AI beleid opstellen voor je bedrijf (met gratis template)

Een AI-beleid opstellen betekent dat je op papier zet welke AI-tools je team mag gebruiken, welke gegevens er niet in mogen en wie de uitkomsten controleert. Voor een mkb-bedrijf is dat een document van één of twee pagina's, geen beleidsboek. Hieronder staat hoe je het in stappen aanpakt en onderaan dit artikel (onder "Het template") vind je een tekst die je kunt kopiëren, in Word zet en invult. Alles is op 9 november 2026 gecontroleerd op de pagina's van de KVK, de Autoriteit Persoonsgegevens en de Europese Commissie. Dit is algemene informatie en geen juridisch advies.

Waarom je een AI-beleid nodig hebt

Een AI-beleid is niet wettelijk verplicht. De KVK schrijft dat het wel duidelijke regels geeft, risico's voorkomt en juridisch houvast kan bieden als er iets misgaat. Er zijn vier redenen om het toch nu te doen.

1. De AI Act vraagt AI-geletterdheid. Organisaties die AI-systemen gebruiken moeten sinds 2 februari 2025 maatregelen nemen om de AI-kennis van hun personeel te bevorderen (artikel 4 van de AI-verordening). Sinds de Digital Omnibus, die medio juli 2026 in werking trad, staat daar uitdrukkelijk bij dat er geen bepaald niveau van AI-geletterdheid gegarandeerd hoeft te worden. De maatregelen moeten passen bij de kennis, ervaring en context van je mensen. Volgens de Q&A van de Europese Commissie is er geen certificaat nodig, wel is het verstandig intern vast te leggen wat je hebt gedaan. Het toezicht en de handhaving gelden volgens diezelfde pagina vanaf 2 augustus 2026. Een beleid met een korte training is een nette manier om dit aan te tonen. Meer over de wet staat in onze uitleg over de AI Act voor bedrijven en over wat je personeel moet kennen in AI-geletterdheid.

2. De AVG. Alles wat een medewerker met persoonsgegevens in een AI-tool doet, is een verwerking waar jij als werkgever verantwoordelijk voor bent. De Autoriteit Persoonsgegevens (AP) kreeg meldingen van datalekken doordat medewerkers gegevens van patiënten of klanten in een AI-chatbot zetten, bijvoorbeeld medische gegevens of een bestand met klantadressen. Dat gebeurde volgens de AP vaak op eigen initiatief en tegen de afspraken in. Haar advies: maak duidelijke afspraken over het gebruik van chatbots en zeg welke gegevens wel en niet mogen worden ingevoerd. Hoe dat precies zit met klantdata lees je in AI en de AVG.

3. Vertrouwelijkheid. Ook zonder persoonsgegevens kunnen offertes, contracten, broncode of strategie niet in elke tool thuishoren. Volgens de AP slaan de meeste bedrijven achter chatbots alle ingevoerde gegevens op. Of dat voor jouw abonnement geldt, hangt af van het plan. Voor ChatGPT zakelijk en de bedrijfsversies van Claude en Microsoft 365 Copilot lees je de voorwaarden van het betaalde plan zelf.

4. Schaduw-AI. Je team gebruikt waarschijnlijk al AI, ook als jij er nooit toestemming voor gaf. Wie geen regels heeft, krijgt toch gebruik, alleen onzichtbaar en op privéaccounts. Een beleid maakt het bespreekbaar. Wat een werknemer wel en niet kan verwachten van de werkgever, staat in onze gids over ChatGPT op het werk.

AI-beleid opstellen in 8 stappen

Plan voor stap 1 tot en met 6 een of twee uur, zeker in een klein bedrijf. De volgorde hieronder volgt de onderdelen die de KVK noemt (doel, opzet, veilig gebruik, controle en verantwoordelijkheid, training), aangevuld met een inventarisatie vooraf.

