Een sjabloon voor AI-beleid voor medewerkers

Hoe gebruikt u dit sjabloon?

Kopieer de onderstaande bepalingen naar uw eigen document, vervang alle invulvelden tussen vierkante haken en bespreek elke bepaling met de verantwoordelijke voor dat werkproces. Neem ze niet over als bedrijfsbeleid zonder de betrokken tools, informatie en verplichtingen te controleren. De bepalingen vermijden bewust een algemene toestemming voor het uploaden van bedrijfsgegevens.

Gebruik een vertrouwde taak om te testen of een medewerker het afgeronde document kan toepassen. Kan die bijvoorbeeld aangeven welk account is goedgekeurd om een e-mail op te stellen op basis van openbare informatie, en wie om toestemming moet worden gevraagd voordat een klantrapport wordt gedeeld? Als het antwoord onduidelijk is, verbeter dan het beleid voordat u medewerkers vraagt te bevestigen dat ze het hebben gelezen.

Dit sjabloon bevat algemene informatie, geen juridisch advies. Regels voor gegevensbescherming, arbeidsrecht en sectoren verschillen per land. Laat de versie die u gaat gebruiken beoordelen door een gekwalificeerd adviseur.

Wat hoort er in de bepalingen over doel, reikwijdte en verantwoordelijkheid?

De eerste drie bepalingen leggen uit waarom het beleid bestaat, voor wie het geldt en wie beslist als er onduidelijkheid is. Houd ze kort; ze dienen als toelichting, niet om rechtsgevolgen te creëren.

Bepaling 1, doel: "[Bedrijf] gebruikt AI-tools om medewerkers te helpen bij het opstellen, samenvatten, onderzoeken en analyseren. Dit beleid legt uit welke tools zijn goedgekeurd, welke informatie ermee mag worden gebruikt, hoe resultaten worden gecontroleerd en bij wie u met vragen terechtkunt. Het ondersteunt ons beleid voor [informatiebeveiliging / gegevensbescherming / vertrouwelijkheid] en vervangt dit niet."

Bepaling 2, reikwijdte: "Dit beleid geldt voor alle werknemers, opdrachtnemers en [zelfstandigen / stagiairs] die voor [Bedrijf] werken, op elk apparaat, met inbegrip van AI-functies die zijn ingebouwd in software die we al gebruiken, zoals [kantoorpakket, ontwerptool, CRM]."

Bepaling 3, verantwoordelijkheid: "[Naam, functie] is verantwoordelijk voor dit beleid en het register van goedgekeurde tools. [Naam vervanger] neemt deze taak over bij afwezigheid. Vragen kunt u stellen via [e-mailadres of kanaal]. [Naam, functie] keurt elk werkproces goed waarbij persoonsgegevens worden gebruikt."

Hoe vult u de bepalingen over tools en informatie in?

Bepalingen 4 en 5 gaan over de grootste risico’s en vereisen daarom de meest concrete antwoorden. Bepaling 4 noemt de precieze accounts; bepaling 5 geeft aan welke informatiecategorieën in elk account mogen worden ingevoerd.

Bepaling 4, goedgekeurde tools: "Gebruik uitsluitend de tools die in het register van goedgekeurde tools staan en meld u aan met uw [Bedrijf]-account. Persoonlijke accounts, gratis abonnementen en browserextensies die niet in het register staan, mogen niet worden gebruikt voor werk voor [Bedrijf] of klanten. Als u een nieuwe tool wilt aanvragen, e-mail dan [verantwoordelijke] en vermeld de tool, het abonnement, de taak en de informatie die daarbij zou worden gebruikt."

Bepaling 5, informatie: "U mag openbare informatie en [interne informatie] gebruiken in goedgekeurde tools. U mag geen [vertrouwelijk klantmateriaal / prijsinformatie / niet-gepubliceerde financiële gegevens / broncode / inloggegevens] invoeren, tenzij de tool in het register is goedgekeurd voor die taak. Voer geen persoonsgegevens van medewerkers, kandidaten of klanten in, tenzij [naam] het specifieke werkproces heeft goedgekeurd. Alleen namen verwijderen maakt informatie nog niet veilig om te delen."

