AI in uw onderneming: 5 aandachtspunten om verantwoord te versnellen

Artificiële intelligentie is vandaag al aanwezig in veel Belgische ondernemingen. Ze wordt onder meer gebruikt voor klantenservice, financiële administratie, documentverwerking, marketing, rapportering, planning en cybersecurity.

Volgens de meest recente Belgische cijfers gebruikte in 2025 ongeveer 24% van de kmo’s AI. Bij middelgrote ondernemingen liep dat aandeel op tot 54,5%. 

Die evolutie is begrijpelijk. AI kan repetitieve taken versnellen, grote hoeveelheden informatie verwerken en werknemers ondersteunen bij werkzaamheden die vroeger veel tijd in beslag namen. Voor ondernemingen kan dat leiden tot efficiëntiewinst, betere dienstverlening en meer ruimte voor strategisch werk.

Tegelijk is AI geen gewone softwarefunctionaliteit. De technologie kan persoonsgegevens verwerken, beslissingen beïnvloeden, vertrouwelijke informatie opnemen en foutieve output genereren. De onderneming blijft verantwoordelijk voor de manier waarop zij AI inzet, ook wanneer het systeem door een externe leverancier werd ontwikkeld.

De volgende vijf aandachtspunten helpen om AI op een verantwoorde manier in de dagelijkse werking te integreren.

Weet welke AI uw onderneming gebruikt

Een eerste uitdaging is het ongecontroleerde gebruik van AI door medewerkers. Werknemers gebruiken bijvoorbeeld zelf publieke chatbots zoals ChatGPT of Google Gemini om teksten samen te vatten, e-mails te schrijven, contracten te analyseren of code te genereren.

Dat gebruik is niet noodzakelijk problematisch. Het wordt wel riskant wanneer de onderneming niet weet welke tools worden gebruikt, welke gegevens worden ingevoerd en wie de resultaten controleert. Daarnaast kan ook bestaande software intussen AI-functionaliteiten bevatten zonder dat dit intern als een afzonderlijke AI-toepassing wordt beschouwd.

Ondernemingen die een AI-systeem gebruiken bij hun beroepsactiviteiten, zijn in beginsel de zogenaamde gebruiksverantwoordelijke. Dat betekent dat zij niet alleen moeten kijken naar de aankoop van de tool, maar ook naar het concrete gebruik ervan binnen hun organisatie. 

Praktische aanbevelingen: 

Maak een eenvoudige AI-inventaris. Noteer per toepassing:

• welke tool wordt gebruikt;
• voor welk doel;
• welke gegevens worden ingevoerd;
• welke personen of processen worden beïnvloed;
• wie intern verantwoordelijk is;
• welke controle vóór gebruik vereist is.

Neem ook AI-gebruik mee dat niet via de officiële aankoopprocedure is verlopen. Zonder zicht op het bestaande gebruik kan een onderneming moeilijk proportionele regels invoeren.

Bescherm persoonsgegevens en vertrouwelijke informatie

Een prompt kan meer bevatten dan een gewone zoekopdracht. Werknemers kunnen onbewust namen, klantgegevens, personeelsinformatie, financiële cijfers, contracten of bedrijfsgeheimen invoeren.

Zodra persoonsgegevens worden verwerkt, is en blijft de AVG van toepassing, ook wanneer die verwerking gebeurt met behulp/ondersteuning van AI. De onderneming moet onder meer kunnen verantwoorden waarom de gegevens worden verwerkt, of de verwerking noodzakelijk is, hoe lang de gegevens worden bewaard en welke beveiligingsmaatregelen zijn genomen.

De AVG en de AI Act vullen elkaar aan. Het feit dat een AI-toepassing onder een beperkte risicocategorie valt, betekent dus niet dat de privacy verplichtingen verdwijnen. De beginselen van rechtmatigheid, doelbinding, minimale gegevensverwerking, juistheid, transparantie en beveiliging blijven relevant. 

