Een teamleider bij een verzekeraar krijgt op dinsdagmiddag een vraag van een collega: mag ik deze transcriptietool gebruiken voor een klantgesprek? Het AI-beleid is vorig kwartaal vastgesteld: vier pagina's, juridisch nagekeken. Ze zoekt het op, leest het twee keer en weet het nog steeds niet. Er staat iets in over zorgvuldig omgaan met gegevens en over Copilot als voorkeur. Over deze tool staat er niets in.
Op dat moment blijkt of een AI-beleid werkt. Niet bij de vaststelling, maar bij een concrete vraag op een gewone werkdag. Wie een AI-beleid opstelt, kan daarom beter niet met een document beginnen, maar met de vragen die het document moet beantwoorden. Staan die antwoorden erin, dan is het beleid bruikbaar. Staan ze er niet in, dan wordt de vraag op de gang beantwoord, en dan beslist niet het beleid maar de collega die het zelfverzekerdst klinkt.
Waarom begin je niet bij het beleidsdocument?
De meeste AI-beleidsstukken ontstaan uit een sjabloon. Het sjabloon beschrijft een houding: verantwoord, transparant, in lijn met de AVG. Dat is allemaal waar, maar het helpt niemand verder, want een houding geeft geen antwoord op de vraag of deze ene tool voor dit ene klantgesprek mag.
Er zit nog een tweede probleem in de sjabloonaanpak. Een sjabloon beschrijft het AI-gebruik dat de opsteller in gedachten had, meestal een chatbot waarin iemand tekst typt. Het AI-gebruik dat er in de organisatie werkelijk is, ziet er anders uit: een vergadertool die samenvat, een pdf-lezer met een assistent, een browserextensie die mails herschrijft. Wat de organisatie daarvan moet vinden, staat in geen enkel sjabloon, omdat een sjabloon niet weet welke tools jouw mensen openen. Wat dat gebruik precies inhoudt, lees je in onze uitleg over shadow AI.
Begin daarom andersom. Eerst de vragen, dan de antwoorden, en pas daarna het document dat die antwoorden bij elkaar zet.
Welke vragen moet een AI-beleid beantwoorden?
Acht vragen. Ze klinken eenvoudig, en dat is de bedoeling: een medewerker moet met het antwoord verder kunnen zonder een tweede vraag te stellen.
| Vraag | Wat een bruikbaar antwoord is |
|---|---|
| Welke tools staan we toe? | Een lijst met namen en de accountvorm erbij, want ChatGPT met een zakelijk account is een andere tool dan ChatGPT met een gratis account |
| Voor welk gebruik? | Per tool de taken die passen (vertalen, code, samenvatten van openbare tekst) en de taken die niet passen (klantcorrespondentie, personeelsdossiers) |
| Onder welke voorwaarden? | Eén zin die iemand kan opvolgen: alleen met het zakelijke account, geen persoonsgegevens, alleen voor intern gebruik |
| Welke gegevens mogen erin? | Categorieën met voorbeelden, van BSN en diagnose tot een klantnaam in een mail, met de vuistregel voor twijfelgevallen |
| Wie beoordeelt een nieuwe tool? | Een rol, een termijn en de vragen die de beoordeling stelt |
| Wat doet iemand met een tool zonder besluit? | Een route: waar je de beoordeling aanvraagt, en wat je in de tussentijd wel en niet in de tool zet |
| Hoe horen mensen van een wijziging? | Niet alleen een mail, want die is over een week vergeten; het besluit hoort te staan op de plek waar de tool wordt geopend |
| Hoe zien we of beleid en praktijk bij elkaar passen? | Een vergelijking van de lijst uit het beleid met de tools die worden geopend, in aantallen, zonder namen van mensen |
De eerste vier vragen staan in bijna elk beleid, al is het antwoord vaak te algemeen. De laatste vier ontbreken meestal, en dat zijn precies de vragen die bepalen of het beleid na een half jaar nog klopt.
