AI-beleid voor uw organisatie: AI Act voorbeeldkader

De Europese AI Act stelt eisen aan het gebruik en aanbieden van AI-systemen. Deze eisen gelden aanvullend op onder meer de AVG, auteursrecht en sectorspecifieke regelgeving.

• AI-geletterdheid is sinds 2 februari 2025 verplicht voor iedereen die met AI werkt.
• Verboden AI-toepassingen (zoals social scoring) mogen niet worden ingezet.
• Hoog-risico-AI vereist documentatie, menselijk toezicht en risicomanagement.
• Bij chatbots, AI-content en deepfakes geldt een transparantieverplichting richting gebruikers.

AI mag worden ingezet om medewerkers te ondersteunen bij hun werk, mits de uitkomsten kritisch worden beoordeeld en verantwoordelijkheden bij een mens blijven liggen.

• Ondersteunen bij tekst-, beeld- en codegeneratie voor interne concepten.
• Samenvatten van openbare documenten, notulen en vergaderverslagen.
• Analyseren van niet-vertrouwelijke data en het genereren van rapportages.
• Brainstorm, ideeën en scenario-analyse als hulpmiddel — nooit als eindoordeel.

Bepaalde toepassingen brengen onaanvaardbare juridische of ethische risico's met zich mee en zijn binnen de organisatie niet toegestaan zonder expliciete goedkeuring.

• Volledig geautomatiseerde beslissingen over sollicitanten, klanten of medewerkers.
• Invoer van vertrouwelijke, medische of bijzondere persoonsgegevens in publieke AI-tools.
• Genereren van misleidende content, deepfakes of manipulatief materiaal.
• Inzet van AI voor gedragsbeoordeling of profiling zonder wettelijke grondslag.

AI-tools verwerken vaak data buiten uw eigen omgeving. Bescherming van bedrijfs- en klantgegevens staat altijd voorop.

• Voer geen persoonsgegevens, klantdata of interne strategie in publieke AI-tools in.
• Gebruik alleen tools waarvoor een verwerkersovereenkomst (DPA) is afgesloten.
• Schakel training op ingevoerde data uit waar dat mogelijk is.
• Documenteer welke AI-tools binnen welke processen worden gebruikt (AI-register).

Gebruikers, klanten en collega's moeten kunnen zien wanneer zij met AI te maken hebben en op welke wijze AI is gebruikt.

• Chatbots geven duidelijk aan dat de gebruiker met een AI communiceert.
• AI-gegenereerde content wordt intern gemarkeerd en waar relevant extern vermeld.
• Deepfakes en synthetische media worden expliciet als zodanig gelabeld.
• Bij belangrijke beslissingen wordt vastgelegd of en hoe AI is gebruikt.

AI ondersteunt medewerkers, maar vervangt geen menselijke verantwoordelijkheid. Voor elk AI-proces is duidelijk wie eindverantwoordelijk is.

• Voor elk AI-proces is een verantwoordelijke medewerker of afdeling aangewezen.
• AI-uitkomsten worden altijd door een mens gecontroleerd voor ze extern worden gebruikt.
• Beslissingen met impact op mensen worden nooit volledig geautomatiseerd genomen.
• Er is een intern meldpunt voor twijfelgevallen of incidenten met AI.

Alle medewerkers die met AI werken krijgen een passend niveau van AI-geletterdheid, afgestemd op hun rol en de risico's van hun werk.

• Nieuwe medewerkers volgen een introductie AI-geletterdheid binnen 30 dagen na indiensttreding.
• Jaarlijkse herhaling voor iedereen die structureel AI gebruikt.
• Verdiepende training voor HR, marketing en directie op basis van rolspecifieke risico's.
• Kennistoetsing via de interne kennistoets (zie link onderaan de pagina).

Bij (mogelijke) incidenten met AI — zoals datalekken, foutieve beslissingen of misleiding — geldt een vaste meldprocedure.

• Vermoeden van datalek of AVG-overtreding: direct melden bij de FG / privacy-verantwoordelijke.
• Ernstige AI-incidenten worden gedocumenteerd in het AI-incidentenregister.
• Bij hoog-risico-AI geldt aanvullend een meldingsplicht richting toezichthouder.
• Na elk incident volgt een korte evaluatie en zo nodig aanpassing van dit beleid.