AI-kennis bij bedrijven: zo werk je aan AI-geletterdheid

AI-geletterdheid is de kennis en vaardigheid die mensen nodig hebben om AI goed te gebruiken en de risico’s ervan te herkennen. Voor bedrijven in de EU is het ook een wettelijke plicht. Artikel 4 van de AI Act, officieel de AI-verordening, verplicht elke organisatie die AI-systemen aanbiedt of gebruikt om maatregelen te nemen die de AI-geletterdheid van haar personeel ondersteunen.

Die plicht geldt sinds 2 februari 2025, en de Digital Omnibus on AI heeft het artikel op 27 juli 2026 herschreven. Deze gids legt uit wat de regel in oktober 2026 vraagt en hoe je de AI-kennis in je organisatie per functie concreet opbouwt.

In het kort

• Artikel 4 vraagt om maatregelen, niet om een gegarandeerd kennisniveau. Training en begeleiding moeten passen bij de rol, de tools en de risico’s van elke groep.
• Begin met een gedeelde basis over hallucinaties, bias en privacy, en ga daarna dieper voor functies als HR, klantenservice en developers.
• Breng je AI-gebruik in kaart, stel doelen per functie, train, leg vast wat je hebt gedaan en meet het resultaat. Dat overzicht is je bewijs.

Wat is AI-geletterdheid?

AI-geletterdheid is het vermogen om AI in je werk te begrijpen, te gebruiken en kritisch te beoordelen. De AI Act omschrijft het in artikel 3, punt 56 als de vaardigheden, kennis en het begrip om AI weloverwogen in te zetten, inclusief bewustzijn van de kansen, de risico’s en de mogelijke schade.

In de praktijk gaat het om vier vaardigheden:

• Begrijpen: weten dat een taalmodel aannemelijke tekst voorspelt en geen feiten opzoekt.
• Gebruiken: de juiste tool kiezen, de juiste context meegeven en gevoelige gegevens erbuiten houden.
• Beoordelen: uitkomsten controleren op fouten, verzonnen bronnen en eenzijdige aannames.
• Handelen: weten welke regels gelden, wanneer je stopt en bij wie je terechtkunt.

Niemand hoeft AI-expert te worden. AI-geletterdheid in een organisatie is de optelsom van deze vaardigheden in elke functie waarin met AI wordt gewerkt.

Wat vraagt de AI Act over AI-geletterdheid?

Artikel 4 verplicht aanbieders en gebruiksverantwoordelijken (deployers) van AI-systemen om maatregelen te nemen die de AI-geletterdheid ondersteunen van hun personeel en van anderen die namens hen met AI werken, zoals ingehuurde krachten. Een gebruiksverantwoordelijke is elke organisatie die een AI-systeem onder eigen verantwoordelijkheid gebruikt. Daarmee valt vrijwel elk bedrijf eronder waar medewerkers AI gebruiken, ook bedrijven buiten de EU als hun AI-systemen in de EU worden ingezet.

De Digital Omnibus veranderde de formulering. Eerst moesten organisaties zo goed mogelijk zorgen voor een toereikend niveau van AI-geletterdheid. Nu gaat het om maatregelen die de ontwikkeling ervan ondersteunen, en staat er uitdrukkelijk dat niemand een bepaald niveau per persoon hoeft te garanderen. De verplichting zelf blijft bindend.

Wat vraagt artikel 4 wel en niet?

De meeste verwarring zit tussen wat de wet vraagt en wat organisaties denken dat ze moeten. Dit overzicht volgt artikel 4 en de uitleg van de Europese Commissie:

Vraag	Wat artikel 4 en de Commissie zeggen
Wie moet iets doen?	Aanbieders en gebruiksverantwoordelijken van AI-systemen
Voor wie?	Personeel en anderen die namens de organisatie met AI werken, zoals ingehuurde krachten
Wat moeten ze doen?	Maatregelen nemen die de ontwikkeling van AI-geletterdheid ondersteunen
Moet elke medewerker een bepaald niveau halen?	Nee. Een specifiek niveau per persoon hoeft niet gegarandeerd te worden
Is er een verplichte vorm?	Nee. Maatregelen moeten passen bij de kennis van mensen, de context en de betrokken personen
Moet je medewerkers toetsen?	Nee. Volgens de Commissie is er geen plicht om kennis te meten
Heb je een AI-officer nodig?	Nee, er is geen specifieke governancestructuur verplicht
Moet je iets vastleggen?	Niet voorgeschreven, maar de Commissie raadt een intern overzicht van trainingen en begeleiding aan

Hoe voldoe je aan de AI-geletterdheidsplicht?

