Redactie en AI: AI kan hebben geholpen bij onderzoek, structurering of een eerste concept. Een mens bepaalde de strekking, controleerde bronnen en claims en keurde publicatie goed. Lees het redactiebeleid.
Waarom een register het eerste is wat je maakt
Je kunt geen beleid schrijven over AI-gebruik dat je niet in beeld hebt. En je kunt niet aantonen dat je maatregelen hebt genomen als je niet weet waarvoor. Daarom begint elke serieuze aanpak met inventariseren, niet met trainen.
De verrassing zit meestal in twee hoeken. Ten eerste de stille AI: functies die al in je bestaande software zitten, in je CRM, je boekhoudpakket, je mailprogramma of je telefooncentrale. Ten tweede het schaduwgebruik: medewerkers die uit tijdnood een persoonlijk AI-account gebruiken voor werk. Dat tweede is tegelijk een AI Act-kwestie en een AVG-risico.
Download de template
Zo ziet de template eruit
Vijftien kolommen, met twee ingevulde voorbeeldregels zodat de bedoeling meteen duidelijk is. Schuif horizontaal om alle kolommen te zien.
| Systeem of tool | Leverancier | Waarvoor gebruikt | Afdeling | Wie gebruikt het | Persoonsgegevens (ja/nee) | Categorieen persoonsgegevens | Verwerkersovereenkomst (ja/nee) | Datum verwerkersovereenkomst | Onze rol volgens AI Act | Indicatie risicoklasse | Wie controleert de uitkomst | Opgenomen op | Laatste herziening | Eigenaar |
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Voorbeeld: ChatGPT Team | OpenAI | Conceptteksten en samenvattingen | Marketing | 3 medewerkers | Ja | Naam en e-mailadres van zakelijke contactpersonen | Ja | 2026-01-15 | Gebruiksverantwoordelijke | Minimaal | Teamlead marketing | 2026-01-15 | 2026-07-01 | Naam eigenaar |
| Voorbeeld: chatbot op website | Naam leverancier | Eerstelijns klantvragen | Klantenservice | Automatisch, 1 beheerder | Ja | Naam, e-mailadres, vraaginhoud | Ja | 2026-02-01 | Gebruiksverantwoordelijke | Beperkt (transparantieplicht) | Klantenserviceteam | 2026-02-01 | 2026-07-01 | Naam eigenaar |
Wat elke kolom doet
- Waarvoor gebruikt, afdeling en gebruikers: hiermee bepaal je later of het gebruik in een zware of lichte risicoklasse valt. Zonder deze context is een classificatie een gok.
- Persoonsgegevens en categorieën: dit is je aansluiting op de AVG. Een klantnaam in een e-mail is al een persoonsgegeven, dus de eerlijke invulling is meestal ja.
- Verwerkersovereenkomst en datum: verwerk je persoonsgegevens via een leverancier, dan is dit geen keuze maar een vereiste. De datum helpt bij herzien.
- Onze rol volgens de AI Act: vrijwel altijd gebruiksverantwoordelijke. Ontwikkel je zelf AI-systemen, dan ben je daarnaast aanbieder, met een aanzienlijk zwaardere set verplichtingen.
- Indicatie risicoklasse: een eigen inschatting, geen formele classificatie. Gebruik de AI Act-check om er sneller te komen.
- Wie controleert de uitkomst: de belangrijkste kolom in de praktijk. Staat hier niemand, dan heb je geen menselijk toezicht en is dat je eerste actiepunt.
Hoe je het bijhoudt zonder dat het een project wordt
Een register dat één keer wordt gemaakt en daarna verstoft, is erger dan geen register: het wekt de indruk dat je iets geregeld hebt terwijl het niet meer klopt. Drie afspraken houden het levend:
- Eén eigenaar met naam, niet een afdeling. Een afdeling herziet nooit iets.
- Een vast moment, bijvoorbeeld twee keer per jaar, plus een regel dat een nieuw AI-systeem pas in gebruik gaat nadat het erin staat.
- Een lage drempel om iets te melden. Wie een nieuwe tool wil proberen, moet dat in twee minuten kunnen doorgeven, anders gebeurt het buiten je zicht.
Voor overheidsorganisaties
Werk je bij een overheidsorganisatie, dan overlapt dit register grotendeels met de inventarisatie die je voor het Nederlandse Algoritmeregister maakt. Dat zijn twee verschillende instrumenten met een verschillende grondslag, maar het onderliggende overzicht is hetzelfde. Doe het één keer goed en gebruik het voor beide.
