Een AI-beleid opstellen begint met het vastleggen van de kaders waarbinnen jouw organisatie AI mag inzetten: welke doelen zijn toegestaan, welke risico’s zijn acceptabel en wie welke verantwoordelijkheid draagt. Dit geldt voor elk type organisatie, van mkb tot gemeente. Twijfel je waar te beginnen? Neem gerust contact op met De AI Fabriek voor een vrijblijvend gesprek. In dit artikel beantwoorden we de meest gestelde vragen over het opstellen van een AI-beleid, van inhoud en wetgeving tot governance en onderhoud.
Wat moet er in een AI-beleid staan?
Een AI-beleid bevat minimaal vier onderdelen: een duidelijke definitie van wat de organisatie onder AI verstaat, de toegestane en verboden toepassingen, de verantwoordelijkheidsstructuur en de spelregels rondom data en privacy. Zonder deze bouwstenen is een beleid te vaag om in de praktijk te handhaven.
Concreet betekent dit dat je in het document vastlegt welke AI-systemen of tools medewerkers mogen gebruiken, voor welke taken en onder welke voorwaarden. Denk aan het gebruik van generatieve AI voor het opstellen van teksten, geautomatiseerde besluitvorming in klantprocessen of AI-gestuurde analyses op bedrijfsdata.
Naast de toegestane toepassingen beschrijft een goed AI-beleid ook de risicoclassificatie: welke toepassingen zijn laag risico en welke vereisen extra toetsing of goedkeuring? Tot slot hoort er een sectie in over de omgang met persoonsgegevens, transparantie richting klanten of burgers, en de manier waarop AI-uitkomsten worden gecontroleerd door mensen.
Welke wet- en regelgeving is van toepassing op AI-beleid?
De belangrijkste wetgeving voor een AI-beleid voor bedrijven is de Europese AI Act, die in 2026 gefaseerd van kracht is. Deze verordening verdeelt AI-toepassingen in risicocategorieën en stelt per categorie eisen aan transparantie, documentatie en menselijk toezicht. Daarnaast blijft de AVG van toepassing op alle AI-systemen die persoonsgegevens verwerken.
De AI Act onderscheidt vier risiconiveaus:
- Onaanvaardbaar risico: verboden toepassingen, zoals sociale scorekaarten door overheden
- Hoog risico: strenge eisen, bijvoorbeeld AI in werving, kredietverlening of kritieke infrastructuur
- Beperkt risico: transparantieverplichtingen, zoals melden dat een gebruiker met een chatbot praat
- Minimaal risico: vrij te gebruiken, zoals spamfilters of aanbevelingssystemen
Voor overheidsorganisaties gelden bovendien aanvullende kaders rondom algoritmisch bestuur, vastgelegd in de Algoritmeregisterverplichting en richtlijnen van de Autoriteit Persoonsgegevens. Het is verstandig om bij het opstellen van je kunstmatige-intelligentiebeleid juridisch advies in te winnen en de documentatievereisten van de AI Act al vroeg in je beleid te verankeren.
Hoe bepaal je de scope van een AI-beleid?
De scope van een AI-beleid bepaal je door eerst in kaart te brengen welke AI-toepassingen al actief zijn binnen de organisatie en welke er op korte termijn worden verwacht. Vervolgens kies je of het beleid geldt voor alle afdelingen of alleen specifieke processen, en of het ook externe leveranciers omvat die AI-diensten leveren.
Een te brede scope maakt een beleid onuitvoerbaar; een te smalle scope laat risico’s onbeheerd. Een praktische aanpak is om te starten met de processen waar AI de meeste impact heeft of het hoogste risico draagt, zoals klantenservice, personeelsbeslissingen of geautomatiseerde rapportages.
Vergeet ook de toeleveringsketen niet. Als jouw organisatie gebruikmaakt van AI-tools van externe partijen, dan vallen de risico’s van die tools indirect onder jouw verantwoordelijkheid. Je beleid moet dus ook beschrijven hoe je leveranciers beoordeelt en welke contractuele eisen je stelt aan AI-functionaliteit in ingekochte software. De AI-oplossingen van De AI Fabriek zijn bijvoorbeeld specifiek ontworpen om aan te sluiten op de governance-eisen van Nederlandse organisaties.
Wie is verantwoordelijk voor het AI-beleid binnen een organisatie?
De eindverantwoordelijkheid voor het AI-beleid ligt bij de directie of het bestuur. Zij stellen de kaders vast en dragen de organisatorische en juridische aansprakelijkheid. In de dagelijkse uitvoering is doorgaans een AI-verantwoordelijke, Chief AI Officer of een bestaande functionaris zoals de CISO of FG belast met de coördinatie.
Goede AI-governance vraagt om een gedeelde verantwoordelijkheid verdeeld over meerdere rollen:
- Directie of bestuur: stelt het beleid vast en draagt eindverantwoordelijkheid
- AI-verantwoordelijke of CISO: bewaakt naleving en coördineert risicobeoordelingen
- Functionaris Gegevensbescherming (FG): toetst AI-toepassingen op AVG-conformiteit
- Lijnmanagers: zijn verantwoordelijk voor correct gebruik binnen hun team
- Medewerkers: handelen conform het beleid en melden afwijkingen
Kleinere organisaties hoeven geen aparte AI-functie in het leven te roepen, maar moeten wel expliciet benoemen wie de rol van AI-verantwoordelijke op zich neemt. Onduidelijkheid over verantwoordelijkheid is een van de meest voorkomende oorzaken van AI-incidenten in de praktijk.
Hoe houd je een AI-beleid actueel?
Een AI-beleid houd je actueel door een vaste reviewcyclus in te bouwen, minimaal één keer per jaar, en door het beleid direct te herzien bij nieuwe wetgeving, ingrijpende technologische veranderingen of significante incidenten. AI-regelgeving en de mogelijkheden van AI-systemen ontwikkelen zich snel, waardoor een statisch document snel veroudert.
Praktische maatregelen om je AI-beleid toekomstbestendig te houden zijn onder andere:
- Jaarlijkse beleidsreview: evalueer of de vastgelegde kaders nog aansluiten op de actuele AI-toepassingen en wetgeving
- Monitoring van regelgeving: volg updates van de AI Act, AVG-richtlijnen en sectorspecifieke kaders actief
- Incidentregistratie: leg AI-gerelateerde fouten of ongewenste uitkomsten vast en gebruik deze als input voor beleidsaanpassingen
- Feedback van medewerkers: betrek uitvoerende medewerkers bij de evaluatie, zij signaleren knelpunten eerder dan het management
- Leveranciersmonitoring: houd wijzigingen bij in de AI-tools en -diensten van externe partijen
Een AI-beleid is geen eenmalig document maar een levend instrument. Organisaties die AI structureel willen inzetten, doen er goed aan om de beleidsreview te koppelen aan een bredere AI-strategie, zodat beleid en ambitie met elkaar in de pas lopen.
Wil je hulp bij het opstellen of actualiseren van een AI-beleid dat past bij jouw organisatie? Neem contact op met De AI Fabriek en ontdek hoe wij je begeleiden van strategie tot implementatie.