Gratis template · Word · Nederlands en Engels

AI-beleid template voor de AI Act en de AVG

Een AI-beleid is het document waarin een organisatie vastlegt hoe zij AI-systemen ontwikkelt, inkoopt en gebruikt: wie beslist, welke toepassingen verboden zijn, hoe toepassingen worden geclassificeerd en geregistreerd, en welke plichten uit de AI-verordening en de AVG voor haar gelden als aanbieder of gebruiksverantwoordelijke.

Laatst gecontroleerd tegen de wet: 6 oktober 2026
Redactie: Zahed Ashkara, jurist privacy en AI
Versie en template-ID: 2.0 · praxikon:template:ai-policy
Rechtsgrond: Verordening (EU) 2024/1689, zoals gewijzigd bij Verordening (EU) 2026/1744; Verordening (EU) 2016/679 (AVG)

Voor wie is dit template?

Directie of bestuur die het beleid vaststeltBesluit over hoog-risicotoepassingen en twijfel over een verbod (artikel 5)
Eigenaar AI-governance of compliance officerRolbepaling (artikel 3 punt 3 en 4, artikel 25 lid 1) en het interne AI-register
Functionaris gegevensbescherming of privacyfunctionarisGrondslag, DPIA en geautomatiseerde besluiten (artikel 6, 22 en 35 AVG)
HR en ondernemingsraadAI-geletterdheid (artikel 4) en informatie aan werknemers (artikel 26 lid 7)
Inkoop en juridischContracteisen voor AI-leveranciers en de informatie uit artikel 13
Communicatie en eigenaar chatbotTransparantie bij chatbots, deepfakes en AI-tekst (artikel 50)

Wat staat erin

Beslisbox: bent u aanbieder of gebruiksverantwoordelijke, per toepassing (hoofdstuk 2)
Governance met rollen, goedkeuring van nieuwe toepassingen en een vaststellingsblok (hoofdstuk 3)
Alle verboden uit artikel 5, inclusief de nieuwe verboden vanaf 2 december 2026 (hoofdstuk 4)
Classificatie in zeven stappen, de datatabel per plicht en het interne AI-register (hoofdstuk 5)
Regels voor AI-assistenten, notulen-AI en AI-agents, met een tabel welke informatie waar mag (hoofdstuk 6)
Plichten uit artikel 26 per lid en een beslisbox voor de FRIA van artikel 27 (hoofdstuk 7)
Transparantie volgens artikel 50 per lid en rol, met modelteksten (hoofdstuk 8)
AI-geletterdheid als maatregelen per doelgroep (hoofdstuk 9)
AVG-hoofdstuk en één incidentroute voor datalekken en AI-incidenten (hoofdstuk 10 en 11)
Minimale contracteisen voor leveranciers, een ethische toets en de Nederlandse context: AP, OR, algoritmeregister en IAMA (hoofdstuk 12, bijlage A en B)

Zo gebruikt u het template

Breng eerst in kaart welke AI uw organisatie gebruikt of maakt, bijvoorbeeld met het AI-register en classificatiewerkboek.
Stel per toepassing uw rol vast met de beslisbox in hoofdstuk 2: aanbieder of gebruiksverantwoordelijke.
Vul de velden tussen rechte haken in en schrap bepalingen die niet gelden, zoals hoofdstuk 7 als u geen hoog-risico-AI gebruikt. Houd de nummering intact.
Verwijder de kaders 'Toelichting voor de opsteller'.
Leg het concept voor aan de FG, informatiebeveiliging en de ondernemingsraad, en laat het vaststellen door directie of bestuur.
Herzie het beleid ten minste jaarlijks, en eerder bij een wetswijziging, een ernstig incident of een eerste hoog-risicosysteem.

Veelgemaakte fouten

Voor elke gebruiksverantwoordelijke van hoog-risico-AI een FRIA verplicht stellen. Artikel 27 geldt alleen voor overheden, private partijen die openbare diensten verlenen en voor kredietscores en levens- en ziektekostenverzekeringen, vanaf 2 december 2027.
Vergeten dat u aanbieder wordt als u een algemene chatassistent inzet voor een doel uit bijlage III, zoals het rangschikken van sollicitanten (artikel 25 lid 1 onder c), met de plichten van de aanbieder vanaf 2 december 2027.
Het interne AI-register verwarren met de EU-databank. De AI-verordening verplicht geen eigen openbaar register; registratie in de EU-databank (artikel 49) is vooral een plicht van aanbieders en van overheden die een hoog-risicosysteem gebruiken.
Artikel 50 als toekomstige plicht beschrijven. Het geldt sinds 2 augustus 2026; alleen de machineleesbare markering van lid 2 heeft voor systemen die al op de markt waren een termijn tot 2 december 2026.
Alleen naar de AI-verordening kijken. Verwerkt een toepassing persoonsgegevens, dan gelden ook grondslag, DPIA en artikel 22 AVG, en vaak vraagt de AVG het meeste werk.

