GidsBijgewerkt op 19 oktober 2026 / 6 minuten lezen
AI-beleid voor je bedrijf: wat de AI Act vraagt
Je team gebruikt AI al. Een kort beleid zegt welke tools mogen, welke gegevens er nooit in gaan en wie beslist.
Op deze pagina
Een AI-beleid voor je bedrijf is een kort document van een of twee pagina's: welke AI-tools je team mag gebruiken, welke gegevens er nooit in gaan, wie een nieuwe tool goedkeurt en hoe je mensen leren ermee te werken. Het hoeft geen juridisch werk te zijn. Het moet vooral gelezen worden. Wil je AI daarna ook echt laten meedraaien in je werk, dan begint dat bij AI voor bedrijven.
Waarom een AI-beleid voor je bedrijf nu al loont
In de meeste kmo's gebruikt iemand al ChatGPT, Copilot of een andere assistent. Vaak met een gratis account, op een eigen telefoon, zonder dat de zaakvoerder het weet. Een boekhoudkantoor waar een medewerker een loonfiche in een chatvenster plakt om een mail te laten schrijven. Een bouwbedrijf waar de offerte van een klant met naam en adres in een vertaaltool belandt. Niemand doet iets kwaads, maar de gegevens staan wel buiten je bedrijf.
Een beleid lost dat niet op met een verbod. Mensen gebruiken AI omdat het tijd spaart, en een verbod duwt het alleen uit het zicht. Een goed beleid zegt welke tool wel mag, met welk account, en voor welk soort werk. Dan weet je team waar de grens ligt, en weet jij welke gegevens waar staan.
Daarbovenop komt de wet. De Europese AI Act geldt in stappen sinds februari 2025. Voor de meeste kmo's is de impact kleiner dan de krantenkoppen doen vermoeden, maar een paar plichten gelden vandaag al.
Wat de AI Act van een kmo vraagt
De AI Act verdeelt de plichten over wie een AI-systeem maakt en wie het gebruikt. De zware plichten liggen bij de makers. Een kmo die ChatGPT, Copilot of een AI-functie in haar boekhoudpakket gebruikt, is gebruiker. Voor jou tellen vooral drie dingen: je ondersteunt de AI-kennis van je mensen, een chatbot op je site zegt dat hij AI is, en wie AI inzet om over mensen te beslissen, zoals bij aanwerving, krijgt strenge regels. De tijdlijn hieronder zet de data op een rij, met wat elk moment voor jou betekent.
2 februari 2025
Verboden praktijken en AI-geletterdheidSommige toepassingen zijn verboden, zoals emotieherkenning op de werkvloer. Wie AI inzet, ondersteunt de AI-kennis van zijn mensen.
Wat jij doetSchrijf op welke tools je team gebruikt en leer ze ermee werken.
2 augustus 2025
Regels voor algemene AI-modellenPlichten voor de makers van de grote taalmodellen achter de bekende chatassistenten.
Wat jij doetWeinig: die plicht ligt bij de maker. Kies wel een aanbieder met heldere voorwaarden.
2 augustus 2026
TransparantieWie met een AI-systeem praat, moet dat weten, tenzij het al duidelijk is.
Wat jij doetEen chatbot op je site zegt bij de eerste vraag dat hij AI is.
2 december 2026
Markering van gegenereerde contentSystemen die al voor augustus 2026 op de markt waren, markeren gegenereerde beelden, audio en tekst.
Wat jij doetJe beeldtool regelt de markering. Weet wel welke beelden in je marketing met AI gemaakt zijn.
2 december 20272 augustus 2026Uitgesteld door de omnibus van juli 2026
Hoog risicoStrenge eisen voor AI die mee beslist over mensen, zoals sollicitanten selecteren of kredietwaardigheid inschatten.
Wat jij doetGebruik je AI bij aanwerving of beoordeling, laat dan een jurist meekijken voor je start.
2 augustus 2028
AI in productenAI in producten met eigen veiligheidsregels, zoals machines of medische toestellen.
Wat jij doetAlleen van belang als je zulke producten maakt of verkoopt.
Nagelezen op 19 oktober 2026. Data kunnen nog verschuiven.
Wat in je AI-beleid staat
- Welke AI-tools je team mag gebruiken, en met welk account: het zakelijke, niet een eigen gratis account.
- Welke gegevens er nooit in gaan: rijksregisternummers, lonen, medische gegevens, wachtwoorden en vertrouwelijke klantdossiers.
- Welke gegevens wel mogen, en in welke vorm: zonder naam, of alleen in een tool waarvan je weet waar de data staat.
- Wie een nieuwe AI-tool goedkeurt voor iemand hem gebruikt.
- Dat een mens elk AI-resultaat naleest voor het naar een klant gaat.
- Hoe je mensen leren werken met AI, en wanneer ze een opfrissing krijgen.
- Wanneer je klanten vertelt dat ze met AI te maken hebben, zoals een chatbot op je site.
- Wie je aanspreekt bij een fout of een lek, en wat die persoon dan doet.
- Wanneer je het beleid herleest: elk halfjaar, of zodra je een nieuwe tool invoert.
