Wat is een AI-beleid?
Een AI-beleid is een intern document dat vastlegt hoe het kantoor AI gebruikt en wie daarvoor verantwoordelijk is. Het beantwoordt essentiële vragen zoals:
- Welke tools mogen de medewerkers gebruiken, en voor welke taken?
- Welke gegevens mogen in die tools, en welke nooit (cliëntdossiers, persoonsgegevens)?
- Wie controleert de output voordat ze naar de cliënt gaat, en hoe?
Een AI-beleid is geen technische handleiding van dertig bladzijden. Voor een klein kantoor volstaat een document van vier tot vijf bladzijden, als ze maar concreet zijn opgesteld.
Het beleid heeft wel een belangrijke juridische functie. Het legt de zorgvuldigheidsnorm vast waaraan het werk van het kantoor en de medewerkers wordt getoetst. Wie de controlestappen van het beleid naleeft, handelt zorgvuldig. Zonder fout is er geen aansprakelijkheid, dus ook niet voor het kantoor dat als werkgever voor die medewerker in staat (art. 6.14 BW).
Het kader en de regels
Een accountantskantoor dat ChatGPT, Copilot of een AI-module in zijn boekhoudsoftware gebruikt, is een “gebruiksverantwoordelijke” (deployer) in de zin van de AI-verordening (EU) 2024/1689. Die verordening werd gewijzigd door de ‘Digital Omnibus’ (Verordening (EU) 2026/1744) van toepassing sinds 27 juli 2026.
Sindsdien zijn de volgende regels voor uw kantoor vandaag van belang.
AI-geletterdheid. Het kantoor moet de nodige maatregelen nemen die de AI-kennis van de medewerkers ondersteunen. Dat geldt ook voor freelancers en interims die namens het kantoor met AI werken.
Transparantie. Wie een chatbot inzet, moet de gebruiker melden dat hij met een AI-systeem praat. Wie AI-generated beelden of teksten over onderwerpen van algemeen belang publiceert, moet dat aanduiden. Voor een kantoor met een chatbot op zijn website of in zijn cliëntenportaal is dat een concrete verplichting.
Hoogrisicosystemen. Systemen voor cv-screening bij aanwerving van personeel, of voor kredietbeoordeling van cliënten, zijn hoogrisicosystemen. De verplichtingen voor de gebruiksverantwoordelijke (menselijk toezicht, bekwaam personeel, logging) gelden vanaf 2 december 2027. Een kantoor dat AI gebruikt om sollicitanten te rangschikken, valt hier dus onder.
Daarnaast blijven de bestaande privacy regels van toepassing:
De AVG. Wie cliëntgegevens in een AI-tool invoert, verwerkt persoonsgegevens. De leverancier van de software die u gebruikt, is dan een verwerker van deze persoonsgegevens: u bent verplicht een verwerkersovereenkomst met hem af te sluiten.
Worden de gegevens buiten de EU verwerkt, dan moet daarvoor een geldige grondslag bestaan en moeten de nodige waarborgen worden getroffen.
Het beroepsgeheim. De accountant en de belastingadviseur zijn gebonden door het beroepsgeheim (art. 50 van de wet van 17 maart 2019). Een gratis AI-tool die de ingevoerde gegevens gebruikt om zijn model te trainen, is daarmee onverenigbaar.
De opdrachtbrief. De contractuele aansprakelijkheid tegenover de cliënt wordt bepaald door wat het kantoor belooft. Wie AI inzet, moet dat in de opdrachtbrief vermelden en moet de validatie van de output daar regelen.
Stel uw AI-beleid op in tien stappen
- Inventariseer wat er al is. Vraag elke medewerker welke AI-tools hij gebruikt, ook de gratis en de privé-accounts. Vergeet de AI-functies niet die al in de bestaande software zitten: de boekhoudsoftware die facturen herkent, de tekstverwerker die samenvat, de mailbox die antwoorden voorstelt. Het resultaat is een AI-register: tool, leverancier, doel, gebruikers en soort gegevens.
