Beleid en afspraken
Zeven afspraken: welke programma’s, welke gegevens niet, wie controleert, wie beslist, wat bij een fout, hoe u leert en wanneer u het herziet.
Een bruikbaar AI-beleid voor een kantoor past op één A4 en beantwoordt zeven vragen: welke programma’s mogen, welke gegevens er nooit in gaan, wie de uitkomst controleert, wie beslist, wat er gebeurt bij een fout, hoe het team leert en wanneer het beleid wordt herzien. Alles wat daarbuiten valt, hoort in een werkinstructie of bij uw adviseur, niet op dat ene vel.
De meeste kantoren hebben al een privacyverklaring, een informatiebeveiligingsbeleid en een kwaliteitshandboek. Niemand leest die op het moment dat het ertoe doet. Dat moment is dinsdagmiddag om vier uur, als een medewerker een lastige klantmail wil laten herschrijven. Dan moet de regel in tien seconden te vinden zijn.
Een A4 dwingt u tot keuzes. “Wees voorzichtig met gevoelige gegevens” past er makkelijk op, maar helpt niemand. “Geen BSN, geen IBAN, geen namen van klanten in een gratis account” helpt wel. Als een regel niet concreet genoeg is om te controleren, schrap hem of maak hem scherper.
Noem ze bij naam en noem het soort account. Er is een verschil tussen een gratis persoonlijk account en een zakelijke licentie waarvoor het kantoor afspraken met de leverancier heeft gemaakt. Schrijf dus niet “ChatGPT mag”, maar bijvoorbeeld “alleen het zakelijke account van kantoor, niet uw privéaccount”. Wat niet op de lijst staat, mag niet. Zo voorkomt u dat elke medewerker een eigen hulpmiddel kiest.
Of een leverancier geschikt is voor klantgegevens, bepaalt u niet op gevoel. Dat hangt onder meer af van de afspraken over verwerking van persoonsgegevens, zoals bedoeld in artikel 28 van de AVG. Laat dat beoordelen door uw eigen privacy- of juridisch adviseur. Het beleid legt alleen de uitkomst vast.
Dit is de regel die het vaakst wordt overtreden, dus hij moet het scherpst zijn. De Autoriteit Persoonsgegevens schreef in augustus 2024 dat zij meerdere meldingen van datalekken kreeg doordat medewerkers persoonsgegevens in een AI-chatbot zetten. Een voorbeeld uit die meldingen: een medewerker van een huisartsenpraktijk die medische gegevens van patiënten invoerde. Volgens de AP gebeurt dat vaak op eigen initiatief en tegen de afspraken met de werkgever in.
Maak een korte lijst die past bij uw vak. Voor een accountantskantoor: burgerservicenummers, bankrekeningnummers, loonstroken, aangiftes met naam. Voor een makelaar: kopieën van identiteitsbewijzen, inkomensgegevens van kopers, de biedingen van anderen. Voor een adviesbureau: alles wat onder een geheimhoudingsafspraak met de opdrachtgever valt. Zet erbij wat wel kan: dezelfde vraag stellen met de namen en bedragen eruit gehaald.
Een AI-programma schrijft zelfverzekerd, ook als het niet klopt. Het verzint soms een bron, haalt een oud tarief aan of rekent verkeerd. Leg daarom vast dat niets wat met AI is gemaakt het kantoor verlaat zonder dat een medewerker het heeft nagelezen en er zijn naam aan verbindt. Dat geldt voor een mail aan een klant, een woningtekst op een website en een rapport.
Wees concreet over wat controleren betekent. Cijfers naleggen tegen de bron. Wetsartikelen opzoeken in de wettekst zelf. Namen en data nalopen. “Even doorlezen” is geen controle. Een tekst kan vlot lezen en toch een verkeerd bedrag bevatten.
Noem één persoon die vragen beantwoordt en nieuwe programma’s goedkeurt. In een kantoor van tien mensen is dat vaak een partner of de office manager. Zonder die naam blijven vragen liggen, of beantwoordt iedereen ze zelf. Zet er ook bij dat AI geen beslissingen neemt over klanten. Het programma mag een concept maken. Het oordeel blijft bij de professional.
