Goed AI-beleid helpt een medewerker op het moment dat hij wil beginnen. Welke tool mag ik gebruiken? Mag dit document daarin? Wie controleert het antwoord? En waar meld ik een fout? Als het beleid die vragen niet beantwoordt, blijft het een document naast het werk.
Begin met een korte werkinstructie en leg de achterliggende keuzes uitgebreider vast. Een instructie vervangt geen beoordeling van contracten, privacy of beveiliging. Andersom is een contract ook geen uitleg waarmee een medewerker dagelijks verder kan.
Maak duidelijk welke omgeving is toegestaan
Schrijf niet alleen 'ChatGPT mag' of 'Copilot is veilig'. Benoem de goedgekeurde zakelijke omgeving, het juiste account en de toegestane toepassingen. Een persoonlijk account, een zakelijke workspace en een gekoppelde externe dienst kunnen andere voorwaarden en beheermogelijkheden hebben.
Vertel ook wat iemand doet als hij een nieuwe tool wil proberen. Een herkenbare aanvraagroute werkt beter dan een algemeen verbod waar niemand een alternatief voor heeft. Wijs één eigenaar aan die de aanvraag laat beoordelen en het besluit terugkoppelt.
Geef voorbeelden van toegestane informatie
Werk met situaties die mensen herkennen. Een openbare producttekst herschrijven is iets anders dan een personeelsdossier samenvatten. Een klantverslag kan afspraken, contactgegevens en vertrouwelijke informatie bevatten. Laat zien welke delen wel gebruikt mogen worden, welke eerst moeten worden verwijderd en wanneer een andere route nodig is.
Noem informatiecategorieën en verantwoordelijken, niet alleen een lange lijst uitzonderingen. Bij twijfel moet iemand weten bij wie hij terechtkan. Leg de vraag voor vóór invoer, niet pas wanneer het antwoord klaar is. Bespreek de keuzes samen met de mensen die het werk en de gegevens kennen.
Spreek af wat altijd gecontroleerd wordt
Laat medewerkers feiten, bedragen, bronverwijzingen en toezeggingen controleren voordat een antwoord wordt gebruikt. Maak de controle passend bij het gevolg. Een interne tekstsuggestie vraagt een andere beoordeling dan een wijziging in een klantdossier of een bericht over contractvoorwaarden.
Bij een toepassing die handelingen uitvoert, hoort vast te staan wie daarvoor bevoegd is. Een AI-voorstel is geen goedkeuring. De software moet de afgesproken toegangs- en bevestigingsregels toepassen. Een chatbericht als 'doe maar' hoort geen onbeperkte machtiging te worden.
Beschrijf ook de route als het fout gaat
Een medewerker kan een onjuist antwoord ontdekken, verkeerde informatie invoeren of een onverwachte handeling zien. Beschrijf waar hij dat meldt en welke gegevens nuttig zijn voor onderzoek. Vraag niet om vertrouwelijke inhoud rond te mailen; wijs een passende meldplek aan.
Geef aan wanneer iemand moet stoppen met de tool en op wie hij dan terugvalt. Een fout melden moet eenvoudig zijn. Als de enige bekende oplossing is om het zelf stil te herstellen, mist de organisatie het signaal dat een bron of inrichting niet klopt.
Laat beleid en inrichting hetzelfde zeggen
Als het beleid zegt dat alleen bepaalde medewerkers een bron mogen gebruiken, moeten de toegangsrechten daarbij passen. Als acties bevestiging nodig hebben, moet die bevestiging onderdeel zijn van de toepassing. Een tekstregel kan een onveilige koppeling niet repareren.
Neem AI-gebruik mee bij instroom, functiewijziging en vertrek. Leg vast wie toegang intrekt en wat er met werkmateriaal gebeurt. Microsoft 365-beheer en AI-afspraken raken elkaar juist op dit soort dagelijkse momenten.
Hoe voer je het beleid in zonder papierwinkel?
Kies een team en laat het de instructie op een paar herkenbare voorbeelden toepassen. Kunnen medewerkers uitleggen welke informatie zij mogen invoeren, wie controleert en hoe zij hulp krijgen? Gebruik hun vragen om de instructie korter en duidelijker te maken.
The Spidermonkeys helpt veilig zakelijk AI-gebruik verbinden aan de inrichting van je werk. We beginnen bij het bestaande proces, maken de keuzes concreet en spreken af wie het beheer voert. Zo blijft beleid niet alleen een akkoord op papier.