Nederlandse organisaties zetten steeds vaker generatieve AI in op de werkvloer, maar blijven achter met begeleiding en heldere kaders. Medewerkers experimenteren met tools als Microsoft 365 Copilot, ChatGPT Enterprise van OpenAI en Google Gemini voor Workspace. Beleid, training en toezicht groeien nog niet mee. Dat zorgt voor risico’s rond privacy, kwaliteit en aansprakelijkheid, juist nu de Europese AI-verordening ingaat.
Gebruik sneller dan beleid
Teams gebruiken AI-assistenten voor teksten, code en klantreacties, vaak geïntegreerd in bestaande software. Leveranciers zetten deze functies standaard aan, waardoor het gebruik snel toeneemt. Toch ontbreekt vaak een duidelijke handleiding: wat mag wel, wat mag niet, en welke data mogen erin?
Daarom ontstaat “schaduw-AI”: medewerkers kiezen zelf een app of model als de organisatie geen alternatief aanbiedt. Dat maakt toezicht lastig en vergroot het risico op fouten. Ook weten veel gebruikers niet of hun invoer het model traint, of waar data worden opgeslagen.
“Zonder begeleiding vergroot generatieve AI het risico op datalekken, verkeerde besluiten en reputatieschade.”
De druk om sneller te werken en kosten te besparen, duwt organisaties richting snelle adoptie. Maar randvoorwaarden als autorisaties, logging en kwaliteitscontroles volgen later. Zo schuift de aandacht van productiviteit naar governance, vaak pas na een incident.
Risico’s voor AVG en kwaliteit
AI-systemen verwerken vaak persoonsgegevens. Onder de AVG geldt dataminimalisatie: alleen noodzakelijke data, zo kort mogelijk en goed beveiligd. Contracten met aanbieders moeten helder zijn over opslag, subverwerkers en of data modeltraining voeden.
Generatieve AI kan “hallucineren”: het model verzint overtuigende maar onjuiste antwoorden. Daarom hoort menselijk toezicht verplicht te zijn bij belangrijke beslissingen. Werkafspraken, bronvermelding en steekproeven helpen fouten te vangen voordat ze bij klanten of burgers belanden.
Ook vertekening in datasets kan oneerlijke uitkomsten geven, bijvoorbeeld bij selectie of beoordeling. Beeld- en tekentools verschillen bovendien in hoe zij omgaan met auteursrecht. Adobe Firefly claimt getraind te zijn op gelicentieerde inhoud, maar niet elke dienst biedt die zekerheid of watermerken.
AI-verordening brengt harde eisen
De Europese AI-verordening (AI Act) deelt systemen in risicoklassen in, met strengere regels naarmate het risico hoger is. Hoog-risico systemen, zoals AI die invloed heeft op toegang tot werk, onderwijs of publieke diensten, moeten aan eisen voldoen. Denk aan datakwaliteit, technische documentatie, menselijke controle en incidentmelding.
Organisaties die zulke systemen inzetten, moeten processen vastleggen en resultaten kunnen uitleggen. Voor publieke instellingen geldt bovendien een toets op grondrechten bij hoog-risico toepassingen. Transparantie naar gebruikers is verplicht als zij met een AI-systeem te maken hebben.
De regels gelden gefaseerd; op het moment van schrijven start handhaving van kernverplichtingen in 2026. Overtredingen kunnen leiden tot hoge boetes, tot 7% van de wereldwijde omzet voor verboden systemen. In Nederland krijgen toezichthouders, waaronder de Autoriteit Persoonsgegevens, hierbij een centrale rol.
Overheid extra aan zet
Overheden gebruiken AI voor burgercontact, dossiervorming en besluitondersteuning. Dan gelden naast de AI Act ook regels voor informatiehuishouding, zoals de Wet open overheid en archiefregels. Uitlegbaarheid en herleidbaarheid zijn hier niet “mooi meegenomen”, maar noodzakelijk.
Inkoop wordt kritischer: aanbestedende diensten moeten controleren of leveranciers voldoen aan de AI Act en de Baseline Informatiebeveiliging Overheid (BIO). Dataopslag binnen de EU en duidelijke afspraken over subverwerkers worden belangrijker. Grote aanbieders, zoals Microsoft met de EU Data Boundary, spelen daarop in, maar maatwerk blijft nodig.
Betrek tijdig de Functionaris Gegevensbescherming en de ondernemingsraad bij pilots en uitrol. Voer voor gevoelige toepassingen een gegevensbeschermingseffectbeoordeling (DPIA) uit. Gemeenten en uitvoeringsorganisaties kunnen profiteren van gezamenlijke toetskaders en modelbibliotheken.
Accountants vragen om controls
AI raakt interne beheersing: van datastromen tot besluitvorming. Bestuurders moeten vastleggen wie waarvoor verantwoordelijk is en hoe AI-uitkomsten worden gecontroleerd. Het “three lines”-model helpt: teams voeren uit, risk/compliance stelt kaders, en internal audit toetst.
Zorg voor logboeken van prompts, data-invoer en modelversies, met bewaartermijnen en toegangsrechten. Leg validaties, steekproeven en sign-off vast bij kritieke processen. Scheid functies: wie bouwt of traint, controleert niet ook de uitkomst zonder tegenwichten.
Externe zekerheid is mogelijk met assurance-rapportages, zoals ISAE 3000, op specifieke AI-controles. IT-auditors (NOREA) en beroepsorganisaties werken aan praktische handreikingen. Zo ontstaat toetsbare governance zonder innovatie te blokkeren.
Vijf stappen voor organisaties
Begin met een duidelijk AI-beleid: welke tools zijn toegestaan, voor welke taken en met welke data. Kies waar kan voor bedrijfsvarianten zoals ChatGPT Enterprise, Microsoft 365 Copilot en Gemini Enterprise, met afgeschermde logging. Zet standaard uit dat data worden gebruikt voor training, tenzij expliciet goedgekeurd.
Investeer in training en begeleiding, niet alleen in licenties. Leer medewerkers hoe zij vertrouwelijke informatie herkennen en vermijden in prompts. Werk met eenvoudige checklists voor bronvermelding, kwaliteitscontrole en privacy.
Regel techniek en dataveiligheid: DLP, versleuteling, bewaartermijnen en rolgebaseerde toegang. Gebruik waar passend EU-hosting en duidelijke contracten over subverwerkers. Koppel AI aan interne, goedgekeurde databronnen om kwaliteit te verhogen en lekken te voorkomen.
Monitor en evalueer continu. Voer risicoanalyses uit per toepassing en documenteer keuzes en testresultaten. Meet impact op fouten, tijdswinst en klanttevredenheid, en stuur bij als uitkomsten afwijken.