AI-beleid: een voorbeeld van één pagina dat u vandaag kunt gebruiken

Waarom één pagina

Beleid dat niemand leest, beschermt niemand. De Autoriteit Persoonsgegevens publiceerde een handreiking en een hulpmiddel voor organisaties die generatieve AI gebruiken, en de kern daarvan is steeds dezelfde: weet welke gegevens erin gaan, bij wie, en kunt u dat aantonen. Dat vraagt om regels die een medewerker in twee minuten begrijpt. Zie AI-beleid opstellen voor de aanpak; dit artikel geeft de tekst.

Het voorbeeld

Vervang [organisatie], [eigen AI-omgeving] en [meldpunt] door uw eigen namen.

1. Doel en reikwijdte. Dit beleid geldt voor iedereen die voor [organisatie] werkt, ook inhuur en stagiairs, en voor elk gebruik van AI-tools voor het werk, op welk apparaat ook.
2. Toegestane tools. Voor werk met gegevens van cliënten, klanten, medewerkers of vertrouwelijke stukken gebruikt u uitsluitend [eigen AI-omgeving]. Publieke AI-diensten zijn alleen toegestaan voor openbaar materiaal, zoals een persbericht of een gepubliceerd rapport.
3. Wat nooit in een publieke AI-dienst gaat. Namen en contactgegevens van personen, dossiers, contracten, financiële gegevens, broncode, wachtwoorden, interne besluiten en alles wat onder een geheimhoudingsplicht valt.
4. Controle van uitvoer. AI-uitvoer is een concept. Wie het gebruikt, controleert de inhoud en de bronnen en blijft verantwoordelijk voor wat de deur uitgaat.
5. Besluiten over mensen. AI neemt geen besluit over een persoon: niet over aannemen, beoordelen, toekennen of weigeren. AI mag voorbereiden; een mens beslist en motiveert.
6. Transparantie. Waar een klant of cliënt met AI praat of een AI-tekst krijgt die niet is nagelezen, zeggen we dat.
7. Toegang en accounts. U gebruikt uw eigen werkaccount. Geen privé-accounts voor werk, geen gedeelde accounts, geen toegang tot bronnen die u voor uw functie niet nodig hebt.
8. Melden. Een fout antwoord dat gevolgen had, gegevens in een verkeerde tool of een vermoeden van manipulatie meldt u direct bij [meldpunt]. Melden heeft nooit nadelige gevolgen voor de melder.
9. Training. Iedereen volgt bij indiensttreding en bij elke nieuwe toepassing een korte instructie. Deelname wordt vastgelegd.
10. Beheer en herziening. [Functie] is eigenaar van dit beleid en van het AI-register. Het beleid wordt jaarlijks en bij elke nieuwe toepassing herzien. Datum laatste versie: [datum].

Zo past u het aan

• Beroepsgeheim. Advocaten, notarissen, accountants en zorgprofessionals voegen bij artikel 3 de eigen wettelijke plicht toe en verwijzen naar de regels van de beroepsorganisatie.
• Overheid. Voeg het algoritmeregister en de Woo toe: conceptversies zijn opvraagbaar, en toepassingen die inwoners raken staan in het register.
• Ondernemingsraad. Een AI-omgeving die gebruik per medewerker vastlegt, kan instemmingsplichtig zijn. Leg het beleid voor.
• Register. Artikel 10 verwijst naar een register van toepassingen. Zie Een AI-register opzetten.

Veelgemaakte fouten

• Verbieden zonder alternatief. Dan verhuist het gebruik naar de privételefoon. Zie Is ChatGPT AVG-proof? voor waarom een publieke tool het probleem is, en zorg eerst voor een eigen omgeving.
• Tien pagina’s. Hoe langer het beleid, hoe minder het wordt gelezen. Zet de details in een bijlage voor IT en de functionaris gegevensbescherming.
• Geen eigenaar. Beleid zonder naam eronder veroudert in een jaar.
• Geen melding. Zonder veilig meldpunt hoort u pas van een fout als een klant belt.

Hoe werqly hierin past

Artikel 2 van het voorbeeld werkt alleen als er een eigen omgeving is die minstens zo goed is als de publieke tools. werqly levert die: een eigen node met open-weight modellen, de eigen documenten als bron, rollen per team en een auditlog waarmee artikel 7 en 8 aantoonbaar worden.