Nederlands onderzoek van eind augustus zette een getal onder iets wat ik in vrijwel elk eerste gesprek tegenkom. Van de werknemers die AI op het werk gebruiken heeft 57 procent de technologie inmiddels in de vaste werkroutine zitten. Tweeënveertig procent van hen zegt dat er binnen de organisatie regels voor zijn. Dat gat is geen beleidsprobleem. Het is een geheugenprobleem, en die twee los je op totaal verschillende manieren op.
Ik run sinds 2022 een AI-consultancy voor Nederlandse en Vlaamse bedrijven. Vraag ik een directeur of er regels zijn voor AI op de werkvloer, dan is het antwoord bijna altijd ja, en het klopt bijna altijd. Ergens ligt een document. Stel ik dezelfde vraag aan drie mensen die het werk doen, dan krijg ik drie verschillende antwoorden, één schouderophalen, en een verhaal over een leveranciersofferte die vorige maand in een chatbot belandde.
Wat zeggen de Nederlandse cijfers over AI op de werkvloer?
De AI Monitor 2026 van onderzoeksbureau Newcom, in juli 2026 afgenomen onder 3.122 Nederlanders van 18 tot 65 jaar, is de vijfde meting sinds 2024 en laat dus beweging zien in plaats van een momentopname. Inmiddels gebruiken 8,6 miljoen Nederlanders AI-tools in het dagelijks leven, tegen 3,9 miljoen in 2024. Op het werk gaat het om 5,2 miljoen, tegen 2,8 miljoen twee jaar eerder. Ruim 3,4 miljoen mensen gebruiken deze tools bijna dagelijks. ChatGPT wordt op het werk nog steeds het vaakst genoemd, door 43 procent.
De gedragscijfers zijn de cijfers die ik aan een directie zou laten zien. Vierenzestig procent van de gebruikers voelt zich eindverantwoordelijk voor wat de tool oplevert. Negenenvijftig procent controleert de feiten. Vierendertig procent verwijdert gevoelige informatie vóór het plakken. Lees die laatste twee samen. De meeste mensen accepteren de verantwoordelijkheid voor de output, en twee derde van hen zet nog steeds tekst in een tool zonder eruit te halen wat het pand niet uit hoort.
Zet dat naast hoe bedrijven zichzelf beschrijven. Het CBS telde in 2024 22,7 procent van de bedrijven met tien of meer werkzame personen die minstens één AI-technologie gebruikten. Een jaar later gebruikte 29,8 procent van het midden- en kleinbedrijf met 10 tot 249 werkzame personen en 66,2 procent van het grootbedrijf AI-technologie in 2025. Die bedrijfscijfers zijn niet direct vergelijkbaar met het werknemersonderzoek: andere jaren, andere vraagstelling, en een bedrijf is geen persoon. Juist daarom is de vergelijking de moeite waard. De organisatie rapporteert wat ze heeft ingevoerd. De werkvloer rapporteert wat ze doet. Die twee verhalen zijn uit elkaar gelopen, en uw risico zit in het tweede.
Waarom zeggen minder mensen dat er regels zijn dan begin dit jaar?
Dit is de bevinding waardoor ik dit stuk heb herschreven. Tweeënveertig procent van de AI-gebruikers op het werk zegt dat er regels zijn voor AI-gebruik. Zes maanden eerder, in de vorige meting begin 2026, was dat nog 57 procent. De onderzoekers zijn voorzichtig met die daling en ik ook: het betekent niet automatisch dat organisaties regels hebben afgeschaft. Het betekent dat minder mensen aangeven dat er duidelijke regels bestaan. De bekendheid daalde. Of de documenten meedaalden, kunnen deze cijfers niet zeggen.
De bekendheidslezing geloof ik makkelijk, want ik zie het gebeuren. Een beleidsstuk wordt in één middag geschreven, meestal na een incident of een vraag uit de directie. Het wordt één keer rondgestuurd. Daarna verschuift de grond eronder. Copilot verschijnt in het Office-menu, het ticketsysteem krijgt een samenvatfunctie, het boekhoudpakket levert een assistent mee, en de administratie gebruikt AI zonder ooit een chatbot te openen. De regel zei: plak geen bedrijfsgegevens in ChatGPT. Niemand plakte iets in ChatGPT. De regel veranderde niet. Het adres veranderde.
Dat is het mechanisme achter de meeste schaduw-AI die ik tegenkom. Geen ongehoorzaamheid. Verschuiving. Slechts 29 procent van de mensen die AI op het werk gebruiken heeft ooit training of instructie gehad, en 47 procent zegt dat die er niet is. Een regel die één keer wordt uitgevaardigd en nooit wordt herhaald, concurreert met een toollandschap dat elk kwartaal verandert, en verliest alleen al op herhaling. Hoe u het document zelf opstelt is een aparte vraag met een redelijk uitgekristalliseerd antwoord. Dit stuk gaat over wat er daarna gebeurt.
