Hoe stel je een AI-beleid op dat in de praktijk werkt?

Een goed AI-beleid schrijf je niet los van je IT-omgeving. Je koppelt het aan wat medewerkers gebruiken en aan je Microsoft 365-omgeving. Hieronder de 6 stappen hoe je dit goed aanpakt.

Begin met een lijst van alle AI die je organisatie gebruikt. Denk aan ChatGPT, Microsoft Copilot, AI in je CRM, boekhoudpakket of recruitmentsoftware.

Zet per toepassing vast wie de tool gebruikt en waarvoor. Noteer ook welke data erin gaat en of de tool advies geeft of besluiten neemt. Je brengt hiermee het AI-gebruik buiten het zicht van je organisatie in beeld.

De valkuil is starten met verbieden. Dat geeft een net document, maar medewerkers zoeken dan een omweg. Overzicht werkt beter.

Microsoft Copilot toont binnen Microsoft 365 wat iemand al mocht zien, op basis van diens rechten.

Copilot veroorzaakt meestal niet het lek. Het maakt zichtbaar wat je Microsoft 365-omgeving al toestond. Dat is handig als je rechten goed staan, riskant als SharePoint-sites te ruim openstaan. Rechten die jarenlang weinig aandacht kregen, worden ineens doorzoekbaar. Geen reden om AI te verbieden. Wel een reden om eerst je rechtenstructuur te controleren.

Leonard ziet dit terug in de praktijk: een HR-map, directiemap of projectsite is ooit breder gedeeld dan bedoeld. Niemand merkt dat, tot Copilot de inhoud vindbaar maakt voor iedereen met toegang, ook de verkeerde medewerker.

Symbis brengt dit met een gerichte Microsoft 365-nulmeting in kaart: welke rechten te ruim staan, waar gevoelige data zit en wat je eerst herstelt.

Het verkeerslichtmodel laat je medewerkers in één oogopslag zien wat mag.

• Groen: openbare informatie of testdata. Dit mag in goedgekeurde AI-tools.
• Oranje: interne informatie. Dit gebruik je alleen in goedgekeurde tools en na een check.
• Rood: persoonsgegevens, klantdata of vertrouwelijke informatie. Dit gaat niet in publieke AI-tools.

Leg ook vast wat human-in-the-loop betekent. Bij gevoelige beslissingen mag AI een voorstel doen, maar een medewerker met kennis en mandaat beoordeelt de uitkomst en past die zo nodig aan. Dit speelt vooral bij HR-selectie, kredietbeoordeling, klachten of besluiten die mensen merkbaar raken.

Maak dit aantoonbaar. Leg vast wie de AI-uitkomst beoordeelt en bij welke processen die controle verplicht is. Noteer ook hoe je afwijkingen vastlegt. Alleen op ‘akkoord’ klikken is geen controle, hoe verleidelijk ook. Die persoon moet de uitkomst echt begrijpen, aanpassen of tegenhouden.

Valkuil: Maak het model niet te ingewikkeld, met bijvoorbeeld tien categorieën in plaats van drie. Mooi overzicht, tot niemand het nog uit zijn hoofd kent en het stilvalt.

Houd het beleid kort. Voor veel mkb-organisaties volstaat 2 tot 4 pagina’s plus een AI-register. Beschrijf welke tools zijn toegestaan en welke dataregels gelden. Noteer ook wie eigenaar is, hoe je incidenten meldt en wanneer je het beleid herziet.

Valkuil: afspraken die alleen in een Worddocument staan, verdwijnen in de praktijk. Zonder labels, Data Loss Prevention (regels die gevoelige data blokkeren of signaleren) en rechten toetst niemand of de regel ook klopt.

Microsoft Purview sensitivity labels geven documenten een label, zoals intern of vertrouwelijk. SharePoint- en OneDrive-rechten bepalen wie bij bestanden mag. Conditional access bepaalt onder welke voorwaarden iemand toegang krijgt, bijvoorbeeld met MFA.

In complexere omgevingen kijk je ook naar extra Microsoft-functies, zoals SharePoint Advanced Management of beperkingen op wat Copilot mag vinden. Begin niet te groot. Voor de meeste organisaties zit de eerste winst in rechten, labels, DLP en duidelijke afspraken.

Leg ook vast hoe je AI-geletterdheid aantoonbaar maakt. Denk aan een korte sessie per rol, een vaste contactpersoon en een plek waar medewerkers vragen of incidenten melden. Noteer wie de sessie heeft gevolgd, welke onderwerpen zijn behandeld en waar medewerkers de afspraken terugvinden. Een korte, herhaalbare sessie werkt vaak beter dan een dik handboek dat niemand opent.

Dit is het verschil tussen “we hebben het opgeschreven” en “de omgeving helpt ons dit vol te houden”. Saai werk. Maar over een jaar ben je blij dat het er staat.

De directie geeft mandaat en bepaalt de toon. Operations kent de processen. Een kleine afvaardiging van de werkvloer laat zien hoe mensen AI echt gebruiken. IT of je IT-partner toetst of afspraken uitvoerbaar zijn in Microsoft 365.

HR sluit aan zodra AI raakt aan werving, beoordeling of personeelsbeleid. Een jurist of functionaris gegevensbescherming sluit aan bij DPIA’s, verwerkersovereenkomsten of besluiten die mensen aanmerkelijk raken. Een DPIA is een privacy-risicoanalyse.

Betrek niet het hele bedrijf bij het schrijven. Betrek het team wel bij uitleg, voorbeelden en adoptie. Anders eindig je met regels die niemand herkent.

Valkuil: te veel mensen aan tafel maakt het traject traag en het document vaag. Houd de schrijfgroep op 3 tot 5 mensen en haal input van anderen op via korte gesprekken, niet via vergaderingen.

AI-tools veranderen snel. Microsoft 365 ook. Wijs 1 eigenaar aan voor het AI-register en plan een halfjaarlijkse review.

Valkuil: een beleid zonder eigenaar veroudert stil. Niemand merkt dat een nieuwe Copilot-functie de afspraken alweer achterhaald heeft.

Het document zelf kost enkele uren tot een paar dagdelen. Bij Leonards trajecten duurt het volledige traject meestal 6 tot 12 weken, bij een organisatie van 50 tot 250 medewerkers. Inventarisatie, rechtenherstel, technische instellingen en teamuitleg vragen tijd.