1. Maak een overzicht van het AI-gebruik dat er al is

Vraag je team in een korte rondvraag welke AI-tools ze gebruiken, waarvoor en met welk account (werk of privé). Denk ook aan AI die in bestaande software zit: de notulist in Teams of Zoom (zie AI notuleren), schrijfhulp in Word, of functies in je boekhoudpakket. Zeg erbij dat je niet gaat straffen, anders krijg je geen eerlijk antwoord.

2. Bepaal het doel en voor wie het geldt

Wat wil je bereiken: tijdwinst, zonder datalekken en binnen de wet? Geldt het beleid voor vast personeel, of ook voor zzp'ers en uitzendkrachten? De KVK raadt aan dit concreet te maken. Artikel 4 van de AI Act noemt ook mensen die namens jou met AI werken.

3. Stel een lijst met goedgekeurde tools samen

Houd de lijst kort en werk hem bij. Zet per tool het toegestane plan, de eigenaar en wat je ermee mag doen. Een gratis privéaccount van een chatbot staat meestal niet op die lijst, een zakelijk abonnement met afspraken over dataverwerking wel. Sinds 2 februari 2025 zijn bovendien bepaalde AI-toepassingen in de EU verboden, zoals social scoring, dus beoordeel nieuwe tools ook daarop. Een overzicht staat in de uitleg over de AI Act.

4. Deel gegevens in drie niveaus in

Dit is het deel dat medewerkers het vaakst nodig hebben. Een eenvoudige indeling:

Persoonsgegevens zijn alle gegevens over een herkenbaar persoon, dus ook een naam met een e-mailadres. Anonimiseren (namen eruit) helpt, maar is lastiger dan het lijkt als de context iemand nog verraadt.

5. Leg menselijke controle vast

AI-uitkomsten kunnen onjuist, verouderd of gekleurd zijn, schrijft de KVK, en neem je dus nooit klakkeloos over. Bepaal per soort werk wie kijkt voordat iets naar buiten gaat: een tekst voor een klant, een berekening, een samenvatting van een gesprek. Zet erin dat de medewerker verantwoordelijk blijft voor wat hij verstuurt, ook als AI het schreef. Laat beslissingen over mensen (sollicitanten, kandidaten, krediet) nooit aan AI over. Die vallen volgens de AI Act mogelijk onder hoog-risico-AI.

6. Regel transparantie naar klanten en leveranciers

Zet je een chatbot op je website in, dan moeten mensen weten dat ze met een AI praten, tenzij dat vanzelf duidelijk is (artikel 50 AI Act, zie onze uitleg). Bedenk ook of klanten in hun contract of privacyverklaring moeten lezen dat je AI gebruikt bij het verwerken van hun gegevens.

7. Plan training en een evaluatiemoment

Een beleid dat niemand kent, werkt niet. Geef nieuwe en bestaande medewerkers een korte instructie (een uur is voor veel teams een begin), en bespreek het beleid bij indiensttreding. De AP adviseert organisaties om AI-geletterdheid strategisch aan te pakken, met een meerjarig actieplan dat steeds wordt herhaald: identificeren, doel bepalen, uitvoeren en evalueren. Voor een klein bedrijf kan dat een kwartiertje per kwartaal zijn. Welke opleidingen er zijn, staat in onze gids over AI-cursussen.

8. Wijs een eigenaar aan en kies een herzieningsmoment

Eén persoon beantwoordt vragen, keurt nieuwe tools goed en houdt het beleid bij. In een klein bedrijf is dat vaak de directeur of de office manager. Plan minstens eens per jaar een herziening, en ook tussentijds als er een nieuwe tool of nieuwe regel is. De Nederlandse uitvoeringswet voor de AI-verordening is volgens de AP nog in voorbereiding, dus een jaarlijkse blik is geen overbodige luxe.

Heb je een ondernemingsraad? Leg het beleid dan aan de OR voor voordat je het invoert. Afhankelijk van wat erin staat (denk aan controle op het gedrag van medewerkers of regels over personeelsgegevens) kan instemming nodig zijn. Dat is een vraag voor een jurist of de adviseur van je OR.

