AI Beleid voor Bedrijven: GDPR-compliant Starten met AI

België staat derde in Europa voor AI-adoptie. Eurostat-data toont dat 24,7% van de Belgische bedrijven minstens één AI-toepassing gebruikt. Het EU-gemiddelde is 13,5%. Tussen 2024 en 2025 groeide AI-adoptie bij Belgische bedrijven met 80% in één jaar.

Dat klinkt als goed nieuws. Het is ook een waarschuwing. Snelle adoptie zonder beleid creëert risico's: medewerkers die klantdata in persoonlijke AI-accounts invoeren, hallucinaties die als feit worden gepubliceerd, en high-risk toepassingen die onbewust buiten de EU AI Act vallen.

Een goed AI-beleid is geen beletsel voor productiviteitswinst. Het is de voorwaarde ervoor.

De meest gemaakte fout: shadow AI

Voordat we het hebben over wat uw beleid moet bevatten, de meest urgente kwestie: shadow AI.

Shadow AI zijn de AI-tools die medewerkers al gebruiken, vaak op persoonlijke accounts, buiten het gezichtsveld van IT of management. De realiteit in de meeste Belgische bedrijven: meer medewerkers gebruiken al AI-tools dan het management denkt. En een significant deel van hen doet dat op hun privé ChatGPT-, Claude- of Gemini-account.

Een financieel medewerker die een salarisoverzicht in zijn persoonlijke ChatGPT Plus plakt, heeft mogelijk een GDPR-overtreding begaan. Een salesmanager die klantdata in een gratis AI-tool invoert om een offerte te schrijven, schiet tekort in zijn verwerkingsverplichtingen.

De oplossing is niet strenger verbieden. De oplossing is policy plus training: duidelijke afspraken over welke tools op welk niveau zijn toegestaan, gecombineerd met uitleg waarom het verschil uitmaakt.

Consumer versus enterprise: het cruciale onderscheid

Het meest misverstane aspect van AI-gebruik in bedrijven is het verschil tussen consumenten- en zakelijke abonnementen.

Consumentenplannen (Free, Plus, Pro bij OpenAI / Anthropic / Google)

• Ontworpen voor persoonlijk gebruik.
• Data kan standaard worden gebruikt voor modeltraining.
• Geen Data Processing Agreements (DPA's) beschikbaar.
• EU-dataresidentie is niet gegarandeerd.
• Geen beheerderscontroles voor databeheer.

Conclusie: Niet geschikt voor het verwerken van klantdata, personeelsinformatie of vertrouwelijke bedrijfsdata.

Zakelijke/enterprise plannen

• Data wordt standaard niet gebruikt voor training van basismodellen.
• DPA's zijn beschikbaar.
• EU-dataresidentie is configureerbaar.
• Beheerderscontroles voor dataretentie en governance.
• Prompts en antwoorden zijn auditeerbaar.

Microsoft M365 Copilot heeft de sterkste GDPR-positie: data blijft binnen de Microsoft 365-beveiligingsgrens, EU-dataresidentie is beschikbaar, en de bestaande Microsoft-compliance-tools (Purview, auditlogs, eDiscovery) dekken ook Copilot-interacties.

ChatGPT Team en Enterprise: inputs en outputs worden niet gebruikt voor training. DPA beschikbaar voor enterprise-klanten. EU-dataresidentie: OpenAI heeft verbintenissen gedaan, maar implementatie is minder ver dan bij Microsoft.

Claude Enterprise: inputs en outputs worden niet gebruikt voor training op commerciële plannen. Aanpasbare retentieperioden. DPA beschikbaar.

Gemini for Google Workspace: enterprise-prompts worden niet gebruikt voor training. Sterke dataresidentiecontroles via Google Workspace Admin.

De 8 bouwstenen van een werkbaar AI-beleid

U hebt geen lijvig governancedocument nodig. U hebt een duidelijke, praktische policy nodig die medewerkers begrijpen en naleven.

1. Acceptabel gebruiksverklaring

Definieer concreet wat medewerkers wel en niet mogen doen met AI-tools.

