AI-beleid opstellen? Eén A4 is genoeg om te beginnen.

AI-beleid opstellen voor een klein bedrijf kan op één A4. Je legt vast welke tools mogen, wat er nooit in gaat, wie controleert en wat je doet als het misgaat. Dat is genoeg om te beginnen. Belangrijker dan de lengte is dat het er ligt, want je mensen gebruiken AI al. Met of zonder afspraken.

Waarom wachten geen optie is

Uit het onderzoek Alert Online 2026 blijkt dat 49 procent van de werknemers soms, vaak of altijd een privé-AI-account of app voor werk gebruikt. En 35 procent gebruikt AI-tools zonder toestemming van de werkgever. Dat meldde Informatiebeveiliging & Privacy in oktober 2026.

Tegelijk zijn ondernemers zelf nog nauwelijks bezig met de regels. De KVK vond in 2025 dat de helft van de ondernemers de Europese AI-wet niet kent en dat maar een paar procent maatregelen heeft genomen. Het gat zit dus niet bij de techniek. Het zit tussen wat medewerkers al doen en wat de baas heeft afgesproken.

Wat de toezichthouder ervan zegt

De Autoriteit Persoonsgegevens kreeg meerdere meldingen van datalekken doordat medewerkers persoonsgegevens deelden met een AI-chatbot. In één geval zette een medewerker van een huisartsenpraktijk medische gegevens van patiënten in een chatbot. In een ander geval ging het om een bestand met adressen van klanten.

De AP maakt één onderscheid dat voor je beleid belangrijk is. Gebruikt een medewerker een chatbot tegen de afspraken in en voert hij persoonsgegevens in, dan is dat een datalek. Is het gebruik juist onderdeel van je beleid, dan is het geen datalek, maar vaak niet wettelijk toegestaan. Organisaties moeten beide situaties voorkomen. Een beleid dat alles toestaat, lost het probleem dus niet op.

AI-beleid opstellen: de zes afspraken

Dit is de inhoud van het A4. Schrijf het in gewone taal, zodat iedereen het in twee minuten leest.

1. Welke tools mogen. Noem ze bij naam. Alles wat niet op de lijst staat, gebruik je niet voor werk. Ook niet op je eigen telefoon.
2. Wat er nooit in gaat. Namen en adressen van klanten, medische gegevens, salarissen, wachtwoorden en contracten. Liever te streng dan te ruim.
3. Wie controleert. Een tekst van AI gaat nooit ongelezen naar een klant. Spreek af wie de laatste blik geeft.
4. Wie de lijst beheert. Eén persoon houdt bij welke tools er zijn en beslist over nieuwe. Wil iemand een nieuwe tool, dan vraagt die het eerst daar.
5. Wat je doet bij een fout. Iemand heeft toch klantgegevens in een chatbot gezet. Wie meld je dat, en binnen hoeveel tijd? Een snelle melding is beter dan een verstopte.
6. Wanneer je het herziet. Zet een datum in de agenda, bijvoorbeeld elk halfjaar. Tools veranderen sneller dan beleid.

De fout in de meeste AI-beleidsstukken

Veel voorbeelden die online staan, zijn verbodslijsten. Mag niet, mag niet, mag niet. Ons standpunt: zo'n beleid werkt averechts. Mensen gaan dan stiekem verder op hun privé-account, en dan zie je nog minder. Een goed beleid geeft ook een veilig alternatief. Als er een vaste, goedgekeurde plek is waar je AI wel mag gebruiken, met je eigen bedrijfsinformatie, verdwijnt de reden om uit te wijken.

Koppel het beleid ook aan uitleg. De AI-verordening vraagt dat je maatregelen neemt voor AI-geletterdheid van je mensen. Een A4 met afspraken plus een kort gesprek erover is daar een nuchtere eerste stap in.

Klaar in een middag

Begin met een rondje langs je team: welke AI-tools gebruiken jullie nu echt? Je zult verrast zijn. Schrijf daarna de zes afspraken op, bespreek ze en laat iedereen tekenen. Meer is het in het begin niet.

Wil je de vraag waar je bedrijfsgegevens staan helemaal voor zijn, lees dan wat een eigen AI voor je bedrijf anders doet dan een losse chatbot. Maestro Network bouwt zo'n eigen AI-omgeving voor ondernemers, op één plek en onder jouw regels. Dit artikel is geen juridisch advies. Meer over het risico van losse chatbots lees je in je klantgegevens horen niet in een losse chatbot.