Een fysiotherapiepraktijk in Utrecht laat de assistente verslagen samenvatten met ChatGPT. Een installateur in Apeldoorn schrijft offertes met AI. Een kapsalon in Breda overweegt een AI-telefoniste die afspraken inplant als niemand kan opnemen. Alle drie werken ze al met AI, maar geen van drieën heeft op papier staan wat wel en niet mag. Zodra een medewerker klantgegevens in een gratis tool plakt, wordt dat een probleem.
In dit artikel leest u wat een AI-beleid is, welke onderdelen erin horen, hoe u het in vijf stappen opzet voor uw mkb-bedrijf, waar u rekening mee houdt vanuit de AVG en de AI-verordening en hoe het beleid werkt aan de telefoon van een praktijk, salon of garage.
Wat is een AI-beleid en waarom heeft een mkb-bedrijf het nodig?
Een AI-beleid is een kort document waarin staat welke AI-tools uw bedrijf gebruikt, waarvoor, wie dat mag en welke gegevens erin mogen. Een mkb-bedrijf heeft het nodig omdat medewerkers AI toch al gebruiken, en zonder afspraken belanden klantgegevens in tools waar u geen controle over heeft. Het beleid beschermt klanten, medewerkers en uw bedrijf.
Een groot bedrijf laat zo’n beleid schrijven door een jurist. Een praktijk met vier medewerkers of een garage met twee monteurs heeft die niet nodig, en ook geen dertig pagina’s. Twee tot drie A4’tjes volstaan, als er maar concrete afspraken in staan die iedereen begrijpt. Het grootste risico voor een klein bedrijf is namelijk niet een ingewikkelde toepassing, maar een medewerker die uit goede bedoelingen een patiëntendossier of een kentekenlijst in een gratis chatbot plakt.
AI-beleid opzetten voor een mkb-bedrijf: welke onderdelen horen erin?
Een AI-beleid voor een mkb-bedrijf bevat minimaal vijf onderdelen: een lijst met toegestane tools, regels over welke gegevens erin mogen, afspraken over menselijke controle van de uitkomst, een vast aanspreekpunt voor vragen en een regel over transparantie richting klanten. Houd het kort en concreet, zodat medewerkers het daadwerkelijk lezen en toepassen.
- Toegestane tools. Noem bij naam welke tools zijn goedgekeurd en voor welke taken. Een tool voor nieuwsbrieven is iets anders dan een AI-telefoniste die klanten te woord staat.
- Gegevensregels. Leg vast wat nooit in een AI-tool mag: medische gegevens, BSN, bankgegevens, wachtwoorden. Benoem ook wat wel mag, zoals een algemene vraag over een cv-ketel.
- Menselijke controle. Alles wat de AI maakt en naar een klant gaat, kijkt een mens na. Een offerte, een afspraakbevestiging, een antwoord op een klacht.
- Aanspreekpunt. Eén persoon die vragen beantwoordt en nieuwe tools beoordeelt. In een kleine praktijk is dat vaak de eigenaar of de praktijkmanager.
- Transparantie. Spreek af wanneer u klanten vertelt dat ze met AI te maken hebben, bijvoorbeeld aan de telefoon.
Hoe zet u in vijf stappen een AI-beleid op?
Begin met een inventarisatie van wat medewerkers nu al met AI doen. Bepaal daarna welke tools u goedkeurt, schrijf de regels in gewone taal op, bespreek ze in een teamoverleg en plan een vast moment om het beleid te herzien. Zo heeft een mkb-bedrijf binnen enkele weken een werkbaar AI-beleid zonder extern adviseur.
- Inventariseer. Vraag in het team wie welke AI-tools gebruikt, ook via privé-accounts. Dat is vaak meer dan u denkt.
- Keur goed. Beoordeel per tool waar gegevens worden opgeslagen, of een verwerkersovereenkomst mogelijk is en of de leverancier uw gegevens gebruikt om modellen te trainen. Zakelijke abonnementen geven hierin meestal meer zekerheid dan gratis versies.
- Schrijf het op. Gebruik gewone taal, geen juridisch jargon. ‘Plak nooit een patiëntnaam in een chatbot’ werkt beter dan een alinea over bijzondere persoonsgegevens.
- Bespreek het. Neem het beleid door in een teamoverleg en laat medewerkers eigen voorbeelden inbrengen. Dat levert betere regels op dan een document dat alleen in de map staat.