De vragen en antwoorden van de Europese Commissie noemen vier vragen waarmee elk programma begint:

1. Wat is AI, hoe werkt het en welke AI gebruikt onze organisatie?
2. Zijn we aanbieder die AI bouwt, of gebruiksverantwoordelijke die AI van anderen inzet?
3. Welke risico’s horen bij de systemen die we gebruiken, en wat moeten medewerkers weten om die te vermijden?
4. Welke maatregelen passen bij elke groep, gezien hun kennis, de context en de betrokken personen?

De Commissie voegt toe dat personeel alleen vragen de gebruiksaanwijzing van een tool te lezen mogelijk niet effectief is, en dat verschillende trainingsniveaus per groep passend zijn. Ook medewerkers die ChatGPT alleen gebruiken voor advertentieteksten of vertalingen vallen eronder.

In Nederland heeft de Autoriteit Persoonsgegevens (AP) die aanpak uitgewerkt in de handreiking Aan de slag met AI-geletterdheid, met vier stappen: identificeren, doel bepalen, uitvoeren en evalueren. De handreiking is geschreven vóór de Digital Omnibus, maar het stappenplan blijft bruikbaar.

Welke andere verplichtingen hangen samen met AI-geletterdheid?

Artikel 4 staat zelden op zichzelf. Drie andere verplichtingen werken alleen als mensen herkennen waarmee ze werken:

• Verboden praktijken (artikel 5, sinds 2 februari 2025). AI die de emoties van medewerkers op het werk afleidt, is verboden, behalve om medische of veiligheidsredenen.
• Transparantie (artikel 50, sinds 2 augustus 2026). Chatbots moeten duidelijk maken dat mensen met AI praten, en gebruiksverantwoordelijken moeten deepfakes als zodanig vermelden.
• Menselijk toezicht op AI met een hoog risico (artikel 26, vanaf 2 december 2027 voor systemen uit bijlage III, zoals tools voor werving en selectie). Dat toezicht moet liggen bij mensen met de nodige bekwaamheid, opleiding en bevoegdheid.

Daarnaast geldt de AVG zodra er persoonsgegevens in een AI-tool gaan. Daarom moeten medewerkers een goedgekeurde zakelijke tool met verwerkersovereenkomst kunnen onderscheiden van een privéaccount.

Wie houdt toezicht, en welke boetes zijn er?

Nationale markttoezichthouders houden toezicht op artikel 4. Formeel geldt het toezicht vanaf augustus 2026, maar in de praktijk hangt het af van de toezichthouders die elke lidstaat aanwijst. In Nederland is dat nog niet geregeld: de Uitvoeringswet AI-verordening was tot 1 juni 2026 in consultatie, en zolang die wet er niet is, is er formeel geen toezichthouder aangewezen. Het wetsvoorstel geeft de AP en de Rijksinspectie Digitale Infrastructuur (RDI) een coördinerende rol.

De AI Act noemt geen vast boetebedrag voor artikel 4. Sancties komen uit nationale wetgeving en moeten evenredig zijn, en volgens de Commissie wordt een sanctie waarschijnlijker als een incident terug te voeren is op gebrekkige training. De hoogste boetes, tot € 35 miljoen of 7 procent van de wereldwijde jaaromzet, gelden voor verboden praktijken. Onze gids over de AI Act beschrijft alle boetecategorieën.

Waarom zouden bedrijven werk maken van AI-geletterdheid?

AI-geletterdheid bepaalt of je investering in AI iets oplevert. Volgens het CBS gebruikte in 2025 29,8 procent van het mkb (10 tot 249 werkzame personen) AI, tegenover 66,2 procent van het grootbedrijf. Bij bedrijven die AI overwogen maar er toch van afzagen, was gebrek aan ervaring in elke grootteklasse de belangrijkste reden. Bij microbedrijven noemde 71,6 procent die reden. Voor die bedrijven zit het knelpunt dus in kennis, niet in software.

