AI-afspraken met medewerkers: een voorbeeld op één A4

Een goed AI-beleid voor een mkb-bedrijf past op één A4 en beantwoordt vier vragen: welke tools mogen, welke gegevens er wel en niet in mogen, wie beslist, en wat je doet als het misgaat. De Autoriteit Persoonsgegevens raadt zulke afspraken aan, en ze helpen je ook aan de plicht tot AI-geletterdheid uit de AI-verordening te voldoen. Hieronder staat een voorbeeld dat je kunt kopiëren en aanpassen.

Bijgewerkt op 5 minuten lezen

Regels en privacy

Waarom op papier.

Je medewerkers gebruiken AI al. De vraag is alleen of ze weten wat wel en niet mag.

Drie op de tien ondernemers gebruiken tools als ChatGPT of Microsoft Copilot, in de zakelijke dienstverlening bijna de helft3. Werknemers doen dat vaak op eigen initiatief, waarschuwde de Autoriteit Persoonsgegevens, die werkgevers aanraadt duidelijke afspraken te maken over welke gegevens wel en niet in een chatbot mogen12.

Dezelfde afspraken helpen bij de AI-verordening. Die vraagt van bedrijven die AI gebruiken maatregelen om de AI-geletterdheid van hun mensen te ondersteunen5. Een certificaat is niet nodig; het is genoeg om intern vast te leggen wat je hebt gedaan4.

Het voorbeeld.

Kopieer, vul de haakjes in en schrap wat niet past. Het is een startpunt, geen juridisch advies.

Voorbeeld AI-beleid
AI-afspraken [bedrijfsnaam]                       versie [datum]

1. Welke AI we gebruiken
   Toegestaan: [zakelijke dienst(en), bijvoorbeeld ChatGPT Business of Copilot]
   Niet toegestaan voor werk: gratis of persoonlijke accounts.
   Een nieuwe AI-tool? Eerst vragen aan [naam].

2. Wat er wel en niet in mag
   Wel: eigen teksten, openbare informatie, geanonimiseerde voorbeelden.
   Alleen in de toegestane dienst: klantmails, offertes, interne documenten.
   Nooit: BSN, medische gegevens, wachtwoorden, betaalgegevens,
   gegevens van sollicitanten.

3. Wat AI wel en niet beslist
   AI maakt concepten en voorstellen. Een mens controleert en beslist.
   Niets gaat naar een klant zonder dat iemand het gelezen heeft.
   Geen AI bij beslissingen over sollicitanten of medewerkers.

4. Eerlijk zijn
   Praat een klant met een chatbot of AI-assistent, dan zeggen we dat.
   Cijfers, prijzen en juridische uitspraken uit AI controleren we
   altijd in de bron.

5. Als het misgaat
   Persoonsgegevens in de verkeerde tool gezet? Meld het meteen aan
   [naam]. We hebben 72 uur om een datalek te beoordelen en te melden.
   Melden is nooit fout; verzwijgen wel.

6. Leren
   Iedereen krijgt een korte uitleg over deze afspraken.
   Wie AI gebruikt voor klantwerk, krijgt [training/instructie].
   We kijken elk half jaar of deze afspraken nog kloppen.

Waarom deze onderdelen: punt 1 en 2 voorkomen de datalekken waar de AP voor waarschuwt2; punt 3 houdt beslissingen bij mensen; punt 4 sluit aan op de transparantieregels van de AI-verordening; punt 5 zorgt dat je binnen 72 uur kunt handelen bij een lek; punt 6 is je AI-geletterdheid.

Zo voer je het in.

  1. Vraag eerst wat mensen al gebruiken. Zonder oordeel. Je hoort welke tools populair zijn en waarvoor, en vaak ook goede ideeën.
  2. Kies een zakelijke tool en regel het contract. Met een verwerkersovereenkomst en zonder training op je data. Zonder goed alternatief blijven mensen persoonlijke accounts gebruiken.
  3. Bespreek het in een teamoverleg. Twintig minuten met voorbeelden uit jullie eigen werk werkt beter dan een pdf in de mail.
  4. Leg vast wie wat heeft gehad. Een simpel lijstje volstaat als bewijs van je maatregelen voor AI-geletterdheid.
  5. Kijk elk half jaar opnieuw. Tools, regels en gewoontes veranderen snel. Pas aan wat niet meer klopt.
Valkuil

Een verbod zonder alternatief

Wie AI verbiedt maar niets aanbiedt, krijgt schaduwgebruik op privételefoons. Dat is het slechtste van twee werelden.