Ook bedrijfsgeheimen verdienen bijzondere aandacht. Een onderneming weet niet altijd welke gegevens een publieke AI-dienst bewaart, wie toegang heeft tot de input en of die input wordt gebruikt om de dienstverlening of modellen te verbeteren.

Praktische maatregelen: 

Voer een gegevensclassificatie in voor AI-gebruik. Bepaal welke informatie:

• vrij mag worden ingevoerd;
• enkel in een goedgekeurde bedrijfsomgeving mag worden verwerkt;
• eerst moet worden geanonimiseerd;
• nooit in een externe AI-tool mag worden ingevoerd.

Controleer daarnaast de instellingen rond gegevensbewaring, modeltraining, subverwerkers en hosting. Een goed AI-beleid moet niet alleen zeggen wat verboden is, maar ook een bruikbaar en veilig alternatief bieden.

Laat AI ondersteunen, maar niet blind beslissen

AI-output kan overtuigend klinken en toch onjuist zijn. Een systeem kan foutieve cijfers, onbestaande bronnen of verkeerde interpretaties produceren. Bij gevoelige processen kunnen bovendien vooroordelen in de gegevens of het model leiden tot ongelijke behandeling.

Dat risico is bijzonder groot wanneer AI wordt gebruikt bij rekrutering, personeelsbeoordeling, promotie, kredietverlening of toegang tot diensten. Afhankelijk van de functie en de context kunnen dergelijke toepassingen onder de strengere regels voor hoog risico-AI vallen. 

Menselijke controle betekent daarbij meer dan een formele goedkeuring achteraf. Een medewerker die de AI-output zonder eigen beoordeling overneemt, biedt weinig bescherming. De menselijke tussenkomst moet daadwerkelijk betekenisvol zijn.

De recente Belgische rechtspraak toont hoe snel onzorgvuldig AI-gebruik concrete gevolgen kan hebben. In een zaak waarin AI werd gebruikt voor het opstellen van processtukken, bleken aangehaalde bronnen en rechtspraak niet te bestaan. Het probleem was niet dat AI werd gebruikt, maar dat de output niet ernstig werd gecontroleerd.

Praktische maatregelen: 

Bepaal vooraf voor welke toepassingen een menselijke controle verplicht is. Denk minstens aan:

• juridisch, fiscaal of financieel advies;
• communicatie naar klanten of overheden;
• HR-beslissingen;
• beslissingen met aanzienlijke financiële gevolgen;
• kritische veiligheidsinstructies;
• externe publicaties met feitelijke claims.

Een eenvoudig controleprotocol kan volstaan: controleer de feiten, verifieer de bronnen, beoordeel de geschiktheid voor de concrete context en leg vast wie de output heeft goedgekeurd.

Vergeet de werknemers en het welzijn op het werk niet

AI kan werknemers ondersteunen, maar ook hun autonomie en werkorganisatie beïnvloeden. Denk aan systemen die prestaties meten, taken verdelen, sollicitanten screenen of werktempo’s opvolgen.

Bij AI in HR is niet alleen de privacywetgeving relevant. Ook informatie- en overlegverplichtingen, discriminatierisico’s en de regelgeving inzake welzijn op het werk kunnen een rol spelen. Afhankelijk van de toepassing moeten onder meer de ondernemingsraad, het CPBW of andere werknemersvertegenwoordigers worden betrokken.

Bij de invoering van nieuwe technologie moet bovendien worden gekeken naar mogelijke psychosociale gevolgen, zoals techno stress, verhoogde werkintensiteit, permanente bereikbaarheid of het gevoel voortdurend te worden gecontroleerd. 

Emotieherkenning op de werkvloer vormt bovendien een duidelijke rode lijn. Het gebruik van AI om emoties van werknemers of sollicitanten af te leiden is in beginsel verboden, behoudens beperkte uitzonderingen voor medische of veiligheidsdoeleinden. 

Praktische ingreep: 

Beoordeel AI-toepassingen voor HR samen met HR, legal, IT, de preventiedienst en de DPO van uw onderneming. 