Liever direct online? AI-beleidsgenerator

Wanneer heeft u een jurist nodig?

Uw rol is niet eenduidig. U past een AI-systeem aan, zet er uw naam op of gebruikt een algemeen AI-systeem voor een doel uit bijlage III. Dan kunt u aanbieder worden, met de plichten van artikel 16.
U wilt een uitzondering gebruiken. Een toepassing valt mogelijk onder bijlage III en u wilt een beroep doen op artikel 6 lid 3, of de toepassing komt in de buurt van een verbod uit artikel 5, zoals het afleiden van emoties van medewerkers.
De AI beslist mee over mensen. De toepassing neemt of ondersteunt besluiten over personen op basis van persoonsgegevens: geautomatiseerde besluitvorming (artikel 22 AVG), bijzondere persoonsgegevens, of het volgen van personeel waarvoor de ondernemingsraad instemming moet geven.

Veelgestelde vragen

Is een AI-beleid verplicht onder de AI-verordening?

De AI-verordening schrijft geen document met de naam AI-beleid voor. Wel moet u de plichten van uw rol nakomen en kunnen aantonen, zoals maatregelen voor AI-geletterdheid (artikel 4), transparantie (artikel 50) en, bij hoog-risico-AI, de plichten van artikel 26. Een vastgesteld beleid is een praktische manier om dat te organiseren en vast te leggen.

Moet elke organisatie die hoog-risico-AI gebruikt een FRIA doen?

Nee. Artikel 27 geldt vanaf 2 december 2027 voor publiekrechtelijke organen, private partijen die openbare diensten verlenen en gebruiksverantwoordelijken van systemen voor kredietwaardigheid of kredietscores en voor risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen (bijlage III punt 5 onder b en c). Kritieke infrastructuur (punt 2) is uitgezonderd.

Wat is er sinds de Digital Omnibus veranderd aan AI-geletterdheid?

Sinds 27 juli 2026 (Verordening (EU) 2026/1744) nemen aanbieders en gebruiksverantwoordelijken maatregelen om de AI-geletterdheid van hun personeel te ondersteunen. Een bepaald niveau per persoon hoeft niet te worden gewaarborgd. Er is geen voorgeschreven cursus, toets of certificaat; leg vast welke maatregelen u neemt.

Sinds wanneer geldt artikel 50 voor chatbots en deepfakes?

Sinds 2 augustus 2026, ook voor bestaande systemen. De aanbieder zorgt dat mensen weten dat zij met AI communiceren (lid 1) en markeert gegenereerde inhoud machineleesbaar (lid 2). De gebruiksverantwoordelijke maakt deepfakes en bepaalde AI-tekst bekend (lid 4). Alleen voor lid 2 geldt een termijn tot 2 december 2026, voor systemen die vóór 2 augustus 2026 op de markt waren.

Welke boetes noemt de AI-verordening?

Voor verboden praktijken maximaal 35 miljoen euro of 7 procent van de wereldwijde jaaromzet, als dat hoger is (artikel 99 lid 3); voor kmo's het laagste van de twee. Dit zijn maxima. De lidstaten moeten de boeteregels zelf vastleggen; Nederland had op 6 oktober 2026 nog geen uitvoeringswet of markttoezichthouder voor de AI-verordening aangewezen.

Mag ik het template aanpassen en binnen mijn organisatie delen?

Ja. U mag dit template vrij gebruiken, aanpassen en delen, ook binnen uw organisatie, op voorwaarde dat de vermelding 'Bron: Praxikon' met de link naar dit template blijft staan.

Gebruik en bronvermelding

U mag dit template vrij gebruiken, aanpassen en delen, ook binnen uw organisatie, op voorwaarde dat de vermelding 'Bron: Praxikon' met de link naar dit template blijft staan.

Zo verwijst u naar dit template: Bron: Praxikon, AI-beleid template voor de AI Act en de AVG, versie 2.0, stand 6 oktober 2026, https://www.praxikon.com/nl/templates/ai-policy-template

Dit template is een hulpmiddel en geen juridisch advies voor uw situatie. Het geeft de stand van de wet weer per 6 oktober 2026. Wetgeving, richtsnoeren en toezichtspraktijk kunnen daarna veranderen. Het gebruik van dit template is geen garantie op naleving: de toepassing in uw organisatie blijft uw eigen verantwoordelijkheid.

Praxikon is een handelsnaam van Embed AI · KvK 90283597