De wet werd lichter, niet zwaarder
Hoopte u stilletjes dat de toezichthouder dit gesprek voor u zou afdwingen, dan liep de zomer de andere kant op. Verordening (EU) 2026/1744, de Digital Omnibus over AI, verscheen op 24 juli 2026 in het Publicatieblad en trad op 27 juli in werking. Een van de wijzigingen vervangt artikel 4 van de AI-verordening volledig: de bepaling over AI-geletterdheid.
De oorspronkelijke tekst vroeg aanbieders en gebruiksverantwoordelijken maatregelen te nemen om, naar beste vermogen, een toereikend niveau van AI-geletterdheid te waarborgen bij hun personeel en bij wie namens hen met systemen werkt. De nieuwe tekst vraagt maatregelen te nemen om de ontwikkeling van AI-geletterdheid te ondersteunen, met de uitdrukkelijke verduidelijking dat niemand verplicht is een specifiek niveau bij een individuele persoon te garanderen. Een tweede lid draagt de Commissie en de lidstaten op te helpen, met bijzondere aandacht voor het midden- en kleinbedrijf.
In gewone taal: een resultaatsverplichting werd een inspanningsverplichting. Compliance-afdelingen lezen dat als opluchting, en voor een organisatie met honderd AI-systemen in productie is het dat ook. Voor een bedrijf van dertig mensen haalt het de laatste externe aanleiding weg om iets te doen dat u toch al moest doen. De rest van de AI-verordening geldt gewoon volgens haar eigen tijdlijn, en ik pleit hier niet voor meer of minder regulering. Ik constateer dat sinds deze zomer niemand u er nog toe dwingt. Wat er nu in uw bedrijf gebeurt, is een managementbeslissing, geen juridische.
Kan uw team de regel om half vijf op donderdag herhalen?
Dit is de toets die ik werkelijk gebruik, en hij kost niets. Kies drie mensen met verschillend werk. Vraag ze los van elkaar, zonder dat ze iets mogen opzoeken: wat mag u wel en wat mag u niet in een AI-tool zetten?
Komen de drie antwoorden overeen, dan heeft u een regel. Verschillen ze, dan heeft u een bestand. Een regel bestaat alleen op het moment dat hij nodig is, en dat is nooit een rustig moment. Het is half vijf op donderdag, de offerte moet vóór vijven de deur uit, en de snelste route is de hele klantmail erin plakken en om een samenvatting vragen. Wat die persoon zich op dat moment herinnert, is uw werkelijke beleid. De rest is documentatie erover.
De meeste beleidsstukken zakken voor deze toets om een structurele reden. Ze zijn geschreven om een jurist te overleven, niet een donderdag. Ze zijn lang, ze zijn voorwaardelijk, en ze zijn geordend naar risicocategorie in plaats van naar gebruiksmoment. Een document met kopjes als persoonsgegevens, intellectueel eigendom en vertrouwelijkheid is correct en onbruikbaar, want de persoon achter het toetsenbord denkt niet in categorieën. Die denkt aan één mail.
Wat ik vraag in plaats van “heeft u AI-beleid?”
Drie vragen. Ze kosten een minuut of tien, en ik heb nog geen eerste gesprek meegemaakt waarin alle drie al beantwoord waren.
Welke AI-tools worden hier deze maand echt gebruikt?
Niet goedgekeurd. Gebruikt. Bijna niemand kan dit beantwoorden zonder rond te vragen, en dat rondvragen is het waardevolle deel. De lijst is altijd langer dan de directeur verwacht, en er staat bijna altijd iets op dat is ingebouwd in software waar het bedrijf al voor betaalt, en dat niemand mentaal onder AI had gearchiveerd.
Wat is het ene ding dat het pand nooit mag verlaten?
Eén categorie, benoemd in de woorden die uw mensen zelf al gebruiken. Alles waar een klantnaam op staat. De prijslijst. Het patiëntdossier. Niet “vertrouwelijke informatie”, want dat betekent niets onder tijdsdruk. Eén zin, in uw eigen vocabulaire, die een nieuwe collega na één keer horen kan herhalen. Lukt het niet om er één zin van te maken, dan ligt het probleem niet bij het schrijven. Dan heeft het bedrijf de knoop nog niet doorgehakt.
Bij wie kan ik terecht als ik twijfel?
Een naam, geen mailbox. Het gaat niet om governance. Het gaat erom dat twijfel binnen een minuut ergens terecht moet kunnen, anders lost hij zichzelf op als “zal wel goed zijn”. In een bedrijf van dertig bestaat die persoon al, en hardop zeggen dat het hun rol is kost niets. Het is hetzelfde instinct als achter een AI-plan dat op één pagina past: minder bewegende delen, en elk deel heeft een naam.
Beantwoordt u die drie in één zin elk, dan heeft u een werkende regel, of die nu ergens op papier staat of niet. Zakt u ervoor, dan redt een document van twaalf pagina’s u niet, want het document deed het werk nooit.
