in het kort
- Je team gebruikt AI al, vaak buiten jouw zicht. Een AI-beleid geeft je weer grip zonder dat je het verbiedt.
- Vijf afspraken zijn genoeg: welke tools, welke gegevens, voor welk werk, wie controleert en wie eigenaar is.
- Deel gegevens in met groen, oranje en rood. Twijfel je, dan geldt rood.
- Maak het beleid samen met je team en koppel het aan training en ingerichte tools, anders blijft het een document in de la.
Je weet dat je team AI gebruikt. Alleen weet je niet precies welke tools, voor welk werk en met welke klantgegevens. Is de offerte die vanmorgen de deur uitging even door een gratis chatbot gehaald? En die klantmail met het hele dossier eronder? Zoek je naar een AI-beleid voor het mkb, dan vind je vooral juridische checklists. Handig, maar ze beantwoorden niet de vraag die jij hebt: wat mag mijn team morgen wel en niet doen met AI?
Daar gaat dit artikel over. Geen dik document voor de la, maar vijf afspraken die op één A4 passen en die je team ook echt gebruikt. Wij zijn Potentify, een merk- en AI-partner voor het mkb (5 tot 100 medewerkers), en dit is de aanpak die we hanteren als we naast een team AI inrichten.
Waarom heeft je mkb-bedrijf nu al een AI-beleid nodig?
Omdat je team niet wacht tot jij er klaar voor bent. Medewerkers die ontdekken hoe snel een chatbot een verslag samenvat, gaan dat gewoon doen, vaak met een privéaccount en buiten jouw zicht. Dat heet schaduw-AI: AI-gebruik waar de leiding geen weet van heeft en dus ook geen grip op.
Dat is geen onwil. Het laat juist zien dat je mensen tijd willen winnen. Het probleem zit in wat er onderweg gebeurt: klantgegevens die in een tool belanden waarvan niemand weet wat hij met die data doet, teksten die zonder controle naar buiten gaan en collega’s die allemaal hun eigen werkwijze bedenken. Zo kost AI je tijd in plaats van dat het tijd oplevert.
Er speelt ook iets wettelijks. Sinds februari 2025 vraagt de Europese AI-verordening (de AI Act) van organisaties die AI inzetten dat hun mensen voldoende AI-geletterd zijn: ze moeten snappen wat de systemen doen en waar de risico’s zitten. De Europese Commissie legt in haar vragen en antwoorden over AI-geletterdheid uit wat dat betekent, en de Autoriteit Persoonsgegevens doet hetzelfde op haar pagina over AI-geletterdheid onder de AI Act. Wil je weten wat er verder op je afkomt, dan geeft deze checklist over de AI Act voor het mkb een goed overzicht. Een helder AI-beleid is de eenvoudigste manier om te laten zien dat je dit serieus neemt.
Wat is een AI-beleid voor het mkb precies?
Een AI-beleid is een korte set afspraken over welke AI je organisatie gebruikt, met welke gegevens, voor welk werk en wie daarover beslist. Voor een mkb-bedrijf hoeft het geen juridisch stuk te zijn. Het werkt het best als een werkafspraak die iedereen in vijf minuten leest en snapt.
Het verschil met een privacyverklaring of een ICT-reglement: een AI-beleid gaat over gedrag in het dagelijkse werk. Mag ik een klantofferte laten herschrijven? Mag ik AI een sollicitatiebrief laten beoordelen? Moet iemand meelezen voordat een AI-tekst naar de klant gaat? Dat soort vragen beantwoord je ermee.
Wat het niet is: een verbod. Wie AI dichttimmert, krijgt meer schaduw-AI, niet minder. Mensen blijven het gebruiken, ze praten er alleen niet meer over.
Hoe schrijf je een AI-beleid voor je mkb-bedrijf in vijf afspraken?
Begin bij het werk en niet bij de wet. Deze vijf afspraken dekken in de praktijk de meeste vragen die een team heeft.
1. Welke tools zijn toegestaan
Maak een korte lijst van goedgekeurde tools, met per tool het type account. Een zakelijk account waarin je hebt geregeld dat jouw invoer niet wordt gebruikt om het model te trainen, is iets heel anders dan een gratis privéaccount. Staat een tool niet op de lijst, dan is de afspraak simpel: eerst even vragen. Zo houd je overzicht zonder dat je elke nieuwe app hoeft te verbieden.
