Uw collega gebruikt een AI-assistent om zijn vergaderverslagen op te stellen. Een andere gebruikt het om sollicitaties te sorteren. Een derde genereert visuals voor een klantpresentatie. Geen van deze toepassingen is goedgekeurd door het management, en niemand weet precies welke tools in gebruik zijn. Dit scenario betreft vandaag de dag de meerderheid van de Franse KMO’s, en de verplichtingen die voortvloeien uit de AI Act en de NIS2-richtlijn maken deze grijze zone steeds risicovoller.
Informele toepassingen van AI in bedrijven: in kaart brengen voordat we reguleren
Voordat er een charter wordt opgesteld of iets wordt verboden, is de eerste stap om te weten wat er daadwerkelijk gebeurt. Een KMO waarvan de werknemers ChatGPT, Copilot, Gemini of een vergelijkbare tool gebruiken, kan worden beschouwd als een “uitvoerder” in de zin van de AI Act. Deze status houdt in dat men de toepassingen moet identificeren, de risico’s moet evalueren en de teams moet opleiden.
Het probleem is dat deze tools worden geïnstalleerd zonder IT-validatie. Een werknemer maakt een gratis account aan, plakt klantgegevens erin, krijgt een bevredigend resultaat en doet het de volgende dag opnieuw. De tool wordt een reflex, geen goedgekeurde technische keuze.
Om deze praktijken in kaart te brengen, is een anonieme vragenlijst die naar de teams wordt gestuurd voldoende als startpunt. Drie vragen geven al een nuttig overzicht: welke tool gebruikt u, voor welke taak, en welke gegevens geeft u door?
Deze inventarisatie maakt het mogelijk om de toepassingen met een laag risico (herformulering van interne teksten) te onderscheiden van die welke een echt probleem vormen (sorteren van CV’s, analyseren van persoonlijke gegevens). U vindt trouwens informatieve IT-informatie op Planet X Tech die deze onderscheidingen tussen risiconiveaus in detail beschrijft.
AI Act en NIS2: wat de regelgeving al van KMO’s vereist
U heeft misschien gelezen dat sommige deadlines van de AI Act zijn uitgesteld. Dat is gedeeltelijk waar. De regelgeving is gewijzigd in 2026, maar de eisen voor opleiding en transparantie blijven van toepassing. Wachten tot het laatste moment om te handelen is gelijk aan het opbouwen van een moeilijk te verhelpen nalevingsschuld.
Concreet verplicht de AI Act uitvoerders om ervoor te zorgen dat de personen die AI-systemen gebruiken een voldoende niveau van begrip van deze tools hebben. Voor een KMO van twintig personen betekent dit dat er een minimum aan gedocumenteerde bewustwording moet zijn, zelfs informeel.
NIS2 breidt het bereik veel verder uit dan klassieke cyberbeveiliging
De Franse omzetting van NIS2 blijft een aandachtspunt. De voorgestelde regeling voorziet in een verhoogde verantwoordelijkheid van leidinggevenden voor risicobeheer, inclusief die met betrekking tot de toeleveringsketen. Softwareleveranciers worden ook aangesproken, wat verder gaat dan de traditionele benadering die zich alleen op het interne informatiesysteem richt.
Onder de verplichtingen die door NIS2 zijn vastgesteld, hebben verschillende betrekking op het gebruik van niet-gecontroleerde AI-tools:
- Het beheer van leveranciersrisico’s, wat de cloudservices en AI-API’s omvat die door werknemers zonder formele overeenkomst worden gebruikt.
- Sterke authenticatie en continuïteit van de activiteiten, twee gebieden die verzwakt worden wanneer gegevens circuleren op niet-beheerde platforms.
- Geleidelijke melding van incidenten, wat inhoudt dat men moet weten welke tools in gebruik zijn wanneer er een datalek optreedt.
De link tussen informele AI en cyberbeveiliging is direct: een niet-geïnventariseerde AI-tool is een blinde vlek in het incidentbeheer.
