Wat is een AI-beleid? Regels voor medewerkers over welke AI-tools mogen, met welke data en hoe je controleert. Wat er minimaal in staat.
Een AI-beleid is de korte set regels waarmee een organisatie aan medewerkers vertelt welke AI-tools mogen worden gebruikt, met welke data, en wie toezicht houdt. Het is geen juridisch document maar een werkafspraak van één of twee bladzijden. Goed beleid maakt AI-gebruik juist makkelijker, omdat de grens eindelijk voor iedereen duidelijk is.
De meeste medewerkers gebruiken inmiddels ergens een AI-tool, al is het alleen om een mail netter te formuleren. Beleid geeft daar richting aan in drie regels: welke tools staan open, welke gegevens mogen erin, en wat doe je als je twijfelt. Alles wat langer wordt, wordt niet gelezen. En een beleid dat niemand kent, beschermt niemand.
Belangrijk is het verschil tussen verbieden en kaderen. Een algeheel verbod werkt niet: het gebruik verdwijnt uit het zicht en wordt juist riskanter. Een kader werkt wel: er staat een goedgekeurde route voor wie snel wil werken, en er staat bij welke gegevens (klantdossiers, contracten, persoonsgegevens) er niet zomaar in mogen. Wie de grens kent, kan er binnen werken in plaats van er stilletjes omheen.
Een beleid leeft als het onderdeel is van de introductie van nieuwe mensen en als het één keer per jaar wordt nagelopen. Eén eigenaar, korte regels, en per regel een voorbeeld uit het echte werk van jullie bedrijf. Meer ceremonie maakt het document dood; helderheid maakt het bruikbaar.
Altijd zodra medewerkers bedrijfsgegevens aanraken met AI-tools. Dus feitelijk in bijna elk bedrijf. Het document hoeft niet groter te worden dan de risico's: een kantoor met uitsluitend openbare informatie heeft aan een handjevol regels genoeg; wie met klantdossiers of gezondheidsgegevens werkt, heeft er meer nodig. Juist de korte versie voorkomt de discussie achteraf, want er is dan één plek waar staat wat was afgesproken.
Niet de moeite waard is een beleid als excuus om niets toe te staan. Een bladzijde met alleen verboden is geen kader maar een gesloten deur: het gebruik gaat door, buiten je zicht, met precies de risico's die je wilde voorkomen. Wil je dat vermijden, koppel er dan meteen een goedgekeurde tool aan vast. De makkelijke route die wél binnen de regels ligt.
We schrijven beleid niet als standaarddocument maar vanuit jouw eigen werkstroom: welke gegevens er in jullie processen doorheen gaan bepaalt welke regels er nodig zijn. Het resultaat is kort, in gewone taal, met per regel een voorbeeld. En waar er een goedgekeurde route is, staat die erbij. Zo wordt het beleid een werkinstrument in plaats van een papier dat in een la verdwijnt.
Drie dingen: welke AI-tools zijn goedgekeurd voor gebruik, welke gegevens er niet in mogen (klantdossiers, contracten, persoonsgegevens) en wie je aanspreekt als je twijfelt of een taak binnen de regels valt. Handig is daarnaast één zin over wat te doen na een fout: een melding maken kost niets en voorkomt dat fouten worden weggemoffeld. Meer regels dan dit hebben de meeste bedrijven niet nodig; meer duidelijkheid per regel wel.
Dat is precies de vraag die het beleid moet beantwoorden, en het antwoord verschilt per soort gegevens. Openbare informatie (een tekst herformuleren, een vertaling maken) is meestal onproblematisch. Klantgegevens, contracten en persoonsgegevens horen daar niet thuis, omdat je dan de controle verliest over waar die gegevens terechtkomen. Het beleid geeft medewerkers daarom een goedgekeurde route voor het dagelijkse werk, zodat de publieke tools niet de enige snelle optie blijven.
Niet door te bespioneren, maar door de geaccepteerde route aantrekkelijker te maken dan de omweg. Werkt de goedgekeurde tool goed en snel, dan is er weinig reden om eromheen te gaan. Daarnaast helpt het om periodiek gewoon te vragen welke tools er worden gebruikt, zonder verwijt. Dat levert eerlijker beeld op dan elke controle. Bij werkstroom die EIGHTY8 bouwt, zit de controle bovendien in het ontwerp: de agent werkt binnen de afgesproken gegevens en de mens ziet de uitkomst.
De eigenaar of de persoon die nu al de systemen beheert, bij voorkeur met één iemand uit het werk zelf erbij. Die weet namelijk welke tools er echt worden gebruikt en waarom. Het document hoeft niet langs een jurist om te mogen bestaan, al kan die het later toetsen bij gevoelige gegevens. Belangrijker dan wie hem schrijft: er hoort één eigenaar bij die hem bijwerkt en vragen kan beantwoorden. Beleid zonder eigenaar veroudert stil.
EIGHTY8