Waarom hebben generatieve AI-tools eigen beleidsregels nodig?
Generatieve hulpmiddelen maken nieuwe tekst, afbeeldingen, audio of code, in plaats van alleen bestaande informatie op te halen of te ordenen. Daardoor verschuift het belangrijkste risico van wat erin gaat naar wat eruit komt. Een zoekhulpmiddel geeft pagina's terug die u kunt bekijken; een generatief hulpmiddel geeft een stellig geformuleerd concept dat verzonnen feiten, overgenomen formuleringen of een vertekende voorstelling kan bevatten. Beleid moet beide kanten afdekken.
Het NIST-profiel voor generatieve AI noemt twaalf risico's die specifiek zijn voor generatieve AI of erdoor worden versterkt. Voor een doorsnee klein bedrijf vormen vijf daarvan de kern van een beleid: hallucinaties (onjuiste inhoud die met stelligheid wordt gepresenteerd), gegevensprivacy (lekken of ongeoorloofd delen), intellectueel eigendom (beschermde inhoud reproduceren of bedrijfsgeheimen blootleggen), informatie-integriteit (inhoud die feiten niet van meningen onderscheidt of onzekerheid niet benoemt) en wat NIST de mens-AI-configuratie noemt, waaronder automatiseringsbias en overmatige afhankelijkheid vallen.
U kunt deze regels in hetzelfde document opnemen als uw regels voor aanvaardbaar gebruik. Veel kleine bedrijven doen dat. Deze pagina richt zich op de bepalingen die specifiek over inhoud gaan. Het is algemene informatie, geen juridisch advies.
| Risico in het NIST-profiel | Hoe het er op het werk uitziet | Beleidsregel die hierop van toepassing is |
|---|---|---|
| Confabulatie | Een verzonnen statistiek of een verwijzing naar een pagina waarop de bewering niet staat | Controleer vóór gebruik elke feitelijke bewering aan de hand van een geopende bron |
| Gegevensprivacy | De contactenlijst van een klant, ingeplakt om een gepersonaliseerde mailing op te stellen | Informatiecategorieën gekoppeld aan goedgekeurde accounts |
| Intellectueel eigendom | Een afbeelding in de stijl van een herkenbare kunstenaar, of code die is gekopieerd uit een project waarop een licentie van toepassing is | Regels voor stijlinstructies, hergebruik en licentiecontroles |
| Informatie-integriteit | Een samenvatting die een vermoeden als feit presenteert | Zorg dat onzekerheden zichtbaar blijven in gecontroleerde concepten |
| Te sterke afhankelijkheid | Een gegenereerde analyse overnemen zonder de gegevens te lezen | Benoem welke beslissingen bij een mens blijven |
Wat moet er in een ChatGPT-beleid voor medewerkers staan?
Een ChatGPT-beleid voor medewerkers moet aangeven welk account zij moeten gebruiken, wat nooit in een prompt mag staan, hoe zij het antwoord moeten controleren en bij wie zij met vragen terechtkunnen. Dezelfde regels moeten gelden voor Claude, Gemini, Copilot en vergelijkbare assistenten. Eén product in de titel noemen is prima voor de duidelijkheid, maar formuleer de regels zo dat ze niet herschreven hoeven te worden wanneer het team een andere tool toevoegt.
Het belangrijkste onderscheid is dat tussen persoonlijke en bedrijfsaccounts. Consumentenabonnementen en zakelijke abonnementen van dezelfde assistent kunnen verschillende voorwaarden hebben voor modeltraining, bewaartermijnen en beheerrechten. In de documentatie van Microsoft staat bijvoorbeeld dat Copilot Chat voor organisaties onder het addendum inzake gegevensbescherming valt en dat prompts en antwoorden niet worden gebruikt om basismodellen te trainen. De beschikbare beheermogelijkheden verschillen per abonnement. Leg voor elke tool die u goedkeurt de overeenkomstige verklaring vast, met de datum waarop u die hebt gecontroleerd, in plaats van ervan uit te gaan.
Voorbeeldclausule: "Gebruik [assistent] alleen via uw zakelijke account van [bedrijf]. Gebruik geen persoonlijk account voor bedrijfswerk, ook niet voor een korte vraag, omdat persoonlijke accounts niet onder onze overeenkomst met de aanbieder vallen."