Het template: AI-beleid voor je bedrijf

Kopieer de tekst hieronder naar Word of Google Docs en vervang alles tussen [haken]. Schrap wat niet bij je past. Laat het bij twijfel nalezen door een jurist, zeker de delen over persoonsgegevens en personeel.

AI-BELEID [BEDRIJFSNAAM]
Versie [1.0] | Datum [dd-mm-jjjj] | Eigenaar [naam en functie]
Volgende herziening uiterlijk: [dd-mm-jjjj]

1. DOEL
Wij gebruiken AI-tools om [bijvoorbeeld: sneller te schrijven, samen te vatten en te
analyseren]. Dit beleid zorgt dat dat veilig gebeurt, dat klant- en bedrijfsgegevens
beschermd blijven en dat we voldoen aan de AVG en de AI-verordening.

2. VOOR WIE
Dit beleid geldt voor alle medewerkers, [stagiairs, zzp'ers en uitzendkrachten] die
namens [BEDRIJFSNAAM] met AI-tools werken.

3. TOEGESTANE TOOLS
Je gebruikt voor je werk alleen de tools op deze lijst, met het zakelijke account
dat wij beschikbaar stellen:
- [Tool 1, plan, waarvoor]
- [Tool 2, plan, waarvoor]
- [AI-functies in bestaande software, bijvoorbeeld Teams of Word]
Andere tools, of dezelfde tools met een privéaccount, gebruik je niet voor werk.
Een nieuwe tool wil je gebruiken? Vraag het aan [eigenaar]. Die beoordeelt de tool
op privacy, beveiliging en de AI-verordening voordat hij op de lijst komt.

4. WAT MAG IN EEN AI-TOOL
- Openbare informatie: altijd toegestaan in een goedgekeurde tool.
- Interne informatie: alleen in een goedgekeurde zakelijke tool, zonder namen.
- Vertrouwelijke informatie: NIET invoeren. Dit zijn onder meer persoonsgegevens van
  klanten en collega's, medische en financiële gegevens, contracten, wachtwoorden,
  [broncode] en [overige vertrouwelijke categorieën van ons bedrijf].
Twijfel je? Voer het niet in en vraag [eigenaar].

5. CONTROLE DOOR EEN MENS
- AI-uitkomsten kunnen fout, verouderd of gekleurd zijn. Je controleert feiten,
  cijfers en bronnen voordat je iets gebruikt.
- Jij blijft verantwoordelijk voor wat je verstuurt of opslaat, ook als AI het schreef.
- Teksten, offertes of adviezen voor klanten worden gecontroleerd door [wie of welke rol]
  voordat ze naar buiten gaan.
- AI neemt geen beslissingen over mensen (werving, beoordeling, ontslag, krediet).
  Dat doet altijd een persoon.

6. TRANSPARANTIE
- Wij zeggen duidelijk dat klanten met een AI praten als wij een chatbot inzetten.
- Realistische AI-beelden, audio of video van echte personen publiceren wij niet
  zonder dit duidelijk te vermelden.
- [Wij vermelden in onze privacyverklaring dat wij AI-tools gebruiken bij het
  verwerken van gegevens: ja / nee / n.v.t.]

7. PRIVACY EN BEVEILIGING
- Wij gebruiken alleen tools waarvoor [een verwerkersovereenkomst is gesloten / de
  voorwaarden zijn gecontroleerd] als er persoonsgegevens in kunnen komen.
- Bij een vermoeden dat vertrouwelijke gegevens of persoonsgegevens in een niet-
  goedgekeurde tool zijn terechtgekomen, meld je dat direct bij [eigenaar / functionaris
  gegevensbescherming]. Wij beoordelen dan binnen de wettelijke termijn of het een
  datalek is dat gemeld moet worden.

8. TRAINING
Elke medewerker krijgt bij indiensttreding en daarna [jaarlijks] een instructie over dit
beleid en over wat AI wel en niet kan. Wij leggen vast wie wanneer is geïnstrueerd:
[locatie van het overzicht].

