De praktische one-pager voor iedereen die AI in het dagelijks werk inzet. Welke data mag erin, welke niet. Wanneer moet je aanduiden. Waarvoor ben je zelf verantwoordelijk. Wanneer escaleren. Niks academisch, maar een stand-by-referentie voor op je bureau.
DECAID Academy
Stand: oktober 2026
Taal: Nederlands
1
De drie-vragen-check voor elk AI-gebruik
Welke tool?
Is de tool goedgekeurd (tool-register), AVG-conform, met verwerkersovereenkomst? Publieke gratis versies zonder workspace-licentie hebben doorgaans geen training opt-out.
Welke data?
Wat voer je erin? Publiek, intern, klantgerelateerd of gevoelig? De dataklasse bepaalt welke tool is toegestaan, niet andersom.
Welk risico ontstaat?
Wie ziet de output? Wordt die extern gebruikt? Neemt de output beslissingen over mensen? Hoe groter de impact, hoe strenger de toets.
2
Het data-stoplicht: wat mag in welke AI?
Niet elke tool is geschikt voor elke dataklasse. Het stoplicht is de default. Bij twijfel een niveau strenger.
Tools: alleen goedgekeurde workspace- of enterprise-versies met verwerkersovereenkomst. Kies bij voorkeur EU-hosting en controleer de dataresidentie actief, want sommige aanbieders routeren bij piekbelasting ook buiten de EU en schakelen externe modellen bij met hun eigen bewaarregels. Reken er niet op dat iemand zoiets eerst moet inschakelen: bij sommige suites staat het bijschakelen van externe modellen in nieuw aangemaakte EU-tenants standaard aan, draait het buiten de EU-datagrens en volgt het dan de bewaartermijnen van de externe aanbieder in plaats van die van de suite. Nakijken in plaats van aannemen. Nooit in privé-gratis-accounts.
Tools: alleen privé/lokale modellen of workspace met aangetoonde dataresidentie, geen training-logging. Bij twijfel: vraag de FG (Functionaris Gegevensbescherming).
VerbodenNooit
Voorbeelden: social scoring van mensen, emotieherkenning op de werkplek, biometrische identificatie in realtime, manipulatieve praktijken (EU AI Act art. 5). Nieuw verboden (vanaf 2 december 2026): systemen die niet-consensuele intieme afbeeldingen van een persoon of misbruikafbeeldingen van kinderen genereren. Voor jou als gebruiker geldt dit verbod bij opzettelijk gebruik.
Regel: als je niet zeker weet of iets verboden is: niet doen. Vraag liever één keer te veel aan de AI-champion.
3
Output-verantwoordelijkheid & aanduiding
Jij bent verantwoordelijk voor wat je publiceert
Factcheck: cijfers, citaten, namen en bronnen controleren. AI hallucineert, ook als het overtuigend klinkt.
Bias-check: worden groepen over één kam geschoren? Zouden betrokkenen deze tekst zo ondertekenen?
Bronnen checken: verwijst de AI naar werkelijk bestaande bronnen? Kloppen de links?
Herkomstzegels zijn geen bewijs van echtheid: Content Credentials bij een afbeelding zeggen alleen wat er in de metadata staat. Ze ontbreken vaak, omdat platforms ze bij het uploaden verwijderen, en ze zijn te vervalsen: een in augustus 2026 gedocumenteerde methode via gemanipuleerde smartphones geldt bij de fabrikant als niet te verhelpen. Controleer de bron, niet het zegel.
Vier ogen bij externe impact: persteksten, klantcommunicatie en juridische inhoud nooit zonder tweede blik publiceren.
Aanduidingsplicht (EU AI Act art. 50)
Deze transparantieverplichtingen gelden EU-breed bindend sinds 2 augustus 2026. Het Digital-Omnibus-pakket heeft die deadline bevestigd en alleen de hoogrisico-deadlines verschoven (zelfstandige Annex-III-systemen naar december 2027, in producten ingebedde systemen naar augustus 2028). Voor de uitleg heeft de Europese Commissie op 20 juli 2026 definitieve richtsnoeren bij art. 50 gepubliceerd: niet-bindend, maar voor de nationale toezichthouders de belangrijkste referentie. Voor de machineleesbare markering van systemen die al op de markt zijn, geldt een overgangstermijn tot 2 december 2026. Die geldt alleen voor aanbieders; jouw openbaarmakingsplichten als gebruiker gelden zonder overgangsperiode. Overtredingen kunnen worden bestraft met boetes tot 15 miljoen euro of 3 procent van de wereldwijde jaaromzet. De Commissie en de nationale toezichthouders zijn op 2 augustus 2026 met handhaving begonnen. Boetes tegen gebruikers zijn tot medio oktober 2026 niet bekend; circulerende berichten over de eerste miljoenenboetes komen uit blogs zonder primaire bron en zijn ongefundeerd.
Chatbots: duidelijk als AI herkenbaar maken. Geen mens voorwenden.
