Een AI-beleid klinkt als iets voor grote bedrijven met een juridische afdeling. Dat hoeft het niet te zijn. Voor een kmo volstaan twee bladzijden die uw medewerkers effectief lezen — en dat werkt beter dan dertig bladzijden die in een map verdwijnen.

Hieronder de acht punten die erin horen, met per punt een voorbeeldzin die u kunt overnemen en aanpassen.

Waarom u dit sowieso nodig hebt

Twee redenen, en de tweede weegt in de praktijk zwaarder.

Omdat de wet het verwacht. Artikel 4 van de EU AI Act vraagt maatregelen die de AI-geletterdheid van uw personeel ondersteunen. Afspraken op papier zijn daar een logisch onderdeel van.

Omdat uw mensen het al gebruiken. Zonder afspraken verzint iedereen zijn eigen regels. De ene medewerker is voorzichtig, de andere plakt een volledig klantencontract in een chatbot om er een samenvatting van te maken. Beiden denken dat ze juist bezig zijn.

1. Waarvoor mag AI gebruikt worden?

Begin positief. Een beleid dat enkel verbiedt, wordt genegeerd of leidt tot stiekem gebruik — wat erger is.

Voorbeeld: "AI-hulpmiddelen mogen gebruikt worden voor het opstellen van teksten, samenvatten van documenten, vertalen, brainstormen en het zoeken naar informatie die nadien geverifieerd wordt."

2. Welke gegevens mogen er nooit in?

Dit is het belangrijkste punt van uw hele beleid. Wees concreet: "geen gevoelige gegevens" zegt uw medewerkers niets.

Voorbeeld: "Nooit in een AI-tool: persoonsgegevens van klanten of collega's (namen, adressen, rijksregisternummers, medische of financiële gegevens), prijzen en marges, broncode, contracten, en alles wat onder een geheimhoudingsovereenkomst valt. Bij twijfel: niet doen, of eerst vragen aan [naam]."

Tip: voeg toe wat wél mag. "Algemene vragen, publieke informatie en teksten waaruit u eerst namen en cijfers verwijderde, mogen wel."

3. Wie controleert de uitkomst?

AI-modellen verzinnen soms informatie die er overtuigend uitziet — verkeerde cijfers, niet-bestaande bronnen, uitgevonden wetsartikelen. De verantwoordelijkheid daarvoor blijft bij uw medewerker.

Voorbeeld: "U blijft zelf verantwoordelijk voor alles wat u met behulp van AI opstelt. Controleer feiten, cijfers, namen en bronnen vóór u iets doorstuurt of publiceert. Wat u niet zelf kunt verifiëren, gebruikt u niet."

4. Wanneer vertelt u het aan een klant?

Er is geen algemene verplichting om elk AI-gebruik te melden, maar er zijn situaties waarin het verstandig of vereist is — bijvoorbeeld bij een chatbot die klanten te woord staat.

Voorbeeld: "Een klant moet weten dat hij met een AI-systeem communiceert en niet met een medewerker. Voor teksten die door een medewerker nagelezen en goedgekeurd zijn, is geen vermelding nodig."

5. Welke tools zijn goedgekeurd?

Een korte lijst voorkomt dat er tien verschillende tools rondgaan, elk met eigen voorwaarden over wat er met uw gegevens gebeurt.

Voorbeeld: "Goedgekeurd: [tool 1], [tool 2]. Wilt u een andere tool gebruiken, vraag dat dan eerst aan [naam]. Zo houden we zicht op waar onze gegevens terechtkomen."

Let op: gratis versies van AI-tools gebruiken uw invoer vaak om hun modellen te trainen; zakelijke versies meestal niet. Dat verschil is de moeite waard om te vermelden.

6. Waar mag AI niet beslissen?

Sommige toepassingen brengen extra risico's mee — vooral wanneer ze mensen beoordelen.

Voorbeeld: "AI wordt niet gebruikt om zelfstandig te beslissen over aanwerving, ontslag, evaluatie of promotie van medewerkers, noch over de toekenning van kredieten of kortingen aan klanten. AI mag daar hooguit voorbereidend werk doen; de beslissing neemt een mens."

Waarom dit belangrijk is: screeningtools kunnen ongelijk behandelen zonder dat iemand dat zo bedoelde — bijvoorbeeld doordat ze patronen uit historische data overnemen. Onder de AI Act vallen deze toepassingen bovendien in een zwaarder regime.

7. Wat doet u als er iets misloopt?

Er gaat ooit iets fout. Een medewerker plakt iets in wat er niet in hoort, of er gaat een foute tekst naar buiten. Zorg dat men weet dat melden mag.

Voorbeeld: "Is er per ongeluk vertrouwelijke informatie in een AI-tool terechtgekomen, of ging er foute informatie naar buiten? Meld het meteen aan [naam]. We lossen het samen op; melden levert nooit een sanctie op. Niet melden wel."

Dit is het punt dat men vergeet, en net het belangrijkste. Een fout die u kent, kunt u herstellen.

8. Wie kan ik iets vragen?

Zet er een naam bij. Een beleid zonder aanspreekpunt is een beleid zonder toepassing.

Voorbeeld: "Vragen over dit beleid of over een concrete situatie? Spreek [naam] aan. Liever vooraf vragen dan achteraf herstellen."

Wat u niet moet doen

  • Geen dertig bladzijden. Wat niemand leest, verandert niets.
  • Niet alles verbieden. Dan gebruikt men het toch, alleen zonder dat u het weet — en dat is uw grootste risico.
  • Niet kopiëren zonder aanpassen. Een beleid dat verwijst naar afdelingen die u niet hebt, wordt niet ernstig genomen.
  • Niet één keer opstellen en vergeten. Zet er een datum op en herbekijk het jaarlijks; deze technologie en de regels errond bewegen snel.

En dan?

Een beleid op papier is stap één. Het werkt pas wanneer uw mensen begrijpen wáárom die afspraken er staan. Iemand die weet dat een taalmodel cijfers kan verzinnen, controleert vanzelf beter dan iemand die enkel gelezen heeft dat controleren moet.

Daarom hoort opleiding bij het beleid, en niet omgekeerd. Dat is ook wat artikel 4 vraagt: niet enkel een document, maar mensen die ermee kunnen werken. Meer daarover in ons overzichtsartikel over de AI Act.

In ons programma is het interne AI-beleid les 3 — uw medewerkers leren daar hún eigen beleid toepassen, niet een theoretisch voorbeeld. Bekijk op complemy.be hoe dat eruitziet.

Deze voorbeeldzinnen zijn vertrekpunten, geen juridisch advies. Laat uw beleid nakijken door een jurist als u in een gereglementeerde sector werkt of zelf AI ontwikkelt.