Een AI-richtlijn voor kleine bedrijven: één pagina is genoeg

Opmerking Deze bijdrage beschrijft een werkbare basisstructuur en vervangt geen juridisch advies. Of er voor jullie verdergaande verplichtingen bestaan – bijvoorbeeld uit de AI Act, uit brancheregels of uit klantcontracten – moet per geval worden getoetst.

Het belangrijkste kort

Zes onderdelen op één pagina volstaan: toegangen, verboden invoer, toetsplicht, verantwoordelijkheid, uitsluitingsgevallen, aanspreekpunt.
Het belangrijkste onderdeel is dat over de uitsluitingsgevallen – concreet geformuleerd, niet als algemene waarschuwing.
Een verbod zonder beschikbaar gesteld zakelijk account leidt tot privéaccounts, niet tot minder gebruik.
De richtlijn hoort aan het begin van de invoering, niet aan het eind.

Waarom één pagina

Een omvangrijk reglement wordt één keer goedgekeurd en daarna niet meer gelezen. Eén pagina wordt werkelijk gelezen – en alleen wat gelezen wordt, werkt.

De beknoptheid dwingt bovendien tot keuzes: wie alles wil regelen, regelt niets bindend. Zes onderdelen dekken de gevallen af die in het dagelijks werk werkelijk voorkomen.

De zes onderdelen

1. Welke toegangen

Op naam gestelde zakelijke accounts, beschikbaar gesteld door het bedrijf. Privéaccounts zijn voor werkdoeleinden uitgesloten.

Onderbouwing in de tekst: in zakelijke tarieven is het gebruik van de invoer voor training doorgaans uitgesloten, in privétarieven niet altijd.

2. Wat er niet wordt ingevoerd

Persoonsgegevens van klanten zonder geregelde grondslag, inloggegevens en sleutels, ongepubliceerde bedrijfscijfers, stukken onder een geheimhoudingsovereenkomst.

Concreet in plaats van algemeen: noem voorbeelden uit jullie eigen dagelijks werk, geen categorieën.

3. Wat er altijd wordt getoetst

Elke controleerbare opgave vóór gebruik: cijfers, onderzoeken, wetsverwijzingen, termijnen, prijzen, citaten, namen.

Belangrijke toevoeging: de zelfverzekerde toon van een antwoord zegt niets over de juistheid ervan.

4. Wie verantwoordelijk is

Wie iets publiceert of verstuurt, is verantwoordelijk voor de inhoud – ongeacht hoe die tot stand is gekomen. Net als bij elke andere tekst.

5. Waar het helemaal niet wordt ingezet

Vijf concrete gevallen uit jullie eigen vakgebied. Het belangrijkste onderdeel – en het enige dat niet gekopieerd kan worden.

Voorbeelden: juridische inlichtingen aan klanten zonder toetsing door een deskundige; onderwerpen zonder eigen vakkennis in huis; alles waar een fout niet zou opvallen.

6. Wie je het vraagt

Eén met name genoemde persoon voor vragen en grensgevallen. Zonder die regel beslist iedereen alleen en verschillend.

Wist je dat?

Onderdeel vijf is het enige dat zich niet uit een sjabloon laat overnemen – en juist daarom het waardevolste. Het vraagt om een beslissing over de vraag waar in jullie bedrijf een fout niet zou opvallen.

Die vraag is ongemakkelijk, omdat ze veronderstelt dat je je eigen blinde vlekken benoemt. Ze is echter de kern van elke bruikbare richtlijn: vrijwel alle problematische gevallen ontstaan daar waar niemand de vakkennis heeft om een fout antwoord als fout te herkennen.

Wat er niet in hoort

Niet erin	Waarom
Een lijst met toegestane producten	binnen maanden verouderd; beter: benoemde toegangen
Prompthandleidingen	hoort in de scholing, niet in de regel
Technische uitleg over de werking	interessant, verandert geen gedrag
Een algemeen verbod zonder alternatief	leidt tot privéaccounts in plaats van tot minder gebruik
Verplichte vermelding bij elk gebruik	wordt niet nageleefd; beter: verantwoordelijkheid benoemen

Uit de praktijk

De vaakst voorkomende weeffout is de vierde regel: een verbod zonder dat er een bruikbaar zakelijk account klaarstaat. Het resultaat is nooit minder gebruik – het is gebruik via privéaccounts, zonder overzicht en onder andere voorwaarden.

Wie de gegevenssituatie serieus neemt, stelt daarom eerst een toegang beschikbaar en regelt daarna. De volgorde is beslissend: toegang, dan regel, dan scholing – niet andersom.

