Stappenplan AI-beleid, AI-geletterdheid en monitoring

Dit blog biedt je een praktische vertaling van AI-jargon, de kern van de AI Act, en concrete stappen om beleid, geletterdheid en monitoring zorgvuldig te regelen. Een praktische routekaart voor organisaties die AI serieus nemen.

1. Waarom dit nú relevant is

Organisaties die AI inzetten in hun processen hebben vanaf 2025 te maken met de Europese AI Act. Eén van de verplichtingen is dat medewerkers die met AI werken, aantoonbaar AI-geletterd moeten zijn. Vanaf februari 2025 gelden al de eerste regels, zoals het verbod op bepaalde AI-toepassingen. Uiterlijk augustus 2026 moeten organisaties aan álle regels voldoen. Daarnaast brengen nieuwe IT-tools, zoals het Microsoft Purview AI DSPM-dashboard, geavanceerde mogelijkheden voor AI-monitoring. Hiermee kan nauwkeurig worden gevolgd welke AI-toepassingen worden gebruikt, of er gevoelige gegevens worden verwerkt, en zelfs welke prompts medewerkers invoeren. Organisaties moeten hiermee aan de slag, niet alleen vanuit compliance-oogpunt, maar ook om verantwoord en transparant AI-gebruik te waarborgen.

Voor de ondernemingsraad (OR) ontstaat daarmee een dubbele opdracht:

1. Instemming (WOR art. 27) bij iedere maatregel die het gedrag of de prestaties van medewerkers registreert of evalueert;
2. Advies over het bredere AI-beleid, inclusief opleiding, risicobeheer en monitoring.

2. AI-jargon begrijpelijk uitgelegd

Term	Wat het betekent
LLM (Large Language Model)	Een geavanceerd taalmodel (zoals ChatGPT, Copilot) dat tekst genereert op basis van enorme hoeveelheden data.
Prompt	De vraag of opdracht die je aan een AI-systeem geeft. Hoe duidelijker de prompt, hoe beter het resultaat.
Hallucinatie	Een fout antwoord dat betrouwbaar klinkt. Controle blijft dus essentieel.
DPIA (Data Protection Impact Assessment)	en privacytoets die verplicht is bij risicovolle AI-toepassingen.
DSPM (Data Security Posture Management)	Dashboards zoals Microsoft Purview die inzicht geven in AI-datagebruik en risico’s.

3. Wat is AI-geletterdheid?

Volgens onze eigen AVK-definitie is AI-geletterdheid “het vermogen om AI bewust, veilig en doelgericht toe te passen, rekening houdend met juridische (privacy en security), ethische en organisatorische kaders”.  De AI Act verplicht organisaties om medewerkers die met AI werken hiervoor op te leiden.

Vier kernaspecten:

• Basiskennis – begrijpen wat AI kan én wat niet.
• Kritisch denken – uitkomsten verifiëren, bias herkennen.
• Veilig handelen – privacy en vertrouwelijkheid respecteren.
• Continu leren – AI ontwikkelt zich razendsnel, dus skills moeten mee.

Een opleidingsplan is geen luxe, maar een wettelijke vereiste.

4. De AI Act in het kort

De AI Act verdeelt toepassingen in risicocategorieën met bijbehorende verplichtingen:

	Voorbeelden	Verplichtingen
Verboden AI	Sociale scoring, manipulatie	Per direct verboden (feb 2025)
Hoog risico	HR-tools, medische AI, biometrie	Risicoanalyse, toezicht, kwaliteitsborging, EU-registratie
Beperkt risico	Chatbots die zich voordoen als mens	Transparantie, AI-geletterdheid vereist
Laag risico	Spellingscontrole, AI-muziekaanbevelingen	Geen extra verplichtingen

 

Aanbeveling: breng in kaart welke AI-toepassingen je gebruikt, bepaal de risicocategorie en stel beleid op over hoe je aan de regels voldoet.

Belangrijk:

• Check onder welke risicocategorie jullie (voorgenomen) AI-toepassing(en) vallen. Leg tevens vast hoe je wilt gaan voldoen aan de verplichtingen, zowel uit de AVG als de AI Act.
• Betrek de OR vroegtijdig; het is makkelijker instemming te krijgen voor een heldere structuur dan voor een afgedwongen eindoplossing.
• Werk met een model-beleid waar je per AI-app de risico­analyse aan koppelt.

 

 

5. Monitoring met AI DSPM-tools

AI-monitoringtools zoals Microsoft Purview AI DSPM bieden inzicht in het AI-gebruik binnen de organisatie:

• Welke tools (zoals ChatGPT, Copilot, Claude) worden gebruikt?
• Wat voor prompts geven medewerkers in?
• Worden er gevoelige gegevens verwerkt?
• Zijn er risicovolle of ongepaste prompts?

