AI-beleid voor het MKB: welke AI-tools mag je team gebruiken?

Vraag op de werkvloer wie er weleens ChatGPT gebruikt en de kans is groot dat er meer handen omhoog gaan dan je had verwacht. Een offerte herschrijven, een lastige mail opstellen, een Excel-formule laten uitleggen. Handig en meestal goed bedoeld. Maar weet jij welke bedrijfsinformatie er in die chatvensters terechtkomt?

Een AI-beleid voor het mkb hoeft geen dik document te zijn, als het maar duidelijk maakt wat wel en niet kan.

Zweden trekt een duidelijke grens

Op 23 oktober meldde Security.NL, op basis van berichtgeving van de Zweedse publieke omroep, dat de Zweedse overheid haar ambtenaren verbiedt om ChatGPT en Claude te gebruiken. Vanaf werksystemen zijn die chatbots niet meer bereikbaar. Ambtenaren mogen alleen nog goedgekeurde AI-tools gebruiken, zoals Microsoft Copilot. De aanleiding was een interne controle die gevallen vond waarin gevoelige informatie met AI-tools werd gedeeld en waarin diensten zonder afspraken werden gebruikt.

Een overheid is geen bedrijf van veertig medewerkers in Kampen. Toch is de vraag die Zweden beantwoordt precies dezelfde vraag die in jouw organisatie speelt: welke AI-tools gebruiken we, en wat stoppen we erin?

Het risico zit niet in AI, maar in ongezien gebruik

We noemen het schaduw-AI: medewerkers gebruiken AI-tools die de organisatie zelf niet heeft gekozen en waar niemand zicht op heeft. Dat gebeurt zelden met kwade bedoelingen. Iemand plakt een klantenlijst in een gratis chatbot om er snel een overzicht van te maken, en daarmee staat die lijst bij een partij waar jij geen afspraken mee hebt.

Bij gratis versies van AI-diensten kan wat je invoert, afhankelijk van de dienst en de instellingen, ook gebruikt worden om het model verder te trainen. Gaat het om persoonsgegevens, dan heb je bovendien te maken met de AVG, de privacywet die bepaalt hoe je met gegevens van klanten en medewerkers omgaat. En in productie, logistiek of de voedingsmiddelenbranche gaat het al snel over recepturen, tekeningen of prijsafspraken met afnemers. Informatie die je liever niet buiten de deur hebt.

Alleen verbieden werkt zelden

Zet je alles dicht, dan zoeken mensen een omweg via hun privételefoon en ben je het zicht helemaal kwijt. Zweden doet daarom twee dingen tegelijk: het verbiedt bepaalde tools en wijst een goedgekeurd alternatief aan. Dat is ook voor het mkb de verstandigste route.

Werk je al met Microsoft 365, dan kun je met Copilot Chat via je werkaccount AI gebruiken binnen de afspraken van je eigen Microsoft-omgeving, in plaats van via een los privéaccount.

Een AI-beleid in vijf afspraken

1. Welke tools wel. Noem de AI-tools die je team mag gebruiken, en via welk account. Een werkaccount is iets anders dan een privéaccount met een zakelijk mailadres.

2. Welke gegevens nooit. Maak concreet wat er niet in een AI-tool hoort: persoonsgegevens, klant- en leveranciersgegevens, financiële cijfers en bedrijfsgeheimen zoals recepturen of tekeningen.

3. Wie de uitkomst controleert. Wat AI schrijft is een concept. Een medewerker blijft verantwoordelijk voor wat er naar een klant gaat.

4. Wie over nieuwe tools beslist. Spreek af bij wie iemand terechtkan met een nieuwe tool. Veel AI-apps vragen toegang tot je mailbox of bestanden, en daar wil je overzicht over houden. Lees ook ons artikel over apps met toegang tot Microsoft 365.

5. Hoe je het uitlegt. Een korte uitleg in het werkoverleg doet meer dan een document dat niemand leest. Vertel waarom de afspraken er zijn, dan worden ze beter nageleefd.