Wat mogen medewerkers nooit in een prompt voor generatieve AI zetten?
Medewerkers mogen nooit wachtwoorden, sleutels of andere geheime gegevens in een prompt zetten. Vertrouwelijke informatie, klantgegevens of persoonsgegevens mogen ze alleen invoeren als een goedgekeurde werkwijze dat toestaat. De richtlijnen van het Britse National Cyber Security Centre vermelden dat een vraag zichtbaar is voor de organisatie die het model aanbiedt en raden af om vragen in te dienen die problemen zouden veroorzaken als ze openbaar werden.
Geüploade bestanden tellen als prompts. Een spreadsheet die u toevoegt om een grafiek te laten maken, bevat alle kolommen, ook de kolommen die niet nodig zijn voor de vraag. Een beleidsregel zoals "verwijder kolommen die u niet nodig hebt voordat u het bestand uploadt" is eenvoudig na te leven en voorkomt een veelvoorkomende fout.
Voorbeeldbepaling: "Verwijder vóór het plakken of uploaden alles wat niet nodig is voor de taak. Neem nooit geheimen op. Neem geen klantgegevens of persoonsgegevens op, tenzij het register die tool en taak goedkeurt. Vraag bij twijfel eerst toestemming aan [verantwoordelijke]."
Hoe moet gegenereerde inhoud vóór gebruik worden gecontroleerd?
De controle van gegenereerde inhoud moet passen bij het gebruik ervan: voor een eigen brainstorm volstaat een snelle blik, bij werk voor een klant moet elke bewering naar een bron te herleiden zijn, en alles wat juridisch, financieel of veiligheidsgerelateerd is, moet door een deskundige worden beoordeeld. Het beleid moet voor elk type resultaat aangeven wie de controle uitvoert, meestal degene die het verstuurt of publiceert.
Een uitgewerkt voorbeeld van een fictief werving-en-selectiebureau met 15 medewerkers, Fenwick Talent. Een adviseur voert deze prompt in: "Schrijf een marktupdate van 150 woorden voor financieel directeuren over het werven van managementaccountants in Leeds." Het concept zegt dat de vraag dit jaar sterk is gestegen en dat de salarissen met een bepaald percentage zijn toegenomen, met een verwijzing naar een bij naam genoemd salarisonderzoek. De adviseur kan het onderzoek noch het cijfer vinden.
Zwakke uitvoer ongewijzigd overgenomen: "De vraag naar managementaccountants in Leeds is dit jaar sterk gestegen, met een salarisstijging van [cijfer] volgens [onderzoek]." Gecontroleerde versie: "Bij de functies die we dit kwartaal hebben ingevuld, vroegen financieel directeuren het vaakst naar opzegtermijnen en afspraken over hybride werken. We zien meer tegenaanbiedingen in de fase waarin een aanbod wordt gedaan." De gecontroleerde versie gebruikt alleen wat Fenwick zelf heeft waargenomen. De beleidsbepaling achter de aanpassing: "Verwijder alle statistieken, onderzoeken of resultaten die u niet kunt openen en verifiëren."
Wilt u zien hoe dit aansluit op een functie?
Bekijk de geplande proefperiode voor teams ↗Wanneer moeten medewerkers vermelden dat inhoud met AI is gemaakt?
Medewerkers moeten hun beoordelaar op zijn minst vertellen wanneer een concept grotendeels met AI is gegenereerd en zich houden aan elk klantcontract, elke platformregel of publicatieregel die vermelding daarvan vereist. Daarbuiten is die vermelding een bedrijfskeuze die afhangt van de doelgroep en de context.
Openbare voorbeelden lopen uiteen. De voorlopige richtlijnen voor medewerkers van de gemeente Boston, gepubliceerd in May 2023, vragen medewerkers om AI-gebruik te vermelden, inclusief het gebruikte model, en stellen een bronvermelding voor zoals "Deze beschrijving is gegenereerd door ChatGPT 3.5 en bewerkt door" de medewerker. Dat past bij een overheidsinstantie. Een klein bureau kan besluiten dat bij gewone teksten een interne melding aan de beoordelaar volstaat, met een externe vermelding bij gegenereerde afbeeldingen of synthetische stemmen.
