AI-beleid: hoe maakt u uw organisatie klaar voor de AI-verordening?

Gepubliceerd op 1 januari 2026 · Laatst bijgewerkt op 13 oktober 2026

De AI-verordening verplicht een organisatie niet tot een document met de naam “AI-beleid”, maar wel tot maatregelen voor AI-geletterdheid van medewerkers (sinds 2 februari 2025) en, bij hoog-risico-AI, tot menselijk toezicht, logging en informatie aan werknemers. Een schriftelijk AI-beleid is daarom de praktische manier om aan te tonen dat u aan die plichten voldoet; voor de meeste hoog-risicotoepassingen gaan de eisen pas in op 2 december 2027.

Naast de AI-verordening (Verordening (EU) 2024/1689) blijft de AVG volledig van toepassing zodra een AI-systeem persoonsgegevens verwerkt. Een goed AI-beleid brengt beide regimes en het arbeidsrecht samen.

Welke plichten uit de AI-verordening gelden al?

Sinds 2 februari 2025 gelden de verboden AI-praktijken (artikel 5) en de plicht tot AI-geletterdheid (artikel 4). Sinds 2 augustus 2026 gelden de transparantieplichten van artikel 50, met uitstel tot 2 december 2026 voor de markering van content van generatieve AI-systemen.

Door de Digital Omnibus voor AI (Verordening (EU) 2026/1744) zijn de eisen voor hoog-risico-AI uitgesteld. Voor de toepassingen uit bijlage III, zoals werving en selectie en kredietbeoordeling, gelden ze vanaf 2 december 2027. Voor AI in producten uit bijlage I, zoals machines en medische hulpmiddelen, vanaf 2 augustus 2028.

• 2 februari 2025: verboden praktijken en AI-geletterdheid.
• 2 augustus 2025: regels voor AI-modellen voor algemene doeleinden (aanbieders).
• 2 augustus 2026: transparantieplichten (artikel 50); generatieve AI-markering 2 december 2026.
• 2 december 2027: hoog-risico-AI uit bijlage III.
• 2 augustus 2028: hoog-risico-AI in producten uit bijlage I.

Hoe deelt de AI-verordening AI-systemen in?

De verordening werkt met risiconiveaus: verboden, hoog risico, beperkt risico met transparantieplichten, en minimaal risico. Hoe hoger het risico voor gezondheid, veiligheid en grondrechten, hoe zwaarder de eisen.

• Verboden (artikel 5): onder meer manipulatieve technieken, social scoring en emotieherkenning op de werkplek of in het onderwijs, behalve om medische of veiligheidsredenen.
• Hoog risico (artikel 6 en bijlage III): onder meer AI voor werving en selectie, beoordeling en ontslag van werknemers, kredietwaardigheid van particulieren en toegang tot essentiële diensten.
• Transparantie (artikel 50): chatbots moeten laten weten dat iemand met AI praat, en deepfakes en door AI gegenereerde content moeten herkenbaar zijn.
• Minimaal risico: bijvoorbeeld spamfilters en spellingcontrole; daarvoor gelden geen specifieke eisen buiten AI-geletterdheid.

Welke plichten heeft u als gebruiker van AI?

De meeste organisaties zijn geen aanbieder maar “gebruiksverantwoordelijke” (deployer): zij zetten AI van een leverancier in. Ook dan heeft u eigen plichten, ook als de AI in standaardsoftware zit.

Voor hoog-risico-AI moet u volgens artikel 26 het systeem gebruiken volgens de gebruiksaanwijzing, menselijk toezicht toewijzen aan bevoegde medewerkers, de automatisch gegenereerde logs ten minste zes maanden bewaren en werknemers en hun vertegenwoordigers informeren voordat u het systeem op de werkplek inzet. Overheidsinstanties en bijvoorbeeld kredietverstrekkers en verzekeraars moeten daarnaast vooraf een beoordeling van de gevolgen voor grondrechten maken (artikel 27).