Medewerkers melden een fout alleen als ze weten bij wie en als ze niet bang zijn voor de gevolgen. Schrijf daarom op: wie het meteen meldt, wordt niet gestraft voor de melding. De reden is praktisch. Heeft iemand persoonsgegevens in een niet-toegestaan programma gezet, dan kan dat een datalek zijn. Een datalek dat gemeld moet worden, meldt u volgens de AP binnen 72 uur na kennisname. Die termijn haalt u niet als de medewerker het een week voor zich houdt.
Of een concreet voorval gemeld moet worden, is een juridische beoordeling. Het beleid zegt alleen wie die beoordeling start. De beoordeling zelf hoort bij uw privacy-adviseur of functionaris gegevensbescherming.
De AI-verordening verplicht organisaties die AI-systemen ontwikkelen of gebruiken om maatregelen te nemen die de AI-geletterdheid van hun personeel bevorderen. Die plicht staat in artikel 4 en geldt sinds 2 februari 2025. De tekst van dat artikel is op 8 juli 2026 vervangen door Verordening (EU) 2026/1744, de digitale omnibus over AI: waar eerder stond dat kantoren moesten zorgen voor een toereikend niveau van AI-geletterdheid, staat er nu dat zij maatregelen nemen die de ontwikkeling daarvan ondersteunen.
Welke maatregelen dat precies zijn, staat niet in de wet, schrijft de Autoriteit Persoonsgegevens. De Europese Commissie schrijft in haar vragen en antwoorden geen vaste training of certificaat voor. Op het A4 hoeft het dus niet uitgebreid. Eén zin is genoeg: wie welke uitleg krijgt, hoe vaak, en waar u bijhoudt wat u heeft gedaan. Wat de verordening precies van uw kantoor vraagt, laat u door uw eigen adviseur beoordelen. Deze pagina is uitleg, geen advies.
Programma’s veranderen per kwartaal. Een functie die in het voorjaar niet bestond, staat in het najaar standaard aan. Zet een datum onder het beleid en een datum waarop u het opnieuw bekijkt. Een half jaar is voor de meeste kantoren een redelijk ritme. Een beleid zonder datum lijkt geldig, ook als het al lang achterhaald is.
De meest gemaakte fout is een beleid dat alles verbiedt. Dan gebruiken medewerkers AI toch, maar op hun telefoon en met hun privéaccount. U ziet het niet en kunt het niet sturen. Dat is precies de situatie die de AP beschrijft in de meldingen over datalekken. Een beleid dat duidelijk zegt wat wel mag, met welk programma en hoe, werkt beter dan een verbod dat niemand naleeft.
De tweede fout is het omgekeerde: een beleid dat zo vaag is dat alles mag. “Gebruik AI verantwoord” is geen regel. Niemand kan erop worden aangesproken, ook u niet.
De derde fout is het A4 verwarren met de hele aanpak. Het vel papier regelt het dagelijkse gebruik. Het regelt niet of uw leverancier voldoet aan de AVG, of uw beroepsregels extra eisen stellen, of een bepaalde toepassing onder de zwaardere regels van de AI-verordening valt. Daarvoor heeft u uw eigen adviseur nodig, en uw beroepsorganisatie.
En het beleid werkt pas als het team het begrijpt. Een A4 dat bij de nieuwjaarsborrel wordt rondgestuurd en daarna in een map verdwijnt, verandert niets aan dinsdagmiddag om vier uur. Wilt u het beleid samen met uw team doorlopen aan de hand van uw eigen werk, dan kunt u een kennismaking plannen.
Stand van zaken: 7 november 2026. Regels veranderen; controleer de actuele situatie voordat u erop rekent.
Samen doornemen
In de kennismaking lopen we uw werk door en schrijft u de zeven afspraken op die bij uw kantoor passen. Geen voorbeeldbeleid van internet, maar uw eigen regels.
Plan een gesprek