AI-beleid en AI-geletterdheid: wat medewerkers mogen en moeten weten

Vraag in een willekeurig team wie deze maand een AI-chatbot voor het werk heeft gebruikt, en er gaan meer handen omhoog dan de directie verwacht. Een offerte herschrijven, een klantmail vertalen, een contract samenvatten: het gebeurt al, vaak met een gratis account. Bij een accountantskantoor of een HR-afdeling is een datalek dan één verkeerde plakactie verwijderd.

Daarbij vraagt de Europese AI-verordening van elk bedrijf dat AI inzet, dat medewerkers weten wat ze doen. Een AI-beleid regelt beide: wat mag, wat niet, en wie wat moet weten.

Waarom een AI-beleid nu nodig is

De Autoriteit Persoonsgegevens (AP) kreeg meldingen van datalekken doordat medewerkers persoonsgegevens in een AI-chatbot invoerden: bij een huisartsenpraktijk, tegen de afspraken in, medische gegevens van patiënten, bij een telecombedrijf een bestand met klantadressen (bron: Autoriteit Persoonsgegevens, augustus 2024). Volgens de AP is er dan sprake van een datalek, en moeten organisaties duidelijke afspraken met medewerkers maken over het gebruik van AI-chatbots (bron: Autoriteit Persoonsgegevens, augustus 2024).

Een totaalverbod werkt zelden: wie een tool nuttig vindt, gebruikt hem dan op de eigen telefoon, buiten elk zicht. Beter is een veilige route: deze tools mogen, met deze gegevens, onder deze voorwaarden.

Wat de AI-verordening van uw bedrijf vraagt

De AI-verordening (Verordening (EU) 2024/1689, in het Engels de AI Act) trad op 1 augustus 2024 in werking en is sinds 2 augustus 2026 grotendeels van toepassing (bron: Europese Commissie, oktober 2026). De wet onderscheidt aanbieders, die een AI-systeem ontwikkelen of onder eigen naam op de markt brengen, en gebruiksverantwoordelijken: organisaties die AI onder eigen verantwoordelijkheid gebruiken (bron: Europese Commissie, juli 2026). De meeste bedrijven zijn het tweede. Wie zelf een chatbot laat bouwen en onder eigen naam inzet, kan ook aanbieder zijn.

De regels hangen af van het risico van de toepassing.

Indeling en voorbeelden (bron: Europese Commissie, oktober 2026).

AI-geletterdheid: wat de plicht inhoudt

Artikel 4 van de verordening verplicht aanbieders en gebruiksverantwoordelijken tot AI-geletterdheid van hun personeel; die plicht geldt sinds 2 februari 2025, en sinds 2 augustus 2026 gelden ook de regels voor toezicht en handhaving (bron: Europese Commissie, oktober 2026). Het gaat om kennis waarmee mensen AI bewust inzetten en de risico's kennen.

Met de digitale omnibus inzake AI, een Europese vereenvoudiging van de wet, is artikel 4 aangepast: bedrijven nemen maatregelen om de AI-geletterdheid van hun personeel te ondersteunen, afgestemd op kennis, ervaring en de context van gebruik, zonder een bepaald niveau per medewerker te hoeven garanderen (bron: EUR-Lex, juli 2026). Leest u dat de plicht is vervallen: dat klopt niet, het blijft een verplichting (bron: Europese Commissie, oktober 2026).

Een certificaat of verplichte training is niet nodig; een intern overzicht van trainingen noemt de Commissie wel als mogelijkheid (bron: Europese Commissie, oktober 2026). Ook wie alleen een chatassistent gebruikt voor reclameteksten of vertalingen valt eronder en moet de risico's kennen, zoals hallucinaties: verzonnen antwoorden die overtuigend klinken (bron: Europese Commissie, oktober 2026).

Verboden toepassingen en transparantieplichten

Sinds 2 februari 2025 zijn enkele praktijken verboden, waaronder emotieherkenning op de werkplek, sociale scores en manipulatieve technieken (bron: Europese Commissie, oktober 2026). Vanaf 2 december 2026 zijn ook AI-systemen verboden die zonder toestemming seksueel expliciete beelden van herkenbare personen maken, of materiaal van seksueel misbruik van kinderen (bron: EUR-Lex, juli 2026; Europese Commissie, juli 2026).