Past u een hoog-risicosysteem ingrijpend aan of brengt u het onder uw eigen naam op de markt, dan wordt u volgens artikel 25 zelf aanbieder. U krijgt dan de veel zwaardere aanbiedersplichten, zoals een conformiteitsbeoordeling.

Wat houdt AI-geletterdheid in?

Artikel 4 verplicht u maatregelen te nemen zodat medewerkers die met AI werken voldoende begrijpen wat het systeem doet, wat de risico’s zijn en hoe zij de uitkomsten moeten beoordelen. Na de Omnibus is dit een inspanningsverplichting: de toezichthouder kan geen bepaald diploma of opleidingsniveau eisen, maar u moet wel kunnen laten zien welke maatregelen u heeft genomen.

Welke rol spelen de AVG en het arbeidsrecht?

Verwerkt een AI-systeem persoonsgegevens, dan moet u voldoen aan de beginselen van artikel 5 AVG, zoals doelbinding en dataminimalisatie, en heeft u een grondslag nodig (artikel 6 AVG). Bij een waarschijnlijk hoog risico voor betrokkenen is een gegevensbeschermingseffectbeoordeling (DPIA) verplicht (artikel 35 AVG).

Volgens artikel 22 AVG mag een besluit met rechtsgevolgen of vergelijkbare impact in beginsel niet uitsluitend geautomatiseerd worden genomen. Een sollicitant of werknemer heeft recht op menselijke tussenkomst, uitleg en de mogelijkheid het besluit aan te vechten. Toezicht op de AVG ligt bij de Autoriteit Persoonsgegevens.

Een ondernemingsraad heeft instemmingsrecht bij regelingen over personeelsvolgsystemen en over de verwerking van personeelsgegevens (artikel 27 lid 1 sub k en l WOR). AI voor werving, beoordeling of monitoring van personeel valt daar vaak onder. Voer zo’n systeem dus niet in zonder de OR te betrekken.

Wat hoort er in een AI-beleid?

Een AI-beleid legt vast welk AI-gebruik is toegestaan, onder welke voorwaarden, en wie daarover beslist. Het moet concreet genoeg zijn dat een medewerker weet wat hij wel en niet mag invoeren in een publieke AI-tool.

• Reikwijdte: welke afdelingen en systemen eronder vallen, inclusief AI in ingekochte software en publieke tools die medewerkers zelf gebruiken.
• Indeling: toegestaan gebruik, gebruik onder voorwaarden (bijvoorbeeld na een DPIA of goedkeuring) en verboden toepassingen, waaronder alles uit artikel 5.
• Gegevens: welke informatie niet in AI-tools mag, zoals persoonsgegevens, bedrijfsgeheimen en vertrouwelijke klantgegevens.
• Governance: wie eindverantwoordelijk is, wie nieuwe tools goedkeurt en hoe incidenten worden gemeld.
• Menselijk toezicht: bij welke beslissingen een mens altijd het laatste woord heeft.
• Training: een basisprogramma voor iedereen en verdieping voor HR, IT en management, als invulling van artikel 4.

Waar let u op bij leveranciers?

Leg in het contract vast dat de leverancier voldoet aan de AI-verordening en u de gebruiksaanwijzing en informatie geeft die u voor artikel 26 nodig heeft. Maak ook afspraken over verwerking van uw gegevens, gebruik voor training van het model, beveiliging en aansprakelijkheid; bij persoonsgegevens hoort daar een verwerkersovereenkomst bij (artikel 28 AVG).

Hoe stelt u een AI-beleid op?

Begin met een inventarisatie van alle AI-toepassingen en deel ze in naar risico. Pas daarna kunt u bepalen welke regels en maatregelen per toepassing nodig zijn.

1. Inventariseer welke AI-systemen en -functies in gebruik zijn, ook in bestaande software.
2. Deel elke toepassing in: verboden, hoog risico, transparantieplicht of minimaal risico.
3. Beoordeel per toepassing de AVG-gevolgen en voer waar nodig een DPIA uit.
4. Stel het beleid op en stem het af op uw privacy-, beveiligings- en HR-regels; vraag zo nodig instemming van de OR.
5. Pas contracten met leveranciers aan en organiseer training.
6. Evalueer het beleid minstens jaarlijks en bij elke nieuwe toepassing of wetswijziging.