Zonder AI-geletterdheid gaan er meestal vier dingen mis:

• Juridische risico’s: een verboden toepassing of een toepassing met hoog risico glipt erdoor omdat niemand die herkende.
• Reputatieschade: een chatbot verzint een retourbeleid, of een selectietool wijst kandidaten onterecht af.
• Gemiste kansen: teams vermijden AI, of zetten het in voor taken waar het slecht in is.
• Datalekken: persoonsgegevens of vertrouwelijke informatie belanden in tools zonder contract.

Welke AI-kennis hebben medewerkers nodig?

Medewerkers hebben twee lagen kennis nodig: een gedeelde basis voor iedereen, en verdieping voor functies waarin AI raakt aan klanten, kandidaten, geld of code. De basis draait vooral om het herkennen van drie risico’s.

Welke AI-risico’s moet elke medewerker herkennen?

• Hallucinaties. Taalmodellen produceren aannemelijke tekst, geen gecontroleerde feiten. Ze kunnen cijfers, bronnen, wetsartikelen of beleid verzinnen en dat overtuigend brengen. Microsoft schrijft zelf dat de antwoorden van Copilot niet gegarandeerd feitelijk juist zijn, en vraagt gebruikers de output te controleren voordat ze die versturen.
• Bias. Uitkomsten weerspiegelen patronen uit de data waarop een model is getraind: genderbepaalde woorden in een vacaturetekst, een samenvatting die één kant van een klacht zwaarder laat wegen, een rangschikking die bepaalde profielen voortrekt. Dat weegt het zwaarst als de uitkomst meetelt in een besluit over een persoon.
• Privacy en vertrouwelijkheid. Wat je in een tool typt, gaat naar de aanbieder. OpenAI meldt dat het data uit ChatGPT Business en Enterprise standaard niet gebruikt om modellen te trainen, maar data uit diensten voor particulieren wel. In 2024 meldde de AP datalekken doordat medewerkers persoonsgegevens in AI-chatbots invoerden, waaronder medische gegevens van patiënten.

Uit deze drie volgt een vierde risico: te veel vertrouwen. Een uitkomst die goed leest, geloof je snel. Behandel elk AI-antwoord daarom als een concept dat je controleert.

Voorbeeld: een klacht beantwoorden met ChatGPT of Copilot

Neem een alledaagse situatie. Een medewerker van de klantenservice krijgt een boze e-mail over een te late levering en wil met AI een antwoord opstellen waarin een compensatie wordt aangeboden.

Zonder AI-geletterdheid plakt de medewerker de hele e-mailwisseling in een privéaccount van een chatbot, inclusief naam, adres en bestelgeschiedenis van de klant. De prompt vraagt om “een vriendelijk antwoord met wat ons beleid toestaat”. De tool kent het beleid niet en verzint een terugbetaling van 20 procent. Het antwoord leest goed en gaat ongewijzigd de deur uit. Het resultaat is een mogelijk datalek en een belofte die niemand bedoelde.

Met AI-geletterdheid ziet dezelfde taak er zo uit:

1. Gebruik de goedgekeurde tool: een zakelijk account of Microsoft 365 Copilot met een verwerkersovereenkomst, geen privéaccount.
2. Deel alleen wat nodig is. Het ordernummer en het probleem zijn genoeg; adres en betaalgegevens laat je weg.
3. Geef de bron mee. Plak het echte compensatiebeleid in de prompt, of verwijs Copilot naar het beleidsdocument, en vraag de tool de regel te citeren waarop het antwoord steunt.
4. Controleer elke toezegging en elk feit tegen die bron: bedragen, data en voorwaarden.
5. Lees op toon en op aannames die de e-mail niet ondersteunt.
6. Verstuur het zelf. De medewerker is verantwoordelijk voor wat er de deur uitgaat, niet de tool.

Bij Copilot let je op nog één ding. Volgens dezelfde documentatie van Microsoft toont Copilot alleen gegevens waar de gebruiker al minstens leesrechten op heeft. Te ruime rechten in SharePoint of Teams kunnen dus een intern document, zoals een margeberekening, in een concept laten opduiken.

Welke fouten komen het meest voor, en hoe voorkom je ze?

