Is een AI-beleid verplicht?
Nee, een AI-beleid als document is niet verplicht. Artikel 4 van de AI Act is wel verplicht: elke organisatie die AI gebruikt, ook als dat alleen ChatGPT of Copilot is, moet maatregelen nemen die de AI-geletterdheid van medewerkers ondersteunen. Een kort AI-beleid is de makkelijkste manier om te laten zien dat je dat hebt gedaan.
De wet schrijft niet voor hoe je het regelt, alleen dat je het regelt. Of je het een AI-beleid, een gedragscode of een werkafspraak noemt, maakt dus niet uit. Wat telt, is dat je kunt laten zien welke stappen je hebt gezet.
Wat veranderde de Digital Omnibus aan AI-geletterdheid?
In de zomer van 2026 paste de EU de AI Act aan met de Digital Omnibus. Die verordening is op 24 juli 2026 gepubliceerd als Verordening (EU) 2026/1744 en geldt sinds 27 juli 2026. Voor AI-geletterdheid veranderde de tekst van artikel 4 op één belangrijk punt.
Eerst moest je zorgen voor een toereikend niveau van AI-geletterdheid bij je medewerkers. Nu moet je maatregelen nemen die de ontwikkeling van AI-geletterdheid ondersteunen. Er staat ook expliciet in dat je geen bepaald kennisniveau per medewerker hoeft te garanderen. Een vaste cursus of een certificaat schrijft de wet niet voor.
Dat is een versoepeling, maar de plicht blijft staan. Je moet aantoonbaar en doorlopend moeite doen. De Omnibus schoof wel de regels voor hoog-risico-AI op: naar 2 december 2027 voor de systemen uit bijlage III en naar 2 augustus 2028 voor AI in producten die onder bestaande productwetgeving vallen. Artikel 4 viel buiten dat uitstel.
Wie houdt er in Nederland toezicht op?
Hier zit een gat. De verplichtingen uit de AI Act gelden rechtstreeks, maar Nederland moet de toezichthouders nog formeel aanwijzen. Dat gebeurt in de Uitvoeringswet AI-verordening, en die was eind oktober 2026 nog niet aangenomen.
Het kabinet wil geen nieuwe toezichthouder oprichten. Volgens het wetsvoorstel krijgen ongeveer tien bestaande toezichthouders elk hun eigen domein, met de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur in een coördinerende rol. Voor de financiële sector zijn dat de AFM en DNB. De AP richtte in oktober 2026 al een eigen directie op die het toezicht voorbereidt.
Wacht dus niet op een toezichthouder om in actie te komen. De plicht geldt nu al, en een klant, verzekeraar of rechter kan er ook naar vragen.
Waarom je zonder beleid je inspanning lastig bewijst
Bij een inspanningsverplichting draait alles om één vraag: wat heb je gedaan? Stel dat een toezichthouder, een zakelijke klant of je eigen verzekeraar daarnaar vraagt. Dan wil je kunnen laten zien welke AI-tools je bedrijf gebruikt, welke afspraken daarover gelden en wie welke uitleg of training heeft gehad.
Zonder iets op papier moet je dat achteraf reconstrueren. En dan is er de AVG nog. Die vraagt al jaren dat je kunt aantonen hoe je met persoonsgegevens omgaat, ook als een medewerker die gegevens in een AI-tool plakt. Eén kort beleid dekt beide vragen.
Wat moet er minimaal in een AI-beleid?
Voor een bedrijf met 2 tot 50 medewerkers zijn zes onderdelen genoeg. Meer mag, maar een beleid dat niemand leest, helpt je niet.
Checklist: wat moet er minimaal in je AI-beleid staan?
- Toolregister. Een lijst van de AI-tools die je bedrijf gebruikt, met per tool of het een zakelijk of een privé-account is en wie het beheert. Vergeet de AI-functies in software die je al hebt niet, zoals Copilot in Office of AI in je CRM.
- Rode lijn voor data. Wat nooit in een AI-tool mag zonder zakelijk contract: persoonsgegevens van klanten, medische gegevens, wachtwoorden en vertrouwelijke offertes.
- Een mens controleert. Alles wat AI maakt en naar een klant gaat, controleert eerst een medewerker die er zijn naam onder zet.
- Leren per rol. Niet iedereen hoeft dezelfde training. Wie klanten adviseert, heeft andere kennis nodig dan wie notulen laat maken.
- Melden. Spreek af wat je doet als het misgaat. Denk aan klantgegevens in een gratis tool of een foute AI-tekst die al bij de klant ligt.
- Herzieningsdatum. AI-tools veranderen snel. Zet een datum in het beleid waarop je het opnieuw bekijkt, bijvoorbeeld elk halfjaar.
Extra punten voor assurantiekantoren en volmachten
Voor wie in de verzekeringsketen werkt, ligt de lat hoger. Geen enkele toezichthouder eist letterlijk een document met de naam AI-beleid, maar hun verwachtingen komen er dicht bij.