Vijf vragen om morgen te stellen

Welke AI-tools gebruiken mijn collega’s nu, ook op hun telefoon?
Gebruiken ze daarvoor een werkaccount of een privéaccount?
Is er weleens klant- of persoonsinformatie in een AI-tool geplakt?
Hebben we een goedgekeurd alternatief dat net zo makkelijk werkt?
Wie is bij ons het aanspreekpunt voor vragen over AI?

Veelgestelde vragen

Wat is een AI-beleid?

Een AI-beleid is een set afspraken binnen een organisatie over het gebruik van AI-tools zoals ChatGPT of Microsoft Copilot. Het legt vast welke tools medewerkers mogen gebruiken, welke gegevens daar niet in mogen en wie verantwoordelijk is voor de uitkomst.

Heeft een mkb-bedrijf een AI-beleid nodig?

Ja, zodra medewerkers AI-tools gebruiken, en dat gebeurt in de meeste bedrijven al. Zonder afspraken weet je niet welke bedrijfsinformatie bij externe AI-diensten terechtkomt. Een AI-beleid voor het mkb kan kort zijn: een A4 met duidelijke afspraken is vaak genoeg.

Is een AI-beleid verplicht?

Een geschreven AI-beleid is niet als zodanig wettelijk verplicht. Wel geldt de AVG zodra er persoonsgegevens in AI-tools terechtkomen, en volgens artikel 4 van de Europese AI-verordening moeten organisaties die AI-systemen inzetten sinds 2 februari 2025 zorgen voor voldoende AI-geletterdheid bij hun medewerkers. Een AI-beleid helpt om aan beide te voldoen.

Mag je klantgegevens in ChatGPT zetten?

Dat is af te raden zonder zakelijke afspraken met de aanbieder. Klantgegevens zijn vaak persoonsgegevens, en die mag je onder de AVG niet zomaar met een externe partij delen. Gebruik voor werk met klantinformatie alleen een AI-tool die je organisatie heeft goedgekeurd, via een werkaccount.

Wat is schaduw-AI?

Schaduw-AI is het gebruik van AI-tools door medewerkers zonder dat de organisatie die tools heeft gekozen of er zicht op heeft. Het risico is dat bedrijfsinformatie bij diensten terechtkomt waar geen afspraken over gegevensbescherming mee zijn gemaakt.

Moet je AI-tools op het werk verbieden?

Alleen verbieden werkt zelden, omdat medewerkers dan uitwijken naar hun privételefoon. Beter is het om een goedgekeurd alternatief aan te bieden en duidelijke afspraken te maken over welke gegevens wel en niet in een AI-tool mogen.

Wat moet er minimaal in een AI-beleid staan?

Minimaal welke AI-tools zijn toegestaan en via welk account, welke gegevens nooit in een AI-tool mogen, dat een medewerker de uitkomst altijd controleert, en bij wie je terechtkunt met een nieuwe tool of een vraag.

Wij denken graag mee

AI kan je team echt tijd besparen, als je het goed inricht. Wij helpen klanten bij het kiezen van de juiste tools, het instellen van Microsoft 365 en het maken van afspraken die passen bij hun organisatie. Lees hoe wij AI koppelen aan bedrijfssystemen, of bekijk onze aanpak voor ICT-beveiliging en continuïteit.

Wil je weten hoe het bij jullie staat? Plan een vrijblijvend gesprek, dan kijken we samen mee.

Onze filosofie: ICT Zonder Gedoe

GOsensit behartigt alle ICT-belangen van haar opdrachtgevers. Op strategisch niveau maken we afspraken over het ICT-beleid. Op tactisch niveau richten we samen de processen in die zorgen voor een vloeiende uitvoering. Ook op operationeel niveau zorgen we voor professionele kennis en gebruiken we geautomatiseerde systemen ten behoeve van support, incidentmanagement, projectmanagement, assetmanagement, CRM, proactief beheer, documentatiesystemen enzovoorts. We doen dat tegen een vast bedrag per maand zodat jouw ICT-kosten voorspelbaar zijn. Bovendien hebben we er zo beide baat bij dat jouw ICT-omgeving probleemloos werkt, want het oplossen van ICT-problemen is voor onze rekening.

Wij noemen dat ICT zonder gedoe. Ben je benieuwd hoe ICT zonder gedoe jouw bedrijf kan helpen? Vragen staat vrij!