AI-beleid: wat moet er écht in staan (en wat vooral niet)?

Laatst bijgewerkt: september 2026

AI is niet meer weg te denken uit de werkdag. Van slimme e-mailantwoorden tot tools zoals Microsoft 365 Copilot: medewerkers gebruiken AI steeds vaker om sneller en efficiënter te werken. Voor organisaties brengt dat een nieuwe uitdaging met zich mee: hoe zorg je voor verantwoord gebruik van AI, zonder innovatie te remmen? Veel organisaties komen uit op een AI-beleid, maar wat hoort daar eigenlijk in thuis en waar moet je vandaag de dag rekening mee houden?

Daarnaast speelt wetgeving een steeds grotere rol in hoe organisaties met AI omgaan. De Europese EU AI Act wordt gefaseerd ingevoerd en stelt eisen aan het gebruik van AI, afhankelijk van het risiconiveau van toepassingen. Een deel van deze verplichtingen geldt inmiddels al: sinds 2 augustus 2025 moeten aanbieders van general-purpose AI-modellen (zoals ChatGPT en Copilot) aan transparantie-eisen voldoen, en sinds 2 augustus 2026 gelden bredere transparantieverplichtingen voor gebruikers, waaronder de plicht om AI-gegenereerde content herkenbaar te maken. De zwaarste eisen, rondom hoog-risico AI-systemen zoals bij werving en kredietbeoordeling, zijn juist uitgesteld naar december 2027.

Dit maakt een AI-beleid niet alleen een praktische richtlijn, maar ook een belangrijk onderdeel van compliance en risicobeheersing binnen de organisatie.

Wat moet er in een AI-beleid?

‍
1. Start met een visie, daarna komen de regels

Een AI-beleid dat alleen bestaat uit verboden, blokkades en sancties, schiet zijn doel voorbij. Het is beter om te starten met een korte, duidelijke visie: waarom kiest de organisatie ervoor om AI verantwoord toe te passen? Wat zijn de kansen die je wíl benutten? En vooral: welke risico's wil je beheersen met het gebruik van AI? Dit zorgt ook direct voor bewustzijn onder gebruikers en geeft houvast voor de regels die volgen. Het helpt medewerkers snappen waarom bepaalde tools wel of niet zijn toegestaan. En het voorkomt dat AI als 'eng' of 'verboden' wordt gezien.

2. Benoem concrete toepassingen (en grenzen)

Een AI-beleid wordt pas praktisch bruikbaar als je beschrijft hoe AI binnen de organisatie gebruikt mag worden. Daarin benoem je concrete, praktische voorbeelden die dagdagelijks in je organisatie voorkomen om de kernactiviteiten uit te kunnen voeren. Denk aan zaken als:

• AI gebruiken voor samenvattingen van meetings? Ja
• AI gebruiken om klantmails automatisch op te stellen? Ja, maar altijd met menselijke controle
• AI gebruiken om beleidsdocumenten op te stellen? Alleen in samenwerking met een expert
• AI gebruiken voor personeelsbeoordelingen? Nee, vanwege ethische en juridische risico's

Door dit soort relevante scenario's op te nemen, help je medewerkers AI op een veilige manier te gebruiken. Het geeft praktische handvatten en een goed beeld van de hulp die AI kan bieden in de dagelijkse werkzaamheden. Maak hierin ook onderscheid tussen generatieve AI (zoals ChatGPT, Microsoft Copilot en Gemini) en meer traditionele vormen, zoals voorspellende modellen of procesautomatisering.

3. Wees helder over data

De meeste risico's van AI ontstaan niet door de technologie zelf, maar door het onjuist gebruik van data. We schreven al regelmatig over het belang van data governance vóórdat je organisatie met AI aan de slag kan gaan. Een goed AI-beleid bevat daarom duidelijke afspraken over:

• Welke soorten informatie niet gedeeld mogen worden met AI-tools. Denk daarbij aan persoonsgegevens, bedrijfsgeheimen en data van klanten
• Wanneer gebruik van interne data wél mag, en maak dit concreet met voorbeelden (bijvoorbeeld geanonimiseerde datasets voor analyse)
• Hoe je voorkomt dat AI-tools 'leren' van gevoelige informatie

Tip: als er informatieclassificatie in je organisatie is opgesteld, kan je hiernaar verwijzen. Zo voorkom je dubbel beleid.

4. Zorg voor AI-geletterdheid binnen je organisatie

Een onderdeel dat nog te vaak wordt vergeten: de AI Act verplicht organisaties al sinds 2 februari 2025 om ervoor te zorgen dat medewerkers die met AI werken voldoende 'AI-geletterd' zijn. Dat betekent dat zij begrijpen wat een AI-systeem wel en niet kan, welke risico's eraan verbonden zijn en hoe ze het verantwoord inzetten.

Dit hoeft geen aparte, zware training te zijn. Het kan prima onderdeel zijn van de onboarding op je AI-beleid zelf — mits je dit wel aantoonbaar maakt, bijvoorbeeld via een korte e-learning, een intakemoment of een ondertekende verklaring. Recent onderzoek van de KVK laat zien dat slechts een klein deel van de Nederlandse ondernemers goed op de hoogte is van de AI Act. Een helder AI-geletterdheidsprogramma is dan ook niet alleen wettelijk verplicht, maar ook gewoon verstandig.