AI-toepassingen kaderen zonder de productiviteit te blokkeren
Het verbieden van alle AI-tools werkt niet. Werknemers die tijd hebben gewonnen met deze assistenten zullen het verbod omzeilen, en het bedrijf zal in productiviteit verliezen zonder het risico te verminderen. De effectieve aanpak berust op een duidelijk kader dat onderscheid maakt tussen wat is toegestaan, wat validatie vereist en wat verboden is.
Drie categorieën om een intern AI-charter te structureren
De logica is eenvoudig. Classificeer elk gebruik dat tijdens de in kaart brenging is geïdentificeerd in een van deze categorieën:
- Vrij gebruik: herformulering van interne teksten, zoeken naar algemene informatie, brainstormen. Geen gevoelige gegevens verlaten het bedrijf.
- Gekaderd gebruik: generatie van inhoud bestemd voor klanten, samenvatting van documenten die bedrijfsgegevens bevatten. Deze toepassingen vereisen goedkeuring van de verantwoordelijke en het gebruik van een goedgekeurde tool.
- Verboden gebruik: elke verwerking die persoonlijke gegevens (CV’s, klantdossiers, medische gegevens) op een niet-gecontracteerde tool omvat. Deze gevallen vallen rechtstreeks onder de AI Act wanneer ze betrekking hebben op systemen met een hoog risico.
Dit kader hoeft niet perfect te zijn vanaf de eerste dag. Het moet bestaan, gecommuniceerd worden, en evolueren naarmate de regelgeving verduidelijkt wordt.
Opleiden zonder elke werknemer in jurist te transformeren
De AI Act vereist dat gebruikers de tools die ze gebruiken begrijpen. In de praktijk is een sessie van een uur per kwartaal die de basisprincipes behandelt voldoende voor een KMO: welke gegevens nooit in een AI-assistent mogen worden geplakt, hoe een gegenereerd antwoord te verifiëren, aan wie een twijfelachtig gebruik moet worden gemeld.
Het meest effectieve formaat blijft het concrete voorbeeld. Toon een echt geval waarin een AI-assistent een foutief maar geloofwaardig antwoord heeft geproduceerd. Toon een export van een gesprek met klantgegevens. Deze demonstraties maken meer indruk dan een document van tien pagina’s over naleving van de regelgeving.
Gegevens, beveiliging en governance: de technische basis leggen
De in kaart brenging van toepassingen en het interne charter zijn niet voldoende als de technische infrastructuur niet volgt. Een vaak verwaarloosd punt betreft de gegevens die door deze tools circuleren. Wanneer een werknemer een Excel-tabel in een gratis AI-assistent plakt, kunnen deze gegevens potentieel worden opgeslagen en gebruikt om het model te trainen.
De technische oplossing ligt in de keuze voor tools met contractuele garanties voor de verwerking van gegevens. Verschillende leveranciers bieden inmiddels professionele versies aan waarbij de gegevens niet worden bewaard of hergebruikt voor training. De meerprijs is bescheiden in vergelijking met het risico van een datalek.
Wat governance betreft, het aanwijzen van een contactpersoon (zelfs parttime) om de vragen met betrekking tot AI te centraliseren, voorkomt dat elke dienst zijn eigen regels uitvindt. Deze referent hoeft geen specialist in kunstmatige intelligentie te zijn. Hij of zij moet de interne processen kennen en weten hoe de verzoeken naar de juiste bronnen, of ze nu juridisch of technisch zijn, te leiden.
De uitdaging voor de komende maanden is niet om alles te vergrendelen, maar om over te stappen van een situatie waarin niemand weet wat er gebeurt naar een kader waarin de toepassingen zichtbaar, geclassificeerd en aanpasbaar zijn. De bedrijven die deze basis leggen vóór de volledige inwerkingtreding van de AI Act en NIS2 zullen aanzienlijke tijdswinst boeken bij de uiteindelijke naleving.