Deze tools zijn waardevol voor bewustwording, compliance en beleidsevaluatie. Maar er zijn ook grenzen: je mag niet zomaar gedragsdata van medewerkers inzien zonder duidelijke afspraken.

Transparantie is cruciaal; wees als organisatie helder over:

• Wát je monitort;
• Waarom je dat doet;
• Hoe je de privacy van medewerkers beschermt.

Als IT of compliance medewerker zijn er binnen Purview ook tools beschikbaar om deze risico’s te beperken en is er beleid in te stellen om deze (mogelijke) datalekken te voorkomen.

6. De rol van de OR

Waarom dit relevant is voor de OR? Vanuit bewustwording en kennis rondom verantwoord AI gebruik is deze data zeer zinvol. De compliance (communicatie) medewerker kan bijvoorbeeld statistieken delen over het AI gebruik. Daarmee wijs je mensen op het AI beleid van de organisatie en het collectieve gedrag van de collega’s. Je wilt echter niet doorslaan. Je mag als IT ook niet zomaar bladeren in de mailbox van een collega, dus ook niet zomaar bladeren door de prompts van een medewerker. Als organisatie wil je transparant zijn over AI spelregels maar ook over de monitoring daarop. Laat zien wát er wordt gemonitord en hoe je als medewerkers wordt beschermd tegen overmatig of onterechte monitoring.

Instemmingsplicht
Wanneer Purview AI DSPM dashboard is ingericht registreert je organisatie werkgerelateerd gedrag. De OR moet formeel instemmen met zowel de tool als de manier waarop data worden gebruikt. Als organisatie wil je een goede balans en grip op shadow-AI en de risico’s die daar bij horen, zonder onnodige over-controle toe te passen.

Vragen voor de OR

• AI-beleid & strategie: Sluit het AI-beleid aan op de organisatiedoelen?
• Kennismetingen / geletterdheid: Hoe meten we of medewerkers AI-vaardig zijn?
• Monitoring & privacy: Wordt alleen gemeten wat écht nodig is?
• Evaluatie & bijsturen: Wanneer herijken we het beleid?

7. Van beleid naar praktijk: stappenplan

Stap 1: Inventariseer

• Breng alle AI-toepassingen in kaart (inclusief ‘shadow AI’).
• Label ze volgens risicocategorie.

Stap 2: Definieer beleid

• Bepaal doelen, rollen en verantwoordelijkheden.
• Beschrijf hoe monitoring plaatsvindt en hoe data worden gebruikt.

Stap 3: Betrek de OR

• Bespreek beleid in adviesrecht; monitoring en opleidingsplan in instemmingsrecht.
• Lever een leesbare samenvatting inclusief DPIA-hoofdlijnen.

Stap 4: Train medewerkers

• Basiskennis voor iedereen.
• Verdieping voor teams die met risicovolle AI werken.

Stap 5: Monitor & verbeter

• Gebruik AI-monitoringdata om beleid te evalueren.
• Houd een logboek bij van aanpassingen en verbeteracties.

8. Tips & valkuilen

Tip 1: Begin klein 
Start met een pilot in één afdeling. Breid pas uit als processen en afspraken goed werken.

Tip 2: Vermijd ‘AI-freeze’
Te veel restrictie uit angst kan innovatie remmen. Kies voor gecontroleerd experimenteren.

Tip 3: Documenteer beslissingen
Leg vast welke AI-besluiten je neemt, inclusief motivatie en evaluatie.

Tip 4: Herhaal metingen
AI-vaardigheden zijn geen eenmalige actie. Meet ze jaarlijks opnieuw.

9. Conclusie

AI-toepassingen bieden enorme kansen voor productiviteit en innovatie, maar brengen ook nieuwe verantwoordelijkheden met zich mee. Met een helder AI-beleid, een plan voor AI-geletterdheid en een zorgvuldig ingerichte monitoring­oplossing zoals Purview AI DSPM kun jij, samen met de OR, zorgen voor verantwoorde, toekomstbestendige AI binnen de organisatie.

Mijn advies: zet vandaag nog de eerste stap door een compact overzicht te maken van alle huidige AI-initiatieven. Daarmee leg je de basis voor een solide gesprek met bestuur en OR, en voorkom je dat de AI-Act of de vakbond, straks als een boemerang terugkomt.

Succes!

Wil je meer weten of ondersteuning bij het opzetten van AI-beleid, het verzorgen van AI trainingen, je organisatie AI geletterd maken of hulp bij Purview inrichting? Neem gerust contact op met één van onze AVK experts.

Bouke van Kleef
AVK Innovatiecoach