Voor de vraag welke gegevens erin mogen, hoef je niets nieuws te bedenken. Een lijst van wat nooit in een prompt hoort en wat meestal wel kan, staat in ons overzicht van wat je wel en niet in een AI-prompt zet. Neem die over, met voorbeelden uit je eigen werk erbij.
Wat schrijf je op over een tool zonder besluit?
Hier liep de teamleider uit het begin op vast. Haar beleid kende twee smaken, toegestaan en niet toegestaan, en de transcriptietool viel in geen van beide. Wat een medewerker dan doet, is raden, en de meeste mensen raden in het voordeel van het werk dat af moet.
Een bruikbaar beleid geeft die situatie een eigen naam: "nog geen besluit". Elke tool die nog niet is beoordeeld, valt daaronder, ook de tool waar nog nooit iemand naar heeft gevraagd. Bij die status hoort een instructie die iemand meteen kan opvolgen: alleen openbare informatie erin, en hier vraag je de beoordeling aan. Dat is geen verbod en geen goedkeuring. Het is de waarheid, opgeschreven, en het scheelt de teamleider het gesprek op de gang.
De beoordeling zelf is een vaste set vragen aan de leverancier: waar vindt de verwerking plaats, wat wordt bewaard, wordt er getraind op invoer, wie zijn de subverwerkers? Leg de antwoorden vast met een datum, want AI-diensten veranderen hun voorwaarden sneller dan een beoordelingscyclus.
Waarom mist een beleid over typen het bestand?
Vrijwel elk AI-beleid is geschreven voor de prompt: geen klantnamen typen, geen rekeningnummers plakken. Bijna geen enkel beleid zegt iets over het rapport dat iemand in één keer uploadt, terwijl één bijlage meer persoonsgegevens bevat dan een maand aan prompts. Waarom dat gat zo groot is, lees je in het artikel over documenten als blinde vlek in AI-beleid.
Hetzelfde geldt voor de vergadertool die het gesprek opneemt en samenvat, en voor de extensie die in de browser meeleest om een mail te herschrijven. Daar typt niemand een prompt, en toch verlaat er tekst de organisatie. Een beleid dat alleen over typen gaat, mist dat, en de medewerker die de tool gebruikt, ziet het niet als AI-gebruik omdat er geen chatvenster is.
De vraag "voor welk gebruik" uit de tabel moet dus verder gaan dan het chatvenster. Uploaden, opnemen, laten meelezen: benoem ze apart, want mensen zien ze niet vanzelf als AI-gebruik waarvoor dezelfde afspraken gelden.
Hoe komt een besluit terecht waar mensen werken?
Een beleidsdocument staat in een map. De tool staat in de browser. Een medewerker leest het beleid één keer en opent de tool honderden keren. Dat verschil verklaart waarom een beleid dat inhoudelijk klopt, in de praktijk toch niet wordt gevolgd: niet uit onwil, maar omdat het document zich niet meldt op het moment dat het ertoe doet.
Het besluit werkt als het verschijnt waar de tool wordt geopend. Bij een tool die is toegestaan, gebeurt er niets. Bij een tool zonder besluit verschijnt een onopvallende melding: alleen openbare informatie, en een knop om door te gaan. Bij een tool die niet is toegestaan, verschijnt het goedgekeurde alternatief als eerste knop, met de mogelijkheid om toch door te gaan, of zonder die mogelijkheid als de organisatie dat zo heeft ingesteld. Bij een tool die beperkt is toegestaan, verschijnt de voorwaarde die de organisatie zelf heeft geschreven, in één zin.
BeeSensible doet dit in de browser: de organisatie legt per tool een besluit vast, en dat besluit verschijnt als iemand de tool opent, met het goedgekeurde alternatief als eerste knop. De extensie blokkeert niets uit zichzelf en beslist niets. Doorgaan kan, tenzij de organisatie heeft gekozen voor "Medewerker kan niet doorgaan"; wat er daarna gebeurt, wordt geteld zonder gebruikers-id. Hoe dat werkt, lees je op de pagina over AI-tools.
Zo ziet het overzicht eruit waarin die besluiten staan, naast het gebruik dat is waargenomen:
