Een intern AI-beleid dat werkt in de praktijk, bevat minimaal afspraken over toegestane toepassingen, risicoclassificatie, verantwoordelijkheden, privacyregels en een nalevingsmechanisme. Zonder die vijf elementen blijft beleid papier. Voor bedrijven van 250 tot 1.000 medewerkers is de uitdaging niet het schrijven van het beleid, maar het operationaliseren ervan binnen bestaande IT-structuren en compliance-verplichtingen. De vragen hieronder helpen je dat stap voor stap te doen.
Wat moet er minimaal in een intern AI-beleid staan?
Een werkbaar intern AI-beleid bevat vijf onderdelen: een definitie van welke AI-toepassingen zijn toegestaan, een risicoklassificatie per toepassing, een heldere eigenaarschapsstructuur, privacyafspraken die aansluiten op de AVG, en een proces voor naleving en herziening. Zonder elk van deze vijf is het beleid onvolledig en daarmee niet handhaafbaar.
Begin met de scope. Beschrijf concreet wat onder het beleid valt: generatieve AI-tools die medewerkers zelf gebruiken, geautomatiseerde beslissingsondersteuning in bedrijfsprocessen, en AI-componenten in ingekochte software. Veel organisaties vergeten die laatste categorie, terwijl een CRM met ingebouwde AI-aanbevelingen net zo goed onder het beleid valt als een zelfgebouwde chatbot.
Daarna volgt de gedragscode. Wat mogen medewerkers wel en niet invoeren in AI-tools? Denk aan klantgegevens, financiële informatie, contracten en persoonsgegevens. Dit hoeft geen uitputtende lijst te zijn, maar de grenzen moeten scherp genoeg zijn om dagelijkse keuzes te sturen. Een eenvoudige vuistregel werkt beter dan een tabel met twintig uitzonderingen.
Sluit het beleid af met een escalatiepad. Als een medewerker twijfelt of een toepassing is toegestaan, of als er iets misgaat, moet duidelijk zijn bij wie hij terechtkan. Zonder dat pad blijft twijfel onbesproken en ontstaan er stilzwijgende workarounds.
Hoe classificeer je AI-toepassingen op risiconiveau?
Je classificeert AI-toepassingen op risiconiveau door drie vragen te beantwoorden: welke data gebruikt de toepassing, welke beslissingen beïnvloedt ze, en wat zijn de gevolgen als ze een fout maakt? Die drie assen bepalen samen het risiconiveau: laag, middel of hoog.
Lage risico: ondersteunend en omkeerbaar
Toepassingen in deze categorie ondersteunen een medewerker zonder een beslissing te nemen. Een AI die een vergadering samenvat, tekstsuggesties geeft of zoekresultaten rangschikt, valt hier doorgaans in. De output is zichtbaar, de mens beslist, en een fout is eenvoudig te corrigeren. Standaard gebruiksrichtlijnen volstaan.
Middel risico: procesintegratie met beperkte autonomie
Hier werkt AI actief mee in een bedrijfsproces, maar is er nog altijd een menselijke stap voor definitieve beslissingen. Denk aan een systeem dat facturen automatisch categoriseert of klanttickets prioriteert. De foutmarge heeft directe operationele impact, maar geen onomkeerbare gevolgen. Dit niveau vraagt om logging, periodieke controle en een duidelijke eigenaar.
Hoog risico: autonome werking met significante impact
Toepassingen die zelfstandig besluiten nemen met rechtsgevolgen of aanzienlijke impact op personen, vallen in de hoogste categorie. Denk aan geautomatiseerde kredietbeoordelingen, HR-selectietools of systemen die toegang tot diensten reguleren. De EU AI Act benoemt een aantal van deze categorieën expliciet als hoog-risico. Voor dit niveau gelden de zwaarste eisen: documentatie, audit trails, menselijk toezicht en aantoonbare validatie.
