AI gebruiken binnen uw organisatie: wat moet u minimaal regelen?

Veel organisaties gebruiken inmiddels AI-toepassingen zoals ChatGPT, Microsoft Copilot, Claude, Mistral AI, Google Gemini, vertaaltools, transcriptietools of slimme zoekfuncties. Dat biedt kansen, maar brengt ook risico’s met zich mee. Denk aan vertrouwelijke informatie, privacy, foutieve uitkomsten, auteursrecht, afhankelijkheid van leveranciers en onduidelijkheid over besluitvorming.

De Europese AI-verordening (EU AI Act) is op 1 augustus 2024 in werking getreden en wordt gefaseerd toegepast. Sinds 2 februari 2025 gelden onder meer de regels voor verboden AI-praktijken en de verplichting tot AI-geletterdheid. De AI-verordening is vanaf 2 augustus 2026 grotendeels volledig van toepassing.

AI-geletterdheid is al verplicht

Organisaties die AI-systemen ontwikkelen of gebruiken, moeten zorgen dat medewerkers voldoende kennis en vaardigheden hebben om AI verantwoord te gebruiken. De Autoriteit Persoonsgegevens geeft aan dat AI-geletterdheid sinds 2 februari 2025 verplicht is voor organisaties die AI-systemen ontwikkelen of gebruiken.

Dat betekent niet dat iedere medewerker AI-specialist moet worden. Wel moet duidelijk zijn:

• welke AI-tools gebruikt mogen worden;
• welke gegevens wel en niet mogen worden ingevoerd;
• wanneer menselijke controle nodig is;
• welke risico’s horen bij foutieve of verzonnen uitkomsten;
• wie verantwoordelijk is voor het gebruik van AI binnen processen.

Wat moet u minimaal regelen?

Een praktische basis bestaat uit vijf onderdelen:

1. Maak een AI-overzicht
   Breng in kaart welke AI-tools binnen de organisatie worden gebruikt. Denk ook aan tools die al onderdeel zijn van bestaande software, zoals Microsoft 365, CRM-systemen, HR-systemen of klantenserviceplatformen.
2. Stel duidelijke spelregels op
   Leg vast wat medewerkers wel en niet mogen doen met AI, een zogeheten AI-beleid. Bijvoorbeeld: geen persoonsgegevens, klantinformatie, contracten, broncode of vertrouwelijke bedrijfsinformatie invoeren in niet-goedgekeurde AI-tools.
3. Beoordeel risico’s per toepassing
   De AI-verordening werkt risicogericht: hoe hoger het risico voor mensen of de samenleving, hoe strenger de eisen. De Autoriteit Persoonsgegevens adviseert organisaties om AI-systemen in kaart te brengen en bijbehorende risicoprofiel te bepalen.
4. Neem benodigde maatregelen
   stel een IT-beleid op, bepaal de regels. Elimineer niet-gewenste AI-tools en zorg dat data waar mogelijk beschermd wordt. Zorg voor veilige AI-tools en de juiste instellingen op deze tooling.
5. Train medewerkers praktisch
   Zorg voor korte instructies en voorbeelden. Niet theoretisch, maar gericht op dagelijks gebruik: hoe controleer je output, hoe voorkom je datalekken en wanneer mag AI niet worden gebruikt?
6. Koppel AI aan bestaande processen
   AI hoort niet los te staan van informatiebeveiliging, privacy en kwaliteitsmanagement. Neem AI daarom mee in AVG-beoordelingen, leveranciersbeoordelingen, informatiebeveiligingsbeleid, incidentprocedures en interne audits.

Advies

AI hoeft geen groot beleidsproject te worden, maar volledig vrijblijvend gebruik is niet meer verstandig. Organisaties moeten minimaal weten welke AI wordt gebruikt, welke risico’s daarbij horen, gewenste maatregelen nemen en weten wat het praktijkgebruik is door medewerkers.

Een korte AI-inventarisatie, duidelijke gebruiksregels en praktische training vormen een goede eerste stap. Daarmee zet u de juiste basis richting de verplichting rond AI-geletterdheid en voorkomt u dat AI ongecontroleerd onderdeel wordt van uw bedrijfsvoering.

Van Voorst Consult helpt organisaties bij het opstellen van praktisch AI-beleid, AI-geletterdheid, risico-inschattingen en de koppeling met ISO 27001, ISO 27701, AVG en bestaande managementsystemen.

Neem vrijblijvend contact op.