AI-beleid opstellen voor je bedrijf, met gratis sjabloon

In deze gids zet je in vijf stappen een AI-beleid voor je bedrijf op papier: welke tools mogen, welke gegevens er nooit in gaan, wie de uitkomst controleert en wie waarvoor aanspreekbaar is. Voor ondernemers met een team van een paar tot een paar honderd mensen die merken dat er al volop met AI gewerkt wordt, zonder dat er iets is afgesproken. Na een middag heb je een concept van twee pagina’s. Na een week heeft je team het gelezen en getekend.

Update 12 november 2026 De kern van het beleid staat nu in de pagina, klaar om te kopiëren. Er zijn stukken bijgekomen over vermelden dat iets met AI is gemaakt en over wat je niet met AI doet. Elke stap heeft een “Gelukt als” en onderaan staat een checklist. Wat er is veranderd lees je onderaan.

Wat heb je nodig

• Het sjabloon: kopieer het blok hieronder of download het Word-sjabloon (.docx) met invulvelden, voorbeeldzinnen en een tekenlijst. Het werkt in Word, Pages en LibreOffice.
• Een lijstje van de AI-tools die jullie nu gebruiken, ook van de stille gebruikers
• Eén aanspreekpunt, bij kleine bedrijven vaak de eigenaar
• Twee uur voor het eerste concept en een half uur teamoverleg

Het beleid in het kort, om te kopiëren

Wil je geen bestand downloaden, kopieer dan dit blok naar een document en vul de velden tussen haken in. Het is de kern van het Word-sjabloon. De stappen hieronder leggen per onderdeel uit wat je invult.

AI-beleid [naam van je bedrijf]
Vastgesteld op [datum]. Eigenaar: [naam]. Volgende herziening: [datum].
Geldt voor: medewerkers, stagiairs, uitzendkrachten en ingehuurde zzp'ers die namens ons werken.

1. Welke tools mogen
Alleen deze tools gebruik je voor werk:
- [tool en account], voor [waarvoor], klantgegevens: [ja / nee / alleen ...]
- [tool en account], voor [waarvoor], klantgegevens: [ja / nee / alleen ...]
Een nieuwe tool vraag je aan bij [naam]. Je hoort binnen [vijf werkdagen] of het mag.
Niet voor werk: privéaccounts van AI-tools en [bijvoorbeeld: apps die gesprekken opnemen].

2. Welke gegevens er nooit in gaan
Groen (mag in alle tools hierboven): openbare informatie, eigen teksten zonder namen.
Oranje (alleen met zakelijk account en verwerkersovereenkomst): naam en bedrijf van een klant, interne cijfers zonder namen.
Rood (nooit, tenzij [naam] vooraf schriftelijk toestemming geeft): BSN, medische gegevens, salarissen, sollicitatiebrieven, wachtwoorden, contracten.
Twijfel je, behandel het als rood.

3. Wie controleert
Wie AI gebruikt, blijft verantwoordelijk voor het resultaat. Alles wat naar buiten gaat lees je zelf na. Cijfers, namen, data en wetsverwijzingen controleer je tegen de bron.
Een tweede persoon kijkt mee bij: [bijvoorbeeld: offertes boven 10.000 euro].

4. Eerlijk over AI
Vraagt een klant of we AI gebruiken, dan zeggen we eerlijk ja of nee. Een chatbot of AI-stem maakt duidelijk dat het AI is. Echt lijkende AI-beelden van mensen, plekken of gebeurtenissen markeren we als AI-beeld.

5. Wat we niet met AI doen
AI beslist niet over mensen: niet over sollicitanten, beoordelingen of ontslag. We maken geen AI-beelden of AI-stemmen van echte personen zonder hun toestemming. [Voeg toe wat bij jullie past.]

6. Aanspreekpunt en melden
AI-aanspreekpunt: [naam]. Privacy en datalekken: [naam].
Iets misgegaan? Meld het dezelfde dag bij [naam]. Melden levert geen straf op.

Stap 1: Breng in kaart wat er al gebeurt

Een AI-beleid?AI-beleidDe afspraken die je binnen je bedrijf vastlegt over hoe medewerkers AI gebruiken: welke tools mogen wel en niet, wat je wel en niet in een chatbot mag typen, en wie waarvoor verantwoordelijk is.Hele uitleg: AI-beleidSluiten is een set afspraken over hoe je bedrijf AI gebruikt. Sommige bedrijven noemen het een AI-richtlijn of AI-protocol. Je kunt geen afspraken maken over tools die je niet kent. Vraag daarom eerst rond, zonder oordeel: welke AI gebruik je, waarvoor en met welk account? Een gratis privéaccount van ChatGPT is iets anders dan Copilot in jullie zakelijke Microsoft-omgeving.

Hoe je dat in een week doet zonder dat het als controle voelt, staat in Schaduw-AI opsporen. Zet wat je vindt in een overzicht met per tool een eigenaar. Dat is je AI-register: AI-register bijhouden legt uit hoe.

