AI-verordening voor bedrijven en organisaties: van regels naar werkbaar beleid

De AI-verordening geldt al in stappen.

De Europese AI-verordening, ook bekend als de AI Act, is al van kracht en wordt gefaseerd toegepast. Welke verplichtingen relevant zijn, hangt onder meer af van de toepassing, het risico en je rol als aanbieder of gebruiksverantwoordelijke. De Europese Commissie beschrijft deze risicobenadering en de actuele invoeringsplanning. Behandel de verordening dus als een onderdeel van je huidige keuzes én je verdere planning.

Een schrijfassistent, een kennisassistent en een systeem dat kandidaten beoordeelt hebben verschillende doelen en gevolgen. Laat per toepassing vaststellen welke regels en termijnen gelden. Dit artikel beschrijft een praktische werkwijze met als peildatum 2 oktober 2026.

Maak eerst zichtbaar waar AI wordt gebruikt.

Vraag teams welke toepassingen zij gebruiken, testen of willen aanschaffen. Neem ook AI-functies in bestaande software mee. Leg per toepassing het doel, de leverancier, gebruikte gegevens, betrokken medewerkers en verantwoordelijke vast. Beschrijf wat de uitkomst doet: alleen informatie voorbereiden, een aanbeveling geven of een handeling uitvoeren.

Kies bijvoorbeeld eerst toepassingen die interne documenten raadplegen of beslissingen over mensen ondersteunen. Verzamel de informatie om jullie rol en de toepasselijke risicocategorie te beoordelen. Betrek daarbij zowel de leveranciersinformatie als jullie eigen gebruik.

Verbind AI-beleid, training en privacy aan elkaar.

Medewerkers hebben instructies nodig; projectleiders willen weten wat zij vooraf moeten regelen. Deze indeling helpt beide vragen verbinden. Het is een praktisch voorstel, geen voorgeschreven wettelijk format.

Maak AI-geletterdheid passend bij het werk.

Volgens de actuele uitleg van de Europese Commissie moeten aanbieders en gebruiksverantwoordelijken maatregelen nemen die de ontwikkeling van AI-geletterdheid ondersteunen. Daarbij tellen ervaring, opleiding, gebruikscontext en betrokken personen mee. De Commissie hanteert hiervoor geen vast trainingsformat. De uitleg is aangepast na de wijzigingen van de AI-verordening in 2026.

Vertaal dit naar herkenbare vaardigheden. Een medewerker oefent bijvoorbeeld met broncontrole en het herkennen van ontbrekende informatie. Een leidinggevende leert voorstellen beoordelen en verantwoordelijkheden verdelen. Een beheerder bespreekt toegang, instellingen en meldingen. Bewaar wat je hebt afgesproken, wie heeft deelgenomen en welke vervolgvragen overblijven. Daarmee kun je het leerprogramma gericht bijwerken wanneer het werk of de toepassing verandert.

AVG en AI: sluit aan op je bestaande privacyproces.

Als een toepassing persoonsgegevens verwerkt, blijft de AVG van toepassing. Bespreek onder meer doel en grondslag, noodzakelijke gegevens, bewaartermijnen, beveiliging en rechten van betrokkenen. Beoordeel ook de rollen van leveranciers, eventuele doorgifte buiten de Europese Economische Ruimte en of een gegevensbeschermingseffectbeoordeling, een DPIA, nodig is. Een DPIA is niet automatisch voor iedere toepassing verplicht; de voorgenomen verwerking bepaalt de beoordeling.

Betrek je privacyverantwoordelijke of functionaris gegevensbescherming bij die vragen. De Autoriteit Persoonsgegevens publiceert een hulpmiddel voor organisaties die generatieve AI willen invoeren, onder meer met toegang tot bestaande bestanden. Voor bredere juridische vragen laat je ook bekijken of bijvoorbeeld auteursrecht, arbeidsrecht, consumentenrecht of sectorregels geraakt worden. AI Poort kan de inventarisatie en technische informatie voorbereiden en de uitkomsten helpen vertalen naar de inrichting en werkinstructies.

Fictief voorbeeld: een kennisassistent voor je serviceteam.

Een fictieve organisatie wil medewerkers sneller een antwoord laten vinden in handleidingen en interne procedures. In de gekozen aanpak start de kennisassistent met goedgekeurde productdocumentatie. Personeelsdossiers en klantdossiers vallen buiten de afgesproken bronverzameling. De projectleider legt het doel en de documenteigenaren vast; de beheerder stelt toegang in. Medewerkers oefenen met bronverwijzingen en vragen waarop het materiaal geen antwoord geeft.

Voor de test bevat het actielogboek drie concrete punten: de documenteigenaar controleert de versies, de beheerder test toegangsrechten met verschillende accounts en de teamleider beoordeelt antwoorden met medewerkers. De privacyverantwoordelijke beoordeelt welke persoonsgegevens eventueel via vragen of logging worden verwerkt. Het team spreekt ook af wie onjuiste antwoorden ontvangt. Dit is een uitgewerkt scenario om een aanpak te bespreken, geen klantcase of juridische goedkeuring.

Stel leveranciers vragen waarop je kunt handelen.

Vraag vóór ingebruikname naar de gegevens die de toepassing verwerkt, de opslaglocaties, bewaartermijnen en mogelijkheden om informatie te verwijderen. Laat toelichten of ingevoerde informatie voor modelverbetering wordt gebruikt en welke contractuele afspraken daarbij horen. Bespreek ook toegangsbeheer, wijzigingsmeldingen en de ondersteuning bij incidenten.

Koppel antwoorden aan acties. Laat de verantwoordelijke bijvoorbeeld beoordelen of ruimere toegang nodig en passend is. Bespreek eventuele kosten voor een ander abonnement. Bewaar documentatie met een datum, zodat duidelijk blijft waarop de keuze is gebaseerd.

Wat levert begeleiding door AI Poort op?

We helpen het gebruik inventariseren, een werkbaar beleidsdocument opstellen en afspraken vertalen naar training en uitvoering. Je kunt bijvoorbeeld een toepassingenoverzicht, een actieplan met eigenaren, leveranciersvragen en instructies voor een team laten uitwerken. We stemmen de omvang af op je uitgangssituatie en geven vooraf duidelijkheid over opleveringen, planning en kosten.

Juridische duiding stemmen we af met je jurist, privacyverantwoordelijke of een afgesproken deskundige. Daarna helpen we de vastgestelde keuzes invoeren en een evaluatiemoment organiseren. Zo ontstaat een aanpak waarmee je organisatie verder kan: medewerkers weten wat ze kunnen doen, projectleiders kennen de volgende stap en open vragen hebben een eigenaar.