2. Welke gegevens erin mogen
Hier gaan de meeste zorgen over, en terecht. Werk met drie kleuren, dat onthoudt iedereen:
- Groen: openbare informatie en eigen teksten zonder namen. Mag in elke goedgekeurde tool.
- Oranje: interne informatie zoals werkprocessen, offertesjablonen en planningen. Alleen in zakelijke accounts.
- Rood: persoonsgegevens van klanten en medewerkers, medische of financiële dossiers en contracten. Niet in algemene AI-tools, tenzij een tool daar specifiek voor is ingericht en je de AVG-kant goed geregeld hebt.
Twijfel je, dan geldt rood. Dat ene zinnetje voorkomt meer gedoe dan een pagina juridische tekst.
3. Voor welk werk je AI inzet
Benoem waar AI je team helpt: eerste versies van teksten, samenvattingen van overleggen, structuur in notities, onderzoek voorbereiden. Benoem ook waar je het niet wilt, bijvoorbeeld bij beslissingen over mensen zoals het beoordelen van sollicitanten, of bij adviezen die zonder controle naar een klant gaan. Hier geldt onze vaste lijn: AI doet het voorwerk, jij beslist.
4. Wie controleert wat naar buiten gaat
Alles wat met AI is gemaakt en naar een klant, kandidaat of de buitenwereld gaat, leest een collega eerst kritisch na. Klopt het, past het bij je merk, staan er geen verzonnen feiten in? AI klinkt overtuigend, ook als het ernaast zit. Spreek ook af wanneer je open bent over AI-gebruik. Voor bepaalde content gelden onder de AI Act transparantieverplichtingen, die de Europese Commissie toelicht in haar uitleg over de transparantieregels uit artikel 50. Een openbare AI-verklaring zoals die van Potentify laat klanten zien hoe jij ermee omgaat.
5. Wie eigenaar is en hoe vaak je bijstuurt
Wijs één persoon aan die het beleid beheert, nieuwe tools beoordeelt en vragen beantwoordt. Dat hoeft geen specialist te zijn, wel iemand die dicht op het werk zit en het overzicht houdt. Spreek af dat je het beleid elk kwartaal opnieuw bekijkt. AI verandert snel, en een beleid van een jaar oud klopt vaak al niet meer.
Hoe zorg je dat je team zich aan het AI-beleid houdt?
Door het beleid samen met je team te maken en het meteen te koppelen aan het werk. Een document dat jij alleen schrijft en rondmailt, wordt gelezen, geknikt en vergeten.
Wat wel werkt: haal een paar collega’s die al veel met AI doen aan tafel en vraag wat ze nu gebruiken en waarvoor. Je krijgt dan een eerlijk beeld van de schaduw-AI, zonder dat iemand zich betrapt voelt. Laat daarna zien hoe het goed kan. In een korte sessie op jullie eigen processen leert je team welke tool bij welke taak past en waar de grenzen liggen, en daarmee werk je meteen aan de AI-geletterdheid die de AI Act vraagt. In onze AI-training voor het mkb op je eigen processen doen we precies dat.
Maak het ook makkelijk om het goed te doen. Zorg dat de goedgekeurde tools gewoon klaarstaan, met een zakelijk account en een paar beproefde prompts voor terugkerend werk. Als de veilige weg ook de snelste weg is, hoef je weinig te handhaven.
Waar gaat het mis bij een AI-beleid in het mkb?
Drie valkuilen komen vaak voorbij, en ze zijn alle drie te voorkomen.
De eerste is een beleid dat te dik is. Twintig pagina’s juridische taal leest niemand, dus dan werkt het ook niet. Houd het bij één A4 en verwijs voor de details naar je privacybeleid.
De tweede is een beleid zonder tools. Je verbiedt de gratis chatbot, maar biedt niets in de plaats. Het werk gaat dan gewoon door, alleen nu stiekem.
De derde is beleid als eindpunt. Afspraken regelen wat mag, maar AI levert pas echt iets op als het in je werkprocessen zit. Hoe je dat aanpakt, lees je in waarom AI pas interessant wordt als het onderdeel is van je werkproces. En geef je AI ooit zelfstandige taken, als agent die zelf acties uitvoert, dan heb je strakkere afspraken nodig over rollen, rechten en checks voor AI-agents.
Hoe pakt Potentify een AI-beleid aan?