Een praktische aanpak is een intern classificatieformulier van vijf tot tien vragen dat elke nieuwe AI-toepassing doorloopt voordat ze in gebruik wordt genomen. Zo voorkom je dat het risiconiveau achteraf wordt bepaald, wanneer de toepassing al in productie draait. Meer over de structuur achter zo’n aanpak lees je in het AI Foundationsmodel dat wij hanteren.
Wie is verantwoordelijk voor AI-beslissingen binnen een organisatie?
Verantwoordelijkheid voor AI-beslissingen ligt op drie niveaus: de eigenaar van het bedrijfsproces draagt eindverantwoordelijkheid voor de uitkomsten, de IT- of data-afdeling is verantwoordelijk voor de technische werking en beveiliging, en de individuele medewerker is verantwoordelijk voor het verantwoord gebruik van de tools die hem ter beschikking staan.
Het meest voorkomende probleem is niet dat niemand verantwoordelijk is, maar dat het onduidelijk is wie welk stuk draagt. Een AI-tool die door HR wordt gebruikt maar door IT wordt beheerd en door een externe leverancier is gebouwd, heeft drie potentiële eigenaren en daardoor in de praktijk geen echte eigenaar.
Benoem daarom per AI-toepassing een procesverantwoordelijke: iemand die aanspreekbaar is op de uitkomsten van de toepassing, die periodiek controleert of de output nog klopt, en die besluit wanneer een toepassing wordt aangepast of uitgezet. Dit hoeft geen technisch profiel te zijn. Het is de persoon die het proces kent en de gevolgen van fouten het dichtst bij staat.
Leg dit vast in een eenvoudig register: toepassing, procesverantwoordelijke, technisch beheerder, risiconiveau en datum van laatste beoordeling. Dat register is ook de basis voor je nalevingsstructuur en voor gesprekken met externe toezichthouders. Lees meer over onze werkwijze en specialisten die organisaties hierbij begeleiden.
Hoe sluit een AI-beleid aan op de AVG en de AI Act?
Een intern AI-beleid sluit aan op de AVG en de EU AI Act door de verplichtingen uit beide regelgevingen te vertalen naar concrete interne afspraken over datagebruik, transparantie, menselijk toezicht en documentatie. Raadpleeg altijd je eigen juridisch adviseur voor de toepassing op jouw specifieke situatie.
Vanuit de AVG zijn de belangrijkste aandachtspunten voor AI-gebruik: de grondslag voor gegevensverwerking, het doelbindingsbeginsel en de rechten van betrokkenen. Als een AI-toepassing persoonsgegevens verwerkt, moet je kunnen aantonen waarop die verwerking is gebaseerd en hoe lang de data wordt bewaard. Geautomatiseerde besluitvorming met significante gevolgen voor personen vraagt bovendien om een expliciete grondslag en het recht op menselijke tussenkomst.
De EU AI Act voegt daar een risicogebaseerde laag aan toe. Voor hoog-risico toepassingen gelden verplichtingen rond technische documentatie, logging van systeemactiviteiten, menselijk toezicht en conformiteitsbeoordelingen. In 2026 zijn de meeste verplichtingen voor hoog-risico AI-systemen van kracht. Of een specifieke toepassing binnen die categorie valt, hangt af van de sector en het gebruik. Laat dat oordeel niet intern nemen zonder juridische toetsing.
Praktisch gezien werkt het om de AVG- en AI Act-verplichtingen als een sublaag te behandelen binnen je risicoklassificatie. Toepassingen in de middelste en hoge risicocategorie triggeren automatisch een compliance-check. Zo hoef je de regelgeving niet in elk afzonderlijk gesprek opnieuw te introduceren.
Hoe zorg je dat medewerkers het AI-beleid daadwerkelijk naleven?
Medewerkers leven een AI-beleid na als het herkenbaar is, kort genoeg om te onthouden en verankerd in de dagelijkse werkpraktijk. Beleid dat alleen in een PDF op intranet staat, wordt niet nageleefd. Beleid dat is ingebouwd in onboarding, toolselectie en periodieke teamgesprekken, wel.
