AI beleid opstellen: stappenplan en voorbeeld voor HR

Een AI beleid is een intern beleid waarin een organisatie vastlegt welke AI tools medewerkers mogen gebruiken, met welke gegevens en onder welke voorwaarden. Een goed AI beleid beschermt persoonsgegevens en helpt bij de naleving van de EU AI Act. Het geeft medewerkers duidelijke kaders om AI verantwoord in te zetten in hun dagelijkse werkzaamheden.

Wat is een AI beleid?

Je stelt een AI beleid op in zes stappen: gebruik in kaart brengen, een team samenstellen, risico’s beoordelen, tools kiezen, richtlijnen schrijven en medewerkers trainen. Het beleid is een vast onderdeel van AI in HR, waarin kunstmatige intelligentie medewerkers helpt zonder dat de organisatie de controle verliest.

Een AI beleid is een set richtlijnen die bepaalt hoe een organisatie AI gebruikt, controleert en verder ontwikkelt. Het beschrijft welke tools zijn goedgekeurd en welke informatie medewerkers wel en niet invoeren. Ook staat erin wie de verantwoordelijkheid draagt voor de uitkomsten en hoe het bestuur het beleid evalueert. Het is daarmee een onderdeel van je bredere HR-beleid, net als afspraken over thuiswerken of verlof.

Een intern AI beleid is iets anders dan de wet. De Europese AI verordening, de EU AI Act, stelt regels aan bepaalde AI systemen en aan organisaties die ze inzetten. Het intern beleid vertaalt die wettelijke verplichtingen naar concrete afspraken. Welke kaders stellen jullie zelf? Mag de marketeer content laten schrijven met generatieve AI? Mag de recruiter cv’s in een chatbot plakken? En wie controleert de uitkomst?

Een AI beleid is geen dik juridisch document. Een handzaam naslagwerk van drie tot vijf pagina’s werkt in de praktijk het best. Medewerkers lezen het dan ook echt. En je past het snel aan als de technologie zelf weer verandert.

Waarom heb je een AI beleid nodig?

Een AI beleid is nodig omdat medewerkers AI tools allang gebruiken, vaak zonder dat de organisatie het weet. Medewerkers plakken klantgegevens, salarisinformatie of conceptcontracten in gratis chatbots om sneller te werken. Zonder afspraken weet niemand waar die bedrijfsgevoelige informatie terechtkomt.

In de praktijk zijn dit de belangrijkste potentiële risico’s zonder AI beleid:

• Datalekken, doordat medewerkers persoonsgegevens invoeren in gratis AI tools die de input gebruiken om hun modellen te trainen.
• Overtredingen van de AVG, omdat er geen verwerkersovereenkomst is met de aanbieder van de tool.
• Verlies van bedrijfsgeheimen, zoals offertes, strategie of broncode die buiten de organisatie belanden.
• Discriminatie, omdat AI modellen vooroordelen uit hun trainingsdata overnemen, bijvoorbeeld bij het beoordelen van sollicitanten.
• Fouten en aansprakelijkheid, doordat niemand AI-output controleert voordat die naar een klant of medewerker gaat.

Ongecontroleerd gebruik van AI heet ook schaduw-AI: medewerkers werken met tools die de IT-afdeling of directie niet kent. Een AI beleid verbiedt AI niet, het haalt het gebruik van AI uit de schaduw. Je kiest veilige tools, regelt de juridische kant en geeft medewerkers de ruimte om AI te gebruiken op een verantwoorde manier. Zo combineer je innovatie en efficiëntie met grip op je gegevens en met goede samenwerking tussen HR en IT.

Een AI beleid is ook verbonden met afspraken die je al hebt. Denk aan de geheimhoudingsplicht van medewerkers en je gedragscode. Het AI beleid maakt duidelijk hoe die bestaande richtlijnen gelden voor nieuwe technologie.

Is een AI beleid wettelijk verplicht?

Een AI beleid is niet letterlijk wettelijk verplicht, maar de wet stelt verplichtingen die je zonder beleid moeilijk naleeft. De EU AI Act gaat in fases in. Organisaties die AI gebruiken, heten in de wet gebruiksverantwoordelijken. Ook een MKB-bedrijf dat ChatGPT of Copilot inzet, valt daaronder.

Dit zijn de belangrijkste onderdelen van de AI-verordening voor HR:

• Bepaalde AI praktijken zijn verboden, zoals emotieherkenning op de werkvloer en social scoring.
• Er geldt een plicht rond AI-geletterdheid: je neemt maatregelen die de AI-kennis van medewerkers ondersteunen, bijvoorbeeld via scholing of informatie.
• Er gelden transparantieverplichtingen. Iedereen moet bijvoorbeeld weten dat ze met een AI-systeem praten.
• Voor AI met een hoog risico gelden zwaardere verplichtingen, die later ingaan, zoals AI voor werving, selectie, promotie of ontslag.