- Herzie het. AI-tools veranderen snel. Zet elk half jaar een moment in de agenda om de lijst met tools en de regels bij te werken.
Waar houdt een AI-beleid rekening mee: AVG en AI-verordening
Een AI-beleid voor een Nederlands mkb-bedrijf moet aansluiten op de AVG en de Europese AI-verordening. De AVG bepaalt hoe u met persoonsgegevens omgaat, ook als een AI-tool die verwerkt. De AI-verordening verplicht sinds 2 februari 2025 dat medewerkers die met AI werken voldoende AI-geletterd zijn. Leg beide onderdelen vast in uw beleid.
Voor de AVG betekent dit concreet: sluit een verwerkersovereenkomst met elke leverancier die klantgegevens voor u verwerkt, neem AI-tools op in uw verwerkingsregister en controleer of gegevens binnen de EU blijven. De Autoriteit Persoonsgegevens houdt hier toezicht op en publiceert richtlijnen over AI. De AI-verordening is nieuwer. Artikel 4 verplicht bedrijven die AI gebruiken om te zorgen dat medewerkers die systemen verantwoord kunnen inzetten. Voor een praktijk of garage hoeft dat geen cursus te zijn: een uitleg in het teamoverleg over wat de tool doet, waar die fouten maakt en wanneer u ingrijpt, telt al mee. Leg vast dat u dit heeft gedaan. Tekst schrijven of afspraken inplannen valt niet in de hoogrisicocategorie van de verordening, maar een klant moet wel weten dat hij of zij met een AI-systeem praat.
AI-beleid in de praktijk: de telefoon, afspraken en klantgegevens
Voor afspraakgedreven bedrijven is de telefoon de plek waar AI-beleid het meest concreet wordt. Een AI-telefoniste verwerkt namen, telefoonnummers en afspraakgegevens. Leg in uw beleid vast dat de assistent zich als AI voorstelt, welke gegevens de assistent mag noteren, wanneer er wordt doorverbonden naar een medewerker en hoe lang gespreksgegevens bewaard blijven.
Neem een tandartspraktijk in Tilburg die gemiste oproepen laat opvangen door een AI-telefoniste. Het beleid beschrijft dan: de assistent plant alleen reguliere afspraken in en noteert geen medische details, bij spoed verbindt de assistent door of regelt een terugbelafspraak, de praktijk controleert dagelijks de ingeplande afspraken en de leverancier heeft een verwerkersovereenkomst getekend. Dezelfde logica werkt voor een garage in Zwolle die APK-afspraken inplant of een installateur in Haarlem die storingsmeldingen aanneemt.
Zo’n voorbeeld maakt het beleid tastbaar voor het team. Het laat ook zien dat een AI-beleid geen rem is op automatisering, maar juist de voorwaarde om het verantwoord te doen. Kies daarom een leverancier die uw beleidsvragen kan beantwoorden: waar staan de gegevens, hoe lang blijven ze bewaard en wat gebeurt er als de AI een vraag niet begrijpt.
Veelgestelde vragen
Is een AI-beleid verplicht voor een mkb-bedrijf?
Een apart document is niet wettelijk verplicht. Wel moet u voldoen aan de AVG en aan de AI-verordening, waaronder de eis dat medewerkers voldoende AI-geletterd zijn. Een AI-beleid is de praktische manier om aan te tonen dat u dat heeft geregeld.
Hoe lang moet een AI-beleid voor een klein bedrijf zijn?
Voor een praktijk, salon of garage volstaan twee tot drie pagina’s. Belangrijker dan de lengte is dat de regels concreet zijn en dat elke medewerker ze kent. Een kort beleid dat wordt nageleefd is meer waard dan een lang beleid dat niemand leest.
Mogen medewerkers gratis AI-tools zoals ChatGPT gebruiken?
Dat hangt af van wat ze erin zetten. Voor algemene taken zonder klantgegevens kan dat prima. Zodra er namen, adressen of medische informatie in het spel zijn, kiest u een zakelijke versie met verwerkersovereenkomst of verbiedt u het gebruik. Leg dat onderscheid duidelijk vast in uw beleid.
Wilt u weten hoe een AI-telefoniste past binnen uw AI-beleid, met heldere afspraken over gegevens, doorverbinden en transparantie? Plan een kennismaking met Aanloop AI en bespreek wat Emma voor uw praktijk, salon of garage kan betekenen.