AI-beleid opstellen: 5 vragen op één A4

De helft van de Nederlandse organisaties heeft geen AI-beleid. Ondertussen gebruiken medewerkers massaal hun eigen tools. Vraag je waarom dat beleid er niet is, dan krijg je zelden “we willen het niet”. Je krijgt: “daar moeten we echt eens goed voor gaan zitten.”

En daar zit het probleem. Bij “AI-beleid” ziet iedereen een dik document voor zich, met juristen, versies en een goedkeuringsronde. Iets van maanden. Dat hoeft het niet te zijn. Sterker nog, dat moet het niet zijn: een werkbaar AI-beleid past op één A4 en beantwoordt vijf vragen. Welke tools zijn goedgekeurd, welke informatie mag erin, wanneer kijkt een mens mee, wat vermelden we naar buiten, en waar meld je vondsten en missers. Beter een pagina die iedereen kent dan een handboek dat niemand opent.

Waarom dikke documenten niet werken

Een AI-beleid van vijftien pagina’s heeft drie problemen.

Niemand leest het. Dat is geen cynisme, dat is ervaring. Beleid dat niet in vijf minuten te lezen is, wordt gescand en vergeten.

Het is binnen een half jaar achterhaald. AI-tools veranderen elke maand. In augustus kwamen er weer functies bij die er in juli niet waren. Elke technische detailbeschrijving die je vastlegt, klopt volgend kwartaal niet meer.

Het verplaatst het probleem naar juridisch. Zodra beleid iets van de afdeling juridische zaken wordt, is het niet meer van de mensen die het moeten toepassen. En dan wordt het een document om je achter te verschuilen in plaats van een hulpmiddel om mee te werken.

Kort en actueel verslaat volledig en verouderd. Elke keer.

De vijf vragen die erin moeten

Dit is de kern. Vijf vragen, elk met een concreet antwoord in jullie eigen taal.

1. Welke tools zijn goedgekeurd?
Noem ze bij naam, met de versie of het abonnement dat is afgesproken. Het verschil tussen een gratis account en een zakelijke overeenkomst is groot: bij het laatste weet je waar je data blijft en of die wordt gebruikt om modellen te trainen.

Voorbeeld: “Goedgekeurd zijn de zakelijke accounts die je via IT krijgt. Persoonlijke gratis accounts gebruiken we niet voor werk.”

2. Welke informatie mag erin en welke niet?
Hier gaan de meeste beleidsstukken de mist in door te schrijven “geen gevoelige gegevens”. Dat betekent voor iedereen iets anders. Wees specifiek, met jullie eigen voorbeelden.

Voorbeeld: “Wel: openbare informatie, eigen concepten, algemene vragen. Niet: klantnamen, persoonsgegevens, salarisinformatie, cijfers die nog niet gepubliceerd zijn, en broncode.”

3. Wanneer kijkt een mens mee?
Gebruik een regel die je kunt onthouden. Wij hanteren er drie: gaat het naar buiten, raakt het geld, of raakt het mensen? Eén keer ja betekent dat iemand het leest en zijn naam eronder zet. Meer daarover in het artikel over controle op AI-agents.

4. Wat vermelden we naar buiten?
Sinds 2 augustus 2026 gelden de transparantieverplichtingen uit de AI-Act. Leg vast hoe jullie dat invullen: hoe je chatbot zich voorstelt, wat je bij AI-gegenereerd beeld vermeldt, en wie verantwoordelijk is voor gepubliceerde teksten.

5. Waar meld je iets?
Eén naam of één kanaal. Voor twee dingen: als er iets misgaat, en als iemand iets ontdekt dat goed werkt. Die tweede is minstens zo belangrijk, want zo verspreidt kennis zich in plaats van dat hij blijft hangen bij één collega.

Wat je bewust weglaat

Even zo belangrijk als wat erin staat.

Technische definities. Niemand hoeft te weten wat een taalmodel precies is om er verstandig mee om te gaan.
Uitputtende opsommingen. Zodra je alle tools probeert te noemen, ben je de dag na publicatie incompleet.
Dreigende taal. Beleid dat leest als een waarschuwing, krijgt de reactie die bij waarschuwingen hoort: mensen worden stiller, niet voorzichtiger. Precies zo ontstaat shadow AI.

Waarom vastleggen ook je eigen belang is

Er is een compliancekant, en die is echt.

Sinds 2 februari 2025 verplicht de AI-Act organisaties om werk te maken van AI-geletterdheid. Iedereen die met AI werkt, moet weten wat de mogelijkheden, risico’s en potentiële impact zijn. Sinds de Digital Omnibus is dat artikel iets verzacht: je hoeft geen specifiek kennisniveau per medewerker te garanderen. De inspanningsverplichting blijft echter gewoon staan, en die moet je kunnen aantonen.

Aantonen doe je met drie dingen: een overzicht van waar je AI inzet, vastgelegde afspraken, en bewijs dat je mensen hebt opgeleid. Dat A4 is precies het middelste stuk. Meer over de achtergrond lees je in AI-geletterdheid volgens de regels.

Maar eerlijk gezegd is compliance niet eens de beste reden. De beste reden is dat je team stopt met gokken. Onduidelijkheid kost meer tijd dan welke regel dan ook.

Levend houden

Eén A4 dat één keer wordt rondgestuurd, is over drie maanden folklore. Twee dingen houden het levend.

Elk kwartaal tien minuten in het teamoverleg. Klopt de lijst met tools nog? Is er iets veranderd? Heeft iemand iets ontdekt? Tien minuten, vier keer per jaar. Dat is de hele investering.

Eén eigenaar met naam. Iemand die het document bijwerkt. Geen commissie, één persoon.

Je eerste versie in een uur

Plan een uur. Nodig drie of vier mensen uit die het meest met AI werken, want zij weten wat er echt gebeurt.

Twintig minuten: de vijf vragen langs, hardop, en de antwoorden opschrijven zoals ze worden gezegd.
Twintig minuten: aanscherpen tot het op één pagina past.
Twintig minuten: afspreken wie eigenaar is, wanneer je het bespreekt en hoe je het deelt.

Klaar. Niet perfect, wel bruikbaar. En oneindig veel beter dan het volmaakte document dat er over acht maanden nog steeds niet is.

Weten waar je staat voordat je vastlegt

Een A4 opstellen lukt in een uur. De vraag is of je de goede dingen erop zet, en dat begint bij weten waar AI in je organisatie zit en welke verplichtingen daarbij horen.

Met de AI Impact & Compliance Assessment brengen we dat samen met je in kaart: je AI-gebruik, je risico’s, je verplichtingen en de concrete stappen die daarbij horen.

Bekijk het aanbod op de Optmzr Academy en kies wat bij jouw organisatie past.