AI-beleid opstellen: voorbeeld en template voor je team

Een goed AI-beleid voor een mkb-team past op één A4 en beantwoordt vijf vragen: welke AI-tools mogen we gebruiken, welke gegevens gaan er nooit in, wie controleert wat we publiceren, wanneer melden we dat iets met AI is gemaakt, en hoe leren we ermee werken. Gebruik alleen zakelijke accounts, houd klantgegevens eruit en leg vast wie eindverantwoordelijk is. Daarmee vul je meteen een groot deel van de AI-geletterdheid uit de AI Act in.

Waarom een AI-beleid, ook als je met vijf mensen bent

De meeste AI-beleidsvoorbeelden die je online vindt, komen van gemeenten en advocatenkantoren. Ze zijn lang, juridisch en geschreven voor organisaties met een eigen afdeling voor compliance. Een mkb-team heeft iets anders nodig: een paar heldere afspraken die iedereen kent en die je in tien minuten uitlegt.

Want ook zonder beleid gebruikt je team AI. Iemand schrijft offertes met ChatGPT op een privéaccount, een ander plakt een klantenlijst in een gratis tool om hem op te schonen, een derde maakt een AI-foto voor Instagram die net te echt lijkt. Niemand doet iets kwaads, maar je loopt wel risico's:

• Privacy: klantgegevens in een tool zonder verwerkersovereenkomst, of op een account dat de data voor training gebruikt.
• Kwaliteit: teksten met verzonnen feiten of prijzen die niemand heeft gecontroleerd.
• Regels: sinds 2 augustus 2026 gelden transparantieplichten uit de AI Act, en je moet maatregelen nemen voor de AI-geletterdheid van je team.
• Afhankelijkheid: bedrijfskennis die in privéaccounts zit en verdwijnt als iemand vertrekt.

Een AI-beleid lost dat niet allemaal op, maar zorgt er wel voor dat iedereen dezelfde keuzes maakt. Wat de AI Act precies vraagt, lees je in AI Act voor het mkb. Dit artikel is het praktische vervolg.

De vijf onderdelen van een AI-beleid

1. Welke tools mogen, en met welk account

Leg vast welke AI-tools je team mag gebruiken, en dat dat alleen met een zakelijk account gebeurt. Het verschil is groot. Bij de persoonlijke abonnementen van ChatGPT en Claude kunnen je gesprekken worden gebruikt om modellen te trainen, tenzij je dat uitzet. Bij de zakelijke versies, zoals ChatGPT Business en Claude Team, gebeurt dat standaard niet, en heb je als beheerder overzicht over gebruikers en koppelingen. Werk je in Google Workspace of Microsoft 365, dan heb je met Gemini en Copilot Chat al een zakelijke AI-assistent binnen je bestaande omgeving. Welke tool past, lees je in ChatGPT, Claude of Gemini.

Spreek ook af wat er gebeurt met nieuwe tools. Een simpele regel werkt: eerst vragen aan het aanspreekpunt, die checkt de voorwaarden en zet hem op de lijst.

2. Welke gegevens er nooit in mogen

Dit is het belangrijkste onderdeel, en het hangt direct samen met de AVG. Jij blijft verantwoordelijk voor de persoonsgegevens van je klanten, ook als je team ze in een AI-tool zet. Een praktische lijst van wat er nooit in gaat:

• namen, e-mailadressen, telefoonnummers en adressen van klanten, tenzij de tool zakelijk is afgesloten mét verwerkersovereenkomst en het echt nodig is;
• bijzondere persoonsgegevens, zoals gezondheid, en burgerservicenummers;
• wachtwoorden, inlogcodes en API-sleutels;
• vertrouwelijke stukken van klanten of partners, zoals contracten of offertes van derden;
• financiële gegevens die niet openbaar zijn.

De vuistregel voor je team: maak het anoniem voordat je het plakt. "Klant A vraagt om korting" werkt net zo goed als de echte naam. Pas extra op met koppelingen: wie ChatGPT of een andere tool toegang geeft tot zijn mailbox of Drive, geeft veel meer prijs dan één geplakte tekst. Hoe dat zit, lees je in ChatGPT koppelen. En voor je website geldt hetzelfde principe als bij je cookiebanner: eerst nadenken over welke gegevens je verwerkt, dan pas de tool aanzetten.

3. Wie controleert wat er gepubliceerd wordt

AI-tools schrijven overtuigend, ook als het niet klopt. Spreek daarom af dat niets naar buiten gaat zonder inhoudelijke controle door een mens. Wijs per soort content aan wie dat is: de eigenaar van de website, de verkoper voor offertes, de vakspecialist voor technische of juridische teksten.

Laat de controle letten op:

• feiten, prijzen, data en beloftes;
• of de tekst klinkt als jullie bedrijf;
• of er geen klantverhalen, reviews of resultaten zijn verzonnen;
• of beelden geen bestaande personen nadoen of iets tonen wat niet klopt.

Een spellingscheck is geen controle. Die menselijke controle is ook de reden dat je de meeste marketingteksten volgens de AI Act niet als AI-tekst hoeft te labelen.

4. Wanneer je meldt dat iets met AI is gemaakt

Leg vast wanneer je het vermeldt. De wettelijke ondergrens uit de AI Act:

• een chatbot op je website zegt bij het eerste bericht dat hij een AI-assistent is;
• realistische AI-beelden, -video en -audio van bestaande personen, plekken of gebeurtenissen die echt kunnen lijken, label je zichtbaar;
• tekst over zaken van algemeen belang die niet inhoudelijk door een mens is gecontroleerd, label je ook. Met stap 3 komt dat bij jou als het goed is niet voor.

Daarnaast hebben platforms hun eigen regels, zoals het label voor AI-content bij Meta. Je kunt ook verder gaan dan de wet, bijvoorbeeld door op je website te vermelden hoe je AI gebruikt. Dat is een keuze, geen plicht. Of je AI-beelden zakelijk mag gebruiken, is een aparte vraag; die staat in AI en auteursrecht.

5. Hoe je team ermee leert werken

De AI Act vraagt je om maatregelen te nemen die de AI-geletterdheid van je team ondersteunen. Er hoort geen certificaat of examen bij. Voor een klein team is dit genoeg:

• een uitleg van een uur bij de start en voor elke nieuwe medewerker;
• een gedeelde plek met goede prompts en voorbeelden, bijvoorbeeld een gedeeld project in ChatGPT;
• een aanspreekpunt voor vragen en nieuwe tools;
• elk halfjaar een korte evaluatie: wat werkt, wat ging mis, wat moet anders.

Noteer wanneer je de uitleg hebt gegeven en aan wie. Dan kun je laten zien wat je hebt gedaan.

Template: AI-beleid op één A4

Kopieer deze opzet naar een Word-document of Google Doc en vul de rechterkolom in. Past het niet op één A4, dan is het te ingewikkeld voor je team.

Zet het beleid op een plek waar iedereen het vindt, en verwijs ernaar in je onboarding. Het idee is hetzelfde als bij een marketingplan op 1 A4: liever één pagina die iedereen gebruikt dan een document dat in een la verdwijnt.

Voorbeeld: zo vult een webshop het in

Een verzonnen voorbeeld, om te laten zien hoe concreet het mag zijn. Stel: een webshop in woonaccessoires met vijf medewerkers.

• Doel: AI gebruiken we voor productteksten, nieuwsbrieven, social posts en antwoorden op klantvragen. Niet voor beslissingen over klanten of personeel.
• Tools: ChatGPT Business voor iedereen. Canva voor beeld. Geen andere tools zonder overleg met Sanne.
• Gegevens: nooit namen, adressen, ordernummers of betaalgegevens van klanten in een AI-tool. Klantvragen eerst anoniem maken. Geen koppeling met de klantenservice-inbox.
• Controle: productteksten controleert de inkoper op maten, materialen en prijzen. Nieuwsbrieven en posts leest Sanne voor publicatie.
• Labelen: onze chatbot zegt in het eerste bericht dat hij een AI-assistent is. Productfoto's zijn echte foto's; AI-sfeerbeelden met een herkenbaar product of interieur dat echt lijkt, krijgen een label.
• Leren: elke nieuwe collega krijgt een uur uitleg van Sanne. Goede prompts staan in het gedeelde project 'Teksten'.
• Verantwoordelijk: Sanne, eigenaar. Evaluatie elk halfjaar, volgende in april.

Meer is voor een team van deze omvang niet nodig.

Zo voer je het in zonder dat het een la-document wordt

1. Vul de template in met je team erbij. Vraag eerst welke tools ze nu al gebruiken. Dan weet je waar je echt afspraken over moet maken, en voelt het niet als een verbod van bovenaf.
2. Regel de accounts tegelijk. Een beleid dat zakelijke accounts voorschrijft terwijl die er nog niet zijn, wordt genegeerd.
3. Geef de uitleg van een uur met echte voorbeelden uit jullie werk: een goede prompt, een AI-tekst met een fout erin, een klantvraag die je anoniem maakt.
4. Maak het makkelijk om het goed te doen. Een gedeeld project met je bedrijfsprofiel en goede prompts helpt meer dan regels. Hoe je zo'n profiel opzet, lees je in ChatGPT voor ondernemers.
5. Evalueer elk halfjaar en werk de datum bij.

Veelgemaakte fouten

• Alles verbieden. Dan gebruikt je team stiekem privéaccounts en heb je nergens zicht op.
• Alleen regels, geen tools. Zorg dat het zakelijke account er is voordat je persoonlijke accounts verbiedt.
• Te algemeen. "Ga zorgvuldig om met gegevens" zegt niemand iets. "Nooit namen of e-mailadressen van klanten" wel.
• Geen eigenaar. Zonder aanspreekpunt wordt het beleid nooit bijgewerkt.
• De chatbot vergeten. Een AI-chatbot op je website valt ook onder je beleid; wat daarbij komt kijken, lees je in AI-chatbot op je website.

Conclusie: vijf afspraken, één A4

Een AI-beleid voor een mkb-team hoeft geen juridisch document te zijn. Spreek af welke tools je met welk account gebruikt, welke gegevens er nooit in gaan, wie controleert wat je publiceert, wanneer je meldt dat iets met AI is gemaakt en hoe je team ermee leert werken. Zet het op één A4, leg het uit en werk het elk halfjaar bij.

Daarmee voorkom je de meeste risico's en vul je een groot deel van de AI-geletterdheid uit de AI Act in. Wat de wet zelf vraagt, lees je in AI Act voor het mkb. Laat het beleid bij twijfel door een jurist meelezen, zeker als je met gevoelige gegevens werkt. Wil je zien hoe ik strategie en uitvoering combineer? Download het pitchdeck.