De verhouding tot de AI Act

Voor de meeste kleine bedrijven die taalmodellen gebruiken voor teksten en analyses, volgen uit de AI Act geen verstrekkende verplichtingen – zij zijn in de regel gebruiker, niet aanbieder van een AI-systeem.

Relevant wordt het in drie gevallen: wanneer jullie zelf een AI-systeem aanbieden of wezenlijk veranderen, wanneer jullie het inzetten in een als hoogrisico ingedeeld gebied – bijvoorbeeld bij personeelsbeslissingen –, of wanneer jullie systemen draaien die rechtstreeks met personen omgaan. In die gevallen hoort de beoordeling bij een deskundige.

Los daarvan verlangt de AI Act van gebruikers een minimum aan deskundigheid in de omgang – wat praktisch pleit voor de scholing die toch al nodig is.

Prompt

Help me een AI-richtlijn van één pagina voor ons bedrijf te
formuleren.

Onze situatie:
- Branche: [opgave]
- Personen die AI-gereedschap gebruiken: [aantal en rollen]
- Waarvoor ze ingezet moeten worden: [taken]
- Werken we met persoonsgegevens? [ja / nee / deels]
- Hebben we klanten met geheimhoudingsovereenkomsten? [ja/nee]
- Welke toegangen stellen we beschikbaar? [opgave of "nog geen"]
- Vakgebieden waarin we zelf geen deskundigheid hebben, maar wel
  vragen krijgen: [lijst]

Opdrachten:
1. Formuleer de zes onderdelen: toegangen, verboden invoer,
   toetsplicht, verantwoordelijkheid, uitsluitingsgevallen,
   aanspreekpunt. Samen hoogstens één pagina.
2. Formuleer onderdeel 2 met concrete voorbeelden uit onze
   branche, niet met algemene categorieën.
3. Formuleer onderdeel 5 – waar het helemaal niet wordt ingezet –
   als vijf concrete gevallen. Gebruik daarvoor mijn lijst met
   vakgebieden zonder eigen deskundigheid.
4. Als we nog geen toegangen beschikbaar stellen: zeg duidelijk
   waarom een regel zonder beschikbaar account niet werkt.
5. Noem de punten waarbij we vanwege onze branche een
   deskundige zouden moeten inschakelen.

Verzin geen wetsartikelen en geen termijnen.

Conclusie

Zes onderdelen, één pagina, in vijf minuten te lezen. Vijf daarvan zijn in een half uur te formuleren; het zesde – waar het helemaal niet wordt ingezet – vraagt een eerlijke blik op de eigen blinde vlekken en is de eigenlijke waarde van het document.

En de volgorde telt: eerst een bruikbare toegang beschikbaar stellen, dan regelen. Een verbod zonder alternatief verplaatst het gebruik alleen naar waar niemand het ziet.

Veelgestelde vragen

Wat hoort er in een AI-richtlijn?

Zes onderdelen: welke toegangen worden gebruikt, wat er niet mag worden ingevoerd, wat er altijd moet worden getoetst, wie verantwoordelijk is voor de gepubliceerde inhoud, in welke concrete gevallen het helemaal niet wordt ingezet, en wie je bij grensgevallen vraagt. Samen op één pagina.

Waarom volstaat één pagina?

Omdat alleen werkt wat gelezen wordt. Een omvangrijk reglement wordt één keer goedgekeurd en daarna niet meer bekeken. De beknoptheid dwingt bovendien tot keuzes – wie alles wil regelen, regelt niets bindend.

Welk onderdeel is het belangrijkste?

Dat over de uitsluitingsgevallen, omdat het zich niet uit een sjabloon laat overnemen. Het vraagt de beslissing waar in het eigen bedrijf een fout niet zou opvallen – en vrijwel alle problematische gevallen ontstaan juist daar waar niemand de deskundigheid heeft om een fout antwoord als fout te herkennen.

Zou je AI-gereedschap gewoon moeten verbieden?

Een verbod zonder beschikbaar gesteld zakelijk account leidt niet tot minder gebruik, maar tot gebruik via privéaccounts – zonder overzicht en onder andere voorwaarden, bijvoorbeeld wat betreft het gebruik van de invoer voor training. Zinvol is de volgorde toegang, regel, scholing.

Wat betekent de AI Act voor kleine bedrijven?

Wie taalmodellen gebruikt voor teksten en analyses, is in de regel gebruiker en geen aanbieder – verstrekkende verplichtingen ontstaan daaruit meestal niet. Relevant wordt het bij het zelf aanbieden of wezenlijk veranderen van een systeem, bij inzet in hoogrisicogebieden zoals personeelsbeslissingen, en bij systemen met rechtstreekse omgang met personen. Die gevallen horen bij een deskundige.