Uw organisatie heeft een AI-beleid. Maar weet u of iemand het volgt?

De meeste organisaties die ik spreek hebben intussen iets van een AI-beleid. Een nota, een richtlijn, een paragraaf in het informatieveiligheidsbeleid. Netjes goedgekeurd, keurig gearchiveerd. En daar stopt het verhaal vaak. Want tussen dat document en wat er maandagochtend aan de balie, op de beleidsafdeling of in de buitendienst gebeurt, zit een gat. De vraag die bijna niemand stelt: weet u of uw mensen zich aan dat beleid houden? En begrijpen ze het eigenlijk wel?

Wat het VN-panel op 1 juli 2026 vaststelde

Op 1 juli 2026 presenteerde het VN-panel van veertig internationale AI-experts zijn eerste rapport, onder leiding van Turing Award-winnaar Yoshua Bengio en Nobelprijswinnaar Maria Ressa. Het voedde de eerste wereldwijde AI-governancedialoog, op 6 en 7 juli 2026 in Genève.

Twee bevindingen sprongen eruit. Eén: er bestaan wereldwijd al meer dan veertig AI-regelkaders en richtlijnen, maar ze zijn versnipperd, inconsistent en worden zelden getest op de enige vraag die telt: werken ze? Twee: beleidsmakers zitten in wat het panel het bewijsdilemma noemt. Je hebt betrouwbare kennis nodig om AI goed te reguleren, maar tegen de tijd dat die kennis er is, is de technologie alweer verder.

Dat gaat over staten en verdragen, niet over uw organisatie. Maar het patroon erachter is akelig herkenbaar: kaders schrijven zonder ooit te toetsen of ze werken.

Hetzelfde patroon, dichter bij huis

In veel organisaties is het AI-beleid precies zo'n kader: opgesteld, goedgekeurd en daarna nooit meer getoetst aan de praktijk. Niemand weet of medewerkers het kennen. Niemand weet of ze het volgen. Niemand weet of het überhaupt aansluit op de tools die intussen echt gebruikt worden.

En de werkvloer kent zijn eigen, kleinere versie van dat bewijsdilemma. Toen uw beleid werd geschreven, bestond een flink deel van de AI-functies die uw mensen vandaag gebruiken nog niet. De collega die vorige maand ontdekte dat de tekstverwerker nu "even kan meedenken" heeft uw nota daar niet bij gepakt. AI komt allang niet meer alleen binnen via aanbesteding, waar u er eisen aan kunt stellen. Het zit ook ingebakken in de software die er al staat en het evolueert sneller dan welk document dan ook.

Een beleid op papier stuurt geen gedrag. Dat doen mensen die begrijpen wát ze gebruiken en waarom er grenzen aan zitten.

Waarom een beter document alleen niet genoeg is

De reflex is voorspelbaar: het beleid aanscherpen, een versie 2.0 schrijven, nog een bijlage toevoegen. Een helder en praktisch beleid is waardevol, begrijp me niet verkeerd. Maar het lost het kernprobleem niet op. Het gat zit niet in de tekst. Het gat zit tussen de tekst en de mensen.

Het VN-panel wees op iets vergelijkbaars op wereldschaal: veel veiligheidsbeoordelingen van AI worden vandaag uitgevoerd door de bedrijven die de systemen bouwen. Organisaties varen op hun beurt vaak blind op wat hun softwareleverancier "veilig" noemt. Als de enige die snapt wat een AI-tool doet de leverancier is, dan is uw beleid een handtekening onder andermans huiswerk.

De EU zag dit ook. Niet toevallig staat AI-geletterdheid helemaal vooraan in de EU AI Act: artikel 4 vraagt van organisaties die AI aanbieden of gebruiken dat zij maatregelen nemen om de AI-geletterdheid te ontwikkelen van medewerkers en anderen die namens hen met AI-systemen werken. De wet eist geen gegarandeerd kennisniveau per individu. Wel aantoonbare maatregelen die passen bij rol, ervaring en gebruikscontext. Geen papieren oefening dus, maar een praktische verplichting die u aantoonbaar moet invullen. Logisch ook: wie niet begrijpt wat een taalmodel wel en niet kan, kan geen beleid naleven dat daarover gaat.

Wat het gat wél dicht: AI-geletterdheid in de praktijk

Drie dingen, in deze volgorde.

Weet wat er gebruikt wordt. Niet wat er is aangekocht, maar wat er echt gebruikt wordt. Inclusief de AI die meelift in bestaande software en de tools die medewerkers zelf hebben gevonden. Een simpele tool-inventaris die elk kwartaal een half uur aandacht krijgt, volstaat.

Zorg dat mensen begrijpen waarmee ze werken. Dat is geen studiedag over neurale netwerken. Het is basiskennis: wat kan dit, wat kan dit niet, welke informatie mag hierin en welke nooit. AI-geletterdheid training hoeft niet zwaar te zijn. Ze moet vooral gebeuren, voor iedereen die met AI in aanraking komt. En toets het begrip, niet het lezen: een korte kennistoets zegt meer dan een handtekening onder de nota.

Toets het beleid aan de praktijk, in een vast ritme. Concreet: kijk elk kwartaal of het beleid nog klopt met wat medewerkers werkelijk gebruiken. Actualiseer de tool-inventaris, bekijk een paar echte werkproducten waar AI aan te pas kwam, richt een laagdrempelig meldpunt in voor incidenten en twijfelgevallen zonder afrekencultuur, en leg twee keer per jaar in een kort overleg met de directie vast wat er moet worden bijgestuurd. Geen auditproject, wel een terugkerend bedrijfsritme. Precies het punt waarop de wereldwijde kaders volgens het VN-panel falen: ze worden geschreven, niet getest.

Op 6 en 7 juli 2026 spraken regeringen in Genève over hoe je AI wereldwijd bestuurbaar houdt. Belangrijk werk. Maar het verandert niets aan wat er vandaag in uw organisatie gebeurt. Dat gat dicht niemand voor u. Wel goed nieuws: het is een gat dat u zelf kunt dichten, en de eerste stap is geen dikker document. Het zijn mensen die weten wat ze doen.

Rob Ummels, AIAdopt. AI-adoptie, AI-geletterdheid en praktische begeleiding voor organisaties die AI verstandig willen inzetten.

Geschreven door Rob Ummels in samenwerking met Claude (Anthropic). Redactionele eindverantwoordelijkheid: AIAdopt.