AI-beleid voor bedrijven: in een paar uur op papier

Waarom je dit op papier wilt zodra mensen AI gebruiken

De aanleiding is bijna nooit een boete, maar een medewerker die het goed bedoelde. De administratie van een installatiebedrijf plakt een debiteurenlijst in een gratis tool om er een nette herinnering van te maken. De werkvoorbereider van een bouwbedrijf laat een bestek samenvatten. Bij een accountantskantoor gaat een concepttekst door een chatmodel om de toelichting leesbaarder te krijgen.

Niemand doet daar iets stoms; ze doen hun werk sneller. Alleen heeft niemand ze verteld waar de grens ligt, dus is er geen grens. En het gaat niet alleen om wat naar buiten gaat, maar evengoed om wat terugkomt: een tekst die zeker klinkt, feitelijk niet klopt en zonder controle naar een klant gaat.

Beleid is daarom vooral bedoeld om mensen rust te geven. Wie weet wat mag, hoeft niet stiekem te doen en niet te twijfelen. Geen controle dus, maar duidelijkheid.

Wat er minimaal in een AI-beleid staat

Een bruikbaar AI-beleid voor een MKB-bedrijf past op twee pagina’s. Langer wordt het niet gelezen. Zes onderdelen horen er in elk geval in:

• Welke tools mogen. Noem ze bij naam: deze zijn goedgekeurd, deze niet, zo vraag je een nieuwe aan. Een lijst werkt beter dan een principe, want een principe moet iedereen zelf vertalen.
• Welke gegevens er wel en niet in mogen. Concreet in jouw termen: geen persoonsgegevens van klanten of medewerkers, geen dossierinhoud, geen inkoopprijzen of marges, geen inloggegevens. Zeg er ook bij wat wél mag, anders leest het als een verbod op alles.
• Wie controleert wat eruit komt. Per soort werk: een interne mail hoeft niet, een klantbrief wel, een offerte of berekening altijd door iemand die het vak kent. Zonder dit punt is de rest weinig waard.
• Dat een mens verantwoordelijk blijft. Wat het model maakt is een concept. Wie het verstuurt, zet er zijn naam onder, precies als bij een tekst van een stagiair. Dit is de belangrijkste zin in het document.
• Wat je doet als het fout gaat. Bij wie meld je het en wat gebeurt er daarna. Melden mag geen straf opleveren, anders hoor je het pas van de klant.
• Wie het beheert en wanneer het opnieuw wordt bekeken. Eén naam, één datum. Verouderd beleid is erger dan geen beleid, omdat mensen denken dat het nog klopt.

Beleid, gebruiksafspraak en verwerkersovereenkomst

Deze drie worden vaak door elkaar gehaald, en dan denkt een bedrijf dat het geregeld is terwijl er een gat zit.

Het beleid is je interne keuze: dit vinden wij verantwoord AI-gebruik. De gebruiksafspraak is de vertaling naar de werkvloer: één A4 met wat een medewerker wel en niet doet, vaak per rol verschillend — de administratie heeft andere afspraken nodig dan de buitendienst. Dat is het papier dat mensen echt lezen.

De verwerkersovereenkomst is iets anders: een contract tussen jou en een leverancier over persoonsgegevens die die leverancier voor jou verwerkt. Die sluit je met de partij achter de tool, niet met je eigen mensen. Of je er een nodig hebt en wat erin moet, hangt af van wat je verwerkt en met welke dienst; dat is een vraag voor een jurist of privacyadviseur.

Kort: het beleid zegt wat je wilt, de gebruiksafspraak wat je doet, de verwerkersovereenkomst regelt je verhouding met de leverancier. Ze vervangen elkaar niet.

Hoe de EU AI Act hierin meespeelt

De EU AI Act is Europese wetgeving over AI die in fasen ingaat. De meeste MKB-bedrijven bouwen zelf geen AI-systemen maar gebruiken ze, en dat is een lichtere positie dan die van een aanbieder. Paniek is niet nodig.

Eén punt raakt bijna elk bedrijf dat AI inzet: AI-geletterdheid. Van organisaties wordt verwacht dat medewerkers die met AI werken voldoende begrijpen wat ze in handen hebben — wat het kan, waar het misgaat, en wanneer je een antwoord niet zomaar overneemt. Dat is geen certificaat en geen driedaagse cursus, maar uitleg die aansluit op het werk dat iemand doet.

Praktisch: leg vast wie welke uitleg heeft gehad en wanneer, en geef nieuwe mensen hetzelfde. Wat de wet precies van jouw bedrijf vraagt, hangt af van je sector en je toepassing. Daar doen wij geen uitspraak over; dat is juridisch terrein.

Hoe je het in een paar uur opstelt in plaats van in maanden

Beleid duurt maanden als je van achteren naar voren begint: eerst een werkgroep, dan een sjabloon van internet, dan een discussie over definities. Andersom werkt beter. Begin bij wat er nú gebeurt.