Wat zijn de gevolgen van niet naleven?

Artikel 99 van de AI-verordening kent boetes tot € 35 miljoen of 7% van de wereldwijde jaaromzet voor verboden praktijken, en tot € 15 miljoen of 3% voor schending van andere plichten. Daarnaast kan de Autoriteit Persoonsgegevens AVG-boetes opleggen tot € 20 miljoen of 4% van de jaaromzet (artikel 83 AVG).

Ook buiten boetes zijn er risico’s: een ontslag- of afwijzingsbesluit dat op ondeugdelijke AI steunt, kan bij de rechter sneuvelen, en een benadeelde kan schadevergoeding vorderen. Het toezicht op de AI-verordening in Nederland komt naar verwachting bij de Autoriteit Persoonsgegevens als coördinerend toezichthouder en de Rijksinspectie Digitale Infrastructuur.

Waar let u als werkgever op?

• Gebruikt u AI bij werving of beoordeling? Dan geldt vanaf 2 december 2027 het hoog-risicoregime; bereid de inventarisatie nu voor.
• Laat een mens het besluit nemen bij aanname, beoordeling en ontslag (artikel 22 AVG).
• Vraag instemming van de OR bij monitoring- en HR-systemen (artikel 27 WOR).
• Gebruik geen emotieherkenning op de werkplek; dat is sinds 2 februari 2025 verboden.

Wat kunnen wij voor u doen bij AI-beleid en de AI-verordening?

• Uw AI-toepassingen beoordelen en indelen naar de risiconiveaus van de AI-verordening.
• Een AI-beleid en gebruiksregels voor medewerkers opstellen, afgestemd op AVG en arbeidsrecht.
• Contracten met AI-leveranciers en verwerkersovereenkomsten beoordelen en onderhandelen.
• Een DPIA begeleiden en het traject met de ondernemingsraad voorbereiden.
• U bijstaan bij vragen of handhaving van een toezichthouder, als onderdeel van onze dienstverlening ICT-recht.

Samengevat

• Een AI-beleid is niet als zodanig verplicht, maar AI-geletterdheid (artikel 4) en de verboden van artikel 5 gelden al sinds 2 februari 2025.
• De transparantieplichten gelden sinds 2 augustus 2026; de hoog-risico-eisen uit bijlage III vanaf 2 december 2027.
• Ook als gebruiker van ingekochte AI heeft u eigen plichten, zoals menselijk toezicht en het informeren van werknemers.
• De AVG en het instemmingsrecht van de OR gelden daarnaast volledig.

Veelgestelde vragen

Geldt de AI-verordening ook als wij alleen standaardsoftware gebruiken?

Ja. Als gebruiksverantwoordelijke heeft u eigen plichten, zoals AI-geletterdheid en, bij hoog-risico-AI, menselijk toezicht en logging. Dat de leverancier het systeem heeft gebouwd, ontslaat u daar niet van.

Is een DPIA altijd verplicht bij AI?

Nee, alleen als de verwerking van persoonsgegevens waarschijnlijk een hoog risico oplevert (artikel 35 AVG). Bij AI voor werving, beoordeling of profilering is dat vaak het geval.

Mogen medewerkers ChatGPT of vergelijkbare tools gebruiken?

Dat bepaalt u zelf in uw AI-beleid. Leg in elk geval vast dat geen persoonsgegevens of vertrouwelijke informatie in publieke tools worden ingevoerd zonder dat daarvoor een grondslag en passende afspraken zijn.

Hoe vaak moet het AI-beleid worden herzien?

De wet noemt geen termijn. Een jaarlijkse evaluatie, en een extra herziening bij een nieuwe toepassing of wetswijziging zoals de Omnibus van 2026, is een verstandige werkwijze.