AI-geletterdheid: wat de wet van je medewerkers verwacht

Van alle verplichtingen uit de AI Act is dit de goedkoopste om te regelen en de makkelijkste om te vergeten: medewerkers die met AI werken moeten voldoende basiskennis hebben. Die eis geldt sinds februari 2025, met handhaving vanaf augustus 2026.

Wat "voldoende" betekent

De wet schrijft geen curriculum voor. Wat verwacht wordt is dat mensen begrijpen wat het systeem doet, wat de beperkingen zijn en wat hun eigen verantwoordelijkheid is. In de praktijk komt dat neer op vier dingen:

• Wat AI wel en niet kan, en dat een antwoord zelfverzekerd én fout kan zijn.
• Welke data er niet in mag: persoonsgegevens, klantdossiers, broncode, prijsafspraken.
• Waarom output altijd wordt gecontroleerd voordat er iets naar buiten gaat.
• Wat je doet bij twijfel, en bij wie je terechtkomt.

Waarom dit ook zonder wet zinvol is

De meeste incidenten die we bij klanten zien rond AI zijn geen aanvallen, maar goedbedoelde fouten. Iemand plakt een klantcontract in een gratis tool om het te laten samenvatten. Iemand stuurt een door AI geschreven mail zonder te controleren of het genoemde bedrag klopt.

Die twee voorbeelden voorkom je niet met techniek, maar met een half uur uitleg en een beleid dat mensen daadwerkelijk lezen.

Hoe wij het inrichten

Drie onderdelen, samen meestal binnen enkele weken geregeld:

• Gebruiksbeleid op één A4. Welke tools mogen, welke data er niet in mag, wie beslist bij twijfel. Kort genoeg om te lezen, concreet genoeg om te volgen.
• Training per rol. Verkoop, administratie en techniek gebruiken AI anders. Voorbeelden uit het eigen werk maken het verschil tussen begrijpen en toepassen.
• Keyusers. Per afdeling iemand die verder is en vragen opvangt. Dat werkt beter dan een ticket voor elke vraag.

Vastleggen dat je het hebt gedaan

Zoals bij de meeste verplichtingen geldt: wat je niet vastlegt, heeft formeel niet bestaan. Houd bij wie welke training wanneer heeft gevolgd en wanneer het beleid is vastgesteld en herzien. Dat is dezelfde administratie die je onder ISO 27001 en de NIS2-zorgplicht toch al bijhoudt voor awareness.