Elke goedkeuring in het register moet de dienst en het abonnement, de toegestane taak, de toegestane informatie, de beoordelaar en een beoordelingsdatum vermelden. Vraag leveranciers afzonderlijk naar het trainen op uw gegevens, bewaartermijnen, toegang door beheerders en verwijdering. Leg vast wat hun huidige voorwaarden hierover zeggen, met de datum waarop u dit hebt gecontroleerd. Een verklaring dat gegevens niet voor training worden gebruikt, betekent niet dat ze niet worden opgeslagen.

Wat moeten de bepalingen over de controle van AI-uitvoer en beslissingen over mensen vermelden?

Bepaling 6 maakt degene die een resultaat gebruikt verantwoordelijk voor de controle ervan; bepaling 7 houdt beslissingen over mensen bij mensen. Beide moeten aansluiten op uw bestaande goedkeuringsprocedures en mogen deze niet vervangen.

Bepaling 6, controle van resultaten: "U bent verantwoordelijk voor al het werk dat u met behulp van AI maakt en gebruikt of verstuurt. Controleer vóór gebruik feiten, cijfers, citaten en bronverwijzingen aan de hand van het bronmateriaal of een met naam genoemde bron. Verwijder alle statistieken, resultaten, aanbevelingen of bronverwijzingen die u niet kunt herleiden. Werk dat normaal gesproken door [de juridische afdeling / de financiële afdeling / een leidinggevende] wordt beoordeeld, wordt nog steeds door hen beoordeeld."

Bepaling 7, beslissingen over mensen: "AI-tools mogen niet worden gebruikt als basis voor beslissingen over aanname, beloning, functioneren, disciplinaire maatregelen, kredietverlening of een klacht van een klant. Ze mogen helpen bij het opstellen of ordenen van materiaal, maar een met naam aangewezen persoon moet de onderliggende informatie beoordelen en de beslissing nemen."

Als uw team grote hoeveelheden werk verwerkt, zoals het beantwoorden van klantvragen, voeg dan een zin toe over steekproeven: wie controleert antwoorden die met AI-hulp zijn opgesteld, hoe vaak gebeurt dat en wat gebeurt er als een patroon van fouten zichtbaar wordt.

Hoe werken de bepalingen over openbaarmaking, rapportage en beoordeling?

De laatste drie bepalingen leggen uit wanneer u anderen moet vertellen dat AI is gebruikt, wat u moet doen als er iets misgaat en hoe het beleid actueel blijft.

Bepaling 8, transparantie: "Vertel uw beoordelaar wanneer een concept grotendeels met AI is gemaakt. Houd u aan klantcontracten en eventuele regels van platforms of publicaties over door AI gegenereerde inhoud. [Optioneel: Door AI gegenereerde afbeeldingen of teksten voor klanten worden voorzien van de vermelding [tekst].]"

Bepaling 9, melden: "Als informatie waarvoor beperkingen gelden mogelijk in een niet-goedgekeurde tool is ingevoerd, of als een met AI gemaakt resultaat een probleem heeft veroorzaakt of bijna heeft veroorzaakt, meld dit dan dezelfde dag aan [verantwoordelijke]. Vermeld de tool, het account en wat er is gedeeld. Volg waar van toepassing de [bestaande incidentprocedure]. Een snelle melding wordt niet als wangedrag behandeld."

Bepaling 10, herziening: "[Verantwoordelijke] beoordeelt dit beleid en het register minstens elke [zes / twaalf] maanden en telkens wanneer een tool, abonnement, contract of werkproces verandert. Versie [nummer], goedgekeurd door [naam] op [datum]."

Over welke invulvelden moet u nog concrete beslissingen nemen?

Alles tussen vierkante haken is een nog te nemen beslissing, geen veilige standaardkeuze. Markeer onbekende onderdelen daarom voor beoordeling in plaats van ze in te vullen met een aannemelijk klinkende regel. Het bedrijf moet zelf aangeven wie verantwoordelijk is voor het beleid, welke diensten en abonnementen zijn goedgekeurd, welke taken zijn toegestaan, voor welke informatie beperkingen gelden, wie verantwoordelijk is voor controles, hoe meldingen worden gedaan en wanneer het beleid wordt herzien.

Leg vast waarom een tool voor een bepaalde taak is goedgekeurd. Instellingen voor modeltraining, bewaartermijnen, toegangsbeheer en contractuele toestemming zijn afzonderlijke kwesties. Een tool kan geschikt zijn voor het ene gebruik, terwijl voor een ander gebruik extra goedkeuring nodig is. Houd dat onderscheid zichtbaar in het register.