Toegestaan:

• Interne documenten en communicatie opstellen
• Notulen van vergaderingen samenvatten
• Eerste versies van marketingcontent maken (met menselijke review voor publicatie)
• Research en competitive intelligence (bronnen verifiëren)
• Code schrijven en debuggen

Niet toegestaan:

• Persoonlijk identificeerbare informatie van klanten of medewerkers invoeren in consumententools
• Vertrouwelijke bedrijfsinformatie (financiële data, M&A-details, handelsgeheimen) invoeren in consumententools
• AI-gegenereerde output als eindproduct indienen zonder review
• AI gebruiken voor geautomatiseerde beslissingen over medewerkers of klanten zonder gedocumenteerd toezicht

2. Lijst van goedgekeurde tools

Specificeer welke tools zijn goedgekeurd en op welk abonnementsniveau. Het verschil tussen ChatGPT Free en ChatGPT Team is geen detail, het is een fundamenteel verschil in dataverwerkingsregime.

Voorbeeld raamwerk:

• Goedgekeurd voor algemeen gebruik: [tools op goedgekeurde subscription-niveaus]
• Goedgekeurd met beperkingen: [tools die enkel voor specifieke, niet-gevoelige doeleinden mogen]
• Niet goedgekeurd: consumenentools voor bedrijfsdata; niet-goedgekeurde derde-partijintegraties

3. Dataclassificatie voor AI-gebruik

Koppel uw datacategorieën aan AI-toolpermissies:

4. Menselijke reviewvereisten

Specificeer welke output altijd menselijke controle vereist vooraleer ze wordt gebruikt:

• Alle klantgerichte communicatie: review vereist.
• Alle juridische en compliance-documenten: expertreview vereist.
• Alle content over met naam genoemde personen: review vereist.
• Financiële data en berekeningen: onafhankelijk verifiëren.
• HR-beslissingen: menselijke beslisser vereist, AI mag enkel ondersteunen.

5. Transparantieregels

Wanneer moet AI-assistentie worden vermeld? Uw organisatie beslist, maar leg het vast:

• Klantopleverwaar: intern te definiëren (transparantie bouwt vertrouwen).
• Gepubliceerde content: volg platform- of publicatieregels.
• Regulatoire indieningen: controleer de geldende regels.
• CV-screening en HR: verplichte vermelding aan kandidaten onder EU AI Act voor high-risk toepassingen.

6. Governance en eigenaarschap

Benoem een AI-contactpersoon (dat kan de DPO zijn, de IT-manager of een aangewezen manager bij kleine bedrijven). Verantwoordelijkheden:

• Goedgekeurde toollijst beheren.
• Vragen over toegestaan gebruik beantwoorden.
• Shadow AI-gebruik monitoren.
• Policy actualiseren naarmate tools en regelgeving evolueren.

7. Opleidingsvereiste

Definieer minimale AI-geletterdheideisen voor medewerkers die AI-tools gebruiken. Dit is geen nice-to-have. De EU AI Act verplicht expliciet dat medewerkers "voldoende AI-geletterdheid" hebben om hun AI-gerelateerde verantwoordelijkheden uit te voeren. Dat is een wettelijke verplichting.

8. Incidentrespons

Definieer wat medewerkers doen wanneer ze beseffen dat ze gevoelige data in een niet-goedgekeurd AI-systeem hebben ingevoerd, of wanneer AI-gegenereerde content fouten bevat die werden gepubliceerd. Vroege detectie en correctie is altijd beter dan latere ontdekking.

De EU AI Act: wat u moet weten vóór augustus 2026

De EU AI Act is in werking getreden in augustus 2024. Volledige handhaving voor high-risk AI-systemen begint in augustus 2026. Dat is over zes maanden.

Wat al van kracht is (februari 2025)

Verboden toepassingen:

• Sociaal scoren van personen.
• Realtime biometrische surveillance in publieke ruimten.
• Manipulatieve AI gericht op kwetsbaarheden.
• Subliminale technieken om gedrag te beïnvloeden.