Drie maatregelen maken het verschil:
- Vertaal het beleid naar een beknopte gebruikskaart per tool of per afdeling. Medewerkers hoeven niet het volledige beleidsdocument te kennen, maar moeten wel weten wat ze met hun dagelijkse tools mogen en niet mogen.
- Maak naleving zichtbaar in processen. Als medewerkers een nieuwe AI-tool willen gebruiken, doorlopen ze een korte intake. Dat gesprek is een nalevingsmoment, geen bureaucratische drempel.
- Bespreek AI-gebruik periodiek in teamoverleggen. Niet als controle, maar als reflectie. Wat werkt, wat roept vragen op, en zijn er situaties geweest waarin het beleid onduidelijk was? Die gesprekken leveren ook input voor de volgende herziening.
AI-geletterdheid speelt hier een grote rol. Medewerkers die begrijpen waarom bepaalde regels bestaan, houden zich er beter aan dan medewerkers die alleen de regels kennen. Investeer in korte, praktijkgerichte uitleg over risico’s als datalekkage, bias en hallucinaties. Dat vergroot het bewustzijn zonder de werkdruk te verhogen. Bekijk ook het Connect & Build programma voor AI-bewustwording binnen organisaties.
Wanneer moet een intern AI-beleid worden herzien?
Een intern AI-beleid moet minimaal jaarlijks worden herzien, en tussentijds bij drie triggers: een significante wijziging in de gebruikte AI-toepassingen, een incident of bijna-incident, of een relevante wijziging in wet- en regelgeving. AI-technologie en de bijbehorende regelgeving ontwikkelen zich snel genoeg om een tweejaarlijkse herzieningscyclus onvoldoende te maken.
Stel bij de introductie van het beleid meteen een herzieningsdatum vast. Een beleid zonder vervaldatum wordt stilzwijgend als permanent beschouwd en raakt daardoor verouderd zonder dat iemand het merkt.
Bepaal ook wie de herziening initieert en wie erbij betrokken wordt. Een goede herziening combineert input van IT, de procesverantwoordelijken, HR en juridische adviseurs. Dat zijn vier perspectieven die samen een volledig beeld geven van wat er is veranderd en wat het beleid moet bijhouden.
Gebruik het register van AI-toepassingen als startpunt. Zijn er nieuwe toepassingen bijgekomen? Is het risiconiveau van bestaande toepassingen veranderd? Zijn er incidenten geweest die aanpassingen nodig maken? Die vragen sturen de herziening en voorkomen dat het een theoretische exercitie wordt.
Hoe wij helpen bij het opzetten van een AI-beleid
Een AI-beleid opstellen is een begin. Het beleid laten werken in een organisatie met bestaande IT-structuren, compliance-verplichtingen en een eigen cultuur is een ander vraagstuk. Precies daar helpen wij.
Via onze AIConnected aanpak brengen we de juiste specialisten samen voor jouw specifieke situatie. Geen generalist die alle vakgebieden oppervlakkig behandelt, maar per onderdeel de specialist die er het sterkst in is. Denk aan:
- Een Foundation Scan die de volwassenheid van je organisatie in kaart brengt op datakwaliteit, governance, procesvolwassenheid, security en AI-gereedheid
- Specialisten op het gebied van datagovernance, identity en security, en compliance die elk binnen hun eigen domein werken
- Programmamanagement dat de verbinding legt tussen de disciplines, zodat beleid en techniek op elkaar aansluiten
- Kennisoverdracht aan je eigen mensen, zodat je na het traject zelf de regie kunt voeren
Wil je weten waar jouw organisatie nu staat? Meld je aan voor een Foundation Scan en vraag een Foundation Scan aan. In drie gerichte gesprekken van elk 45 minuten krijg je een helder beeld van wat er nodig is om AI verantwoord en gecontroleerd in te voeren.