Een nieuwe collega bij een verzekeraar vraagt haar teamleider of ze Perplexity mag gebruiken om polisvoorwaarden op te zoeken. De teamleider weet dat Copilot is toegestaan, want daar is een licentie voor. Over Perplexity weet ze niets, dus ze zegt: "Doe maar even niet." De nieuwe collega gebruikt het thuis toch, op haar eigen laptop.
Welke AI-tools medewerkers mogen gebruiken, beslist de organisatie. Het staat niet op de tool. Een organisatie die er niets over besluit, is niet streng, maar laat elke teamleider het zelf uitzoeken.
Een tool is op zichzelf niet "veilig" of "onveilig". Dezelfde chatbot kan worden gebruikt om een interne mail te herschrijven of om een klantdossier samen te vatten, met een gratis account of met een zakelijke licentie waar een verwerkersovereenkomst onder ligt. Dat zijn vier verschillende situaties, en de tool is in alle vier dezelfde.
Daarom is "mag dit?" een vraag aan de organisatie, niet aan de leverancier. De leverancier vertelt wat er met je gegevens gebeurt. Wat je daarmee doet, weeg je zelf af: tegen het werk dat mensen doen, tegen de gegevens die daarbij langskomen en tegen wat er al is afgesproken. De AI-verordening vraagt van organisaties die AI-systemen inzetten dat hun medewerkers voldoende AI-geletterd zijn. Weten welke tools de organisatie heeft toegestaan, en waarom, is daar het meest praktische begin van.
#Hoe kom je tot een lijst?
Vier stappen, in deze volgorde. De verleiding is om bij stap twee te beginnen.
Inventariseer wat er al is. Niet welke tools je kent, maar welke er worden geopend. Dat is bijna altijd een langere lijst dan verwacht, en hij bevat tools waar niemand een inkoopbesluit over heeft genomen: een transcriptietool die iemand in een vergadering heeft uitgeprobeerd, een browserextensie, een AI-functie in software die er al stond.
Geef elke tool een status. Vier is genoeg: toegestaan, beperkt toegestaan, nog geen besluit, niet toegestaan. Wat ze precies betekenen, staat in vier statussen voor AI-tools. Het belangrijkste is dat elke tool er precies één heeft, ook de tools waar je nog naar moet kijken.
Schrijf de voorwaarde op. "Beperkt toegestaan" zegt niets zonder de zin erachter. "Alleen zonder persoonsgegevens" is een voorwaarde. "Alleen voor interne overleggen, met aankondiging aan de deelnemers" is een voorwaarde. "Voorzichtig gebruiken" is dat niet. Wat je in het algemeen wel en niet in een prompt zet, staat in onze gids over wat je wel en niet met AI mag delen; de voorwaarde per tool komt daar bovenop.
Breng de lijst naar het werk. Een lijst in een pdf op het intranet wordt één keer gelezen, bij indiensttreding. Het besluit moet zichtbaar zijn op het moment dat iemand de tool opent, want dan rijst de vraag. Zo ziet zo'n lijst eruit als hij niet in een document staat, maar daar waar de tools worden gebruikt:
Een paar voorbeeldbesluiten. De tools noemen we met opzet niet, want het besluit verschilt per organisatie.
Omdat een verbod het werk niet wegneemt. Iemand die een verslag van veertig pagina's moet samenvatten, heeft dat verslag nog steeds als de tool niet mag. Het werk zoekt dan een andere route: een privéaccount, de eigen telefoon, een tool die niemand kent. Dat is precies het gebruik dat uit beeld en buiten elke verwerkersovereenkomst valt, zoals je leest in het artikel over waarom AI blokkeren het risico onzichtbaar maakt.
Een lijst met alternatieven werkt anders. "Niet deze, maar die" is een besluit dat iemand kan opvolgen zonder zijn werk stil te leggen. Het goedgekeurde alternatief moet dan wel echt een alternatief zijn: geschikt voor hetzelfde soort werk en ongeveer even makkelijk. Een chatbot vervangen door "vraag het je collega" is geen alternatief.
Onderzoek van KPMG en de Universiteit van Melbourne onder 48.000 werkenden in 47 landen (2025) laat zien dat 58 procent AI bewust voor het werk gebruikt en 57 procent dat verborgen houdt voor de werkgever. Een lijst die alleen verbiedt, geeft die 57 procent geen reden om uit de schaduw te komen. Een lijst die per afgekeurde tool zegt wat wél mag, doet dat wel.
#Is een gratis account iets anders dan een zakelijk account?
Ja, en dit is het onderscheid dat het vaakst ontbreekt in een lijst. Een gratis of persoonlijk account valt onder consumentenvoorwaarden: wat je invoert, kan worden gebruikt voor training tenzij de gebruiker dat zelf uitzet, er ligt geen verwerkersovereenkomst, en de organisatie kan niets centraal instellen. Een zakelijke licentie van dezelfde tool sluit training standaard uit, en daar hoort een verwerkersovereenkomst bij. OpenAI legt dat onderscheid zelf vast voor ChatGPT Business, Enterprise en de API, en de andere grote leveranciers trekken de grens op een vergelijkbare plek.
Voor de lijst betekent dit dat "ChatGPT: toegestaan" geen besluit is. "ChatGPT via de zakelijke licentie: toegestaan; ChatGPT via een gratis account: niet toegestaan, gebruik de licentie" is er wel een. Het verschil tussen die twee accounts is uitgewerkt in gratis versus zakelijk AI-account.
Er komen dagelijks nieuwe AI-tools bij, en bestaande software krijgt AI-functies zonder dat iemand daar een besluit over neemt. Een lijst is dus nooit compleet. Dat is geen probleem, zolang je weet wat de status is van een tool die er nog niet op staat.
Die status is "nog geen besluit". Dat is geen verbod en geen goedkeuring, en hij hoort zichtbaar te zijn voor wie de tool opent, met het verzoek er voorlopig alleen openbare informatie in te zetten. Wat er dan nog nodig is, is een korte route naar een besluit: wie kijkt ernaar, binnen welke termijn, en op basis waarvan.
Een gemeente had Copilot toegestaan en dacht daarmee klaar te zijn. Bij een inventarisatie bleken naast Copilot ook Perplexity, ChatGPT en drie gespecialiseerde tools in gebruik, waarvan twee nergens geregistreerd stonden. Dat was geen incident. Het liet zien dat een lijst die één keer is opgesteld, snel achterloopt op wat mensen doen, en dat "nog geen besluit" een status is die je nodig hebt.
BeeSensible koppelt een catalogus van meer dan 1.000 AI-tools aan de tools die in de organisatie worden geopend. Een beheerder ziet welke daarvan nog geen besluit hebben en legt dat besluit vast, met een voorwaarde of een alternatief; het besluit verschijnt daarna bij de medewerker op het moment dat die de tool opent. De gebruiksgegevens bevatten geen gebruikers-id en geen inhoud. Hoe dat in het product werkt, staat op de productpagina over AI-tools.
Hoe je die besluiten opschrijft in een beleid dat mensen ook echt lezen, staat in een AI-beleid opstellen. De andere stukken over dit onderwerp zijn verzameld op de themapagina AI-governance.
De volgende keer dat een collega vraagt of een tool mag, is het antwoord niet "even niet" maar "kijk in de lijst, en staat hij er niet op, dan is er nog geen besluit". Dat is een bescheidener antwoord, en het houdt het gebruik in beeld.
