AI-beleid ontwikkelen voor bedrijven: stappenplan (2026)
Een AI-beleid dat na de kick-off in een lade verdwijnt, is geen beleid — het is een intentieverklaring. Sinds februari 2025 verplicht de EU AI Act organisaties om medewerkers AI-geletterd te maken, en toezichthouders verwachten dat u kunt aantonen wie welke AI-tool gebruikt en waarom. Wie dat nu niet op orde heeft, loopt risico op boetes die kunnen oplopen tot miljoenen euro's, en op reputatieschade zodra een AI-fout naar buiten komt.
Dit artikel is in 2026 volledig herzien: met de actuele stand van de EU AI Act, de AI-geletterdheidsplicht en de aanpak die wij bij tientallen Nederlandse organisaties hebben zien werken.
Wat is AI-beleid?
AI-beleid is het geheel van afspraken, richtlijnen en verantwoordelijkheden dat vastlegt hoe uw organisatie kunstmatige intelligentie gebruikt, beheert en controleert. Het beschrijft niet alleen welke AI-tools zijn toegestaan, maar ook wie erover beslist, welke data wel en niet in een AI-systeem mag, en hoe u foutief of bevooroordeeld AI-gebruik voorkomt.
Voor uw organisatie betekent dit concreet: een medewerker die twijfelt of hij klantgegevens in ChatGPT mag plakken, moet het antwoord kunnen vinden zonder een e-mail te sturen naar de juridische afdeling. Zonder dat naslagwerk bepaalt elke medewerker zijn eigen grens, en dat gaat vroeg of laat mis.
Een AI-beleid is geen document over technologie. Het is een document over verantwoordelijkheid.
Waarom AI-beleid in 2026 geen kans meer is, maar een verplichting
Toen dit artikel voor het eerst verscheen, was een AI-beleid vooral een concurrentievoordeel. Dat is veranderd. Drie ontwikkelingen maken een AI-beleid nu een randvoorwaarde in plaats van een keuze.
De EU AI Act is van kracht
Sinds 2 februari 2025 geldt de verplichting tot AI-geletterdheid voor organisaties die AI-systemen gebruiken of aanbieden. Vanaf augustus 2026 volgen aanvullende verplichtingen voor high-risk AI-systemen. Organisaties die nu geen beleid en trainingsprogramma hebben, starten die verplichte inhaalslag onder tijdsdruk. Lees meer over wat de EU AI Act precies van uw organisatie vraagt.
Schaduw-AI is de norm geworden
Uit onze eigen trainingspraktijk blijkt dat in vrijwel elke organisatie zonder beleid medewerkers al maandenlang op eigen initiatief met ChatGPT, Copilot of Gemini werken, vaak met bedrijfsgevoelige informatie. Zonder beleid weet u niet welke data waar terechtkomt.
Klanten en toezichthouders vragen ernaar
Aanbestedingen, audits en klantcontracten bevatten steeds vaker een vraag naar uw AI-governance. Geen antwoord hebben, is inmiddels een concurrentienadeel op zichzelf.
De acht bouwstenen van een goed AI-beleid
Een AI-beleid dat standhoudt, dekt acht gebieden. Dit is ook de basis van het AIP Duurzame AI Kompas, het raamwerk dat wij gebruiken bij implementatietrajecten.
- Governance en verantwoordelijkheid: wie beslist over nieuwe AI-tools, en wie is aanspreekbaar als het misgaat?
- Datakwaliteit en privacy: welke data mag een medewerker wel en niet in een AI-systeem invoeren?
- Transparantie en uitlegbaarheid: kunnen medewerkers en klanten begrijpen hoe een AI-beslissing tot stand kwam?
- Ethiek en non-discriminatie: hoe voorkomt u dat een AI-systeem bestaande ongelijkheid versterkt?
- Veiligheid en robuustheid: wat is het protocol als een AI-tool een fout, datalek of hallucinatie veroorzaakt?
Deze vijf bouwstenen vormen het fundament. De resterende drie (training, monitoring en externe samenwerking) komen terug in het stappenplan hieronder.
Hoe kan ik meer leren over AI?
Stappenplan: zo stelt u een AI-beleid op
Stap 1: behoefteanalyse en schaduw-AI in kaart brengen
Breng eerst in kaart waar AI in uw organisatie al wordt gebruikt, formeel en informeel. Een korte enquête onder teams levert vaak al een verrassend beeld op van hoeveel AI-tools medewerkers al gebruiken zonder dat IT of management dit weet.
Stap 2: stakeholders betrekken
Betrek IT, HR, juridische zaken en het management vanaf het begin. Een beleid dat alleen door IT wordt opgesteld, mist het ethische en juridische perspectief; een beleid dat alleen door juristen wordt geschreven, is vaak onwerkbaar op de werkvloer.
Stap 3: data-inventarisatie
Bepaal welke databronnen gevoelig zijn en welke AI-toepassingen toegang tot die data zouden krijgen. Dit is het moment om vast te leggen welke data nooit in een publieke AI-tool terecht mag komen.
Stap 4: de juiste AI-technologie kiezen
Onderzoek welke tools aansluiten bij uw behoeften en bij uw risicoprofiel. Overweeg hierbij ook Europese alternatieven zoals Le Chat, vooral als datasoevereiniteit een rol speelt.
Stap 5: het beleid opstellen
Formuleer heldere, uitvoerbare richtlijnen: geen juridisch document van veertig pagina's, maar een naslagwerk dat een medewerker in vijf minuten kan doorlezen en toepassen.
Stap 6: training en opleiding
Een beleid zonder training is een set regels die niemand kent. Medewerkers moeten niet alleen weten wat wel en niet mag, maar ook hoe ze AI effectief en verantwoord gebruiken binnen die grenzen.