De meeste standaard business AI-tools (ChatGPT, Claude, Gemini voor het opstellen van documenten) vallen niet in deze categorieën.

High-risk AI: volledige compliance vereist per augustus 2026

Dit zijn de toepassingen die een gedocumenteerd risicobeheersysteem, transparantie naar betrokkenen en menselijk toezicht vereisen:

• CV-screening en selectie van kandidaten.
• Beoordeling van medewerkersprestaties.
• Kredietscoring en risicobeoordeling voor verzekeringen.
• Biometrische categorisering.

Als uw bedrijf AI gebruikt voor een van deze doeleinden, hebt u specifieke compliance-maatregelen nodig vóór augustus 2026.

Wat kmo's nu moeten doen

1. Catalogiseer welke AI-tools in gebruik zijn over de organisatie.
2. Identificeer welke toepassingen high-risk categorieën raken (HR-selectie, kredietbeoordeling).
3. Zorg voor aantoonbaar menselijk toezicht bij high-risk toepassingen.
4. Documenteer welke AI-tools worden ingezet en voor welke doeleinden.
5. Train medewerkers over wat high-risk gebruik betekent in hun context.

Praktisch implementatiepad voor een kmo

Fase 1: Audit (maand 1)

Bevraaag medewerkers over welke AI-tools ze al gebruiken. Het antwoord is bijna altijd "meer dan u denkt." Identificeer shadow AI-gebruik. Straf vroege adopteerders niet: zij beschikken over organisatiekennis die waardevolle input is voor uw policy.

Fase 2: Beleid (maand 2-3)

Stel een éénpagina acceptabel-gebruiksbeleid op. Laat het nalezen door uw DPO of juridisch adviseur. Publiceer intern. Beleid dat mensen niet lezen, werkt niet: houd het kort, concreet en praktisch.

Fase 3: Opleiding (maand 3-6)

Organiseer praktische trainingen over: wat zijn deze tools werkelijk, hoe ze effectief gebruiken, wat u er niet in stopt, en hoe u output verifieert. Dit is geen eenmalige oefening. De toolmarkt evolueert elke drie tot zes maanden.

Fase 4: Doorlopende review

AI-beleid is een levend document. Plan kwartaalreviews om nieuwe tools, nieuwe capaciteiten en nieuwe regelgeving te verwerken.

De kosten van geen beleid hebben

Geen beleid hebben is ook een keuze, met concrete risico's:

• GDPR-inbreuken door shadow AI: boetes tot 4% van de wereldwijde jaaromzet.
• Reputatieschade wanneer klantdata onbedoeld in een AI-model terechtkomt.
• Juridische aansprakelijkheid als AI-gegenereerde foutieve informatie over personen wordt gepubliceerd.
• EU AI Act-non-compliance voor high-risk toepassingen: mogelijke schorsing van die toepassingen per augustus 2026.
• Verlies van vertrouwen van klanten en medewerkers wanneer AI-incidenten intern slecht worden behandeld.

De kosten van een goed beleid zijn laag. De kosten van geen beleid kunnen hoog uitvallen.

Hoe KennisLab helpt

KennisLab begeleidt Belgische kmo's bij het opzetten van een werkbaar AI-beleid én de bijhorende opleiding. Dat combineert:

• Een AI-audit om het huidige gebruik in kaart te brengen.
• Een policy-raamwerk aangepast aan uw sector en grootte.
• Praktische training voor medewerkers op basis van echte use cases.
• Een governance-structuur die proportioneel is aan uw organisatie.

Begin met de AI Readiness Scan om te zien hoe uw organisatie scoort op AI-gereedheid en compliance-basis.

Of boek een gratis intake gesprek via kennislab.be/#contact. We bespreken samen uw huidige AI-gebruik, de risico's die u vandaag loopt, en een realistisch plan om GDPR-compliant en EU AI Act-proof te werken.

De deadline van augustus 2026 nadert. Het juiste moment om te starten is nu.