Kort antwoord: een bruikbaar AI-beleid past op twee pagina’s en beantwoordt vier vragen: welke tools zijn toegestaan, welke gegevens mogen er nooit in, wanneer moet u vermelden dat AI is gebruikt, en wie is aanspreekbaar bij twijfel. Beleid dat alles verbiedt wordt genegeerd en verplaatst het gebruik naar privé-accounts, waar u geen zicht op hebt.
Waarom mislukt een verbod in de praktijk?
Omdat de tools op iedere telefoon staan en het gebruik ervan niet zichtbaar is. Een medewerker die een verslag laat samenvatten, doet dat desnoods op zijn eigen laptop in zijn eigen account. Het werk gaat gewoon door, alleen buiten uw zicht en buiten elke afspraak over gegevens.
Dat is de reden waarom organisaties met een streng verbod vaak een groter risico lopen dan organisaties met heldere kaders. Het verbod schept de illusie dat er niets gebeurt, en juist die illusie voorkomt dat er iemand meekijkt.
Welke vier vragen moet uw beleid beantwoorden?
Ten eerste: welke tools mogen worden gebruikt en welke niet. Noem ze bij naam en houd die lijst actueel, want een algemene formulering laat medewerkers zelf beoordelen en dat gaat mis.
Ten tweede: welke gegevens er nooit in mogen. Ten derde: wanneer iemand moet melden dat AI is gebruikt, bijvoorbeeld bij klantgerichte teksten, bij beoordelingen of bij analyses die als basis voor een besluit dienen. Ten vierde: bij wie iemand terechtkan als hij twijfelt, met naam en niet met afdeling.
Meer vragen dan deze vier maakt uw beleid niet beter maar wel ongelezen.
Welke gegevens horen nooit in een extern model?
Persoonsgegevens van klanten, patiënten of medewerkers. Bedrijfsgevoelige informatie die onder geheimhouding valt. Broncode van derden. Documenten waarvan u de rechten niet bezit. En alles wat u niet in een e-mail naar een externe partij zou zetten, wat een bruikbare vuistregel is omdat iedereen die begrijpt.
Maak het verschil duidelijk tussen zakelijke omgevingen met een verwerkersovereenkomst en gratis consumentenversies. Dat onderscheid kennen de meeste medewerkers niet, en het is nu net het verschil dat bepaalt of uw gegevens ergens blijven hangen.
Wanneer moeten medewerkers AI-gebruik melden?
Bij alles wat naar buiten gaat onder uw naam, en bij alles wat als onderbouwing van een besluit dient. Voor interne hulp bij het opzetten van een tekst hoeft niemand iets te melden, want daar is het gereedschap en niet de auteur.
Trek de grens dus bij de vraag of iemand anders erop vertrouwt. Een klant die een advies leest, een collega die een analyse gebruikt, een toezichthouder die een dossier beoordeelt: die hebben recht op de wetenschap hoe het tot stand kwam. Voor bepaalde toepassingen is transparantie bovendien een verplichting onder de AI Act.
Wie is eigenaar van dit beleid?
Eén persoon, met naam. Niet een stuurgroep, want een stuurgroep besluit niet en actualiseert niet. In de praktijk werkt het het beste als de eigenaar iemand is die zelf met de tools werkt, ondersteund door iemand vanuit privacy of security.
Zorg dat die persoon mandaat heeft om de toegestane lijst aan te passen zonder dat er een nieuwe besluitvormingsronde nodig is. Anders staat uw beleid binnen een half jaar verwijzingen te bevatten naar tools die niet meer bestaan.
Hoe houdt u het actueel als tools elk kwartaal veranderen?
Door het beleid te scheiden van de lijst. De principes veranderen zelden: geen persoonsgegevens, transparant bij extern gebruik, iemand aanspreekbaar. De lijst met goedgekeurde tools verandert wel, en die zet u dus apart, op een intranetpagina met een datum erboven.
Plan daarnaast een vast moment per kwartaal waarop de eigenaar de lijst nakijkt. Twintig minuten, vier keer per jaar. Dat is het verschil tussen beleid dat leeft en beleid dat over twee jaar als voorbeeld dient van hoe het niet moet.
Hoe zorgt u dat mensen het ook lezen?
Door het kort te houden en er één keer over te praten in plaats van het rond te mailen. Een sessie van een halfuur waarin u de vier vragen doorloopt en concrete voorbeelden bespreekt, levert meer op dan een document van twaalf pagina’s dat door de juridische afdeling is dichtgetimmerd.
Gebruik daarbij voorbeelden uit uw eigen organisatie. “Mag ik dit klantverslag laten samenvatten?” is een vraag waar iedereen iets van vindt, en die discussie is precies het moment waarop uw beleid landt.
Wilt u zo’n sessie laten begeleiden? Dat kan als onderdeel van een besloten directiesessie.