9. VERBODEN EN RISICOVOLLE TOEPASSINGEN
Wij gebruiken geen AI voor toepassingen die de AI-verordening verbiedt. Wil je AI
gebruiken voor werving, selectie, beoordeling van personeel of beslissingen over
klanten, overleg dan eerst met [eigenaar].

10. NALEVING
Wie zich niet aan dit beleid houdt, wordt hierop aangesproken. Bij ernstige of
herhaalde overtredingen kunnen [maatregelen volgens ons personeelsreglement] volgen.

11. EIGENAAR EN HERZIENING
[Naam] is aanspreekpunt voor vragen, goedkeuring van tools en meldingen. Wij
herzien dit beleid minstens [een keer per jaar] en bij nieuwe tools of regels.

Ondertekening/kennisname medewerker: [naam, datum]

Een paar tips bij het invullen. Houd de toegestane-toolslijst zo kort mogelijk en voeg per tool toe wie hem beheert. Schrijf het beleid in de taal waarin je team praat, niet in juridisch Nederlands. En plak de datalek-regel (punt 7) ook op een plek waar mensen hem zien, bijvoorbeeld in je personeelsgids: een melding vooraf is veel goedkoper dan een datalek achteraf.

Welke hulp bestaat er?

• KVK: de pagina Zo maak je een duidelijk AI-beleid voor je bedrijf beschrijft de onderdelen (zonder template). Het KVK-adviesteam geeft gratis advies, werkdagen van 8.30 tot 17.00 uur.
• Autoriteit Persoonsgegevens: de pagina over AI-geletterdheid verwijst naar de documenten "Aan de slag met AI-geletterdheid" en "Verder bouwen aan AI-geletterdheid".
• Europese Commissie: de Q&A over AI-geletterdheid legt uit wie onder artikel 4 valt en dat er geen certificaat nodig is.
• Ondernemersplein: de pagina over de AI-verordening noemt onder meer de AI Act Service Desk en de Gids AI-verordening van de Rijksoverheid. Let op: de datums op die pagina lopen achter op de Digital Omnibus.

Het kabinet zegt in zijn AI-visie ook bedrijven te willen helpen bij het toepassen van de AI Act.

Veelgestelde vragen

Is een AI-beleid verplicht?

Nee. Volgens de KVK is het niet verplicht. Wel verplicht de AI Act organisaties die AI gebruiken sinds 2 februari 2025 tot maatregelen voor AI-geletterdheid van hun personeel. Een beleid met training is een praktische manier om die plicht in te vullen.

Wat moet er minimaal in een AI-beleid?

Het doel en de reikwijdte, een lijst met toegestane tools, regels over welke gegevens er wel en niet in mogen, wie resultaten controleert, wie de eigenaar is en hoe vaak je het herziet. Het template hierboven bevat die onderdelen.

Hebben we een AI-beleid nodig als we alleen ChatGPT gebruiken?

Juist dan. Het gaat om wat je medewerkers erin zetten, en volgens de AP gebeurt dat vaak zonder dat de werkgever het weet. Eén pagina met drie regels is beter dan niets.

Moet ik klanten vertellen dat ik AI gebruik?

Zet je een chatbot in, dan moeten mensen volgens de AI Act weten dat ze met AI praten, tenzij dat duidelijk is. Voor ander gebruik hangt het af van de situatie. Verwerk je persoonsgegevens met AI, dan hoort dat bij de informatie in je privacyverklaring. Twijfel je, vraag dan een jurist.

Hoe vaak moet ik mijn AI-beleid herzien?

Een vaste termijn staat niet in de wet. Plan minstens een keer per jaar een herziening en ook bij een nieuwe tool of nieuwe regelgeving.

Bronnen

• KVK: Zo maak je een duidelijk AI-beleid voor je bedrijf
• Autoriteit Persoonsgegevens: AI-geletterdheid
• Autoriteit Persoonsgegevens: Caution, use of AI chatbot may lead to data breaches (6 augustus 2024)
• Europese Commissie: AI literacy, Questions and answers
• AI Act Service Desk: artikel 4
• Ondernemersplein: AI-verordening