Wat moet een AI-charter van één pagina bevatten voor uw kmo of uw praktijk?
Een AI-charter vertelt iedereen wat hij met AI mag doen, met welke tools, en vooral welke gegevens er nooit in mogen. Eén pagina volstaat als het charter het essentiële bevat: de toegelaten tools en hun accounts, de verboden gegevens (patiënten, personeel, contracten, wachtwoorden), de plicht om elk resultaat na te lezen, een aanspreekpunt en een korte opleiding. Als u het aan het team uitlegt, helpt het ook om aan te tonen dat u maatregelen hebt genomen om uw personeel op te leiden, zoals artikel 4 van de Europese AI-verordening vraagt.
Het scenario in het kort
Voorbeeld, verzonnen ter illustratie. In een fictieve kinesitherapiepraktijk moet de secretaresse de lange brief van een specialist samenvatten. Ze kopieert de tekst, met de naam, de geboortedatum en de diagnose van de patiënt, in een gratis AI-assistent die openstaat in haar browser, met haar persoonlijke account. De samenvatting is uitstekend. Niemand had haar gezegd dat dit niet mocht, noch waarom.
Die dag valt er niets ernstigs op. Maar er zijn gezondheidsgegevens vertrokken naar een onlinedienst die de praktijk niet gekozen heeft, op een account waarvan ze de instellingen niet beheert. Het probleem is niet de AI: het is het ontbreken van een duidelijke regel. Een charter van één pagina lost dat op.
Waarom nu een charter schrijven
AI zit al op kantoor. Volgens Eurostat gebruikte 20 % van de Europese ondernemingen met 10 of meer werknemers in 2025 minstens één AI-technologie, tegenover 13,5 % een jaar eerder. Dat cijfer telt alleen het gebruik dat de onderneming zelf organiseert. Het telt niet de medewerker die op eigen houtje een gratis tool opent om tijd te winnen, en net daar zit vaak het risico.
Ook het Europese recht wijst in die richting. Sinds 2 februari 2025 vraagt artikel 4 van de Europese AI-verordening aan organisaties die AI-systemen gebruiken om maatregelen te nemen om de AI-geletterdheid van hun personeel te ontwikkelen. Het artikel werd in juli 2026 gewijzigd en eist geen precies niveau meer voor elke persoon, maar de plicht om te handelen blijft, en de Unie en de lidstaten moeten vooral kmo's daarbij helpen. De Europese Commissie verduidelijkt het in haar vragen en antwoorden: een onderneming waarvan de medewerkers een generatieve AI-tool (AI die op vraag tekst of beelden maakt) gebruiken om te schrijven of te vertalen, moet hen informeren over de risico's, bijvoorbeeld ‘hallucinaties’, verzonnen antwoorden die met grote stelligheid gebracht worden.
- Geen certificaat nodig: uw medewerkers hoeven geen diploma te halen.
- Een interne registratie volstaat: het ondertekende charter en de datum van de infosessie.
- Geen verplichte structuur: geen comité, in een kleine organisatie volstaat één aanspreekpunt.
- Toezicht door de nationale autoriteiten sinds 2 augustus 2026: die registratie kan vandaag al opgevraagd worden.
Een charter vervangt geen opleiding, maar vormt er wel de basis van: het is het document dat u in 30 minuten aan het team uitlegt en daarna binnen handbereik houdt.
De acht rubrieken van een charter op één pagina
Een doeltreffend charter past op één pagina, in korte zinnen. Telt het vijf pagina's, dan leest niemand het. Dit zijn de onmisbare rubrieken, met telkens een voorbeeldzin:
| Rubriek | Wat u schrijft | Voorbeeldzin |
|---|---|---|
| 1. Het principe | AI wordt aangemoedigd, binnen een duidelijk kader | ‘Gebruik AI om te schrijven, samen te vatten en te vertalen, volgens de regels hieronder.’ |
| 2. De toegelaten tools | De lijst van toegelaten tools, met een professionele account | ‘Alleen de tools op de lijst, met uw kantooradres. Geen persoonlijke account.’ |
| 3. De verboden gegevens | Wat nooit in een AI-tool geplakt mag worden | ‘Nooit de naam van een patiënt, een medisch dossier, personeelsgegevens of een wachtwoord.’ |
| 4. Anonimiseren | Weglaten wat een persoon herkenbaar maakt | ‘Vervang namen door “de patiënt”, “de klant”, “de leverancier”.’ |
| 5. Nalezen | AI kan zich met stelligheid vergissen: een mens controleert alles | ‘Niets vertrekt zonder nalezing: cijfers, namen, datums, verwijzingen naar wetten.’ |
| 6. Beslissen | AI stelt voor, een mens beslist | ‘Geen enkele beslissing over een patiënt, een klant of een medewerker berust alleen op het antwoord van een AI.’ |
| 7. Het aanspreekpunt | Iemand bij wie u met vragen terechtkunt en een probleem meldt | ‘Bij twijfel of een fout verwittigt u [naam] dezelfde dag.’ |
| 8. De update | Een herzieningsdatum en een bewijs van de opleiding | ‘Charter gelezen en uitgelegd op [datum]. Volgende herziening: [datum].’ |
Gegevens: groen, oranje, rood
Dit is de belangrijkste rubriek, en de rubriek die uw team zal onthouden als ze visueel is. Het idee is eenvoudig: hoe persoonlijker of vertrouwelijker informatie is, hoe minder ze thuishoort in een online AI-tool.
