De meeste AI-beleidsstukken sneuvelen niet omdat ze juridisch rammelen. Ze sneuvelen omdat niemand ze leest. Hieronder staat wat erin hoort — en hoe u het zo schrijft dat het in het bedrijf werkelijk iets doet.
Drie dingen tegelijk: het moet medewerkers handelingsbekwaam maken, het bedrijf juridisch dekken en voor buitenstaanders navolgbaar zijn. De meeste concepten halen punt twee en drie en stranden op punt één.
Vuistregel: als een nieuwe collega het beleid in tien minuten leest en daarna weet wat zij mag, is het goed. Vindt zij vijftien pagina's juridisch proza, dan leest zij het niet — en dan hebt u een document, maar geen geleefde regel.
De incidentregel. Wat gebeurt er wanneer iemand per ongeluk klantgegevens in een openbare AI-tool heeft gezet? Zonder een heldere, angstvrije regeling meldt niemand dat — en u komt het nooit te weten.
Beproefde formulering: "Wie per ongeluk vertrouwelijke gegevens heeft ingevoerd, meldt dit onverwijld bij de AI-verantwoordelijke. Een onverwijlde eigen melding blijft arbeidsrechtelijk zonder gevolgen. Wij beoordelen vervolgens samen of er een meldplicht bestaat op grond van de privacywetgeving."
De tweede zin is de beslissende. Zonder die zin krijgt u geen meldingen — en zonder meldingen haalt u de 72-uurstermijn van artikel 33 AVG voor een melding bij de Autoriteit Persoonsgegevens niet.
Informatie geldt alleen als bedrijfsgeheim wanneer zij geheim is, daardoor handelswaarde heeft én is onderworpen aan redelijke maatregelen om haar geheim te houden. Dat is de eis van de Wet bescherming bedrijfsgeheimen, de Nederlandse uitvoering van EU-richtlijn 2016/943.
Belandt uw calculatie, broncode of klantenlijst in een openbare AI-tool en kunt u niet aantonen dat u instructies had gegeven, dan raakt u niet alleen de informatie kwijt — u raakt mogelijk de juridische status kwijt waarmee u haar zou kunnen terughalen. Een geschreven AI-beleid met een aantoonbare kennisneming is precies zo'n redelijke maatregel.
Dit argument staat los van de AI-verordening en geldt ook wanneer u vindt dat de rest u niet raakt. Het is in onze ervaring het argument waarmee directies over de streep gaan.
Daarnaast telt het beleid mee als organisatorische maatregel in de zin van artikel 32 AVG, en het is het document waarmee een bestuurder aantoont dat hij zijn taak behoorlijk heeft vervuld in de zin van artikel 2:9 BW. Drie sporen, één document.
Bestaat er een ondernemingsraad, dan is die in de regel te betrekken. Twee bepalingen zijn relevant:
Praktisch advies: betrek de OR vroeg en vrijwillig, ook waar het niet zou hoeven. Een samen ontwikkeld beleid wordt gedragen; een opgelegd beleid wordt omzeild. Bij grotere invoeringen is een schriftelijke afspraak met de OR de nettere weg.
Een beleid dat per mail wordt rondgestuurd, is dood. Wat wel werkt:
Elke wijziging krijgt een versienummer en een datum, elke versie wordt gearchiveerd in plaats van overschreven, en elke relevante wijziging wordt gecommuniceerd — met vastgelegde kennisneming.
Want een toetser vraagt niet: "Hebt u een beleid?" Hij vraagt: "Waaraan zie ik dat uw mensen de actuele versie kennen?" Dat is de vraag waarop de meesten stranden.
Kort houden is een inhoudelijke keuze, geen luiheid. Deze onderdelen komen vaak voor en horen er meestal niet in:
De labelregel uit onderdeel 5 heeft materiaal nodig: gratis Nederlandstalige AI-labels om te downloaden staan hier klaar, in een lichte en een donkere versie. En als u wilt weten welke van de negen onderdelen bij u al staan: de gratis quick-check loopt ze in twee minuten langs. Pas daarna is het tarievenoverzicht interessant — en voor een deel van de bedrijven is dat het nooit.
Niet uitdrukkelijk. Het is wel de meest werkbare manier om de plichten uit artikel 4 en artikel 50 uit te voeren en aan te tonen — en het telt tegelijk als redelijke maatregel in de zin van de Wet bescherming bedrijfsgeheimen en als organisatorische maatregel in de zin van artikel 32 AVG.
In de regel wel. Artikel 27 WOR geeft de ondernemingsraad instemmingsrecht bij onder meer regelingen over personeelsbeoordeling, personeelsvolgsystemen en de verwerking van persoonsgegevens van werknemers. Een AI-beleid raakt dat snel. Zonder instemming is zo'n regeling nietig. Bij een belangrijke technologische invoering geldt daarnaast het adviesrecht van artikel 25 WOR.
Zo kort dat het in tien minuten wordt gelezen. Twee tot vier pagina's volstaan voor de meeste bedrijven, mits concreet geformuleerd.
Er zijn er twee: abstracte formuleringen als gevoelige gegevens zonder voorbeelden uit het eigen bedrijf — en het ontbreken van een angstvrije incidentmelding. Zonder die laatste hoort u nooit van fouten, en dan haalt u de 72-uurstermijn van artikel 33 AVG niet.
Dat moet het wel. Artikel 4 van de AI-verordening noemt uitdrukkelijk personen die namens u met AI-systemen werken. Neem het toepassingsbereik in onderdeel 1 zo op dat externen eronder vallen, en verwijs er in uw opdrachtvoorwaarden naar.
De gratis quick-check loopt tien punten langs — AI-register, trainingsstand, transparantieplichten, verantwoordelijkheden. In twee minuten, zonder aanmelding, met een eerlijk resultaat en uw concrete hiaten.
Quick-check starten — gratis