In veel organisaties gebruiken medewerkers AI-tools voordat er afspraken over bestaan. Iemand gebruikt een chatbot voor klantmails, marketing genereert teksten, HR laat sollicitatiebrieven samenvatten — vaak zonder dat het management daar volledig zicht op heeft.
Ethische AI-richtlijnen helpen om daar structuur in aan te brengen: een praktisch kader dat medewerkers houvast geeft en risico’s beheersbaar maakt. Dit stappenplan laat zien hoe je zulke richtlijnen opstelt, invoert en levend houdt.
Waarom ethische AI-richtlijnen geen luxe zijn
Zonder afspraken kan wildgroei ontstaan: medewerkers kiezen zelf tools, plakken klantgegevens in publieke chatbots en vertrouwen op AI-output zonder controle. Mogelijke gevolgen zijn onder meer datalekken, reputatieschade, benadeling van personen en verkeerde adviezen aan klanten.
Daar komt regelgeving bij. De AI-verordening (de EU AI Act, Verordening 2024/1689) is in werking getreden, met gefaseerd van toepassing wordende verplichtingen. De Autoriteit Persoonsgegevens wijst erop dat het jouw verantwoordelijkheid is om te controleren in welke risicocategorie een AI-systeem valt als je organisatie het ontwikkelt of gebruikt.
Belangrijk om vooraf scherp te hebben: ethische richtlijnen vervangen wettelijke verplichtingen niet. Controleer apart welke eisen op jouw organisatie van toepassing zijn — zoals verplichtingen onder de AI-verordening (waaronder AI-geletterdheid), de AVG en eventuele sectorspecifieke regels.
Stap 1: Inventariseer je huidige AI-gebruik
Je kunt geen richtlijnen opstellen voor iets wat je niet kent. Begin daarom met een inventarisatie: welke AI-tools worden er in je organisatie gebruikt, door wie, en waarvoor?
Vraag het breed uit, niet alleen bij IT. Ook informeel gebruik — de gratis chatbot die een medewerker privé heeft ontdekt — kan een belangrijk risico vormen. Leg per toepassing vast:
- Welke tool het is en wie de leverancier is
- Welke data erin gaat (klantgegevens? persoonsgegevens? bedrijfsgevoelige informatie?)
- Welke beslissingen of output eruit voortkomen
- Wie de output controleert voordat die wordt gebruikt
Dit overzicht kun je bijhouden als AI-register. Zo’n register is niet voor iedere organisatie als zodanig wettelijk verplicht, maar het is een nuttig instrument voor governance en helpt bij het beoordelen van risicocategorieën onder de AI-verordening.
Stap 2: Kies je ethische uitgangspunten
Richtlijnen zonder onderliggende principes worden een losse verzameling verboden. Kies daarom eerst een handvol uitgangspunten die passen bij je organisatie. Je hoeft het wiel niet uit te vinden: de Europese Commissie publiceerde de “Ethische richtsnoeren voor betrouwbare AI”, met ALTAI als praktisch zelfbeoordelingsinstrument dat die richtsnoeren vertaalt in een toegankelijke checklist.
Veelgebruikte principes in ethische kaders zijn onder meer:
- Menselijke autonomie en toezicht: AI ondersteunt beslissingen, mensen blijven eindverantwoordelijk
- Rechtvaardigheid: AI mag niet leiden tot discriminatie of onterechte benadeling
- Transparantie: het moet duidelijk zijn wanneer en hoe AI wordt ingezet
- Privacy en databescherming: persoonsgegevens worden zorgvuldig behandeld
- Verantwoording: er is altijd iemand aanspreekbaar op AI-gebruik
Kies drie tot vijf principes en formuleer per principe één zin over wat het concreet betekent voor jouw organisatie. Dat dwingt tot scherpte.
Stap 3: Vertaal principes naar concrete gebruiksregels
Hier gaat het vaak mis: organisaties blijven hangen in abstracte waarden. “Wij gebruiken AI verantwoord” helpt een medewerker niet die twijfelt of hij een klantcontract in een chatbot mag plakken.
Maak per principe concrete regels. Bijvoorbeeld:
Bij privacy: welke data mag wel en niet in welke tools? Maak onderscheid tussen goedgekeurde tools met passende contractuele afspraken en publieke gratis tools. Let daarbij niet alleen op waar data wordt gehost: kijk ook naar de contractuele rol van de leverancier, subverwerkers, bewaartermijnen en of de leverancier klantdata gebruikt voor training — controleer dit per leverancier en per contract.
Bij menselijk toezicht: welke output moet door een mens worden gecontroleerd voordat die naar buiten gaat? Bij klantcommunicatie, juridische teksten en beslissingen over personen is het verstandig menselijke controle als vaste interne regel op te nemen — los van de vraag of dit in een specifiek geval ook wettelijk verplicht is.
Bij transparantie: wanneer vertel je klanten of medewerkers dat AI is gebruikt? Leg dit expliciet vast, zodat er geen discussie ontstaat achteraf.
Bij nieuwe tools: spreek af dat nieuwe AI-tools pas worden ingezet na opname in het AI-register en goedkeuring door een aangewezen verantwoordelijke. Zo houd je overzicht.
