Wat is een beleid voor aanvaardbaar gebruik van AI?
Een beleid voor aanvaardbaar AI-gebruik, vaak afgekort tot AI AUP, beschrijft welk concreet gedrag wordt verwacht van iedereen die AI-tools voor het bedrijf gebruikt. Het is beperkter dan een volledig AI-beleid. Het legt niet uit wie leveranciers goedkeurt of hoe het register wordt gecontroleerd; het vertelt een medewerker, op het moment dat die een tool opent, wat wel en niet mag.
Veel bedrijven hebben al een beleid voor aanvaardbaar IT-gebruik dat e-mail, apparaten en internet omvat. Een beleid voor aanvaardbaar AI-gebruik kan een nieuw onderdeel van dat document zijn, of een aparte pagina die ernaar verwijst. Het gaat erom dat het concrete taken en voorbeelden beschrijft, geen abstracte begrippen. "Gebruik AI verantwoord" helpt niemand een beslissing te nemen; "plak geen klantcontracten in welke AI-tool dan ook" doet dat wel.
Deze pagina bevat algemene informatie, geen juridisch advies. Laat de versie die u gaat gebruiken beoordelen door een gekwalificeerd adviseur, vooral als u persoonsgegevens verwerkt of gebonden bent aan geheimhoudingsafspraken met klanten.
Hoe bepaalt u welke toepassingen van AI u toestaat?
Deel toepassingen in drie categorieën in op basis van de gebruikte informatie en de gevolgen van een fout: toegestaan, toegestaan na goedkeuring en niet toegestaan. Een toepassing is niet riskant omdat er AI bij betrokken is, maar vanwege de invoer en het doel waarvoor de uitvoer wordt gebruikt. Dezelfde tool kan prima geschikt zijn om een openbaar blogbericht te herschrijven, maar onaanvaardbaar zijn voor het samenvatten van een disciplinair dossier.
Stel de niveaus samen op basis van een lijst met echte taken. Vraag elke teamleider naar vijf dingen waarvoor medewerkers AI al gebruiken of willen gebruiken. Deel elke taak in, zodat de niveaus vanaf de eerste dag concrete voorbeelden bevatten.
| Niveau | Veelvoorkomende voorbeelden | Wat de medewerker doet |
|---|---|---|
| Toegestaan | Uw eigen concept herformuleren, een openbaar artikel samenvatten, brainstormen over mogelijke koppen, een spreadsheetformule uitleggen | Gebruik een goedgekeurd account en controleer de uitvoer |
| Toegestaan na goedkeuring | Klantmateriaal samenvatten, conceptantwoorden aan klanten opstellen op basis van de ticketgeschiedenis, interne verkoopgegevens analyseren | Gebruik dit alleen als het werkproces in het register staat, of vraag het eerst aan de verantwoordelijke |
| Niet toegestaan | Wachtwoorden of sleutels invoeren, persoonsgegevens van medewerkers of kandidaten invoeren zonder goedgekeurde werkwijze, met AI beslissen over aanname of beloning, afbeeldingen van echte mensen genereren | Doe dit niet; vraag toestemming als u denkt dat een uitzondering nodig is |
Hoe zien goede bepalingen over aanvaardbaar gebruik eruit?
Goede bepalingen noemen de tool, de taak en de informatie, en geven aan wat mensen in plaats daarvan moeten doen. Hieronder staan voorbeeldbepalingen voor een fictief softwarebedrijf met 40 medewerkers, Northgate Apps. Het bedrijf heeft een zakelijke werkomgeving voor een chatassistent en gebruikt de AI-functies van zijn platform voor codebeheer en zijn kantoorpakket.
Elke bepaling is kort genoeg om te onthouden en concreet genoeg om naar te handelen. Merk op dat nergens "wees voorzichtig" staat; elke bepaling benoemt concreet gedrag.
Klanten
"Gebruik AI alleen via de Northgate-bedrijfsaccounts die in het register staan. Gebruik geen persoonlijke accounts, gratis versies of niet-goedgekeurde browserplug-ins voor werk voor Northgate, ook niet voor korte vragen."