Waar de ondernemingsraad in beeld komt, en waar niet
Er zit hier een specifiek Nederlandse laag die naar twee kanten wordt gemist. Artikel 27 van de Wet op de ondernemingsraden geeft de ondernemingsraad instemmingsrecht bij een voorgenomen besluit tot vaststelling, wijziging of intrekking van bepaalde regelingen. Twee daarvan doen hier ter zake. Onderdeel k gaat over een regeling omtrent het verwerken en beschermen van de persoonsgegevens van de in de onderneming werkzame personen. Onderdeel l gaat over voorzieningen die gericht zijn op of geschikt zijn voor waarneming van of controle op aanwezigheid, gedrag of prestaties van die personen.
Zodra uw AI-regel dus vastlegt wie welke tool gebruikte, of AI-ondersteunde output meeweegt in beoordelingen, staat u ín artikel 27 en niet ernaast. Een werkgever die geen instemming krijgt, kan de kantonrechter om vervangende toestemming vragen. Een werkgever die de stap simpelweg overslaat loopt een ander risico: het besluit is nietig als de OR daar binnen een maand schriftelijk een beroep op doet. Niets hiervan is exotisch. Het is dezelfde bepaling die begin deze eeuw de komst van e-mail- en internetcontrole regelde, en dat is een nuttige herinnering: we hebben een versie van dit gesprek eerder gevoerd.
Dan het deel dat naar de andere kant wordt gemist. De meeste bedrijven waarmee ik werk hebben minder dan vijftig medewerkers, en de OR-plicht begint bij vijftig. Ze hebben helemaal geen ondernemingsraad. De WOR kent wel een lichtere vorm van medezeggenschap voor ondernemingen met tien tot vijftig werkzame personen, in het hoofdstuk over kleine ondernemingen, en in mijn ervaring grijpt vrijwel niemand daar hiervoor naar. Er is dus geen instantie die het gesprek afdwingt, en de regel wordt geschreven door wie zich het meest zorgen maakt, alleen, in één middag, in taal die uit een sjabloon komt. Dat is geen compliancefout. Zo ontstaat een document nu eenmaal als niemand er eerst over hoeft te steggelen.
Niets hiervan is juridisch advies en ik ben geen jurist. Raken uw AI-regels aan controle of personeelsgegevens, dan is dat het moment om er een in te schakelen. Wat de AVG van u vraagt is een verwante maar aparte vraag, en het lezen waard voordat u iets vastlegt.
Wat er verandert als de regel kort genoeg is om te onthouden
De monitor meldt een verband dat ik niet te zwaar zou lezen: mensen die training of instructie hadden gehad, pasten AI-output vaker aan en controleerden vaker feiten. Dat is een correlatie in enquêtedata, geen bewijs dat de training de zorgvuldigheid veroorzaakte. Het kan net zo goed zijn dat het soort organisatie dat traint, ook het soort is dat zorgvuldig aanneemt en begeleidt. Goed om te weten. Niet goed genoeg voor een businesscase.
Mijn eigen lezing, van binnenuit, is smaller. Wat na een training verandert is zelden de kennis. Het is dat de regel een gezicht en een moment heeft gekregen. Iemand heeft het hardop gezegd, in een ruimte, met anderen erbij, en daarmee is het opvraagbaar geworden als de herinnering aan een gesprek in plaats van als een document dat u zou moeten gaan zoeken. Dat is een lage lat, en het is de lat waar de meeste bedrijven onderdoor gaan.
De praktische stap is dus kleiner dan een project. Neem één keer per kwartaal een kwartier op een overleg dat toch al plaatsvindt. Stel de drie vragen hardop, aan de mensen die het werk doen, en schrijf op wat ze werkelijk zeggen in plaats van wat u hoopte te horen. Soms is het eerlijke antwoord dat een regel waar iedereen mee instemde in de praktijk onhoudbaar is, en dan verandert u de regel en niet de mensen. Begin geen werkgroep. Voeg een agendapunt toe.
Uw team heeft deze beslissing al genomen. Eén plakactie tegelijk, op gewone middagen, onder tijdsdruk, zonder kwade opzet en meestal zonder incident. De open vraag was nooit of er AI wordt gebruikt in uw bedrijf. De vraag is of de regel erover uit het hoofd te herhalen is door de persoon achter het toetsenbord. Wilt u een tweede oordeel over waar die van u nu staat, dan voer ik dat gesprek graag, en het duurt meestal een half uur.
Geschreven op 8 september 2026. Cijfers gecontroleerd aan de hand van de Newcom AI Monitor 2026 (veldwerk juli 2026, n=3.122), CBS-bedrijfsstatistieken over 2024 en 2025, en Verordening (EU) 2026/1744 zoals gepubliceerd in het Publicatieblad van 24 juli 2026.