Stel daarbij minstens de volgende vragen:

• Welke beslissing beïnvloedt het systeem?
• Worden werknemers of kandidaten geprofileerd?
• Kan de toepassing indirect discrimineren?
• Wie kan de output overrulen?
• Kunnen betrokkenen foutieve gegevens laten corrigeren?
• Welke overleg- en informatieverplichtingen gelden?
• Welke impact heeft het systeem op werkdruk en autonomie?

Maak contracten en governance even praktisch als de technologie

AI wordt meestal niet volledig intern ontwikkeld. Ondernemingen gebruiken AI via cloudplatformen, softwarelicenties, API’s en bestaande bedrijfsapplicaties. Daardoor ligt een deel van de controle bij de leverancier.

Een algemene bepaling zoals “geen AI zonder voorafgaande toestemming” klinkt beschermend, maar is in de praktijk vaak te grof. AI kan immers verweven zijn met de normale dienstverlening van een leverancier. Beter is om onderscheid te maken tussen laagrisicogebruik, zoals interne ondersteuning, en gebruik waarbij AI rechtstreeks klantcommunicatie, beslissingen of transacties beïnvloedt.

Bij de beoordeling van een leverancier moeten onder meer datagebruik, modeltraining, beveiliging, sub-verwerkers, intellectuele eigendom, auditrechten, incidentmelding, modelwijzigingen en beëindiging aan bod komen. 

Dezelfde logica geldt intern. AI-governance hoeft niet noodzakelijk te leiden tot een zwaar nieuw controleorgaan. Wel moeten de verantwoordelijkheden duidelijk zijn: wie keurt nieuwe toepassingen goed, wie beheert de inventaris, wie behandelt incidenten en wie rapporteert aan het management?

De AI Act vereist bovendien maatregelen om AI-geletterdheid binnen de organisatie te ondersteunen. De wet schrijft geen identieke opleiding of bepaald individueel certificaat voor, maar opleiding en praktische richtlijnen moeten wel aansluiten bij de rol, ervaring en context van de betrokken medewerkers. 

Praktische ingreep: 

Stel een beknopt AI-kader vast met:

• een verantwoordelijke voor AI-governance;
• een lijst van goedgekeurde tools;
• regels voor gegevensgebruik;
• een goedkeuringsprocedure voor gevoelige toepassingen;
• een verplicht menselijk controlepunt;
• een incidentenprocedure;
• rolgerichte opleiding.

Voor AI-systemen die zelf acties kunnen ondernemen – bijvoorbeeld (mail)berichten versturen, gegevens wijzigen of transacties starten – zijn bijkomende waarborgen nodig. Werk met toegangsbeperkingen, goedkeuringsdrempels, logging en een effectieve stopfunctie. 

Conclusie – Begin vandaag met een proportioneel kader

De Europese AI-regels werken volgens risico. Niet elke AI-toepassing vraagt een uitgebreid compliance project, maar elke onderneming moet wel weten wat zij gebruikt en welke gevolgen dat gebruik kan hebben.

Een goede eerste aanpak bestaat uit vier stappen:

1. Breng bestaande AI-toepassingen en experimenten in kaart;
2. Beoordeel per toepassing de impact op personen, data en bedrijfsprocessen;
3. Leg duidelijke regels vast voor goedkeuring, gegevensgebruik en menselijke controle;
4. Herbekijk leverancierscontracten en bestaande privacy-, HR- en IT-processen.

AI hoeft dus niet te worden afgeremd. De ondernemingen die er het meeste waarde uit halen, zullen waarschijnlijk niet die ondernemingen zijn die de technologie het meest onbeperkt inzetten, maar wel die ondernemingen die snelheid combineren met duidelijke verantwoordelijkheid.

Een korte AI-governance- of risicoscan kan daarbij snel zichtbaar maken waar de grootste hiaten en de meest haalbare verbeteringen liggen. Zo wordt AI geen afzonderlijk juridisch project, maar een beheersbaar onderdeel van de bredere bedrijfsvoering.