Gelukt als: je een lijst hebt met elke tool, het account (privé of zakelijk) en wie hem gebruikt.

Stap 2: Kies welke tools mogen

Vul per tool vier dingen in: het account, het doel, mogen er klantgegevens in en wie is het aanspreekpunt. Let op twee dingen. Eén: gebruikt de aanbieder je invoer om zijn model te trainen? Bij ChatGPT Free, Plus en Pro staat dat standaard aan. Je kunt het uitzetten met de instelling “Improve the model for everyone” (OpenAI). Twee: krijg je een verwerkersovereenkomst?VerwerkersovereenkomstEen verplicht contract tussen jou (verwerkingsverantwoordelijke) en een leverancier die persoonsgegevens namens jou verwerkt, zoals een AI-tool.Hele uitleg: VerwerkersovereenkomstSluiten, het contract waarin de aanbieder belooft zorgvuldig met persoonsgegevens om te gaan (Autoriteit Persoonsgegevens)? Die krijg je meestal alleen bij een zakelijk abonnement.

Leg ook vast hoe iemand een nieuwe tool aanvraagt. Het sjabloon stelt voor: een bericht aan het aanspreekpunt en antwoord binnen vijf werkdagen. Een snelle route voorkomt dat mensen het stiekem proberen.

Gelukt als: elke tool uit stap 1 in de tabel staat of bewust is geschrapt. De aanvraagroute staat op papier.

Stap 3: Trek een grens rond gegevens

Dit is de belangrijkste stap, want hier zit het AVG?AVG (privacywet)De Algemene verordening gegevensbescherming: de Europese privacywet die sinds 2018 geldt en bepaalt wat organisaties met jouw persoonsgegevens mogen doen.Hele uitleg: AVG (privacywet)Sluiten-risico. Het sjabloon gebruikt een stoplicht:

Kleur	Wat valt eronder	Wat doe je
Groen	Openbare informatie, eigen teksten zonder namen, algemene vragen	Mag in alle goedgekeurde tools
Oranje	Naam en bedrijf van een klant, projectomschrijving, interne cijfers zonder namen	Alleen met een zakelijk account en verwerkersovereenkomst
Rood	BSN, medische gegevens, salarissen, sollicitatiebrieven, wachtwoorden, klantcontracten	Nooit, tenzij het aanspreekpunt vooraf schriftelijk toestemming geeft

Pas de voorbeelden aan op je branche. Een fysiotherapeut heeft meer rood dan een webshop in tuinmeubelen. Het Word-sjabloon heeft drie controlevragen die iemand zich stelt voordat hij iets plakt.

Gelukt als: iedereen in het team bij een willekeurig voorbeeld (een offerte, een cv, een klantmail) dezelfde kleur kiest.

Stap 4: Regel controle, vermelden en wat niet mag

Controle. Wie AI gebruikt, blijft verantwoordelijk voor het resultaat. Alles wat naar buiten gaat leest een mens eerst na. Cijfers, namen en wetsverwijzingen check je altijd tegen de bron, want AI kan die overtuigend verzinnen. Dat heet een hallucinatie?HallucinatieEen antwoord dat overtuigend klinkt maar feitelijk onjuist is, zoals een verzonnen bron of niet-bestaand jurisprudentienummer. Geen storing, maar een eigenschap van hoe taalmodellen werken: controleer feiten dus altijd zelf.Hele uitleg: HallucinatieSluiten. Steviger inrichten, met steekproeven en een tweede lezer: Menselijke controle op AI inrichten.

Vermelden. Sinds 2 augustus 2026 gelden de Europese transparantieregels. Wie een deepfake?DeepfakeEen met AI gemaakte of gemanipuleerde video, foto of geluidsfragment dat echt lijkt maar het niet is, bijvoorbeeld een filmpje waarin een bekende politicus iets zegt wat hij nooit heeft gezegd.Hele uitleg: DeepfakeSluiten publiceert (echt lijkend beeld, geluid of video van bestaande mensen, plekken of gebeurtenissen) moet zeggen dat het met AI is gemaakt. Dat geldt ook voor AI-tekst over zaken van algemeen belang die niemand heeft nagelezen (Europese Commissie). Een gewone offerte of nieuwsbrief die je zelf naleest valt daar niet onder. Veel bedrijven spreken toch af dat ze eerlijk antwoorden als een klant ernaar vraagt. Zet je een chatbot op je site, lees dan wat de AI Act vraagt van een chatbot in je klantenservice.

Wat niet mag. Schrijf op waar jullie AI niet voor gebruiken. Begin met twee regels: AI beslist niet over mensen en jullie maken geen AI-beelden of AI-stemmen van echte personen zonder toestemming. AI bij werving en beoordeling van personeel valt onder de strengste regels van de AI-verordening, die voor hoog-risico-AI?Hoog-risico-AIDe zwaarste categorie in de AI-verordening waar een systeem nog wél is toegestaan, maar met voorwaarden.Hele uitleg: Hoog-risico-AISluiten.

Gelukt als: onderdelen 3, 4 en 5 van het kopieerblok zijn ingevuld met jullie eigen voorbeelden.