Daarnaast blijft de AVG gelden, met de Autoriteit Persoonsgegevens als toezichthouder. Ook de AVG-regels over geautomatiseerde besluitvorming zijn relevant. Een medewerker mag niet onderworpen worden aan een ingrijpend besluit dat alleen een algoritme neemt. Meer over die privacy lees je in ons artikel over de AVG.

Een intern AI beleid is dus de manier om deze wettelijke verplichtingen en de naleving ervan praktisch te borgen. De wet blijft in beweging, dus je beleid ook. De exacte en actuele regels vind je op de website van de Rijksoverheid. Je legt vast welke AI je gebruikt, welk risico daarbij hoort en wie toezicht houdt.

Wat staat er in een goed AI beleid?

Een goed AI beleid beantwoordt vijf vragen: wat mag, met welke tools, met welke gegevens, wie is verantwoordelijk en hoe blijft het actueel. Gebruik deze opzet als voorbeeld voor je eigen document:

• Doel en reikwijdte: waarom de organisatie AI inzet en voor wie het beleid geldt, ook voor flexwerkers.
• Goedgekeurde tools: een lijst van AI tools die medewerkers mogen gebruiken, bij voorkeur met een zakelijke licentie.
• Toegestane en verboden toepassingen: bijvoorbeeld wel teksten herschrijven of notulen samenvatten, geen beslissingen over sollicitanten laten nemen.
• Richtlijnen voor gegevens: welke informatie medewerkers nooit invoeren, zoals medische informatie, klantgegevens en vertrouwelijke stukken.
• Menselijk toezicht: elke AI-output die extern gaat of over een medewerker gaat, controleert een mens volgens het vier-ogenprincipe.
• Transparantie: wanneer je klanten, sollicitanten of collega’s laat weten dat je AI hebt gebruikt.
• Rollen: wie nieuwe tools goedkeurt, wie de vragen van werknemers gaat beantwoorden en wie het beleid beheert.
• Training: welke begeleiding medewerkers krijgen om AI effectief te gebruiken.
• Incidenten: wat een medewerker doet als er per ongeluk gevoelige informatie in een tool is beland.
• Evaluatie: hoe vaak je het beleid evalueert en bijwerkt.

Houd de richtlijnen praktisch en stel ze op per onderwerp. “Gebruik AI verantwoord” zegt niemand iets. “Plak nooit een cv, loonstrook of ziekmelding in een AI tool zonder zakelijk account” is een richtlijn die iedereen begrijpt.

Hoe stel je een AI beleid op in 6 stappen?

Je stelt een AI beleid op door eerst het huidige gebruik van AI in kaart te brengen. Daarna beoordeel je de risico’s en pas dan formuleer je richtlijnen. Met deze zes stappen heb je binnen een paar weken een praktisch AI beleid voor de hele organisatie.

• Stap 1: Breng in kaart welke AI tools werknemers al gebruiken, voor welke taken en met welke gegevens. Een korte anonieme enquête levert vaak verrassende antwoorden op.
• Stap 2: Stel een klein team samen met HR, IT, een privacyfunctionaris en iemand uit de directie. Een multidisciplinair team ziet meer risico’s dan één afdeling.
• Stap 3: Beoordeel per toepassing het risico. Een tekst laten herschrijven is laag risico, AI die sollicitanten selecteert valt onder hoog risico volgens de AI Act.
• Stap 4: Kies goedgekeurde tools en regel de contracten, zoals een verwerkersovereenkomst en de garantie dat de aanbieder jouw input niet gebruikt voor training.
• Stap 5: Schrijf het beleid in gewone taal, met voorbeelden van wat wel en niet mag. Bespreek het met de ondernemingsraad, als je die hebt.
• Stap 6: Communiceer het beleid, train medewerkers en plan een vaste evaluatie in.

Bij stap 5 speelt de ondernemingsraad een belangrijke rol. Gebruik je AI om het gedrag of de prestaties van werknemers te volgen, dan heeft de OR instemmingsrecht op grond van de Wet op de ondernemingsraden. Betrek de OR daarom vroeg. Dat voorkomt vertraging bij de implementatie en vergroot het draagvlak.

Hoe borg je menselijk toezicht en transparantie?

Menselijk toezicht betekent dat een mens altijd eindverantwoordelijk blijft voor wat AI produceert of adviseert. Leg in het AI beleid vast dat AI een assistent is, geen beslisser. Bij besluiten over mensen, zoals werving, beoordelingen, promotie of ontslag, neemt altijd een leidinggevende of HR-professional het besluit.

