AI-gebruiksrichtlijn voor personeel: wat staat erin en is het verplicht?

Waarom een AI-gebruiksrichtlijn?

Het komt regelmatig voor dat medewerkers zelf ChatGPT, Copilot of Gemini gebruiken om sneller te werken, zonder dat de werkgever daar afspraken over heeft gemaakt. Dat is begrijpelijk, maar het brengt risico's mee: klantgegevens die in een chatbot belanden, vertrouwelijke informatie die naar buiten gaat, en AI-uitkomsten die ongecontroleerd worden doorgestuurd naar klanten. Jij bent daar als ondernemer verantwoordelijk voor, niet de medewerker of de AI-aanbieder.

Met een AI-gebruiksrichtlijn leg je vast hoe medewerkers AI mogen gebruiken, onder welke voorwaarden en met welke beperkingen. Zo weet iedereen waar hij aan toe is.

Wat staat er in een AI-gebruiksrichtlijn?

Een goede richtlijn is kort, concreet en afgestemd op jouw bedrijf. Meestal komen deze onderwerpen aan bod:

• Toegestane tools en accounts: welke AI-tools mogen worden gebruikt, en alleen via zakelijke accounts of ook privé.
• Gegevens: welke informatie nooit in een AI-tool mag, zoals persoonsgegevens, klantdossiers en bedrijfsgeheimen.
• Controle van uitkomsten: AI kan fouten maken, dus een medewerker blijft verantwoordelijk voor wat hij gebruikt of verstuurt.
• Transparantie: wanneer je klanten of bezoekers moet laten weten dat AI is gebruikt.
• Vertrouwelijkheid en rechten: hoe je omgaat met geheimhoudingsafspraken en met de rechten op AI-gemaakte teksten en beelden.
• Aanspreekpunt en incidenten: bij wie medewerkers terecht kunnen met vragen en wat ze doen bij een vermoedelijk datalek.
• Gevolgen bij schending: wat er gebeurt als medewerkers zich niet aan de regels houden.

Is een AI-gebruiksrichtlijn verplicht?

Een AI-gebruiksrichtlijn is niet als los document wettelijk verplicht. Toch zijn er twee wettelijke redenen om er een te hebben. Verwerken je medewerkers persoonsgegevens met AI, dan moet je onder de AVG passende technische en organisatorische maatregelen treffen. Daarnaast geldt sinds 2 februari 2025 de AI-geletterdheidsplicht uit artikel 4 van de AI Act. Sinds de Digital Omnibus (in werking sinds 27 juli 2026) is die plicht versoepeld tot het ondersteunen van AI-geletterdheid, maar hij is niet verdwenen. Een richtlijn, gecombineerd met uitleg aan je team, is de meest praktische manier om dit te laten zien.

Hoe maak je de richtlijn van toepassing?

Een richtlijn die in een la ligt, helpt niemand. Zorg dat medewerkers de richtlijn ontvangen, laat hen de ontvangst bevestigen en verwijs ernaar in je arbeidsovereenkomst of personeelshandboek. Heb je een ondernemingsraad, dan kan instemming nodig zijn wanneer de richtlijn regels bevat over het controleren van medewerkers of het verwerken van hun gegevens. Laat dit bij twijfel vooraf controleren.

Werk je ook met freelancers of zzp'ers? Zij zijn niet automatisch gebonden aan je interne regels. Neem de afspraken dan op in de opdrachtovereenkomst.

Werkt een voorbeeld van internet ook?

Een voorbeeld is een handig startpunt om te zien welke onderwerpen bij een richtlijn horen, maar het is zelden voldoende. Welke tools je gebruikt, welke gegevens je verwerkt en welke afspraken je met klanten hebt, verschilt per bedrijf. Een richtlijn die niet past bij jouw situatie biedt schijnzekerheid.

Verder lezen

Bekijk het overzicht van wat je moet regelen als je AI gebruikt in je bedrijf. Heb je zelf al een richtlijn of ander document met AI laten opstellen? Lees dan hoe je een AI-document laat controleren door een jurist.