Stap 4: Regel governance en verantwoordelijkheid
Richtlijnen zonder eigenaar lopen het risico te verwateren. Wijs daarom expliciet aan:
- Wie eindverantwoordelijk is voor het AI-beleid (in het MKB vaak een directielid of manager)
- Wie nieuwe tools beoordeelt en op welke criteria
- Waar medewerkers terechtkunnen met vragen of twijfelgevallen
- Hoe incidenten worden gemeld — een verkeerd AI-advies aan een klant, een datalek via een chatbot
Betrek ook je privacy-verantwoordelijke of FG als die er is. Een verwerkersovereenkomst is vereist wanneer een leverancier als verwerker namens jouw organisatie persoonsgegevens verwerkt; treedt de leverancier op als zelfstandig verwerkingsverantwoordelijke, dan gelden andere afspraken. Een DPIA is verplicht wanneer een verwerking waarschijnlijk een hoog risico voor betrokkenen oplevert; systematische en uitgebreide geautomatiseerde beoordeling van personen met rechtsgevolgen of vergelijkbare wezenlijke gevolgen is daarbij een specifiek criterium. Raadpleeg voor die beoordeling de DPIA-informatie en richtsnoeren van de Autoriteit Persoonsgegevens, en neem in je richtlijnen op wanneer deze beoordeling plaatsvindt.
Houd het governance-model licht. In het MKB kan één duidelijk aanspreekpunt met mandaat volstaan; kies een structuur die past bij de omvang van je organisatie en die daadwerkelijk gebruikt wordt.
Stap 5: Maak medewerkers wegwijs
Zorg dat medewerkers de richtlijnen kennen. Plan een introductiemoment waarin je niet alleen de regels uitlegt, maar vooral het waarom — zodat medewerkers de regels ook kunnen toepassen in situaties die het document niet letterlijk beschrijft.
Werk met herkenbare voorbeelden uit de eigen praktijk: mag ik deze offerte laten herschrijven door AI? Mag ik notulen met namen van klanten laten samenvatten? Bespreek twijfelgevallen in plaats van alleen regels voor te lezen.
Maak de drempel om vragen te stellen laag en moedig aan dat medewerkers bij twijfel eerst vragen. Plan bovendien periodieke herhaling van de kernboodschap in, in plaats van te vertrouwen op één training.
Stap 6: Controleer, evalueer en stel bij
Ethische richtlijnen zijn geen eenmalig document. AI-tools en jullie gebruik ervan kunnen veranderen, en de verplichtingen onder de AI-verordening worden gefaseerd van toepassing. Plan daarom vaste evaluatiemomenten, bijvoorbeeld elk half jaar:
- Klopt het AI-register nog met de praktijk?
- Zijn er incidenten of bijna-incidenten geweest, en wat leren we daarvan?
- Zijn er nieuwe verplichtingen onder de AI-verordening die op onze systemen van toepassing worden? De Autoriteit Persoonsgegevens publiceert richtlijnen die organisaties helpen beoordelen welke systemen in welke risicogroep vallen.
- Lopen medewerkers tegen regels aan die in de praktijk niet werken?
Versiebeheer hoort erbij: nummer je beleid, dateer het en benoem de verantwoordelijke. Zo kun je bij vragen van klanten, toezichthouders of auditors laten zien hoe je beleid zich heeft ontwikkeld.
Veelgemaakte fouten om te vermijden
Te dik document. Een beleid van tientallen pagina’s wordt in de praktijk minder snel geraadpleegd. Streef naar een kerndocument van enkele pagina’s, met bijlagen voor wie meer wil.
Alleen verboden. Richtlijnen die uitsluitend zeggen wat niet mag, kunnen ongeautoriseerd gebruik in de hand werken. Benoem ook expliciet wat wél mag en welke tools zijn goedgekeurd.
Kopiëren zonder aanpassen. Een template is een prima startpunt, maar richtlijnen die niet aansluiten op jouw processen en risico’s verhogen het risico op beperkte naleving. De inventarisatie uit stap 1 is daarom geen optionele stap.
Vertrouwen op goede bedoelingen alleen. Bouw lichte controles in — steekproeven, evaluatiemomenten, een meldpunt — zodat je zicht houdt op de naleving en kunt bijsturen.
Begin deze week met de inventarisatie
Hoeveel tijd het opstellen van ethische AI-richtlijnen kost, hangt af van omvang, sector en risicoprofiel — maar de eerste stap is voor vrijwel iedere organisatie hetzelfde: weten wat er speelt.
Concrete eerste actie: stuur deze week een korte uitvraag naar alle teams met drie vragen — welke AI-tools gebruik je, waarvoor, en welke gegevens gaan erin? Verzamel de antwoorden in één overzicht. Daarmee heb je de basis van je AI-register in handen en zie je waar de grootste risico’s zitten. De richtlijnen die je daarna opstelt, gaan over jouw praktijk in plaats van over een papieren werkelijkheid.
Genoemde bronnen: EU AI-verordening (Verordening 2024/1689); Autoriteit Persoonsgegevens, themapagina AI-verordening; Europese Commissie, “Ethische richtsnoeren voor betrouwbare AI” en het bijbehorende zelfbeoordelingsinstrument ALTAI.