Waarom een AI-gebruiksbeleid?

Zodra medewerkers AI-tools gebruiken, maken ze steeds keuzes: welke tool, welke informatie, wat controleer ik? Zonder afspraken maakt iedereen die keuze zelf. Een beleid geeft duidelijkheid, verkleint de kans op een datalek en laat zien dat je organisatie werk maakt van AI-geletterdheid, zoals artikel 4 van de AI Act vraagt.

Zo gebruik je dit sjabloon

  • Vervang alles tussen [vierkante haken] door de gegevens van je organisatie.
  • Schrap wat niet op jullie van toepassing is. Korter is beter.
  • Laat het beleid lezen door iemand die verstand heeft van privacy in je organisatie, of door je adviseur.
  • Bespreek het met je team en leg vast wanneer je het hebt gedeeld.

Het sjabloon

AI-gebruiksbeleid [naam organisatie]

Versie [1.0], vastgesteld op [datum] door [naam/functie].

1. Doel

Dit beleid beschrijft hoe medewerkers van [naam organisatie] AI-tools gebruiken in hun werk. Het doel is dat we de voordelen van AI benutten, zonder dat we de privacy van klanten en collega's, vertrouwelijke informatie of de kwaliteit van ons werk in gevaar brengen.

2. Voor wie

Dit beleid geldt voor alle medewerkers, stagiairs, uitzendkrachten en freelancers die voor [naam organisatie] werken en daarbij AI-tools gebruiken.

3. Toegestane tools

We gebruiken alleen deze AI-tools voor ons werk: [bijvoorbeeld: ChatGPT Business, Microsoft 365 Copilot met je werkaccount], met deze instellingen: [bijvoorbeeld: gebruik voor training uitgeschakeld]. Privé-accounts, ook als je er zelf voor betaalt, gebruiken we niet voor werk. Wil je een andere tool gebruiken, of heb je een vraag over een tool? Vraag het eerst aan je leidinggevende [of: naam/functie].

4. Wat je nooit invoert

In een chatbot of een andere algemene AI-tool, ook een zakelijke versie, voer je nooit in:

  • Persoonsgegevens van klanten, sollicitanten of collega's, ook geen losse naam, klant- of personeelsnummer, adres, of gegevens over gezondheid of salaris
  • Wachtwoorden, toegangscodes en sleutels
  • Vertrouwelijke contracten, offertes van leveranciers en juridische stukken
  • Niet-openbare financiële informatie
  • [Overige vertrouwelijke informatie die specifiek is voor jullie]

Alleen deze AI-functies in software die we al voor die gegevens gebruiken, zijn goedgekeurd: [de assistent in ons mailprogramma, AI in ons CRM- of boekhoudpakket]. Die mogen ermee werken, maar alleen zo: [afspraak per functie]. Een nieuwe AI-functie in bestaande software gebruiken we pas als [naam/functie] die heeft goedgekeurd.

Interne documenten zonder persoonsgegevens, goed geanonimiseerde vragen en concepten die nog niet naar buiten mogen, zet je alleen in [goedgekeurde tool], en alleen voor [taken].

Twijfel je? Dan voer je het niet in, of je maakt de vraag eerst algemeen.

5. Controleren voor gebruik

AI maakt fouten, ook als het antwoord overtuigend klinkt. Je controleert feiten, cijfers, namen en bronnen voordat je iets gebruikt of verstuurt. Jij blijft verantwoordelijk voor wat je met AI-output doet.

6. Transparantie

We zijn eerlijk over AI-gebruik. Als een klant direct met een AI-systeem communiceert, bijvoorbeeld een chatbot op onze website, laten we dat weten. Beelden, audio of video die met AI zijn gemaakt en echt lijken, maken we als zodanig herkenbaar. We laten nooit een door AI gemaakte persoon optreden als klant. Publiceren we een AI-tekst om het publiek te informeren over zaken van algemeen belang, dan vermelden we dat, tenzij een medewerker de inhoud en de feiten echt heeft gecontroleerd en wij er redactioneel verantwoordelijk voor zijn.

7. Auteursrecht

We publiceren geen AI-output die mogelijk inbreuk maakt op het werk van anderen, zoals teksten of beelden die sterk lijken op bestaand werk of die merknamen en logo's van anderen bevatten. We zetten alleen materiaal in een AI-tool dat van ons is, of waarvan we zeker weten dat het mag.

8. Wat we niet doen

We gebruiken AI niet voor toepassingen die de AI Act verbiedt, zoals het herkennen van emoties van medewerkers op het werk. Toepassingen met gevolgen voor mensen, zoals het beoordelen van sollicitanten, zetten we pas in na overleg met [naam/functie].

9. Training

Iedere medewerker die AI-tools gebruikt, volgt een training AI-geletterdheid bij de start en daarna elk jaar de bijgewerkte versie. We houden bij wie welke training heeft gevolgd.

10. Iets misgegaan?

Heb je per ongeluk vertrouwelijke informatie of persoonsgegevens in een AI-tool gezet? Meld het direct bij de privacycontactpersoon: [naam, telefoon, e-mail]. Weet je niet wie dat is, meld het dan bij je leidinggevende. Dan kunnen we beoordelen of het een datalek is dat we binnen 72 uur bij de Autoriteit Persoonsgegevens moeten melden.

11. Evaluatie

[Naam/functie] is eigenaar van dit beleid en bekijkt het minstens één keer per jaar, of eerder als we nieuwe tools gaan gebruiken of als de regels veranderen.

Tips bij het invullen

Houd het concreet. "Wees voorzichtig met gevoelige informatie" werkt niet. "Geen namen, adressen of ordernummers van klanten" wel.

Noem de tools bij naam. Medewerkers moeten precies weten welke tools wel mogen. Een lijst van twee of drie tools is duidelijker dan een algemene omschrijving.

Kijk naar ingebouwde AI. Veel software heeft inmiddels AI-functies: je mailprogramma, je CRM, je boekhoudpakket. Bepaal per functie wat die met persoonsgegevens mag, en zet dat in punt 4.

Regel de melding. Een vergissing is snel gemaakt. Zorg dat mensen weten bij wie ze terechtkunnen, zodat het niet stil blijft.

Leg vast wanneer je het hebt gedeeld. Samen met een overzicht van wie welke training heeft gevolgd, vormt dit beleid de kern van je dossier AI-geletterdheid.

Wil je zien hoe de training er voor medewerkers uitziet? Probeer de voorbeeldles over veilig werken met AI-chatbots.

Deze informatie is met zorg samengesteld, maar is geen juridisch advies.