Stap 5: Regel AI-kennis, wijs een eigenaar aan en bespreek het

Artikel 4 van de AI-verordening?AI-verordeningDe officiële Nederlandse naam van de EU AI Act: de Europese wet die regels stelt aan het ontwikkelen en gebruiken van AI, met zwaardere eisen naarmate het risico groter is.Hele uitleg: AI-verordeningSluiten vraagt dat je werk maakt van de AI-geletterdheid?AI-geletterdheidDe basiskennis om AI-tools verstandig te gebruiken: snappen wat een model wél en níet kan, wanneer je de uitkomst moet controleren en welke risico's eraan zitten.Hele uitleg: AI-geletterdheidSluiten van je mensen. Sinds de AI Omnibus op 27 juli 2026 in werking trad, is dat eenvoudiger geworden en spelen de Commissie en de lidstaten een grotere rol (Europese Commissie). Er wordt geen bepaald niveau meer geëist en een certificaat is niet nodig. Een eigen lijstje van wie welke training of uitleg kreeg is genoeg als bewijs (Europese Commissie). Het Word-sjabloon heeft daarvoor een tabel per rol. Meer in AI-geletterdheid: wat de AI Act van je bedrijf vraagt.

Een beleid zonder eigenaar veroudert snel. Vul in wie het AI-aanspreekpunt is, wie over privacy en datalekken gaat en wie het register bijhoudt. In een bedrijf van acht mensen is dat vaak één persoon en dat is prima. Neem ook de meldregel op: wie per ongeluk gegevens in een AI-tool zet, meldt dat dezelfde dag zonder straf. Gaat het om persoonsgegevens, dan beoordeel je of je het datalek binnen 72 uur bij de Autoriteit Persoonsgegevens moet melden (AP).

Bespreek het concept daarna een half uur met je team. Laat iedereen tekenen op de laatste pagina van het sjabloon en zet een herzieningsdatum in je agenda. Het sjabloon stelt zes maanden voor. Een jaar mag ook, maar AI-tools veranderen snel.

Gelukt als: er namen bij de drie rollen staan, het team heeft getekend en de herzieningsdatum in de agenda staat.

Waar het vaak op vastloopt

Wat er gebeurt	Wat je doet
Het team ziet het beleid als wantrouwen	Begin met de vraag wat mensen al handig vinden aan AI. Het beleid regelt dat ze het veilig mogen blijven doen. De DNB-cijfers in Je team gebruikt AI al laten zien dat veel werknemers juist steun missen.
Jullie hebben geen zakelijke accounts	Dan is oranje voorlopig rood. Begin met zakelijke licenties voor wie met klantgegevens werkt.
Het sjabloon is te lang	Schrap paragrafen. Welke tools, welke gegevens, wie controleert en wie het aanspreekpunt is: die vier blijven.
De invulvelden werken niet in je programma	De grijze velden zijn Word-invulvelden. In Pages en Google Docs zie je gewone tekst: typ eroverheen.
Niemand weet wanneer het beleid opnieuw moet	Bij elke nieuwe AI-tool, bij een nieuwe regel uit Brussel en in elk geval op de herzieningsdatum.
Laat AI het beleid schrijven?	Dat kan voor een eerste versie. Plak het kopieerblok in een chatbot met je branche en teamgrootte erbij. Controleer daarna elke wetsverwijzing zelf.

Checklist: klaar als

• Elke AI-tool die jullie gebruiken staat in de tabel, met account en aanspreekpunt
• Er is een aanvraagroute voor nieuwe tools met een termijn
• Het stoplicht heeft voorbeelden uit jullie eigen werk
• Er staat wie wat naleest voordat het naar buiten gaat
• Vermelden en wat niet mag zijn ingevuld
• Er is een lijstje van wie welke uitleg of training kreeg
• Er is een meldregel zonder straf en iemand die datalekken beoordeelt
• Het team heeft getekend en de herzieningsdatum staat in de agenda

Volgende stap

Staat het beleid, neem dan iedereen mee in het gebruik: AI invoeren in je team.

Zo is deze gids gemaakt

Aangevuld op 12 november 2026 na een vergelijking met de beleidsgids van een andere Nederlandse site, die de beleidstekst in de pagina zet en afspraken over vermelden en verboden gebruik heeft. Nieuw: het kopieerblok met de kern van het sjabloon, de onderdelen over vermelden en wat niet mag, “Gelukt als” bij elke stap, de foutentabel en de checklist. De doelgroep is gelijkgetrokken in tekst en FAQ. De bron over de AI Omnibus is nu de Europese Commissie zelf in plaats van een vakblad. Wij hebben het beleid niet bij een bedrijf ingevoerd: er staat dus geen praktijkvoorbeeld in.

Nagelezen bij de bron op 12 november 2026: de pagina’s van de Europese Commissie over de AI Omnibus, AI-geletterdheid en de transparantieregels, de hulppagina van OpenAI over data controls en de pagina van de Autoriteit Persoonsgegevens over datalekken.