Valkuil

Te lang en te juridisch

Een beleid van tien pagina’s leest niemand. Eén A4 met voorbeelden wordt onthouden.

Valkuil

Geen aanspreekpunt

Zonder naam bij “meld het aan” wordt een fout niet gemeld, of te laat.

Valkuil

Melden bestraffen

Wie na een melding op zijn kop krijgt, meldt de volgende keer niet. Maak melden veilig.

Sommige afspraken kun je ook technisch afdwingen, bijvoorbeeld door gevoelige gegevens automatisch te laten zwartlakken. Wat software daarin kan, lees je in klantgegevens in ChatGPT.

Veelgestelde vragen

Moet ik een AI-beleid hebben?

Er is geen wet die een document met die naam verplicht. Maar de AVG vraagt dat je persoonsgegevens beschermt, de AI-verordening vraagt maatregelen voor AI-geletterdheid, en de AP raadt afspraken met medewerkers aan. Een kort beleid is de eenvoudigste manier om aan alle drie te werken.

Wat zet ik in een AI-beleid?

Welke AI-tools zijn toegestaan, welke gegevens er wel en niet in mogen, dat een mens controleert en beslist, dat je zegt wanneer klanten met AI praten, wat medewerkers doen als het misgaat, en hoe je het beleid bijhoudt.

Moet ik medewerkers trainen in AI?

De AI-verordening vraagt maatregelen die de AI-geletterdheid van je medewerkers ondersteunen. Een certificaat is niet nodig. Een korte uitleg van de afspraken voor iedereen, en meer voor wie AI gebruikt in klantwerk, is een goed begin; leg vast wat je hebt gedaan.

Mag ik medewerkers verbieden ChatGPT te gebruiken?

Ja, je mag als werkgever bepalen welke software voor het werk gebruikt wordt. Een totaalverbod werkt in de praktijk vaak slecht: medewerkers gebruiken het dan stiekem op hun telefoon. Beter is een goede zakelijke tool aanbieden en duidelijke afspraken maken.

Bronnen

  1. NOS, Privacywaakhond: pas op met gebruik AI-chatbots, ging mis bij huisarts (7 augustus 2024): AP adviseert duidelijke afspraken met medewerkers: nos.nl/l/2532234
  2. Accountant.nl, AP slaat alarm over datalekken door AI (30 december 2025): vastleggen welke gegevens wel en niet in AI mogen, training en richtlijnen: www.accountant.nl/nieuws/2025/12/ap-slaat-alarm-over-datalekken-door-ai/
  3. KVK, KVK-onderzoek: ondernemers zetten nauwelijks stappen rond Europese AI-wetgeving (11 september 2025): drie op de tien ondernemers gebruiken tools als ChatGPT of Copilot: www.kvk.nl/pers/kvk-onderzoek-ondernemers-zetten-nauwelijks-stappen-rond-europese-ai-wetgeving/
  4. Europese Commissie, AI Literacy: Questions & Answers: digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers
  5. Gibson Dunn, EU AI Act Omnibus Agreement: postponed high-risk deadlines and other key changes (mei 2026): www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/

Lees verder

Klantgegevens in ChatGPT?In een gratis of persoonlijk account: nee. In een zakelijke AI-dienst met verwerkersovereenkomst, zonder training op je data en met minimale gegevens: ja.Lees meerAI-verordening voor het mkbAls mkb gebruik je AI meestal als gebruiker, niet als maker. Dan moet je nu vooral zorgen voor AI-geletterdheid en zeggen wanneer klanten met AI praten.Lees meerVerwerkersovereenkomstVerwerkt een partij persoonsgegevens in jouw opdracht, zoals een AI-dienst of cloudsoftware, dan is een verwerkersovereenkomst verplicht. Met checklist.Lees meerChatGPT of AI-collega’s?ChatGPT is sterk voor losse schrijfklussen. Moet AI in je systemen werken, met rechten per rol en een akkoord, dan heb je meer nodig. Een eerlijke vergelijking.Lees meer

Zie wat AI voor
jouw bedrijf doet.

In een demo van 15 of 45 minuten laten we Traze zien met jullie eigen voorbeelden: welke collega's, welke taken, hoeveel uur.

Scan je website