De Europese verzekeringstoezichthouder EIOPA publiceerde op 6 augustus 2025 een opinie over AI-governance en risicobeheer. Die geldt voor verzekeraars en ook voor intermediairs die AI gebruiken. De opinie voegt geen nieuwe regels toe. Ze legt uit hoe bestaande regels als Solvency II, de IDD en DORA werken zodra je AI inzet.
De AFM vroeg financiële ondernemingen in haar agenda voor 2026 om hun AI-toepassingen in kaart te brengen, beslislogica vast te leggen en incidenten actief te melden. De AFM kondigde ook bezoeken aan kantoren door het hele land aan, met aandacht voor AI-gebruik en voor de manier waarop beleid echt wordt uitgevoerd. Een AI-beleid is dan het eerste document dat je op tafel wilt leggen.
Verzekeraars hebben daarnaast met DNB te maken. Uit het DNB-onderzoek van januari 2026 bleek dat verzekeraars de principes voor verantwoorde AI wel kennen, maar ze nog onvoldoende in hun governance hebben ingebed. DNB verwacht dat verzekeraars dat verbeteren. En in december 2027 gaan de hoog-risico-regels gelden voor onder meer risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen.
Een kantoor dat groeit van 5 naar 30 medewerkers merkt hoe snel een nieuwe werkwijze zich verspreidt voordat de directie het doorheeft. Voeg daarom drie regels toe aan de zes onderdelen hierboven:
- Zorgplicht blijft bij de adviseur. Zorgplicht betekent dat je in het belang van de klant handelt. Schrijft AI een adviestekst of een samenvatting voor een klant, dan blijft de vakbekwame adviseur daarvoor verantwoordelijk.
- Geen advies door AI richting klant. Laat een AI-tool nooit zelfstandig adviseren over een financieel product. Advies blijft werk voor een adviseur met de juiste Wft-papieren.
- Controle op AI-fraude bij schade. Een nepfactuur of een bewerkte schadefoto maak je met AI binnen een minuut. Leg vast hoe je schadeafdeling bonnen en foto's controleert. Met de Factuur AI-scanner kun je dat zelf testen.
Wat zeggen beroepsorganisaties over een AI-beleid?
Ook beroepsorganisaties maken een AI-beleid niet wettelijk verplicht, maar sommige zijn er heel concreet over. De Nederlandse Orde van Advocaten publiceerde in december 2025 aanbevelingen voor AI in de advocatuur. Daarin staat dat kantoren een kantoorbreed AI-beleid moeten opstellen en cliënten om toestemming moeten vragen voor AI-gebruik in hun dossier.
Formeel zijn het aanbevelingen. Toch had verkeerd AI-gebruik in de advocatuur al gevolgen: begin 2026 kregen drie advocaten een waarschuwing omdat ze AI verkeerd hadden gebruikt in rechtszaken, en twee van hen moesten verplicht een AI-cursus volgen.
De KNB, de beroepsorganisatie van notarissen, is juist voorzichtig. Zij raadt notariskantoren af om AI zomaar in de eigen praktijk te gebruiken en bracht in 2025 een afwegingskader uit.
Voor elke beroepsgroep onder toezicht geldt hetzelfde: je moet kunnen uitleggen hoe je AI gebruikt, ook als niemand je een beleid voorschrijft.
Volg mij op LinkedIn
Shadow AI: het risico dat niet in je beleid staat
Shadow AI betekent dat medewerkers zelf AI-tools gebruiken, buiten de afspraken van het bedrijf om. Vaak met een gratis privé-account. De voorwaarden van zulke accounts wijken vaak af van die van een zakelijk abonnement, bijvoorbeeld over wat de aanbieder met je invoer mag doen. Controleer dat per tool.
De reflex is om AI dan maar te verbieden. Dat werkt meestal averechts: je team blijft ChatGPT gebruiken, alleen ziet niemand het nog. Bied liever één goedgekeurde tool met een zakelijk account aan en zet in je beleid dat privé-accounts voor werk niet zijn toegestaan.
AI-beleid opstellen in één middag
- Inventariseer. Vraag elk teamlid welke drie AI-tools hij of zij het meest gebruikt, voor werk en privé. Dat geeft een eerlijker beeld dan de IT-administratie.
- Trek de rode lijn. Bepaal welke gegevens nooit in een AI-tool mogen en welke tools wel zijn goedgekeurd.
- Schrijf het op één A4. Gebruik het voorbeeld hieronder als basis en maak het concreet voor je eigen bedrijf.
- Bespreek het in het team. Neem het door in een teamoverleg en laat iedereen bevestigen dat hij het heeft gelezen.
- Bewaar het bewijs. Leg vast wie wanneer welke uitleg of training kreeg, en zet de herzieningsdatum in je agenda.
De Autoriteit Persoonsgegevens heeft een eigen stappenplan met vier fasen: identificeren, doel bepalen, uitvoeren en evalueren. Het past goed naast deze vijf stappen. Je vindt het in de handreiking Aan de slag met AI-geletterdheid.