Een uitgewerkte casus: een fictief boekhoudkantoor met 18 medewerkers begon bij bepaling 5 en ontdekte dat het die niet kon beantwoorden, omdat de opdrachtbevestigingen voor klanten niets over AI vermeldden. In plaats van te gokken, besloot de eigenaar materiaal van klanten niet toe te staan zolang de beoordeling liep. Gebruik van openbare en interne informatie werd direct goedgekeurd en er werd een gesprek met de adviseur ingepland over aanpassing van de opdrachtbevestigingen.

Wat moet een beoordelaar controleren?

Een beoordelaar moet controleren of het beleid aansluit bij de bestaande processen voor informatiebeveiliging, privacy, personeelszaken en publicatie en deze niet ongemerkt opzijzet. Een kort AI-document mag geen regel versoepelen die al geldt voor vertrouwelijke gegevens of beslissingen met ingrijpende gevolgen. Wie de juiste beoordelaars zijn, hangt af van de organisatie, het werkproces en het rechtsgebied.

Het onderdeel over besturing in de NIST-praktijkgids voor AI-risicobeheer bespreekt rollen, verantwoordelijkheden, training en risico's van derden; dit sjabloon is onze praktische aanpassing voor kleine teams. De richtlijnen van de ICO over AI en gegevensbescherming zijn een officiële Britse bron voor vragen over persoonsgegevens. Op die pagina's staat momenteel dat ze worden herzien na de Britse wet inzake gegevensgebruik en -toegang, dus controleer de actuele versie. Het sjabloon is geen bewijs van naleving en ook geen verklaring dat uw bedrijf de beheersmaatregelen heeft ingevoerd.

Hoe introduceert u het beleid bij het team?

Introduceer dit met voorbeelden uit uw eigen werk, niet met een leesopdracht. Bespreek één toegestaan voorbeeld, één voorbeeld waarvoor beperkingen gelden en één twijfelgeval. Vraag medewerkers het verschil uit te leggen en uit te zoeken bij wie ze terechtkunnen bij twijfel. Geef ze de tijd om vragen te stellen over de tools en accounts die ze daadwerkelijk gebruiken. Alleen bevestigen dat ze het hebben gelezen, toont niet aan dat ze een grens kunnen toepassen.

Bekijk het beleid opnieuw na de eerste oefensessie. Voeg de voorbeelden toe die een beslissing duidelijker maakten en pas instructies aan die niet bij de werkwijze aansloten. Houd een versienummer bij en wijs een verantwoordelijke aan, zodat medewerkers weten waar ze de actuele regels kunnen vinden.

Als u gestructureerd wilt oefenen, wordt Tosheo.ai ontwikkeld om voor elke functie korte lessen te bieden die eindigen met een praktische opdracht in een echte AI-tool, beoordeeld aan de hand van een inzichtelijke beoordelingsrichtlijn. Het schrijft uw beleid niet en keurt het ook niet goed.

Wanneer is een algemeen sjabloon niet het juiste uitgangspunt?

Een algemeen sjabloon is het verkeerde uitgangspunt als u AI inbouwt in een product dat u verkoopt, bijzondere persoonsgegevens verwerkt, een gereglementeerd beroep uitoefent of contracten hebt waarin al voorwaarden voor AI staan. Begin samen met een gekwalificeerde adviseur bij die verplichtingen en gebruik deze structuur alleen als controlelijst van onderwerpen.

Het is ook geen goede keuze als niemand er verantwoordelijkheid voor neemt. Een sjabloon dat één keer wordt ingevuld en nooit wordt herzien, wordt een lijst met regels over tools die het team niet meer gebruikt. Wijs de verantwoordelijke aan voordat u bepaling 4 invult.

Bronnen en reikwijdte

NIST AI RMF-draaiboek: besturen, gecontroleerd op 16 October 2026 ↗

ICO, Richtlijnen over AI en gegevensbescherming (worden herzien), gecontroleerd op 16 oktober 2026 ↗

ICO, hulpmiddelen voor risico's rond AI en gegevensbescherming (wordt herzien), gecontroleerd op 16 oktober 2026 ↗