Totdat er iemand belt. Een klant. Met een klacht. Want hoe komt het dat zijn persoonsgegevens ineens rondzingen in een AI-systeem waarvan niemand precies weet waar de data heen gaat?

En dan komt het pijnlijke nieuws: de wet kijkt niet naar je medewerker, maar naar jou.

AVG + AI Act: geen ontsnappen mogelijk

Onder de AVG (Algemene Verordening Gegevensbescherming) was het al duidelijk: de werkgever – officieel de ‘verwerkingsverantwoordelijke’ – blijft eindverantwoordelijk. Of een medewerker per ongeluk data lekt via AI maakt niets uit. De boete of de aansprakelijkheid komt op het bord van de organisatie.

En sinds 1 augustus 2024 is de EU AI Act ook in werking. Die wet reguleert AI veel breder en scherper. Niet alles geldt meteen, maar in fases:

– Vanaf februari 2025: verboden AI-praktijken (denk aan social scoring of emotieherkenning van personeel).
– Vanaf augustus 2025: verplichtingen voor general-purpose AI, zoals ChatGPT.
– 2026–2027: de zware regels voor high-risk systemen (denk aan AI in HR, financiën, zorg).

Kortom: dit is geen toekomstmuziek. De AI Act is er al, en de verplichtingen tikken de komende jaren steeds verder door.

Wat betekent dat voor jou als werkgever?

Goed toezicht houden op AI-gebruik is geen luxe, maar noodzaak. Organisaties moeten beseffen dat één verkeerd gebruik van AI grote gevolgen kan hebben: een datalek, een juridische procedure of reputatieschade. Drie dingen zijn daarbij essentieel:

1. Duidelijke spelregels
   Maak beleid. Zet op papier wat wel en niet mag. Bijvoorbeeld: geen klantdata in externe AI-tools. Punt.
2. Training en tooling
   HR en IT moeten medewerkers trainen én veilige alternatieven aanbieden. Als je geen veilige AI-omgeving regelt, is de verleiding groot dat mensen tóch ChatGPT openen.
3. Controle en naleving
   Compliance en juristen moeten monitoren of het beleid ook echt gevolgd wordt. Geen vinkjeslijst, maar echte checks: hoe, waar en met welke data gebruiken medewerkers AI?

Praktijkcases: waar gaat het mis (of juist goed)?

Voorbeeld HR: Een HR-medewerker gebruikt een AI-tool om snel sollicitatiebrieven te screenen. Handig, maar zonder goede richtlijnen kan er sprake zijn van discriminatie of bias. De AI Act bestempelt dit als high-risk. Dat betekent: extra documentatie, transparantie en toezicht.

Voorbeeld Finance: Een controller zet bedrijfsdata in een generatieve AI om snel een analyse te draaien. Als die data niet goed is geanonimiseerd, kan dit een overtreding zijn van de AVG. Gevolg: de organisatie is aansprakelijk, zelfs als de controller uit goede bedoelingen handelde.

Voorbeeld Zorg: Een zorginstelling experimenteert met AI om patiëntgegevens te analyseren. Medisch datagebruik is extreem gevoelig en valt onder de strengste categorieën van de AVG én de AI Act. Hier gelden verplichtingen rond transparantie, uitlegbaarheid en menselijke eindcontrole.

Van risico naar kans

Je kunt AI op twee manieren benaderen: als tikkende tijdbom of als gamechanger. Wie niets regelt, krijgt vroeg of laat ellende: een datalek, een boete, reputatieschade.

Wie het wél regelt, heeft een voorsprong:
– Klanten vertrouwen je omdat je veilig met hun data omgaat.
– Medewerkers voelen zich zeker omdat ze weten wat mag en niet mag.
– Je organisatie benut de kracht van AI zonder dat het chaos wordt.

Het mooie is: goed AI-beleid gaat niet alleen over risicobeheersing, maar ook over kansen. Organisaties die nu investeren in AI-governance, zullen merken dat innovatie sneller én veiliger gaat.

Cultuur en leiderschap

AI-governance is niet alleen een kwestie van regels en compliance. Het gaat ook over cultuur. Als bestuurders en managers zelf bewust omgaan met AI, volgen medewerkers sneller. Leiderschap betekent hier: niet alleen verbieden, maar uitleggen, trainen en faciliteren.

Een voorbeeld: een organisatie die AI-ambassadeurs aanstelt binnen verschillende teams. Zij helpen collega’s om AI veilig te gebruiken, beantwoorden vragen en signaleren risico’s. Zo maak je AI-gebruik niet een top-down opgelegd verbod, maar een gedragen praktijk.

Dus baas, dit is aan jou

AI is niet meer weg te denken. De vraag is niet óf je ermee werkt, maar hoe. En of je straks kunt laten zien dat je de risico’s in de hand hebt. Want één ding staat vast: de verantwoordelijkheid kun je niet afschuiven. De komende jaren wordt de lat alleen maar hoger gelegd. Wie nu begint met beleid, training en controle, staat straks sterker.

Bronnen & verdiepende links

– Autoriteit Persoonsgegevens – AVG: https://autoriteitpersoonsgegevens.nl

– EU AI Act – Europese Commissie: https://digital-strategy.ec.europa.eu/en/policies/european-ai-act

– Implementation timeline AI Act: https://artificialintelligenceact.eu/implementation-timeline/

– Reuters: EU legt richtlijnen vast voor misbruik AI door werkgevers: https://www.reuters.com/technology/artificial-intelligence/eu-lays-out-guidelines-misuse-ai-by-employers-websites-police-2025-02-04/