AI-geletterdheid zonder diploma
Sinds 2 februari 2025 vraagt de AI Act dat bedrijven die AI inzetten de AI-kennis van hun personeel ondersteunen. Na de omnibus van juli 2026 staat in artikel 4 dat je maatregelen neemt om die kennis te ondersteunen. Een vast niveau dat iedereen moet halen, staat er niet in. Voor een kmo is dat goed nieuws: het gaat om redelijke stappen, niet om certificaten.
Wat zulke stappen zijn, hangt af van hoe je AI gebruikt. Voor een team dat vooral mails en teksten laat opstellen volstaat vaak een korte sessie: wat een taalmodel goed kan, waar het verzint, waarom je cijfers en namen nakijkt en welke gegevens er niet in mogen. Werkt iemand met AI die klantvragen beantwoordt of documenten verwerkt, dan gaat die opleiding dieper. Schrijf op wat je deed en wanneer. Dat is je bewijs als iemand ernaar vraagt.
De GDPR blijft gewoon gelden
De AI Act komt bovenop de GDPR, niet in de plaats ervan. Plak je persoonsgegevens in een AI-tool, dan verwerk je persoonsgegevens, met alles wat daarbij hoort: een reden waarom je het mag, een verwerkersovereenkomst met de aanbieder en weten waar de gegevens terechtkomen. De Gegevensbeschermingsautoriteit noemt de wisselwerking tussen de AVG en de AI Act zelf complex. Dat zegt genoeg: hier gok je niet.
Drie vragen die je bij elke tool stelt:
- Traint de aanbieder zijn modellen op wat jij invoert? Bij veel gratis versies kan dat, bij zakelijke abonnementen staat het meestal uit. Lees het na in de voorwaarden.
- Waar staan de gegevens? Binnen de Europese Unie is eenvoudiger dan erbuiten.
- Wie in je bedrijf heeft toegang? Een gedeeld account met een wachtwoord op een post-it is geen beleid.
Welke assistent je kiest, maakt hier verschil. In ChatGPT of Copilot zetten we de zakelijke versies naast elkaar.
Een beleid dat mensen ook lezen
Houd het kort. Twee pagina's met voorbeelden uit je eigen werk doen meer dan twintig pagina's juridische tekst. Schrijf "plak nooit een loonfiche in een chatvenster" in plaats van "verwerk geen bijzondere categorieën van persoonsgegevens". Laat het lezen door wie er elke dag mee werkt, en pas het aan wanneer je een nieuwe tool invoert.
Begin klein. Een beleid voor de tools die je nu gebruikt is beter dan een perfect beleid voor tools die je misschien ooit koopt. Wil je AI breder invoeren, lees dan eerst AI implementeren in je bedrijf: daar staat hoe je met een taak begint en meet wat ze oplevert.
Wat VBS hier doet
We bouwen AI-toepassingen waarbij je zelf bepaalt welke gegevens erin gaan en waar ze staan. Een assistent die vragen beantwoordt uit je eigen documenten, een stap in je werk die AI voorbereidt en een mens goedkeurt, een koppeling die mails sorteert: dat valt onder AI-automatisatie. Onze eigen marketingsoftware AMOSI draait sinds 15 juli 2026 in productie op AWS, met afgeschermde gegevens per klant. Dezelfde aanpak gebruiken we voor wat we voor jou bouwen.
AI en de regels, kort beantwoord
Heeft mijn bedrijf een AI-beleid nodig?
Ja, zodra iemand in je bedrijf AI gebruikt voor zijn werk. Een kort beleid zegt welke tools mogen, welke gegevens er nooit in gaan en wie beslist. De AI Act vraagt bovendien dat je de AI-kennis van je mensen ondersteunt.
Wat is de AI Act?
De AI Act is de Europese wet op artificiële intelligentie. Ze geldt in stappen sinds februari 2025 en legt de zwaarste plichten bij wie AI-systemen maakt. Voor een kmo die AI gebruikt, tellen vooral AI-geletterdheid, transparantie en de regels voor hoog risico.
Mag ik klantgegevens in ChatGPT zetten?
Alleen als je dat onder de GDPR mag en je weet wat de aanbieder ermee doet. Gebruik een zakelijk account, kijk of de aanbieder op je invoer traint en zet nooit gevoelige gegevens zoals rijksregisternummers of lonen in een gratis tool.
Wanneer moet ik voldoen aan de AI Act?
Een deel geldt al: verboden praktijken en AI-geletterdheid sinds 2 februari 2025, transparantie sinds 2 augustus 2026. De regels voor hoog risico volgen op 2 december 2027, voor AI in producten op 2 augustus 2028.
Wat is AI-geletterdheid?
AI-geletterdheid is de kennis om verstandig met AI te werken: weten wat een tool goed kan, waar ze fouten maakt en welke gegevens er niet in mogen. De AI Act vraagt dat je maatregelen neemt om die kennis bij je personeel te ondersteunen, zonder een vast niveau.
Moet ik melden dat mijn chatbot AI is?
Ja. Sinds 2 augustus 2026 moet wie met een AI-systeem praat dat weten, ten laatste bij de eerste interactie, tenzij het al duidelijk is. De plicht ligt bij de aanbieder van het systeem, dus vraag je bouwer hoe het geregeld is.