| Kleur | Soort informatie | Regel |
|---|---|---|
| Groen | Openbare teksten, lege sjablonen, ideeën, herformulering van een tekst zonder namen | Vrij, met een toegelaten tool |
| Oranje | Intern document zonder persoonsgegevens: procedure, standaardofferte, dienstnota | Alleen met een toegelaten tool en een professionele account, nadat gevoelige cijfers verwijderd zijn |
| Rood | Patiëntgegevens, gezondheidsgegevens, personeelsdossiers, contracten, bankgegevens, wachtwoorden, niet-gepubliceerde cijfers | Nooit in een online AI-tool voor het grote publiek |
Om iedereen te helpen beslissen, stelt de Gegevensbeschermingsautoriteit (GBA) in haar brochure van april 2026 een heel eenvoudige vraag voor: ‘Als ik tijdens een diner bij onbekende mensen zou zitten, zou ik dan deze informatie over mezelf of iemand anders met anderen delen?’ Is het antwoord nee, dan gaat de informatie niet in de tool.
Het bijzondere geval van zorgpraktijken
In een medische, tandheelkundige of paramedische praktijk is de rode zone groot. De GBA herinnert eraan dat gezondheidsgegevens gevoelige gegevens zijn: de verwerking ervan is in principe verboden, behalve in welbepaalde uitzonderingen, zoals de verstrekking van zorg. Een patiëntendossier in een gratis AI-assistent plakken, met een persoonlijke account, valt niet onder de verstrekking van zorg.
De naam weglaten volstaat niet altijd. Een zeldzame ziekte, een leeftijd en een gemeente kunnen volstaan om iemand te herkennen. De GBA raadt aan om waar mogelijk pseudoniemen te gebruiken of de gegevens te verbergen waarmee iemand geïdentificeerd kan worden: namen, adressen, leeftijd. Voor een praktijk blijft de eenvoudigste regel: geen enkele patiëntinformatie in een online AI-tool die de praktijk niet zelf gekozen en ingesteld heeft.
De toegelaten tools kiezen en instellen
Verbieden zonder alternatief zet mensen ertoe aan de regel te omzeilen. Kies liever één of twee tools, stel ze goed in en geef iedereen er toegang toe. Stel deze vier vragen voor u ze op de lijst zet:
- Worden uw gesprekken gebruikt om de tool te trainen? De GBA raadt aan de privacyinstellingen te controleren, zoals de chatgeschiedenis of de AI-training, die vaak standaard ingeschakeld zijn.
- Wie beheert de accounts? Een professionele account, aangemaakt met het kantooradres, kan afgesloten worden wanneer iemand de onderneming verlaat. Een persoonlijke account vertrekt met de persoon mee, geschiedenis inbegrepen.
- Waar worden de gegevens bewaard, en hoelang? Het antwoord staat in de gebruiksvoorwaarden van het professionele abonnement. Is het niet duidelijk, vraag het dan schriftelijk aan de leverancier.
- Wordt de tool gekoppeld aan uw mailbox of uw mappen? Hoe meer toegang een tool heeft, hoe grondiger u moet nagaan wie wat ziet voor u hem activeert.
Die antwoorden passen in het charter op één regel per tool: de naam van de tool, het soort account en wat er in mag (groen of oranje).
Het charter geldig maken in uw onderneming
Een charter dat niemand kent, beschermt niemand. Laat het lezen, leg het uit en zorg voor een bewijs: een handtekening of een aanwezigheidslijst van de infosessie. Laat ook zelfstandigen, stagiairs en uitzendkrachten die uw tools gebruiken tekenen.
Wilt u een tekortkoming kunnen bestraffen, dan moet u verder gaan. De FOD Werkgelegenheid herinnert eraan dat het arbeidsreglement de straffen en de tekortkomingen die ze bestraffen moet vermelden, en dat een wijziging ervan een procedure volgt. Zonder ondernemingsraad wordt het ontwerp uitgehangen en hebben de werknemers 15 dagen om hun opmerkingen in een register te noteren. Zijn er opmerkingen, dan probeert het Toezicht op de sociale wetten iedereen op één lijn te krijgen. Daarna moet binnen 8 dagen na de inwerkingtreding een kopie van het reglement (online) neergelegd worden bij het Toezicht op de sociale wetten. Uw sociaal secretariaat kan dat voor u doen en er de regels over AI in opnemen.