Sinds 2 augustus 2026 gelden de transparantieplichten uit artikel 50 (bron: Europese Commissie, juli 2026). Mensen moeten weten dat ze met een chatbot praten, tenzij dat duidelijk is. Wie een deepfake publiceert, meldt dat het beeld of geluid kunstmatig is gemaakt. Door AI gemaakte tekst die het publiek informeert over zaken van algemeen belang moet herkenbaar zijn, tenzij een mens de tekst heeft gecontroleerd en iemand redactioneel verantwoordelijk is (bron: Europese Commissie, juli 2026). Aanbieders van systemen die al vóór augustus 2026 op de markt waren, hebben tot 2 december 2026 om AI-content machineleesbaar te markeren (bron: Europese Commissie, juli 2026).

Hoe de invoering verder loopt

De Commissie stelde de omnibus in november 2025 voor; na een politiek akkoord in mei 2026 is de wijziging in juli 2026 in werking getreden (bron: Europese Commissie, oktober 2026). Het gaat om Verordening (EU) 2026/1744 van 8 juli 2026 (bron: EUR-Lex, juli 2026). Belangrijkste gevolg: de regels voor hoog-risicotoepassingen schuiven op.

Tijdlijn inclusief de wijzigingen door de digitale omnibus (bron: Europese Commissie, oktober 2026).

Zet u vanaf december 2027 AI in voor werving of beoordeling, dan informeert u als werkgever vooraf de werknemersvertegenwoordiging en de betrokken medewerkers, en belegt u het menselijk toezicht bij mensen met de nodige kennis en bevoegdheid (bron: Europese Commissie, juli 2026). In Nederland krijgen de AP en de Rijksinspectie Digitale Infrastructuur (RDI) volgens een wetsvoorstel van het kabinet een coördinerende rol in het toezicht (bron: Rijksoverheid, april 2026).

Wat er in een AI-beleid hoort

• Toegestane tools: welke tools mogen, alleen met een zakelijk account, en hoe medewerkers een nieuwe tool aanvragen.
• Verboden gegevens: wat nooit in een openbare tool gaat, zoals persoonsgegevens, klantdossiers, niet-openbare cijfers en wachtwoorden.
• Controle door een mens: wie de output controleert voordat die naar een klant gaat of een besluit beïnvloedt.
• Eerlijkheid naar klanten: wanneer u vermeldt dat AI is gebruikt, zoals bij een chatbot of gegenereerd beeld.
• Eigendom van output: dat werk met AI onder dezelfde afspraken valt als ander werk, zonder uit te gaan van auteursrecht op pure AI-output.
• Registratie: een overzicht van alle AI-toepassingen met eigenaar, doel, gegevens en risico, gekoppeld aan het AVG-verwerkingsregister.
• Verantwoordelijkheid: wie het beleid beheert, nieuwe tools goedkeurt en incidenten ontvangt.

Zinvolle toepassingen staan in AI-toepassingen per afdeling; hoe AI past in de koers van het bedrijf, leest u in AI-strategie.

Medewerkers trainen per rol

De Commissie schrijft geen vaste opleiding voor. Als vertrekpunt noemt zij een algemeen begrip van AI in de organisatie, uw rol als aanbieder of gebruiksverantwoordelijke en het risico van de systemen die u gebruikt (bron: Europese Commissie, oktober 2026). Niet iedereen hoeft dus hetzelfde te weten.

Iedereen moet weten wat AI wel en niet kan, welke tools mogen en welke gegevens er nooit in gaan. Wie dagelijks met AI werkt, leert ook output controleren. Leidinggevenden kennen de risico's in hun afdeling, HR de strengere regels bij werving, en IT beoordeelt nieuwe tools.

Meer over software, data en beveiliging vindt u in de kennisbank ICT en data.

Voorbeeld AI-beleid, trainingsopzet en checklist

Hieronder vindt u een volledig AI-beleid in tekstblokken dat u kunt overnemen en aanpassen, een trainingsopzet voor AI-geletterdheid per rol en een checklist voor elke nieuwe AI-tool.