AI-beleid opstellen: voorbeeld en gratis template voor je bedrijf

AI-beleid [Bedrijfsnaam]
Versie [1.0], vastgesteld op [datum] door [naam, functie]
Volgende herziening: uiterlijk [datum]

1. Waarvoor dit beleid geldt
1.1 Dit beleid geldt voor iedereen die voor [Bedrijfsnaam] werkt: medewerkers, stagiairs, uitzendkrachten en freelancers.
1.2 Het gaat over AI-tools die tekst, beeld, geluid of code maken of samenvatten, ook AI-functies in je mail-, vergader- of tekstprogramma.

2. Welke tools je mag gebruiken
2.1 Voor werk gebruik je alleen deze tools, met je werkaccount:
- [Tool], voor [taken]. Persoonsgegevens: [ja/nee].
- [Tool], voor [taken]. Persoonsgegevens: [ja/nee].
2.2 Voor werk gebruik je alleen accounts en instellingen die [Bedrijfsnaam] heeft goedgekeurd. Nooit een persoonlijk account.
2.3 Wil je een andere tool of AI-functie gebruiken, vraag het dan eerst aan [eigenaar]. We keuren een tool alleen goed als:
- de leverancier onze invoer niet gebruikt om modellen te trainen;
- er een verwerkersovereenkomst is als de leverancier persoonsgegevens voor ons verwerkt;
- [onze gegevens staan in de EU, en voor elke doorgifte buiten de EU is een grondslag onder de AVG];
- [bij een tool die in onze bestanden kan zoeken: we bepalen zelf welke bestanden de tool kan inzien, bijvoorbeeld via toegangsrechten die we hebben gecontroleerd].

3. Wat er nooit in een AI-tool mag
Ook niet in een goedgekeurde tool:
- wachtwoorden, toegangscodes en sleutels;
- [BSN's];
- [gezondheidsgegevens en andere bijzondere persoonsgegevens];
- complete klant-, patiënt- of personeelsdossiers;
- informatie die we onder geheimhouding van een klant of partner hebben, tenzij [eigenaar] schriftelijk bevestigt dat onze afspraken en een eventueel beroepsgeheim dit gebruik toestaan;
- [aanvullen, bijvoorbeeld ongepubliceerde cijfers, broncode of offertes].

4. Persoonsgegevens
4.1 Voer alleen persoonsgegevens in als je taak ze nodig heeft, en alleen in een tool met "Persoonsgegevens: ja" in artikel 2.
4.2 Haal namen en herkenbare details weg als de taak dat toelaat.
4.3 Laat AI een gesprek alleen opnemen, uitschrijven of samenvatten voor een doel dat [eigenaar] heeft goedgekeurd, en alleen met een tool uit artikel 2. [Eigenaar] legt vóór goedkeuring het doel, de grondslag en de nodige bewaartermijn vast. Vertel de deelnemers vooraf dat het gebeurt en waarvoor. Verwijder opnames, transcripten en samenvattingen zodra ze niet meer nodig zijn, en uiterlijk na [30 dagen], tenzij [eigenaar] vastlegt waarom een langere termijn nodig is.

5. Output controleren
5.1 AI kan overtuigend fout zijn. Je bent zelf verantwoordelijk voor wat je met AI maakt.
5.2 Controleer feiten, cijfers, namen, citaten en bronnen voordat je iets gebruikt of verstuurt.
5.3 Een mens neemt beslissingen over sollicitanten, medewerkers en klanten. Die persoon beoordeelt zelf de feiten en mag van de AI-output afwijken.
5.4 Gebruik AI niet om sollicitanten te selecteren of prestaties te beoordelen zonder vooraf akkoord van [eigenaar]. Laat AI nooit de emoties van collega's afleiden.

6. Open zijn over AI
6.1 Deel, toon of publiceer je beeld, geluid of video die met AI is gemaakt of bewerkt en echt lijkt? Vermeld dan dat AI is gebruikt.
6.2 Tekst die met AI is gemaakt of bewerkt en die we publiceren om het publiek te informeren over zaken van algemeen belang, krijgt een AI-vermelding. Dat hoeft niet als een collega de tekst heeft gecontroleerd en [Bedrijfsnaam] er redactioneel verantwoordelijk voor is.
6.3 Vraagt een klant of je AI hebt gebruikt, of staat het in het contract, dan zeg je het eerlijk.

7. AI-geletterdheid
7.1 Iedereen die AI gebruikt, volgt binnen [een maand] na de start [de interne uitleg of training], en daarna [elk jaar] een opfrisser.
7.2 Wie AI gebruikt bij [personeelszaken of andere beslissingen over mensen], krijgt extra uitleg over de risico's.
7.3 [Eigenaar] houdt bij wie welke uitleg heeft gevolgd.

8. Fouten en incidenten melden
8.1 Heb je iets ingevoerd wat niet mocht, of heeft een fout van AI een klant bereikt? Meld het direct bij [naam, e-mailadres, telefoon].
8.2 Wie een fout zelf meldt, wordt daar niet op afgerekend.
8.3 [Eigenaar] volgt [onze datalekprocedure]: beperkt de schade, legt het incident vast en beoordeelt of het een datalek is. Zijn we voor deze gegevens verwerker voor een klant, dan informeren we die klant zonder onnodige vertraging, binnen [de termijn uit ons contract]. Zijn we verwerkingsverantwoordelijke, dan melden we een meldplichtig datalek zonder onnodige vertraging en zo mogelijk binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens, en waar nodig informeren we de betrokkenen.

9. Eigenaar en herziening
9.1 [Naam, functie] is eigenaar van dit beleid, beheert de toollijst in artikel 2 en beantwoordt vragen.
9.2 We herzien dit beleid elke [twaalf] maanden, en eerder bij een nieuwe tool, een wetswijziging of een incident.