Code
"U mag de goedgekeurde programmeerassistent gebruiken voor Northgate-codeopslagplaatsen. Plak geen klantgegevens, productielogboeken met persoonsgegevens of geheime gegevens zoals API-sleutels in een AI-tool. Gegenereerde code wordt vóór samenvoeging net als alle andere code beoordeeld."
Klanten
"Supportmedewerkers mogen de goedgekeurde assistent gebruiken om conceptantwoorden op te stellen. Verwijder eerst rekeningnummers en betaalgegevens. Elk antwoord wordt door een persoon gelezen en aangepast voordat het wordt verstuurd."
Beweringen
"Publiceer geen statistische gegevens, benchmarks of klantresultaten die door een AI-tool zijn gegenereerd, tenzij u de oorspronkelijke bron hebt geopend en gecontroleerd."
Beslissingen over medewerkers
"Gebruik AI niet om kandidaten of medewerkers te rangschikken, te selecteren of te beoordelen. U mag AI wel gebruiken om de formulering van een zelfgeschreven vacaturetekst te verbeteren."
Rapportage
"Als u iets hebt ingevoerd wat niet had gemogen, meld dit dan dezelfde dag aan de operationeel verantwoordelijke. Een vroege melding wordt gezien als juist handelen."
Welke informatie moet een beleid voor aanvaardbaar AI-gebruik beperken?
Beperk informatie per categorie in plaats van elk documenttype op te sommen en koppel elke categorie aan de accounts waarin die is toegestaan. De gebruikelijke categorieën zijn openbaar, intern, vertrouwelijk of klantgebonden, persoonsgegevens en geheimen zoals wachtwoorden en sleutels. Voor geheimen is de regel het eenvoudigst: nooit, in geen enkel hulpmiddel.
De richtlijnen van het Britse nationale centrum voor cyberbeveiliging over grote taalmodellen benadrukken dat een vraag zichtbaar is voor de organisatie die het model aanbiedt en adviseren om geen gevoelige informatie op te nemen in vragen aan openbare modellen. Voor een zakelijke werkomgeving kunnen andere contractvoorwaarden gelden, dus leg vast wat uw abonnement hierover zegt. In de documentatie van Microsoft staat bijvoorbeeld dat Copilot Chat bij gebruik door organisaties onder het addendum voor gegevensbescherming valt en dat prompts en antwoorden niet worden gebruikt om basismodellen te trainen. Daarbij wordt vermeld dat de beheermogelijkheden per abonnementsvorm verschillen. Uw beleid voor aanvaardbaar gebruik kan vervolgens aangeven welke informatiecategorieën in die werkomgeving zijn toegestaan en welke nergens zijn toegestaan.
Voor Britse bedrijven die persoonsgegevens verwerken, zijn de richtlijnen van de ICO over AI en gegevensbescherming de officiële referentie. Op de pagina’s staat momenteel dat de richtlijnen worden herzien naar aanleiding van de wet inzake gegevensgebruik en -toegang. Controleer daarom de actuele informatie voordat u zich op een specifiek punt baseert.
Wilt u zien hoe dit aansluit op een functie?
Bekijk de geplande proefperiode voor teams ↗Wat moeten medewerkers controleren voordat ze AI-uitvoer gebruiken?
Medewerkers moeten elke feitelijke bewering, elk cijfer, elk citaat en elke bronverwijzing controleren voordat zij die doorgeven, en alles verwijderen wat zij niet tot een bron kunnen herleiden. Het NIST-profiel voor generatieve AI beschrijft confabulatie als het produceren van inhoud die met overtuiging wordt gebracht, maar onjuist of onwaar is; een vloeiend antwoord is geen bewijs. Het beleid voor aanvaardbaar gebruik moet de persoon die de uitvoer gebruikt daarvoor verantwoordelijk maken.
Een uitgewerkt voorbeeld: een marketeer bij Northgate vraagt de assistent om een korte alinea over waarom kleine teams projecttools gaan gebruiken. Het concept bevat een zin waarin staat dat de meerderheid van de kleine bedrijven vorig jaar van tool is gewisseld, met een bronvermelding erbij. De marketeer kan dat cijfer niet in de genoemde bron vinden. Op grond van de bepaling over claims in het beleid voor aanvaardbaar gebruik wordt de zin geschrapt. De alinea wordt herschreven op basis van de redenen die klanten noemen in de eigen supporttickets van Northgate, zonder cijfer.
