieven of informatie met het label vertrouwelijk in, tenzij het hoofd klantendienst die klant en taak in het register heeft goedgekeurd. Voer nooit persoonsgegevens van kandidaten, medewerkers of klanten in."

Voorbeeldbepaling, controle: "Voordat werk dat met AI is gemaakt naar een klant gaat, controleert de klantverantwoordelijke elke feitelijke bewering aan de hand van de opdrachtomschrijving of een genoemde bron en verwijdert elk cijfer, resultaat of elke aanbeveling die niet te herleiden is. Voor werk dat met AI is gemaakt, gelden dezelfde eisen als voor elk ander concept."

Voorbeeldbepaling, escalatie: "Stop bij twijfel en vraag het aan [naam oprichter], of aan [naam vervanger] bij afwezigheid. Denkt u dat afgeschermde informatie in de verkeerde tool terecht is gekomen? Meld dat dan dezelfde dag aan hen. U wordt niet bestraft als u dit tijdig meldt."

Harbour Lane testte het beleid vervolgens op één echte taak, een campagnesamenvatting op basis van een klantbriefing, voordat iemand werd gevraagd het te ondertekenen. De test bracht één leemte aan het licht: niemand wist of de merkrichtlijnen van een klant als vertrouwelijk golden. De oprichter voegde een regel toe aan het register, in plaats van elke accountverantwoordelijke zelf te laten beslissen.

Hoe moet het beleid omgaan met onzekerheid en fouten?

Het beleid moet duidelijk maken hoe medewerkers onbedoelde openbaarmaking, een niet-onderbouwd resultaat of een werkproces dat niet meer binnen de goedkeuring past, kunnen melden. Het moet ook zorgen dat zij dit veilig kunnen doen. Medewerkers moeten weten wat ze moeten stopzetten, met wie ze contact moeten opnemen en welk bewijsmateriaal ze voor de verantwoordelijke moeten bewaren. Bedenk geen algemene incidentprocedure die strijdig is met de bestaande procedure voor gegevens- of beveiligingsproblemen; verwijs daarnaar.

Test het beleid vóór invoering met een korte simulatie: iemand heeft een vertrouwelijk document in een niet-goedgekeurd persoonlijk account geplakt. Kan de medewerker vinden hoe dit gemeld moet worden? Weet de verantwoordelijke welke dienst en welk account zijn gebruikt en welke verwijderingsmogelijkheden de aanbieder biedt? Gebruik de geconstateerde hiaten om de daadwerkelijke procedure samen met de juiste beoordelaars te verbeteren.

Hoe zorgt u dat mensen het daadwerkelijk kunnen volgen?

Een ondertekende ontvangstbevestiging laat zien dat iemand het beleid heeft ontvangen, niet dat diegene het kan toepassen. Mensen leren een grens kennen door ermee te oefenen bij een realistische taak: bepalen wat ze uit een prompt moeten weglaten, een gegenereerde bewering aan de bron toetsen en uitleggen welke aanpassing ze hebben gedaan. Dat is ook wat de Europese Commissie in haar vragen en antwoorden beschrijft wanneer zij spreekt over het informeren van medewerkers over specifieke risico's in hun werk.

Bespreek met het team één toegestaan voorbeeld, één voorbeeld waarvoor beperkingen gelden en één twijfelgeval uit uw eigen werk. Vraag iedereen om het verschil uit te leggen en na te gaan bij wie zij terechtkunnen als ze er zelf niet uitkomen. Pak daarna het beleid er weer bij en voeg de voorbeelden toe die de afwegingen duidelijker maakten.

Tosheo.ai wordt ontwikkeld voor die oefenstap. Het plan voor de introductie is dat een manager rollen en de gebruikte AI-tools kiest, elke deelnemer een korte niveautoets doet en de lessen eindigen met een praktische opdracht in een echte tool, beoordeeld aan de hand van zichtbare beoordelingscriteria. Het is de bedoeling dat managers de ontwikkeling van vaardigheden en afgeronde lessen zien, niet de volledige chatgeschiedenissen. Het schrijft of handhaaft uw beleid niet; het is bedoeld om mensen te laten oefenen met de werkwijzen die het beleid voorschrijft.

Hoe houdt u het beleid bruikbaar?

Herzie het beleid wanneer tools, abonnementen, contracten of werkprocessen veranderen, en minstens eenmaal per jaar op een vaste datum. Vraag medewerkers welke beslissingen nog steeds lastig zijn. Beleid dat niemand kan toepassen, heeft duidelijkere voorbeelden of een betere escalatieroute nodig, niet nog een selectievakje om ontvangst te bevestigen.

Zet bovenaan een versiedatum en een wijzigingsnotitie, zodat mensen weten welke regel geldt. Werk de vermelding in het register bij als een leverancier zijn voorwaarden wijzigt of een klant een AI-bepaling aan een contract toevoegt, en informeer de betrokkenen in plaats van te wachten op de jaarlijkse evaluatie.

Wanneer biedt deze gids niet de juiste oplossing?

Deze aanpak is bedoeld voor teams van ongeveer 5 tot 200 mensen die algemeen verkrijgbare AI-assistenten gebruiken voor dagelijks kenniswerk. Op zichzelf is deze niet voldoende als u AI-systemen bouwt of verkoopt, geautomatiseerde beslissingen over mensen neemt, in een sterk gereguleerde sector werkt zoals de zorg, financieel advies of juridische dienstverlening, of klantcontracten met specifieke AI-voorwaarden hebt. In die gevallen is een deskundige beoordeling op juridisch en gegevensbeschermingsgebied nodig, en mogelijk een formele risicobeoordeling, voordat het beleid definitief wordt vastgesteld.

Het is ook geen vervanging voor een informatiebeveiligingsprogramma. Als uw bedrijf geen basisregels heeft voor wachtwoorden, apparaatbeveiliging of gegevensclassificatie, regel die dan eerst; een AI-beleid zonder fundament houdt geen stand.

Bronnen en reikwijdte

NIST AI RMF-draaiboek: besturen, gecontroleerd op 16 October 2026 ↗

ICO, Richtlijnen over AI en gegevensbescherming (worden herzien), gecontroleerd op 16 oktober 2026 ↗

ICO, hulpmiddelen voor risico's rond AI en gegevensbescherming (wordt herzien), gecontroleerd op 16 oktober 2026 ↗

Europese Commissie, AI-geletterdheid - Vragen en antwoorden, laatst bijgewerkt op 27 July 2026 ↗

NCSC, ChatGPT en grote taalmodellen: wat is het risico?, 14 maart 2023 ↗

Microsoft Learn, bescherming van bedrijfsgegevens in Microsoft Copilot en Copilot Chat, gecontroleerd op 16 October 2026 ↗