5. Houd rekening met nieuwe cybersecuritywetgeving (NIS2)

Naast AI-specifieke wetgeving krijgen organisaties ook te maken met strengere eisen rondom cybersecurity. De NIS2-richtlijn is in Nederland vertaald naar de Cyberbeveiligingswet, die sinds 15 augustus 2026 daadwerkelijk van kracht is. De wet stelt eisen aan de digitale weerbaarheid van ruim 8.000 organisaties die essentiële of belangrijke diensten verlenen, waaronder een registratieplicht bij de toezichthouder, risicomanagement en incidentmelding.

Hoewel deze wet niet specifiek over AI gaat, raakt deze direct aan het gebruik van AI binnen organisaties. Denk aan het gebruik van externe AI-tools, de verwerking van data en de afhankelijkheid van leveranciers. Een AI-beleid helpt om hier grip op te houden en sluit daarmee goed aan op bredere verplichtingen rondom informatiebeveiliging.

6. Richtlijnen voor externe AI-tools

Niet elke AI-toepassing komt van Microsoft of Google. Medewerkers zoeken zelf tools om hun werk te versnellen, helemaal omdat ze zo openbaar en makkelijk beschikbaar zijn. Denk aan AI-videotools, transcriptietools, code-assistenten of SEO-software.

Geef daarom richtlijnen voor het gebruik van externe AI-tools. Dit schetst ruimte, maar zorgt er toch voor dat je beheer houdt over welke tools worden toegepast. Denk aan richtlijnen als:

• Tools altijd vóór gebruik laten goedkeuren
• Controle op waar data naartoe gaat (denk aan AVG-compliant verwerking van gegevens)
• Vermijden van tools met onduidelijk eigenaarschap of geen transparantie over data-gebruik
• Inzicht in de herkomst en werking van AI-functionaliteit (transparantie over hoe output tot stand komt)
• Beoordeling van leveranciers op security en compliance (inclusief ketenrisico's, in lijn met NIS2)

‍
7. Zorg dat de medewerker zich eindverantwoordelijk voelt

AI-tools kunnen in veel werkzaamheden ondersteunen, maar ze nemen geen beslissingen uit handen. Leg daarom in het beleid expliciet vast dat medewerkers altijd eindverantwoordelijk blijven voor wat AI produceert. Of het nu gaat om teksten, voorstellen of analyses: menselijke controle is in bijna alle gevallen essentieel. Neem niks klakkeloos over. Bijvoorbeeld controle over de juistheid van informatie, de relevantie van de content of controle op ethische zaken. Deze richtlijn helpt ook om juridische aansprakelijkheid af te kaderen, zeker bij het gebruik van generatieve AI.

8. Geef ruimte voor experiment, binnen kaders

Een AI-beleid moet niet alleen beschermen, maar natuurlijk ook stimuleren. AI kan namelijk veel inspiratie brengen, mensen op weg helpen en je werk makkelijker maken. Maak dus concreet welke ruimte er is voor experimenten, en wat daarin de grenzen zijn. Bijvoorbeeld:

• Gebruik van Copilot binnen afgebakende testgroepen
• Pilots met nieuwe tools onder begeleiding van IT of security
• Een laagdrempelig contactpersoon voor wie iets nieuws wil proberen en hierover wil sparren

Zo voorkom je dat innovatie plaatsvindt zonder dat je hier als organisatie inzicht in of grip op hebt. Dit kennen we namelijk als Shadow AI, terwijl je wil weten wat er speelt.

Wat moet er vooral niet in je AI-beleid?

Genoeg concrete voorbeelden en situaties die belangrijk zijn om op te nemen in je AI-beleid. Maar ook niet onbelangrijk: wat zijn valkuilen in AI-beleid? Wat kan je daar beter juist niét in opnemen?

• Een beleid dat alleen vanuit IT of Legal komt, mist draagvlak vanuit de business
• Gebruik geen technisch of wollig taalgebruik. Richt je op praktische duidelijkheid, het is geen academisch stuk. Je wil voorkomen dat informatie niet goed landt bij gebruikers of ze de moeite niet nemen het beleid volledig door te nemen
• Verlies jezelf niet in details. Je beleid is geen gebruiksaanwijzing van iedere tool, maar biedt overkoepelende richtlijnen met duidelijke voorbeelden
• Geen opvolging organiseren. Zorg dat het beleid leeft: via communicatie, herhaling, training én toezicht

‍
Conclusie

Een goed AI-beleid biedt richting, ruimte en verantwoordelijkheid. Het helpt medewerkers veilig en effectief te werken met AI, zonder innovatie tegen te gaan. Dat lukt alleen als het beleid praktisch, begrijpelijk en gedragen is door de hele organisatie.

Met de EU AI Act en de Cyberbeveiligingswet (NIS2) inmiddels grotendeels van kracht, is een AI-beleid niet langer alleen een best practice, het is een noodzaak. Uit onderzoek van de KVK blijkt dat slechts een klein deel van de Nederlandse ondernemers goed op de hoogte is van de AI Act, terwijl boetes kunnen oplopen tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet. Wachten tot alle verplichtingen volledig ingaan, is dan ook geen optie: begin nu met een overzicht van je AI-gebruik en een praktisch AI-beleid.

Wil je sparren over hoe jouw organisatie AI-beleid kan vertalen naar concrete werkafspraken? Neem gerust contact op met onze specialisten. We denken graag mee!