Een intern AI beleid is één van de eerste documenten die de toezichthouder opvraagt bij een naleving-controle onder de AI wet. Toch ontbreekt het bij de meeste MKB-bedrijven - niet omdat ze het niet willen, maar omdat het onduidelijk is wat er precies in moet staan. Dit artikel neemt u in zes stappen mee door het opstellen van een AI beleid dat voldoet aan de EU AI wet.
Waarom is een AI beleid verplicht?
De EU AI wet - officieel de EU AI Act - verplicht deployers om intern beleid te voeren over het gebruik van AI-systemen. Dit vloeit voort uit twee principes in de wet:
- Accountability: u moet aantoonbaar kunnen laten zien dat uw organisatie bewust en verantwoord omgaat met AI. Een beleid is het centrale bewijs daarvoor.
- AI-geletterdheid (artikel 4): medewerkers moeten weten hoe ze verantwoord met AI-tools omgaan. Een AI beleid geeft die kaders.
Bovendien is een AI beleid de basis voor al uw andere naleving-documenten: het AI-register, de medewerkerstraining en de verwerkersovereenkomsten bouwen voort op de keuzes die u in het beleid vastlegt.
Wat moet er minimaal in een AI beleid staan?
Er is geen wettelijk voorgeschreven format, maar de AI wet stelt inhoudelijke eisen. Een conform AI beleid dat voldoet aan de eisen beantwoordt minimaal de volgende vragen:
- Welke AI-tools gebruikt uw organisatie en voor welk doel?
Verwijs naar uw AI-register voor de volledige lijst. Het beleid geeft de kaders; het register de details. - Wie mag welke tools gebruiken?
Zijn alle medewerkers bevoegd, of alleen specifieke functies of afdelingen? Geldt er een goedkeuringsproces voor nieuwe tools? - Welke data mag niet in AI-tools worden ingevoerd?
Denk aan: persoonsgegevens van klanten of medewerkers (zonder DPA), bedrijfsgeheimen, financiële gegevens, medische informatie. - Hoe controleert u AI-output?
Wie is verantwoordelijk voor het controleren van AI-gegenereerde content voordat die extern gaat? Hoe gaat u om met fouten of hallucinaties? - Hoe bent u transparant naar klanten?
Wanneer en hoe informeert u klanten dat AI is ingezet in communicatie of besluitvorming? - Wie is intern verantwoordelijk?
Welke functie beheert het AI beleid, het AI-register en de naleving? Wie is het aanspreekpunt bij een incident?
Template-structuur voor een AI beleid (MKB)
Onderstaande structuur kunt u direct gebruiken als basis. Vul de vetgedrukte placeholders in voor uw eigen organisatie.
- [Tool 1]: [doel]
- [Tool 2]: [doel]
Nieuwe tools mogen pas worden ingezet na opname in het AI-register en goedkeuring door [verantwoordelijke].
- Persoonsgegevens van klanten of medewerkers (tenzij DPA is afgesloten)
- Vertrouwelijke bedrijfsinformatie
- Financiële gegevens van klanten
AI-output wordt altijd door een mens gecontroleerd voordat het extern wordt gebruikt.
Stappenplan: AI beleid opstellen in één middag
-
1Doe de gratis check (30 min)
Start op actcheck.nl. De checker inventariseert uw AI-tools en geeft een risicoklassificatie. Dit levert direct de input voor sectie 2 van uw AI beleid (welke tools, welk doel).
-
2Kopieer de template en vul de placeholders in (45 min)
Gebruik de structuur hierboven. Vul uw organisatienaam, tools, verantwoordelijke en datum in. Pas de gebruiksregels aan op uw specifieke situatie.
-
3Laat het accorderen door directie of management (15 min)
Een AI beleid is pas geldig als het is vastgesteld door een bevoegde persoon in uw organisatie. Stuur het ter accordering en zorg dat de datum van vaststelling erin staat.
-
4Communiceer het naar medewerkers (15 min)
Stuur het AI beleid naar alle medewerkers die AI-tools gebruiken. Bewaar het bewijs van verzending (e-mail met ontvangstbevestiging of leesbevestiging). Dit is uw bewijs van artikel 4-naleving.
-
5Sla het op in uw naleving-map
Bewaar het AI beleid samen met uw AI-register, DPA's en trainingsbewijzen in één centrale map. Dit is uw naleving-dossier dat u bij een AP-audit kunt tonen.
Tip: Wijs in het AI beleid expliciet één persoon aan als verantwoordelijke. Dat hoeft geen juridisch expert te zijn - een HR-manager, operations-directeur of IT-beheerder kan deze rol vervullen. Zonder aangewezen verantwoordelijke is het beleid lastig te onderhouden en minder geloofwaardig bij een audit.
Hoe houd u het AI beleid actueel?
Een AI beleid dat twee jaar geleden is opgesteld maar nooit is bijgewerkt, werkt tegen u bij een naleving-controle. Het laat zien dat naleving geen levend proces is. Voorkom dit met:
- Een jaarlijkse reviewdatum in de kalender van de verantwoordelijke
- Een proces waarbij nieuwe AI-tools pas in gebruik mogen worden genomen na aanpassing van het register én het beleid
- Aandacht voor wetswijzigingen in de AI wet - de AP en de EU AI Office publiceren guidance die beleid kan raken
Bedrijven stellen een AI beleid op maar communiceren het niet naar medewerkers. Zonder bewijs van communicatie - een e-mail, presentatie of ondertekende verklaring - kunt u bij een audit niet aantonen dat medewerkers het beleid kennen. De communicatie is even belangrijk als het document zelf.
Start met de gratis check voor uw AI beleid
De gratis checker geeft u een overzicht van al uw AI-tools en hun risiconiveau. De perfecte basis voor sectie 2 van uw AI beleid. In 10 minuten klaar.
Start de gratis check