Het modelcharter, aan te passen
Hier is een basis die op één pagina past. Vul de haakjes in en schrap wat voor u niet van toepassing is.
- Ja aan AI om te schrijven, samen te vatten, te vertalen, te herformuleren en ideeën te zoeken, met de tools op de lijst: [tool, soort account].
- Alleen een professionele account, aangemaakt met uw kantooradres. Geen persoonlijke account voor het werk.
- Nooit in een AI-tool: naam of dossier van een patiënt, gezondheidsgegevens, personeelsgegevens, contracten, bankgegevens, wachtwoorden, niet-gepubliceerde cijfers.
- Anonimiseer al de rest: vervang namen door een functie (‘de patiënt’, ‘de klant’).
- Lees alles na voor gebruik: AI kan cijfers, namen of verwijzingen verzinnen. U blijft de auteur van wat u verstuurt.
- AI beslist niet: geen enkele beslissing over een persoon berust alleen op haar antwoord.
- Zeg het wanneer een document voor een klant of een patiënt grotendeels met AI geschreven is, als dat voor hem van belang kan zijn.
- Geen nieuwe tool (browserextensie, app, tool gekoppeld aan de mailbox) zonder akkoord van [aanspreekpunt].
- Een stem of een video bewijst geen identiteit: elk ongewoon verzoek om een betaling of om gegevens controleert u via een ander kanaal, op het nummer dat u al kent.
- Twijfel, een fout, gegevens die per ongeluk gedeeld zijn: verwittig [aanspreekpunt] dezelfde dag. Een snel gemelde fout is te herstellen; een verborgen fout wordt erger.
Maandagochtend: vijf stappen
- Vraag het team, zonder te oordelen, welke AI-tools iedereen al gebruikt en waarvoor. Zo vertrekt u van de realiteit.
- Kies één of twee toegelaten tools en maak de professionele accounts aan.
- Pas het modelcharter hierboven aan en duid een aanspreekpunt aan.
- Stel het in 30 minuten voor op een teamvergadering, met voorbeelden uit uw vak, en laat het ondertekenen.
- Noteer een herzieningsdatum binnen zes maanden: de tools evolueren snel, het charter ook.
Een charter van één pagina vraagt geen budget en geen groot IT-project. Zo gebruikt uw team AI met vertrouwen, en weet u waar uw gegevens naartoe gaan.
Veelgestelde vragen
Is een AI-charter verplicht?
Geen enkele wet legt een charter als dusdanig op. Maar sinds 2 februari 2025 vraagt artikel 4 van de Europese AI-verordening aan organisaties die AI gebruiken om maatregelen te nemen zodat hun personeel ermee leert werken en de risico's kent. Een charter dat u aan het team uitlegt, met een bewijs van die sessie, is de eenvoudigste manier om dat te doen en aan te tonen.
Hebben mijn medewerkers een AI-opleidingscertificaat nodig?
Nee. De Europese Commissie verduidelijkt dat geen certificaat nodig is. Een interne registratie bijhouden van de opleidingen of de gegeven instructies volstaat, bijvoorbeeld het ondertekende charter en de datum van de infosessie.
Mogen mijn medewerkers een gratis AI-assistent gebruiken?
Voor openbare inhoud of inhoud zonder persoonsgegevens kan dat, als het charter het toelaat. Voor gegevens van patiënten of personeel en voor vertrouwelijke documenten niet: de instellingen van die tools, zoals de geschiedenis of de training op uw gesprekken, staan vaak standaard aan en de onderneming beheert ze niet. Stel liever een gekozen tool voor, met professionele accounts.
Mag ik een patiëntendossier anonimiseren en met AI gebruiken?
De naam weglaten volstaat niet altijd: een zeldzame ziekte, een leeftijd en een gemeente kunnen iemand herkenbaar maken. Gezondheidsgegevens zijn gevoelige gegevens, waarvan de verwerking in principe verboden is, op enkele uitzonderingen na. Voor een praktijk is de veiligste regel geen enkele patiëntinformatie in een online AI-tool te zetten die de praktijk niet zelf gekozen en ingesteld heeft.
Mag ik een medewerker sanctioneren die het charter niet naleeft?
Om te kunnen sanctioneren moeten de straffen en de bedoelde tekortkomingen in het arbeidsreglement staan, waarvan de wijziging een wettelijke procedure volgt (zonder ondernemingsraad: uithangen, 15 dagen voor opmerkingen in een register, daarna neerlegging van een kopie bij het Toezicht op de sociale wetten). Uw sociaal secretariaat kan u helpen om er de regels over AI in op te nemen.