Waarom een AI-beleid ook voor het MKB belangrijk is
AI-tools zijn binnen een paar jaar net zo gewoon geworden als e-mail. Dat is goed nieuws: wie AI slim inzet, wint uren per week. Maar zonder afspraken plakt een medewerker zomaar een klantdossier, een salarisoverzicht of een vertrouwelijke offerte in een gratis chatbot. Wat er daarna met die gegevens gebeurt, heb je niet meer in de hand.
Onder de AVG ben jij als ondernemer verantwoordelijk voor persoonsgegevens, ook als een medewerker ze met goede bedoelingen in een AI-tool zet. Daarnaast vragen steeds meer grote klanten hoe je met informatiebeveiliging omgaat. Een AI-beleid is dan een eenvoudige manier om te laten zien dat je het op orde hebt.
Vibe-tip: Een AI-beleid is geen verbod. Het doel is juist dat je team AI met een gerust hart kan gebruiken. Begin daarom met wat wél mag, en houd de lijst met wat niet mag kort en concreet.
AI-beleid opstellen in 7 stappen
1. Breng in kaart welke AI-tools al worden gebruikt
Begin niet met regels, maar met een eerlijke inventarisatie. Vraag je team welke AI-tools ze gebruiken, waarvoor en met welk account. Grote kans dat er meer gebeurt dan je denkt: ChatGPT voor e-mails, een AI-notulist in Teams, een vertaaltool, een AI-functie in je boekhoudpakket. Maak er een simpel lijstje van.
2. Bepaal welke gegevens nooit in een AI-tool mogen
Dit is de kern van je beleid. Maak een korte, concrete lijst. Bijvoorbeeld: geen persoonsgegevens van klanten of medewerkers, geen wachtwoorden of inloggegevens, geen financiële gegevens die niet openbaar zijn en geen vertrouwelijke contracten of offertes van klanten. Hoe concreter, hoe beter medewerkers het onthouden.
3. Kies de toegestane tools en accounts
Leg vast welke tools mogen en met welk soort account. Een zakelijk abonnement biedt doorgaans betere afspraken over wat er met je gegevens gebeurt, centraal gebruikersbeheer en de mogelijkheid tot een verwerkersovereenkomst. Persoonlijke gratis accounts voor werk kun je beter uitsluiten.
4. Regel de AVG-kant
Werkt een AI-tool met persoonsgegevens, dan is de aanbieder een verwerker en heb je een verwerkersovereenkomst nodig. Kijk ook waar de gegevens worden opgeslagen en of de tool ze gebruikt om modellen te trainen. Noteer per toegestane tool kort hoe dat geregeld is.
5. Spreek af dat een mens altijd controleert
AI maakt fouten en verzint soms feiten. Spreek af dat alles wat naar buiten gaat (offertes, teksten, adviezen, code) eerst door een mens wordt gecontroleerd. En dat beslissingen over mensen, zoals sollicitaties of beoordelingen, nooit alleen door AI worden genomen.
6. Wees alert op AI-phishing
Criminelen gebruiken AI ook. Phishingmails zijn foutloos en persoonlijk, en met een paar seconden spraak kan een stem worden nagemaakt. Neem in je beleid op dat betaalverzoeken en wijzigingen van rekeningnummers altijd via een tweede kanaal worden gecontroleerd, ook als het verzoek van de directeur lijkt te komen.
7. Deel het beleid, train je team en evalueer
Een beleid dat in een map verdwijnt, werkt niet. Bespreek het in een teamoverleg, geef voorbeelden en maak een kort spiekbriefje. Wijs één aanspreekpunt aan voor vragen en nieuwe tools, en kijk minstens twee keer per jaar of het beleid nog klopt.
Vibe-tip: Zet de belangrijkste afspraken op één A4: welke tools mogen, welke gegevens nooit en wie je belt bij twijfel. Dat spiekbriefje wordt veel vaker gelezen dan een beleidsdocument van tien pagina's.
Een AI-beleid is het begin, niet het eind
Met een AI-beleid regel je het belangrijkste risico van AI op de werkvloer. Maar veilig werken gaat verder: is je website up-to-date, kunnen criminelen mail versturen die van jouw domein lijkt te komen en herkent je team de nieuwe generatie phishing?
Bij Vibe Agency helpen we MKB-bedrijven met het opstellen van een AI-beleid, een security-quickscan van website en e-mail en praktische AI-trainingen voor je team. Benieuwd waar jij staat? Plan een gratis Vibe-check en we kijken samen naar je situatie.