Stap 7: implementatie en pilot
Start met een pilotgroep voordat u breed uitrolt. Zo ontdekt u knelpunten in het beleid voordat de hele organisatie ermee werkt.
Stap 8: monitoring, feedback en actualisatie
AI-wetgeving en -technologie veranderen snel. Plan minimaal twee keer per jaar een herziening van het beleid, en bouw een feedbackloop in waarmee medewerkers knelpunten kunnen melden.
Wat wij in de praktijk zien
Inzicht 1: beleid zonder eigenaar verdampt binnen een kwartaal
Organisaties die een AI-beleid opstellen zonder een verantwoordelijke persoon of team aan te wijzen, zien het beleid binnen een kwartaal in onbruik raken. Nieuwe medewerkers krijgen het nooit te zien, en niemand actualiseert het wanneer er een nieuwe AI-tool op de markt komt. Wijs daarom altijd een eigenaar aan, vaak een combinatie van IT en HR, die het beleid actief onderhoudt.
Inzicht 2: medewerkers omzeilen verboden, ze vragen er niet om uitzonderingen
Wanneer een AI-tool wordt verboden zonder alternatief te bieden, gebruiken medewerkers de tool alsnog, op hun privételefoon, met hun privéaccount. Een verbod zonder werkbaar alternatief lost het risico dus niet op, het verplaatst het buiten uw zicht. Effectieve beleidslijnen bieden daarom altijd een goedgekeurd alternatief naast elke beperking.
Inzicht 3: het management onderschat hoeveel t raining een beleid nodig heeft
De meeste organisaties denken dat een presentatie van een uur voldoende is om een AI-beleid te laten landen. In onze trainingen zien we dat medewerkers de regels pas echt toepassen nadat ze de tool zelf onder begeleiding hebben gebruikt op hun eigen taken. Beleid dat alleen op papier wordt gecommuniceerd, verandert geen gedrag.
Hoe wij dit aanpakken
Bij AI Personeelstraining beginnen we niet met een kant-en-klare beleidsmal, maar met een intake waarin we in kaart brengen welke AI-tools al in gebruik zijn, welke data-risico's uw organisatie loopt en welke wettelijke verplichtingen voor uw sector gelden. Op basis daarvan stellen we samen met uw team een beleid op dat aansluit bij het AIP Duurzame AI Kompas: de vier assen organisatie, maatschappij, technologie en mens.
Na de intake volgt een praktijkdag waarin medewerkers het beleid direct toepassen op hun eigen werkzaamheden, niet met fictieve voorbeelden, maar met hun eigen documenten en taken. Drie weken later volgt een follow-up om te meten wat daadwerkelijk is veranderd in het dagelijkse AI-gebruik. Organisaties die dit traject doorlopen, rapporteren dat medewerkers na afloop zelfstandig kunnen beoordelen of een AI-toepassing binnen het beleid past, zonder dat elke vraag escaleert naar IT of juridische zaken.
Tot slot
Een AI-beleid is geen formaliteit voor de archiefkast, maar het verschil tussen gecontroleerd en ongecontroleerd AI-gebruik in uw organisatie. Wie de acht bouwstenen en het stappenplan hierboven volgt, voorkomt niet alleen boetes en datalekken, maar zorgt ook dat medewerkers AI durven en kunnen gebruiken binnen duidelijke grenzen. Neem contact met ons op voor een vrijblijvend gesprek over uw AI-beleid.
Wat moet er in een AI-beleid staan?
Een AI-beleid beschrijft welke AI-tools medewerkers wel en niet mogen gebruiken, wie verantwoordelijk is voor goedkeuring en controle, hoe met data en privacy wordt omgegaan, en welke stappen medewerkers volgen bij twijfel over toegestaan gebruik. Ook een proces voor training, monitoring en periodieke actualisatie hoort erbij.
Is een AI-beleid wettelijk verplicht?
Een apart AI-beleid als document is niet als zodanig verplicht, maar de EU AI Act verplicht organisaties sinds februari 2025 wel om medewerkers die met AI werken voldoende AI-geletterdheid bij te brengen. Een AI-beleid is in de praktijk de meest werkbare manier om aan die verplichting te voldoen en aantoonbaar te maken.
Hoe lang duurt het om een AI-beleid op te stellen?
Een eerste versie van een werkbaar AI-beleid staat bij de meeste organisaties binnen twee tot vier weken, mits de juiste mensen vanaf het begin betrokken zijn. Een grondige uitrol met training en een pilotgroep duurt doorgaans zes tot tien weken.
Wat is het verschil tussen AI-beleid en AI-governance?
AI-beleid is het concrete document met regels en richtlijnen voor het dagelijks gebruik van AI door medewerkers. AI-governance is het bredere geheel van structuren, rollen en besluitvormingsprocessen waarbinnen dat beleid tot stand komt en wordt gehandhaafd, inclusief toezicht op naleving van wetgeving zoals de EU AI Act.
Wie is verantwoordelijk voor het AI-beleid binnen een bedrijf?
In de praktijk werkt een gedeelde verantwoordelijkheid het beste: IT en HR stellen samen het beleid op en onderhouden het, terwijl de directie eindverantwoordelijk blijft voor de naleving. Wijs altijd één concrete eigenaar aan, anders verdwijnt het beleid binnen een kwartaal uit beeld.
Training in digitalisering en AI
Een training op maat voor medewerkers van gemeenten, provincies en overheden, waarbij de focus ligt op digitalisering en Artificial Intelligence. Ook aspecten als ethiek en voor- en nadelen worden uitvoerig behandeld.
