Gids

OpenAI verandert ChatGPT: wat betekent dat voor jouw AI-beleid op het werk?

Grote AI-aanbieders wijzigen hun producten voortdurend, met nieuwe functies, andere databehandeling en gewijzigde voorwaarden. Voor de werkvloer betekent dit vooral één ding: je kunt niet blijven vertrouwen op losse afspraken. Een vastgelegd AI-beleid, gebaseerd op de AVG en de EU AI-verordening, is de enige manier om grip te houden op wat medewerkers waar invoeren, ongeacht welke tool er dit kwartaal verandert.

Laatst bijgewerkt: 2026-07-13 6 min lezen Redactie AIwerkbank

Waarom AI-tools zo snel veranderen en wat dat voor jou betekent

AI-leveranciers passen hun producten in hoog tempo aan: nieuwe functies, andere interfaces, gewijzigde databehandeling. Voor een mkb-bedrijf is de tool zelf minder belangrijk dan de vraag: wat gebeurt er met de gegevens die medewerkers erin typen? Zonder vastgelegde afspraken weet je dat vaak niet, en verandert de situatie elke keer dat een leverancier iets aanpast. Wil je eerst begrijpen hoe generatieve AI en taalmodellen als ChatGPT precies werken, lees dan de praktische beginnersgids.

Dat is precies waarom een AI-beleid geen momentopname mag zijn, maar een levend document. Volgens de KVK is een AI-beleid niet verplicht, maar wel de manier om afspraken vast te leggen over welke AI-software medewerkers mogen gebruiken en welke gegevens ze wel of juist niet mogen invoeren. Bundel die afspraken in een apart document of maak ze onderdeel van het personeelshandboek, zodat iedereen weet waar hij aan toe is, ook als de onderliggende tools veranderen.

De wetgeving die nu al geldt: AVG en AI-verordening

Twee wetten bepalen wat wél en niet mag met AI op de werkvloer. De AVG bepaalt hoe je met persoonsgegevens omgaat, dus ook met klant- of personeelsgegevens die iemand in een chatbot plakt. De Europese AI-verordening (Verordening (EU) 2024/1689) is het eerste alomvattende rechtskader voor AI wereldwijd en bevat risicogebaseerde regels voor AI-ontwikkelaars én -exploitanten, dus ook voor bedrijven die AI-tools inzetten. Wil je precies weten wat die verordening voor jouw organisatie betekent, lees dan de EU AI Act uitgelegd in gewone taal.

Belangrijk detail: de Autoriteit Persoonsgegevens meldt dat er vanaf 2 augustus 2026 transparantie-eisen voor AI gaan gelden, en adviseert organisaties om de praktijkcode te ondertekenen. Wie nu al werkt met AI-tools zoals ChatGPT, doet er goed aan dit najaar te checken of het eigen gebruik aan die eisen voldoet. De AP werkt bovendien aan nieuwe AVG-richtlijnen specifiek voor generatieve AI, die ontwikkelaars en organisaties moeten helpen bij het correct toepassen van de privacywetgeving. Twijfel je of klantdata veilig is in een chatbot, check dan AI, AVG en privacy: mag klantdata in ChatGPT?.

Groter cyberrisico door AI: waarom dit ook je IT-beleid raakt

Een AI-beleid gaat niet alleen over privacy, maar ook over veiligheid. Het Nationaal Cyber Security Centrum (NCSC) waarschuwt dat generatieve AI, waaronder taalmodellen zoals ChatGPT, kan worden misbruikt voor overtuigender phishing, deepfakes en andere vormen van manipulatie. De AP bevestigt dit beeld: AI vergroot de gevaren van cyberaanvallen. Dat is een extra reden om AI-gebruik binnen je organisatie niet aan toeval over te laten, zeker nu tools als browsers en assistenten steeds dieper geïntegreerd raken in dagelijkse workflows.

Concreet betekent dit dat je AI-beleid ook praktische instructies moet bevatten: geen gevoelige bedrijfs- of klantgegevens invoeren in publieke tools, wachtwoorden en inloggegevens nooit delen met een AI-assistent, en medewerkers trainen om AI-gegenereerde phishingpogingen te herkennen. Voor tips om chatbots zelf veiliger en slimmer in te stellen, zie AI-chatbots slimmer instellen.

Wat je nu concreet regelt in je AI-beleid

Een goed AI-beleid begint volgens de KVK met een heldere doelstelling: waarom heb je dit beleid, en wat moet het voorkomen? Vervolgens leg je vast voor wie het geldt (alle medewerkers, een specifieke afdeling, ook zzp'ers en externen), welke tools zijn toegestaan, en hoe je het beleid actueel houdt naarmate leveranciers hun producten wijzigen. Zonder AI-beleid loop je bij een incident bovendien een juridisch risico, terwijl een vastgelegd beleid je dan een handvat biedt.

Praktisch: stel een vast reviewmoment in, bijvoorbeeld elk kwartaal, waarop je checkt of de gebruikte AI-tools nog aansluiten bij je beleid en bij de laatste eisen van de AVG en de AI-verordening. Betrek IT en een verantwoordelijke voor gegevensbescherming bij die review. Voor kleinere bedrijven die willen weten hoe ze AI praktisch en tijdbesparend inzetten zonder risico's te lopen, is AI voor zzp en mkb een goed startpunt.

Veelgestelde vragen

Moet ik mijn AI-beleid aanpassen als een leverancier zijn tool wijzigt?

Nee, niet per se per wijziging, maar wel structureel: bouw een vast reviewmoment in (bijvoorbeeld elk kwartaal) waarop je checkt of de gebruikte tools nog passen binnen je beleid en de geldende regels. Zie de EU AI Act uitgelegd voor de onderliggende regels.

Is een AI-beleid verplicht voor mkb-bedrijven?

Nee, een AI-beleid is niet wettelijk verplicht, maar het helpt medewerkers veilig met AI-tools te werken, voorkomt risico's en biedt een juridisch handvat als er toch iets misgaat door onveilig gebruik.

Welke wetten moet ik in de gaten houden bij AI-gebruik op het werk?

De AVG voor de omgang met persoonsgegevens, en de Europese AI-verordening (AI Act) voor het risicogebaseerde kader rond AI-toepassingen. Vanaf 2 augustus 2026 gelden bovendien nieuwe transparantie-eisen.

Vergroot AI-gebruik het risico op cyberaanvallen?

Ja, het NCSC en de Autoriteit Persoonsgegevens waarschuwen beide dat generatieve AI cyberaanvallen, zoals overtuigender phishing en deepfakes, kan versterken. Neem dit expliciet mee in je AI-beleid en IT-training.

Bronnen & verantwoording

Feiten en prijzen gecontroleerd op de vermelde bronnen. AI verandert snel; kom je iets tegen dat niet meer klopt? Laat het ons weten.