AI-beleid opstellen: wat hoort erin en hoe krijgt u het nageleefd?

Waarom een AI-beleid nu nodig is

Medewerkers gebruiken AI, of de organisatie het regelt of niet. De Autoriteit Persoonsgegevens krijgt steeds meer meldingen van datalekken doordat persoonsgegevens in chatbots belanden. Zie Shadow AI. Daarnaast vraagt de AI Act dat u de AI-geletterdheid van uw medewerkers ondersteunt, en dat begint bij duidelijke afspraken. Een compleet voorbeeld van één pagina vindt u in AI-beleid: voorbeeld en sjabloon.

Een AI-beleid is geen verbodslijst. Het is de afspraak over hoe uw organisatie AI verantwoord inzet: wat mag, wat niet, en waarom. Het beschermt de organisatie, maar ook de medewerker die wil weten waar de grens ligt.

Wat hoort er in een AI-beleid? Tien onderdelen

1. Doel en reikwijdte. Voor wie geldt het (ook inhuur en stagiairs?) en voor welke AI (chatbots, AI in bestaande software, zelfgebouwde automatiseringen)?
2. Toegestane tools. Een lijst met goedgekeurde AI-omgevingen en waarvoor ze bedoeld zijn. Alles wat niet op de lijst staat, is niet toegestaan voor werk.
3. Dataklassen. Welke gegevens mogen in welke tool? Bijvoorbeeld: openbare informatie overal; interne informatie alleen in de goedgekeurde omgeving; persoonsgegevens, klantdossiers en bedrijfsgeheimen alleen in een omgeving die de organisatie niet verlaat.
4. Verboden gebruik. Bijvoorbeeld: geen beslissingen over personen die alleen op AI-uitvoer rusten, geen emotieherkenning, geen uploads naar privéaccounts.
5. Menselijke controle. Wie controleert AI-uitvoer voordat die naar een klant, rechter of patiënt gaat? AI maakt een concept; een mens is verantwoordelijk.
6. Transparantie. Wanneer vermeldt u dat iets met AI is gemaakt, en wanneer praat een klant met een chatbot?
7. AI-geletterdheid. Welke training krijgen medewerkers, en hoe houdt u die bij?
8. Incidenten. Wat doet iemand die per ongeluk gevoelige gegevens in een tool heeft gezet? Meld het, zonder schuldvraag: dan kunt u binnen 72 uur beoordelen of het een meldplichtig datalek is.
9. Rollen. Wie beheert de lijst met tools, wie beoordeelt nieuwe tools, wie is aanspreekpunt?
10. Evaluatie. AI verandert snel. Plan een vaste herziening, bijvoorbeeld elk halfjaar.

Zo stelt u het beleid op

• Begin bij het gebruik, niet bij de regels. Vraag teams waarvoor ze AI gebruiken of willen gebruiken. Het beleid moet die taken mogelijk maken, anders wordt het omzeild.
• Betrek de FG en de OR vroeg. De FG beoordeelt de gegevensverwerking; de OR heeft instemmingsrecht als er gegevens over gebruik worden vastgelegd die geschikt zijn om gedrag of prestaties te volgen. Zie Mag u de prompts van medewerkers inzien?
• Houd het kort. Twee pagina’s die gelezen worden, zijn meer waard dan twintig die in een map verdwijnen. Werk details uit in bijlagen per afdeling.
• Maak het concreet. “Geen vertrouwelijke gegevens” is vaag. “Geen klantnamen, BSN’s, dossiernummers of contractteksten in ChatGPT” is duidelijk. Waarom die regel nodig is, staat in ChatGPT en de AVG in uw organisatie.

Beleid alleen is niet genoeg: zorg dat het kan

Het meest voorkomende probleem met AI-beleid: het verbiedt iets zonder alternatief. Mag een medewerker geen klantgegevens in ChatGPT zetten, maar heeft hij geen andere manier om een klantdossier samen te vatten, dan wint de werkdruk het van het beleid.

Een beleid werkt als de techniek het ondersteunt:

• een goedgekeurde AI-omgeving waarin de meest gevraagde taken kunnen, ook met gevoelige gegevens;
• safeguards die patronen als BSN en IBAN tegenhouden, zodat een vergissing niet meteen een datalek is;
• blokkades op openbare AI-diensten, ingevoerd nadat het alternatief er is;
• logging, zodat u kunt aantonen dat het beleid werkt.

Met werqly draait die goedgekeurde omgeving op een eigen node in uw serverruimte. In werqly AI Control legt uw IT-afdeling per rol vast welke modellen en bronnen beschikbaar zijn en welke gegevens worden tegengehouden. Het beleid op papier en de instellingen in de omgeving zeggen dan hetzelfde. Meer over de keuze voor zo’n omgeving in Wat is private AI?