Zwakke versie: "De meeste kleine teams zijn vorig jaar overgestapt op andere projecttools, volgens een recent brancheonderzoek." Gecontroleerde versie: "Teams die contact met ons opnemen, noemen meestal twee redenen om over te stappen: gemiste overdrachten en te veel tools." De tweede versie is minder spectaculair en volledig te onderbouwen.
Moeten medewerkers een beleid voor aanvaardbaar AI-gebruik ondertekenen?
Een handtekening of ontvangstbevestiging is redelijk, maar laat alleen zien dat iemand het beleid heeft ontvangen. Combineer dit met een bespreking van tien minuten van drie situaties uit uw eigen werk, één per niveau. Vraag iedereen om de situaties in te delen en uit te leggen waarom. Zo krijgt u bewijs dat mensen de regels kunnen toepassen. Als er iets misgaat, is dat meer waard dan een handtekening.
De vragen en antwoorden van de Europese Commissie over AI-geletterdheid, die betrekking hebben op artikel 4 van de EU AI Act, stellen dat certificaten niet verplicht zijn en dat een interne registratie van trainingen of andere initiatieven volstaat. Als de EU-regels op u van toepassing zijn, is het verstandig kort vast te leggen wie de stapsgewijze uitleg heeft doorlopen en wanneer. Laat u adviseren over de vraag of en hoe de verordening op uw bedrijf van toepassing is.
Hoe handhaaft u een beleid voor aanvaardbaar AI-gebruik zonder medewerkers te bespioneren?
De meeste kleine bedrijven handhaven hun beleid voor aanvaardbaar AI-gebruik via goedgekeurde accounts, verstandige standaardinstellingen en een cultuur waarin mensen fouten melden, niet door elke prompt te controleren. Geef mensen een goedgekeurd zakelijk account, zodat de gemakkelijke route ook de toegestane route is. Schakel de beheerdersinstellingen in die uw abonnement biedt. Zorg dat mensen veilig fouten kunnen melden en bespreek het herhaaldelijk negeren van regels in een regulier gesprek over het functioneren.
Als u gebruikslogboeken bekijkt die binnen een zakelijk abonnement beschikbaar zijn, vermeld dat dan in het beleid en controleer welke arbeids- en privacyregels gelden. Verborgen monitoring schaadt doorgaans de meldcultuur waarvan het beleid afhankelijk is.
Tosheo.ai hanteert in het geplande ontwerp hetzelfde uitgangspunt: managers zien de voortgang in vaardigheden en welke onderdelen zijn afgerond, maar nooit de onbewerkte chatgeschiedenis van deelnemers.
Wanneer is beleid voor aanvaardbaar gebruik niet voldoende?
Een beleid voor aanvaardbaar gebruik gaat over het gedrag van medewerkers; het bepaalt niet welke leveranciers veilig zijn, of een werkproces een gegevensbeschermingseffectbeoordeling nodig heeft, of hoe AI past in een product dat u verkoopt. Als uw bedrijf AI-functies ontwikkelt, beslissingen over mensen automatiseert of actief is in een gereglementeerd beroep, hebt u daarnaast een bestuurlijk kader en beoordeling door specialisten nodig.
Het is ook geen training. Met een regel als "controleer elke bewering" is iedereen het snel eens, maar dat onder tijdsdruk goed doen is lastig. Mensen moeten met realistische taken oefenen om die gewoonte op te bouwen. Daarvoor dienen functiegerichte oefeningen.
Bronnen en reikwijdte
NCSC, ChatGPT en grote taalmodellen: wat is het risico?, 14 maart 2023 ↗
ICO, Richtlijnen over AI en gegevensbescherming (worden herzien), gecontroleerd op 16 oktober 2026 ↗
NIST, Profiel voor generatieve AI (NIST AI 600-1), July 2024 ↗
Europese Commissie, AI-geletterdheid - Vragen en antwoorden, laatst bijgewerkt op 27 July 2026 ↗