Voorbeeldclausule: "Laat uw beoordelaar weten wanneer een substantieel deel van een concept door AI is gemaakt. Vermeld bij door AI gegenereerde afbeeldingen, audio of video voor klanten: [formulering]. Volg eventuele instructies van de klant over AI-gebruik; die hebben voorrang op deze clausule."
Hoe moet beleid voor generatieve AI omgaan met auteursrecht en afbeeldingen?
Het beleid moet voorkomen dat medewerkers bewust beschermd werk reproduceren, licentiecontroles verplicht stellen voordat gegenereerde code of materialen worden hergebruikt, en gegenereerde afbeeldingen of stemmen van echte mensen zonder hun toestemming verbieden. Het profiel van NIST noemt onder de risico's van generatieve AI dat auteursrechtelijk beschermde, merkrechtelijk beschermde of gelicentieerde inhoud gemakkelijker kan worden gereproduceerd en dat bedrijfsgeheimen gemakkelijker kunnen worden blootgelegd.
Het auteursrecht op door AI gegenereerd materiaal verschilt per land en is nog in ontwikkeling. Het beleid mag daarom niet beloven dat het bedrijf eigenaar is van alle gegenereerde resultaten of deze kan laten registreren. Het moet beschrijven hoe het bedrijf met onzekerheid omgaat: gegenereerde afbeeldingen mogen bijvoorbeeld vrij worden gebruikt voor interne proefontwerpen, maar materiaal voor een klantcampagne wordt eerst getoetst aan de licentievoorwaarden van de tool en de instructies van de klant.
Voorbeeldclausules: "Vraag niet om inhoud in de stijl van een bij naam genoemde levende kunstenaar of een merk, en vraag een hulpmiddel niet om auteursrechtelijk beschermde tekst te reproduceren. Maak geen afbeeldingen, audio of video van een echte persoon zonder diens schriftelijke toestemming. Controleer de voorwaarden voor commercieel gebruik van het hulpmiddel voordat u gegenereerd materiaal voor klantwerk gebruikt." Laat u adviseren over de juridische situatie in uw rechtsgebied.
Welke beslissingen moeten bij een mens blijven?
Beslissingen die grote gevolgen voor iemand hebben, bijvoorbeeld over aanname, beloning, functioneren, krediet, klachten en alles wat gezondheid of veiligheid betreft, moeten bij een aangewezen persoon blijven die de onderliggende informatie controleert. Generatieve tools kunnen helpen bij het opstellen, structureren of samenvatten van informatie voor die beslissingen; ze mogen die beslissingen niet nemen.
Het profiel van NIST beschrijft automatiseringsbias en overmatig vertrouwen als onderdeel van de risico's bij de inrichting van de samenwerking tussen mens en AI. Beleid gaat dit tegen met een eenvoudige toets: degene die beslist, moet de beslissing kunnen uitleggen zonder te verwijzen naar wat de tool heeft gezegd. Als er persoonsgegevens in het spel zijn, zijn de richtlijnen van de ICO over AI en gegevensbescherming de officiële Britse referentie. Op die pagina's staat momenteel dat de richtlijnen worden herzien naar aanleiding van de Britse wet inzake gegevensgebruik en -toegang.
Wanneer is beleid voor generatieve AI niet het juiste middel?
Een beleid voor generatieve AI voor medewerkers is niet voldoende als u generatieve functies in een product inbouwt, modellen verder traint met klantgegevens of een chatbot inzet die namens u met het publiek communiceert. Daarvoor zijn productbeoordelingen, beveiligingsbeoordelingen en juridische beoordelingen nodig die veel verder gaan dan regels voor medewerkers.
Het kan ook de praktijkoefening niet vervangen. Weten dat een concepttekst een verzonnen cijfer kan bevatten, is iets anders dan dat cijfer herkennen onder tijdsdruk. Tosheo.ai wordt ontwikkeld voor die oefenstap: in de geplande leertrajecten per functie eindigt elke les met een praktijkopdracht in een echte AI-tool, beoordeeld aan de hand van inzichtelijke beoordelingscriteria. Het stelt uw beleid niet op en handhaaft het niet.
Bronnen en reikwijdte
NIST, Profiel voor generatieve AI (NIST AI 600-1), July 2024 ↗
NCSC, ChatGPT en grote taalmodellen: wat is het risico?, 14 maart 2023 ↗
ICO, Richtlijnen over AI en gegevensbescherming (worden herzien), gecontroleerd op 16 oktober 2026 ↗