Beelden, video, audio: als realistisch gegenereerd of aangepast: zichtbaar aanduiden. Grote aanbieders bedden inmiddels C2PA content credentials en onzichtbare watermerken in (zoals SynthID). De richtsnoeren eisen echter expliciet een voor mensen waarneembare aanduiding, niet alleen machineleesbare metadata, want die gaan verloren bij bewerking, bij screenshots en bij het uploaden naar platforms die bestanden opnieuw coderen.
Wie duidt wat aan: art. 50 lid 2 verplicht de aanbieders tot machineleesbare markering, art. 50 lid 4 verplicht jou als gebruiker tot een voor mensen waarneembare openbaarmaking. Reken er niet op dat de tool dat wel regelt: bij tekst markeren Claude en Gemini inmiddels machineleesbaar, en ChatGPT voert dit sinds oktober 2026 stapsgewijs in voor gebruikers in de EU (via de API alleen als het wordt ingeschakeld). Zulke onzichtbare tekstwatermerken kan vrijwel niemand zelf controleren, en al licht herformuleren verzwakt ze. De zichtbare aanduiding blijft in elk geval jouw taak.
Teksten over onderwerpen van openbaar belang: aanduiden als de tekst niet redactioneel is getoetst en verantwoord.
Aanbeveling: bij twijfel transparant zijn. "Inhoud met AI-ondersteuning gemaakt." schaadt nooit en schept vertrouwen.
4
De belangrijkste do's en don'ts
DO
Gebruik alleen goedgekeurde tools. Nieuwe tool? Eerst laten goedkeuren.
Bij twijfel een niveau strenger dan het stoplicht voorstelt.
Prompts bewaren bij kritische workflows (audit trail).
AI-outputs naar buiten aanduiden, als die niet redactioneel verantwoord zijn.
Human in the loop bij beslissingen die andere mensen raken.
Team scholen: AI-competentie actief bevorderen en trainingen documenteren (art. 4 EU AI Act, sinds 2 augustus 2026 door toezichthouders afdwingbaar).
Vragen in plaats van gokken: de champion, FG, IT en Legal zijn daarvoor.
DON'T
Geen klantdata in publieke gratis tools (ChatGPT, Claude, Gemini Free).
Geen gezondheids-, sollicitatie- of personeelsdata in niet-goedgekeurde AI.
Geen volautomatische beslissingen over sollicitanten, klanten of medewerkers (art. 22 AVG: de Autoriteit Persoonsgegevens legde Uber hiervoor in oktober 2026 een boete van circa 825 miljoen euro op, nog niet onherroepelijk).
Geen auteursrechtelijk beschermde werken in AI laden zonder rechten.
Geen Shadow-AI: tools stiekem gebruiken en de resultaten inleveren.
Geen blinde outputs overnemen, ook niet "omdat het snel moet".
Geen overslaan van aanduiding, omdat "het toch niet opvalt".
5
Wanneer escaleren en naar wie?
Sinds 29 juli 2026 is de Bundesnetzagentur in Duitsland de centrale markttoezichthouder voor de AI-verordening, met een eigen klachtenpunt. De EU heeft sinds 2 augustus 2026 daarnaast een klachten- en een klokkenluidersinstrument, waarmee ook medewerkers en concurrenten anoniem kunnen melden. Intern escaleren is daarom niet alleen een kwestie van fatsoen, maar de manier om een probleem te klaren voordat het extern belandt.
Escaleren bij ...
Vermoeden van datalek (data in de verkeerde AI beland).
Nieuwe use case met klantgerelateerde of gevoelige data.
Output met grote externe impact (pers, klant, toezichthouder).
Vermoeden van discriminatie of oneerlijke bias-effecten.
Onzekerheid over dataklasse of geschiktheid van de tool.
Vermoeden van verboden praktijk (EU AI Act art. 5).
Naar wie?
AI-champion in het team: eerste aanspreekpunt.
AI Manager / AI Project Manager: voor tool-goedkeuringen en use-case-beoordeling.
Functionaris Gegevensbescherming (FG): bij persoonsgegevens.
IT / Security: bij technische onregelmatigheden of vermoeden van datalekken.
Legal: bij auteursrecht, licentievragen, contractkwesties.
Directie: bij incidenten met reputatie- of compliancerisico.
6
Mini-checklist vóór je verstuurt
Ik verstuur niets voordat ik de volgende punten kan afvinken:
Tool is goedgekeurd en past bij de dataklasse (stoplicht)
Geen persoons-, klantgerelateerde of gevoelige data in publieke AI
Output gecontroleerd op feiten, bronnen, cijfers en citaten
Bias-check gedaan: zou ik dit zelf zo ondertekenen?
Bij externe impact: een tweede persoon heeft meegelezen
Als extern zichtbaar: AI-betrokkenheid aangeduid (art. 50)
Bij kritische workflow: prompt en bron gedocumenteerd
Bij twijfel: champion / FG / Legal gecontacteerd in plaats van geraden