Het voorbeeld laat het patroon zien. De meeste problemen in dagelijks AI-gebruik komen uit vijf fouten:

Fout	Wat er misgaat	Zo voorkom je het
Persoonsgegevens in een privéaccount	Gegevens gaan naar een aanbieder zonder contract; een mogelijk datalek	Goedgekeurde zakelijke tool met verwerkersovereenkomst; duidelijke regels over wat erin mag
Vragen zonder bron mee te geven	De tool vult gaten met verzonnen feiten of beleid	De brontekst plakken of koppelen en de tool laten citeren
Bronvermeldingen en links vertrouwen	Bronnen, onderzoeken of uitspraken kunnen verzonnen zijn	Elke bron openen voordat je hem gebruikt
AI-output gebruiken om mensen te beoordelen	Bias in een rangschikking of samenvatting beïnvloedt een echt besluit	Menselijke beoordeling van de criteria; HR of juridische zaken betrekken bij hoog risico
Ruime rechten bij Copilot	Copilot toont bestanden die gebruikers niet horen te zien	Rechten in SharePoint en Teams nalopen vóór de uitrol

Welke extra kennis heeft elke functie nodig?

Bovenop de basis heeft elke groep kennis nodig die past bij de AI die ze gebruikt en de mensen op wie het effect heeft. Gebruik dit als startpunt:

Functie	Extra kennis	Passende maatregel
Alle medewerkers	De drie risico’s, goedgekeurde tools, regels voor gegevens, output controleren	Basissessie plus spelregels op één pagina
Managers en teamleiders	Niet-goedgekeurd AI-gebruik herkennen, toepassingen goedkeuren, weten wanneer je escaleert	Korte module voor leidinggevenden
HR	AI voor werving en selectie valt onder hoog risico; AVG-regels over geautomatiseerde besluiten	Rolmodule voordat AI bij kandidaten wordt ingezet
Klantenservice en marketing	Regels voor klantgegevens, feiten checken, vermeldingsplicht onder artikel 50	Rolmodule met voorbeelden uit hun eigen tools
Financiën en juridische zaken	Cijfers en wetsverwijzingen controleren; vertrouwelijkheid van contracten	Rolmodule plus controleregels
Developers en IT	Inloggegevens uit prompts, gegenereerde code controleren, rechtenbeheer	Technische richtlijnen en regels voor code review
Toezicht op AI met hoog risico	Het specifieke systeem, de grenzen ervan en wanneer je ingrijpt	Training op dat systeem vóór livegang

Hoe kan jouw bedrijf actie ondernemen?

Een programma zet je op in vijf stappen, en een aantal kan tegelijk lopen. Ze vertalen de vier stappen van de AP naar de praktijk.

Stap 1: Wijs een eigenaar aan en bepaal je rol

Maak één persoon of team verantwoordelijk, meestal HR of L&D samen met compliance en IT. De AP adviseert in haar vervolghandreiking om AI-geletterdheid ook bestuurlijk te borgen. Bepaal daarna per AI-systeem je rol. De meeste bedrijven zijn gebruiksverantwoordelijke: ze zetten AI van anderen in. Een gebruiksverantwoordelijke kan aanbieder worden, met zwaardere verplichtingen, bijvoorbeeld door een algemene tool in te zetten voor een toepassing met hoog risico, zoals het selecteren van kandidaten (artikel 25).

Stap 2: Breng AI-gebruik in kaart, ook shadow AI

Je kunt mensen niet trainen op tools die je niet kent. Combineer vier bronnen:

• Vraag het na: een korte enquête per team, zonder verwijten, over welke tools mensen gebruiken, waarvoor en met welke gegevens.
• Kijk naar wat je al betaalt: beheeromgevingen en release notes van kantoor-, CRM- en videobelsoftware, waar AI-functies via updates binnenkomen.
• Kijk naar toegang: de app-lijst in je identiteitsplatform, geïnstalleerde browserextensies en declaraties voor AI-abonnementen.
• Scan netwerkverkeer waar nodig, met cloud app discovery op basis van metadata. Informeer medewerkers en betrek de ondernemingsraad als die instemmingsrecht heeft.

Leg elke tool met gebruikers, doel en gegevens vast in het register. Wil je een blik van buiten, dan brengt het AI Veiligheid & Shadow AI Assessment van DataNorth AI-verkeer in kaart en toetst het elke gevonden tool aan meer dan 500 AI-privacybeleiden.

Stap 3: Bepaal het risico van elke toepassing

Deel elke toepassing in bij een van vier groepen, want de groep bepaalt hoeveel kennis mensen nodig hebben:

• Minimaal risico: teksten opstellen, samenvatten en vertalen. De basis volstaat.
• Transparantieplicht: chatbots die met klanten praten, en gegenereerde beelden, audio of video. Gebruikers moeten de vermeldingsregels kennen.
• Hoog risico: toepassingen uit bijlage III, zoals werving en selectie en kredietbeoordeling. Wie toezicht houdt, heeft vanaf 2 december 2027 specifieke training nodig.
• Verboden: bijvoorbeeld emotieherkenning op het werk. Stoppen en uitzoeken.