1. 01Stap 1 — Vraag rond wat er al gebruikt wordt (30 tot 60 minuten). Gewoon vragen, en duidelijk maken dat er geen consequenties aan zitten. Je hoort bijna altijd meer tools dan je verwachtte. Dat lijstje is de basis van je hele beleid.
2. 02Stap 2 — Bepaal je gegevensgrens (30 minuten). Zet je soorten gegevens in drie bakjes: mag erin, mag er nooit in, twijfel. Het bakje twijfel leg je voor aan je jurist of privacyadviseur; tot die tijd geldt het als "mag niet".
3. 03Stap 3 — Kies per soort werk het controleniveau (30 minuten). Interne tekst, klantcommunicatie, en alles met geld of techniek erin. Spreek af wie er nog naar kijkt voordat het weggaat.
4. 04Stap 4 — Schrijf het op, op twee pagina’s (1 tot 2 uur). Gewone taal, geen definitieblad, geen wetsartikelen die niemand opzoekt. Zes kopjes: tools, gegevens, controle, verantwoordelijkheid, melden, beheer.
5. 05Stap 5 — Vertel het in plaats van het te mailen (30 minuten per team). Met voorbeelden uit hun eigen werk. Rondmailen is hetzelfde als niets doen. Leg vast wie erbij was; dat is meteen je vastlegging van AI-geletterdheid.
6. 06Stap 6 — Zet een herzieningsdatum in de agenda. Over een half jaar opnieuw langs: er zijn dan andere tools, nieuwe functies in je bestaande pakketten en andere gewoontes.

Wat het kost

Doe je het zelf, dan kost het een dagdeel van twee mensen. Dat is meestal ook de beste route: het document wordt beter als het uit je eigen bedrijf komt.

Doe je het met ons, dan hangt het aan het traject dat je toch al loopt. Onze kernsessie op je werkvloer is een dagdeel van 4 uur en kost € 596 exclusief btw en reiskosten; een hele dag is € 1.192. Ons uurtarief voor advies is € 149, reiskosten € 0,45 per kilometer. In die sessie kijken we naar je processen, en het AI-gebruik daarin hoort daar vanzelf bij.

Los beleidswerk en de uitleg aan je teams gaan uit hetzelfde urenbudget als de rest: € 110 per uur voor eenvoudig werk, € 165 voor complexe ontwikkeling, per maand vooruit uit een AI-budget dat jij bepaalt.

Wat er nog bij komt: de juridische toets. Wij zijn geen juridisch adviseur, dus die uren zitten niet bij ons. Reken erop zodra je met persoonsgegevens of gevoelige dossiers werkt.

Wat er misgaat — en wanneer beleid niet werkt

Drie manieren waarop dit spaak loopt, en we zien ze alle drie vaker dan ons lief is.

• Beleid dat niemand leest. Twaalf pagina’s, geschreven door iemand die het werk niet doet, rondgemaild op een vrijdagmiddag. Formeel geregeld, in de praktijk verandert er niets. Twee pagina’s die besproken zijn, werken beter dan twaalf die verstuurd zijn.
• Verboden die mensen omzeilen. "AI is bij ons niet toegestaan" leidt niet tot minder gebruik, maar tot gebruik op privételefoons en privéaccounts, buiten je zicht. Dan heb je het risico én geen overzicht. Een korte lijst met toegestane tools is veiliger.
• Een document dat na een jaar niet meer klopt. Er staat een tool in die je niet meer gebruikt, en je pakket kreeg er ondertussen een AI-functie bij die niemand heeft beoordeeld. Zonder eigenaar en herzieningsdatum gebeurt dit altijd.

Zelf schrijven, een sjabloon, of een jurist

Zelf schrijven is voor de meeste MKB-bedrijven het verstandigst. Je kent je eigen gegevens en je eigen mensen, en de stappen hierboven brengen je in een dagdeel op twee pagina’s. Wij verkopen liever geen uren voor iets wat je zelf beter kunt.

Een sjabloon downloaden helpt om niets te vergeten, maar levert nooit een werkend document op. Sjablonen bevatten precies de dingen niet die bij jou spelen: jouw pakketten, jouw gegevens, jouw uitzonderingen. Gebruik het als checklist, niet als tekst.

Een jurist inschakelen is het antwoord zodra er echt iets op het spel staat: bijzondere persoonsgegevens, werk voor zorg of overheid, eisen van een klant in zijn contract, of twijfel over je verwerkersovereenkomsten. Dan wil je iemand die daarvoor is opgeleid en verzekerd. Dat zijn wij niet.

Wat wij wel doen is het praktische deel: meekijken welke tools echt in je processen zitten, beoordelen welke koppelingen gegevens naar buiten sturen, en je mensen uitleggen wat een model wel en niet kan. We zijn verzekerd voor beroeps- en bedrijfsaansprakelijkheid, en een subsidiepartner kijkt standaard mee of er een regeling bestaat. De juridische toets laten we aan een jurist, ook als je ons vraagt het toch even te doen.

De eerste stap

Begin niet met schrijven, maar met vragen wat er al gebruikt wordt, zonder dat er iets aan vastzit. Dat halfuur levert je meer op dan het halve document.

Wil je eerst weten hoe AI in jouw processen past, doe dan de gratis AI-scan: vijf minuten online, een score en een paar concrete kansen. En nog één keer: deze pagina is geen juridisch advies, maar hoe wij het in de praktijk aanpakken.

Veelgestelde vragen

Wat we hiervoor doen

Verder lezen

Andere onderwerpen

Eerst weten waar AI in jouw processen zit

Doe de gratis AI-scan: vijf minuten online, een score en een paar concrete kansen. Wil je liever sparren over wat er bij jullie al gebruikt wordt, plan dan een kennismaking.