Bij Potentify is een AI-beleid nooit een los document. Het hoort bij hoe je organisatie werkt, en daarom zit het in onze vaste aanpak IPIVA: Identiteit, Processen, Integratie, Vanzelf, Adoptie. We beginnen bij je merk en je doelen, want wat bij jouw bedrijf past bepaalt ook wat je wel en niet aan AI overlaat. Daarna kijken we naar de processen waar AI de meeste tijd terugwint, en pas dan leggen we de afspraken vast. Hoe die vijf stappen in elkaar grijpen, lees je in ipiva: het stappenplan voor ai in je mkb-bedrijf.
Met De coach maak je het beleid samen met ons en houd je zelf de regie. Met De bouwer richten we de goedgekeurde tools ook echt in, met je merk en werkwijze als context. Met De beheerder sturen we maandelijks bij, rapporteren we over gebruik en tijdwinst en begeleiden we nieuwe medewerkers, zodat het beleid niet veroudert zodra het af is. Hoe beleid, processen en mensen samenkomen, zie je op onze pagina over je organisatie inrichten op AI.
Wat levert een goed AI-beleid je op?
Vooral rust. Je weet weer wat er met je klantgegevens gebeurt, en je team weet waar het aan toe is. Mensen durven AI daardoor juist vaker te gebruiken, omdat de grenzen helder zijn. Het gesprek verschuift van ‘mag dit eigenlijk wel?’ naar ‘waar kunnen we nog meer tijd winnen?’. Dat is het moment waarop los gerommel met tools verandert in een organisatie die slim met AI werkt.
Je praktische huiswerk voor deze week: vraag je team welke AI ze gebruiken, schrijf de drie kleuren voor gegevens op en wijs één eigenaar aan. Dan staat de helft van je beleid er al.
Wil je weten waar jouw team nu al met AI werkt, welke afspraken als eerste nodig zijn en waar de meeste tijdwinst zit? Doe de quickscan via onze AI-scan voor het mkb en je weet waar je begint.
veelgestelde vragen
Wat moet er in een AI-beleid voor een mkb-bedrijf staan?
Een AI-beleid voor een mkb-bedrijf bevat vijf afspraken: welke AI-tools zijn toegestaan en met welk type account, welke gegevens je wel en niet in die tools zet, voor welk werk je AI inzet en waar niet, wie controleert wat er naar klanten en de buitenwereld gaat, en wie eigenaar is van het beleid. Houd het bij één A4 in gewone taal, zodat iedereen het in een paar minuten leest en begrijpt.
Waarom heeft een klein bedrijf een AI-beleid nodig?
Een klein bedrijf heeft een AI-beleid nodig omdat medewerkers AI vaak al zelf gebruiken, met privéaccounts en buiten het zicht van de leiding. Zonder afspraken belanden klantgegevens in tools waarvan niemand weet wat ze met die data doen en gaan teksten ongecontroleerd naar buiten. Sinds februari 2025 vraagt de Europese AI-verordening ook dat organisaties die AI inzetten zorgen voor voldoende AI-geletterdheid bij hun mensen. Een helder beleid regelt dat op een eenvoudige manier.
Wie is verantwoordelijk voor het AI-beleid in een mkb-bedrijf?
De directeur of eigenaar blijft eindverantwoordelijk voor het AI-beleid, maar het dagelijkse beheer leg je bij één vaste eigenaar binnen het team. Die persoon beoordeelt nieuwe tools, beantwoordt vragen en bekijkt het beleid elk kwartaal opnieuw. Het hoeft geen AI-specialist te zijn, wel iemand die dicht op het werk zit en het overzicht houdt.
Hoe voorkom je dat medewerkers klantgegevens in AI-tools zetten?
Je voorkomt dat medewerkers klantgegevens in AI-tools zetten door gegevens in te delen in drie kleuren. Groen is openbare informatie en mag in elke goedgekeurde tool, oranje is interne informatie en mag alleen in zakelijke accounts, rood zijn persoonsgegevens en gevoelige dossiers die niet in algemene AI-tools horen. Spreek af dat bij twijfel rood geldt, en zorg dat de goedgekeurde tools gewoon klaarstaan, zodat de veilige weg ook de snelste is.
arthur wensveen
Oprichter van Potentify. Werkte vijftien jaar als ondernemer en begeleidt mkb-bedrijven bij hun merk en bij AI die meewerkt.
volg Arthur op LinkedIn(opent in een nieuw tabblad)