De indeling hangt af van het doel, niet van het product. Dezelfde assistent kan bij marketing een minimaal risico vormen en bij HR een hoog risico. Een EU AI Act-assessment maakt die indeling samen met je en eindigt met een roadmap.

Stap 4: Stel leerdoelen per functie op

Vertaal de tabel met functies naar doelen die je kunt controleren, geschreven als gedrag. “HR kent de AI Act” is vaag. “HR overlegt met juridische zaken voordat een AI-tool kandidaten selecteert of rangschikt” kun je waarnemen. Twee of drie doelen per groep zijn genoeg om te beginnen.

Stap 5: Leid je medewerkers op

Combineer vormen, want één e-learning verandert zelden gedrag:

• Een basissessie voor iedereen, live of online, met oefeningen op de risico’s hierboven.
• Rolmodules voor de groepen uit de tabel, opgebouwd rond hun eigen taken.
• Een instructie van één pagina per goedgekeurde tool: welke gegevens erin mogen, welke instellingen je gebruikt en twee goede voorbeelden.
• Een kort AI-beleid over toegestane gegevens, verboden toepassingen, controleregels en hoe je fouten meldt.
• Doorlopende ondersteuning: een gedeelde promptbibliotheek en een vast aanspreekpunt per team.

De Europese Commissie beschrijft dezelfde mix voor haar eigen personeel: leerpakketten voor generalisten, managers en ontwikkelaars, uitleg per AI-tool, vragenuurtjes en een netwerk van AI-ambassadeurs. Een praktische start is de AI Geletterdheid Workshop van DataNorth: twee of vier uur, online of op locatie, afgestemd op je teams via interviews met deelnemers vooraf. Inmiddels namen meer dan 4.900 mensen van ruim 110 organisaties deel aan workshops van DataNorth.

Stap 6: Leg vast, evalueer en blijf op de hoogte van de AI-regelgeving

Leg vast wie welke training of begeleiding kreeg, wanneer en met welk materiaal. Dat overzicht is je bewijs onder artikel 4. Bekijk het opnieuw als een tool, functie of regel verandert, en minstens één keer per jaar.

De regels zijn nog in beweging. Het Europese AI-comité (AI Board) stelt aanbevelingen op over AI-geletterdheid, de Commissie publiceert praktijkvoorbeelden en in Nederland volgt de Uitvoeringswet. Voor het team dat AI-governance trekt, vertaalt een AI Verordening Workshop de regels naar een roadmap voor je eigen AI-toepassingen.

Hoe meet je of AI-geletterdheid werkt?

Artikel 4 verplicht je niet om kennis te meten, maar meten laat zien of je maatregelen werken en waar je moet bijsturen. Kies een paar indicatoren, doe nu een nulmeting en meet na drie maanden opnieuw:

Wat je meet	Indicator	Waar je het vindt
Bereik	Aandeel AI-gebruikers dat de basis en de eigen rolmodule heeft afgerond	Je register of leerplatform
Kennis	Score op een korte scenariotoets, zoals een verzonnen feit of een overtreden dataregel herkennen	Een quiz van vijf minuten voor en na de training
Gedrag	Aandeel AI-gebruik dat via goedgekeurde tools loopt	Beheeromgevingen en een herhaling van je shadow AI-scan
Kwaliteit	Fouten bij steekproeven van werk dat met AI is gemaakt	Controles door teamleiders
Veiligheid	Gemelde incidenten en bijna-incidenten, zoals per ongeluk ingevoerde gegevens	Je incidenten- of datalekregister
Gebruik	Actieve gebruikers van goedgekeurde tools	Gebruiksrapporten, zoals de Copilot-rapporten in het Microsoft 365-beheercentrum

Lees de indicatoren in samenhang. Meer gemelde bijna-incidenten na een training is vaak goed nieuws: mensen herkennen risico’s die ze eerder misten. Dalend gebruik van goedgekeurde tools kan betekenen dat de regels te streng zijn en dat mensen uitwijken naar shadow AI. Gebruik de uitkomsten om stap 4 en 5 bij te stellen.

Veelgestelde vragen over AI-geletterdheid (FAQ)