Voorbeeld: AI-beleid op één A4
AI-beleid [bedrijfsnaam], versie [datum]
- Toegestane tools: [tool en account], beheerd door [naam]. Andere tools alleen na overleg.
- Nooit invoeren: persoonsgegevens van klanten, medische gegevens, wachtwoorden en vertrouwelijke offertes, tenzij de tool een zakelijk contract heeft dat dit toestaat.
- Controle: alles wat AI maakt en naar een klant gaat, controleert een medewerker die er zijn naam onder zet.
- Kennis: iedere medewerker krijgt binnen een maand na start uitleg over de tools die hij gebruikt. We leggen vast wie wanneer welke uitleg kreeg.
- Melden: een fout of datalek met AI meld je dezelfde dag bij [naam].
- Herziening: dit beleid bekijken we opnieuw op [datum].
Verantwoordelijke: [naam, functie]
Veelgestelde vragen over AI-beleid en AI-geletterdheid
Is een AI-beleid verplicht?
Nee, een AI-beleid als document is niet verplicht. Artikel 4 van de AI Act is dat wel: sinds 2 februari 2025 moet elke organisatie die AI gebruikt maatregelen nemen die de AI-geletterdheid van medewerkers ondersteunen. Een kort AI-beleid is de makkelijkste manier om die inspanning aantoonbaar te maken, ook na de versoepeling door de Digital Omnibus in 2026.
Geldt dit ook als we alleen ChatGPT of Copilot gebruiken?
Ja. De plicht geldt voor iedereen die AI-systemen inzet, ook als je ze niet zelf hebt gebouwd.
Heb ik een certificaat AI-geletterdheid nodig?
Nee. De wet schrijft geen cursus of certificaat voor. Een training met een bewijs van deelname helpt wel om je inspanning aan te tonen.
Is de AI Act uitgesteld?
Niet voor AI-geletterdheid. Alleen de regels voor hoog-risico-AI zijn verschoven, naar 2 december 2027 en 2 augustus 2028.
Wie controleert of ik me aan de regels houd?
In Nederland worden de toezichthouders aangewezen in de Uitvoeringswet AI-verordening. Volgens het wetsvoorstel wordt de Autoriteit Persoonsgegevens voor de meeste bedrijven het aanspreekpunt, en de AFM en DNB voor de financiële sector. Eind oktober 2026 was die wet nog niet aangenomen.
Stelt de AFM, DNB of een beroepsorganisatie een AI-beleid verplicht?
Niet letterlijk. De AFM, DNB en EIOPA verwachten wel dat je je AI-gebruik in kaart brengt, vastlegt en beheerst. De Orde van Advocaten beveelt kantoren expliciet aan een kantoorbreed AI-beleid op te stellen.
Wanneer moet mijn AI-beleid klaar zijn?
De plicht geldt al sinds februari 2025. Hoe eerder je iets kunt laten zien, hoe sterker je staat zodra een toezichthouder, klant of verzekeraar ernaar vraagt.
Tot slot
Een AI-beleid kost je een middag. Zonder dat papier moet je achteraf uitleggen wat je deed, en dat kost meer tijd dan het vooraf opschrijven. Wil je bijblijven over AI-regels en wat ze voor jouw bedrijf betekenen? Schrijf je in voor mijn nieuwsbrief.
Deze pagina is geen juridisch advies. Twijfel je over je eigen situatie, vraag dan een jurist om mee te kijken.
Bronnen
- Verordening (EU) 2026/1744 (Digital Omnibus inzake AI), EUR-Lex
- Verordening (EU) 2024/1689 (AI Act), EUR-Lex
- Autoriteit Persoonsgegevens, Aan de slag met AI-geletterdheid
- AFM, Agenda 2026
- AFM, Uitvoeringstoets Uitvoeringswet AI-verordening
- EIOPA, Opinion on Artificial Intelligence governance and risk management
- DNB, Verzekeraars en AI: DNB deelt nieuwste inzichten
- NOvA, Aanbevelingen AI in de advocatuur
- Accountant.nl, Ook advocaten zelf maken soms onjuist gebruik van AI
- KNB, AI-afwegingskader
Verder verdiepen
- AI-beleid opstellen: het volledige stappenplan — de zes bouwstenen uitgewerkt tot beslisregels, rollen en een voorbeeldstructuur.
- EU AI Act — de complete gids — risicoclassificatie, verplichtingen en deadlines.
- AI-governance — de complete gids — hoe je toezicht en rollen rond AI inricht.
- Factuur, bon & schadefoto AI-scanner — test zelf hoe je AI-fraude in facturen en schadefoto's herkent.
- AI-wet impact scanner — bepaal in drie vragen de risicoklasse van een AI-toepassing.
Over de auteur
Marc Diks werkt op het snijvlak van AI-strategie en bestuurlijke besluitvorming, met een achtergrond in online sales en de financiële sector. Hij schrijft over wat AI betekent voor de bestuurstafel: niet als technologiethema, maar als vraag over verantwoording, kosten en risico. Meer achtergrond op de pagina over mij.