Transparantie gaat over eerlijk zijn over het gebruik van AI. Werk je met een AI-notulist tijdens gesprekken, dan vertel je dat vooraf aan de deelnemers. Gebruik je AI voor vacatureteksten of klantcommunicatie, dan leg je vast wanneer je dat vermeldt. Een deel van die transparantie is ook wettelijk verplicht onder de AI Act.

Spreek daarnaast af hoe medewerkers omgaan met fouten. Deze technologie geeft soms antwoorden die overtuigend klinken maar niet kloppen. Een regel als “controleer elk feit, bedrag en wetsartikel uit een AI-antwoord” voorkomt dat onjuiste informatie in een contract of klantmail belandt. Onzorgvuldig gebruik kan leiden tot schade bij klanten. Het kan ook leiden tot reputatieverlies.

AI-geletterdheid: medewerkers leren AI gebruiken

AI-geletterdheid is de kennis en vaardigheid om AI te begrijpen, kritisch te gebruiken en de risico’s te herkennen. De AI Act vraagt organisaties om maatregelen te nemen die deze kennis ondersteunen. Een AI beleid zonder training blijft een papieren tijger, want medewerkers moeten weten waarom de richtlijnen er zijn.

Praktische handvatten om AI-geletterdheid te organiseren:

• Geef een korte introductiesessie bij de lancering van het beleid, met voorbeelden uit jullie eigen werk.
• Neem het AI beleid op in de onboarding van nieuwe medewerkers, naast andere bedrijfsregels.
• Bied verdiepende scholing aan voor rollen die veel met AI werken, zoals recruitment, marketing en klantenservice.
• Investeren in kennis loont: reserveer een deel van het opleidingsbudget voor AI-training.
• Wijs een aanspreekpunt aan bij wie medewerkers vragen stellen over het gebruik van AI.

Leg vast wie welke training heeft gevolgd. Zo laat je zien dat je als organisatie maatregelen hebt genomen, mocht een toezichthouder ernaar vragen. Wie blijft investeren in de ontwikkeling van medewerkers, haalt meer uit AI. Kennis maakt AI effectief en vergroot de verantwoordelijkheid die collega’s zelf nemen.

Zo maak je het AI beleid praktisch in de organisatie

Een AI beleid is pas praktisch als medewerkers het kennen, ondertekend hebben en makkelijk terugvinden. In de praktijk gaat het vaak mis bij de uitvoering. Het beleid staat in een losse map, niemand weet welke versie geldt en nieuwe collega’s krijgen het nooit te zien.

Voeg het AI beleid daarom toe aan je personeelshandboek en laat medewerkers het digitaal bevestigen. Koppel het aan je onboarding, zodat elke nieuwe collega het automatisch ontvangt. Plan daarnaast een vaste evaluatie in: minimaal één keer per jaar, of eerder bij een nieuwe tool of nieuwe regelgeving.

Kies bij voorkeur ook technologie waarin AI al veilig is ingebouwd. Dan hoeven medewerkers HR-gegevens niet meer naar externe chatbots te kopiëren. Dat is vaak de beste maatregel tegen datalekken, want het verantwoorde alternatief wordt dan ook het makkelijkste. Over het automatiseren van terugkerende taken lees je meer in ons artikel over HR automatisering.

Zo werkt AI beleid in HoorayHR

HoorayHR is alles-in-één HR software voor het MKB, waarmee je jouw AI beleid vastlegt, deelt en laat ondertekenen. AI werkt bij ons veilig binnen je eigen HR-omgeving. Wij zetten AI in om HR administratie te verminderen, zodat er meer tijd is voor mensen.

Zo regel je het AI beleid in onze software:

• Je slaat het AI beleid op in documentenbeheer en deelt het met alle medewerkers of met specifieke teams.
• Medewerkers ondertekenen het beleid met digitaal ondertekenen, waarna het getekende document in hun personeelsdossier staat.
• Je voegt het lezen en tekenen van het AI beleid toe als taak in je HR workflows, zodat elke nieuwe collega het tijdens de onboarding krijgt.

Ook onze eigen AI-functies passen binnen een praktisch AI beleid. Zo kun je binnen je eigen omgeving veilig AI inzetten. Met de Meeting Agent neem je een gesprek op en krijg je een samenvatting met actiepunten, die meteen op de juiste plek in HoorayHR staat. Met onze MCP praat je met jouw HR-data via de AI-assistent die je al gebruikt, zoals Claude, ChatGPT of Copilot. Iedereen werkt daarbij binnen de eigen rechten in HoorayHR. Alles over onze AI-functies vind je op de pagina AI in HoorayHR.

Artificial intelligence verandert snel, en je AI beleid verandert mee. Begin daarom klein: een helder document van een paar pagina’s, een lijst met veilige tools en een vaste evaluatie. Zo geef je collega’s ruimte om AI in te zetten voor innovatie. En jij houdt grip op gegevens, regelgeving en de mensen om wie het in HR draait.