AI Act voor MKB: 5 stappen van nul naar compliant

Inventariseer: welke AI-tools worden er al gebruikt?

Dit is waar de meeste bedrijven schrikken. Want je denkt misschien dat niemand AI gebruikt. Maar ondertussen:

• Microsoft Copilot zit standaard in Microsoft 365 Business. Tenzij je het actief hebt uitgezet, is het er gewoon.
• ChatGPT wordt door minstens een kwart van je medewerkers privé gebruikt voor werk. Gegarandeerd.
• Google Gemini zit in Gmail en Google Workspace. Yep, ook dat is AI.
• Je CRM-systeem, je boekhoudpakket, je e-mailtool — overal zitten inmiddels AI-features in.

Maak een simpele lijst. Welke tools? Wie gebruikt ze? Waarvoor? Het hoeft geen spreadsheet van honderd regels te zijn. Gewoon een helder overzicht. Dat is je startpunt.

Stel je voor: je ontdekt dat je recruiter al maanden cv’s door een AI-tool haalt om kandidaten te ranken. Dat valt onder hoog-risico AI. Goed dat je het nu weet, en niet pas als de AP langskomt.

Stel basisregels op

Je hebt nu je overzicht. Volgende stap: regels. En nee, dat hoeft geen document van veertig pagina’s te zijn. Een A4 kan genoeg zijn. Maar het moet er wel zijn.

Wat moet erin staan?

• Wat mag er wel in AI-tools? Openbare informatie, conceptteksten, brainstorms — prima.
• Wat mag er absoluut niet in? Persoonsgegevens van klanten, financiële data, medische informatie, vertrouwelijke bedrijfsstrategie.
• Welke tools zijn goedgekeurd? Niet elke gratis AI-tool op internet is even veilig. Bepaal welke tools je organisatie officieel gebruikt.
• Wie is verantwoordelijk? Wijs iemand aan die het AI-beleid bijhoudt. Dat hoeft geen fulltime baan te zijn — maar iemand moet het doen.

AI is als een stagiair: enorm behulpzaam, maar je moet wel even uitleggen wat de huisregels zijn. Anders gaat-ie enthousiast aan de slag met vertrouwelijke data en snap je pas achteraf wat er mis ging.

Train je team

Dit is de stap waar de AI Act het expliciet over heeft. Artikel 4 zegt het letterlijk: zorg dat je mensen AI-geletterd zijn. En dat betekent niet dat iedereen moet weten hoe een neuraal netwerk werkt.

Het betekent drie dingen:

• Snappen wat AI doet. Het is geen waarheidsmachine. Het voorspelt het meest waarschijnlijke volgende woord. Dat is iets fundamenteel anders dan “het weet het antwoord.”
• Weten wat je er niet in stopt. Persoonsgegevens, vertrouwelijke info, klantdata. Simpel, maar het moet gezegd worden. Expliciet.
• Output kunnen checken. AI klinkt altijd zelfverzekerd. Ook als het complete onzin uitkraamt. Je team moet leren kritisch te zijn op wat eruit komt.

Bij mijn trainingen gebruik ik de CRAFT-methode: Context, Rol, Actie, Format, Toetsing. Een simpel framework waarmee iedereen — van directie tot receptie — direct betere resultaten krijgt uit AI-tools. En het mooie is: als je team snapt hoe ze AI goed gebruiken, gaan ze het ook veiliger gebruiken.

Eén middag. Dat is alles wat het kost. En daarna heb je een team dat weet wat het doet.

Documenteer alles

Dit is de stap die iedereen overslaat. En het is juist de stap waar de AP naar kijkt.

Want stel: de Autoriteit Persoonsgegevens klopt aan. Ze vragen: “Hoe zorgen jullie dat je medewerkers weten hoe ze met AI omgaan?” Dan wil je niet zeggen: “Eh, we hebben er een keer iets over gezegd in de kantine.”

Wat je wel wilt hebben:

• Een AI-beleid. Het document uit stap 2. Gedateerd en ondertekend.
• Trainingsrapportage. Wie is getraind? Wanneer? Wat is er behandeld?
• Certificaten. Als bewijs dat je team de training heeft afgerond.
• Een kennistoets. Optioneel, maar sterk. Het laat zien dat je niet alleen hebt verteld, maar ook hebt getoetst.

Klinkt als veel werk? Valt mee. Bij een goede training krijg je dit er allemaal bij. Rapport, certificaten, kennistoets — het hele pakket. Eén keer goed regelen, en je hebt je bewijs op orde.

Plan een jaarlijkse check

AI staat niet stil. Wat vandaag state-of-the-art is, is over zes maanden achterhaald. Er komen nieuwe tools bij, bestaande tools krijgen nieuwe features, en de risico’s veranderen mee.

Daarom: plan minimaal één keer per jaar een check-in. Dat hoeft geen groot project te zijn:

• Zijn er nieuwe AI-tools in gebruik genomen? Voeg ze toe aan je inventarisatie.
• Moet het beleid aangepast? Misschien zijn er nieuwe regels, of gebruikt je team tools op een manier die je niet had voorzien.
• Refresher-training. Niet de hele training opnieuw, maar een update. Wat is er veranderd? Wat zijn de nieuwste valkuilen?
• Nieuwe medewerkers. Iedereen die na de eerste training is begonnen, moet ook bijgepraat worden.

Zet het in je agenda. Gewoon één middag per jaar. Net als je brandoefening — niemand vindt het leuk, maar je bent blij dat je het gedaan hebt als het ertoe doet.