- Wijs een verantwoordelijke aan. In een klein kantoor is dat een vennoot; in een groter kantoor een kleine groep met iemand van IT en iemand die de dossiers kent. Die persoon beslist welke tools worden toegelaten en kan een tool stopzetten.
- Bepaal wat AI voor het kantoor betekent. Leg in twee zinnen vast waarvoor het kantoor AI wil inzetten (bv. het voorbereiden van teksten, het analyseren van grootboeken, het beantwoorden van routinevragen) en waarvoor niet (bv. het ondertekenen van een advies zonder menselijke controle of validatie door een jurist).
- Deel de toepassingen in groepen in. Toegelaten zonder bijzondere voorwaarden (bv. een tekst herformuleren zonder cliëntgegevens), toegelaten onder voorwaarden (bv. een dossier analyseren in een tool met een verwerkersovereenkomst en zonder training op de gegevens), en verboden (bv. cliëntgegevens in een gratis publieke tool). Toets de toepassingen die mensen beoordelen, zoals cv-screening, aan voorwaarden van de AI-verordening.
- Leg de gegevensregels vast. Welke gegevens mogen nooit in een AI-tool (beroepsgeheim)? Welke tools hebben een verwerkersovereenkomst? Waar worden de gegevens opgeslagen? Staat de training op de ingevoerde gegevens uit (“zero retention”)? Dit is het luik dat de AVG en het beroepsgeheim dekt.
- Regel de controle van de output. Elke AI-output die naar een cliënt gaat of in een dossier belandt, wordt door een mens gecontroleerd. Beschrijf hoe: wie controleert, wat hij controleert (cijfers, bronnen, wetsartikelen) en hoe hij dat vastlegt. Dit is de kern van de zorgvuldigheidsnorm.
- Zorg voor opleiding. Een korte interne opleiding bij de start, een herhaling bij elke nieuwe tool en een onthaalmoment voor nieuwe medewerkers. Hou bij wie welke opleiding volgde. Dat register is uw bewijs voor uw verplichting onder artikel 4 van de AI-verordening (“AI-geletterdheid”).
- Pas de opdrachtbrief en de algemene voorwaarden aan. Vermeld dat het kantoor AI gebruikt als hulpmiddel onder menselijk toezicht, dat de accountant verantwoordelijk blijft voor het advies, en hoe de cliënt bezwaar kan maken tegen het gebruik van zijn gegevens in AI-tools. Neem het beleid ook op in het arbeidsreglement of in een bijlage bij de arbeidsovereenkomst.
- Voorzie een incidentprocedure. Wat gebeurt er als een medewerker cliëntgegevens in een verboden tool heeft ingevoerd, of als een AI-fout in een aangifte is geslopen? Wie wordt verwittigd, wie beslist of de cliënt en de Gegevensbeschermingsautoriteit worden geïnformeerd, en binnen welke termijn? Sluit aan bij de bestaande procedure voor datalekken.
- Controleer de verzekering en evalueer jaarlijks. Vraag de verzekeraar schriftelijk of de beroepsaansprakelijkheidspolis schade uit AI-ondersteund werk dekt. Herbekijk het beleid elk jaar en bij elke nieuwe tool. De regels veranderen snel: de Digital Omnibus van juli 2026 en Boek 7 BW in 2027 tonen dat.
Neem elk kwartaal deze checklist erbij en kijk of uw AI-beleid werkt
- Er bestaat een AI-register met alle tools, ook de AI-functies in bestaande software.
- Eén persoon is verantwoordelijk voor het AI-beleid en kan een tool stopzetten. (Check de rechten van de beheerder op elk systeem)
- Elke toepassing is ingedeeld als toegelaten, toegelaten onder voorwaarden of verboden.
- Voor elke tool die cliëntgegevens verwerkt, is er een verwerkersovereenkomst en staat de training op de ingevoerde gegevens uit. (“zero retention”)
- De controle van AI-output door een mens is beschreven in uw beleid, en wordt vastgelegd in het dossier.
- Elke medewerker, freelancer en interim heeft een opleiding gevolgd en dat staat geregistreerd. (U heeft een budget en/of plan van opleiding voorzien, aangepast aan de kennis van uw medewerkers)
- De opdrachtbrief en de algemene voorwaarden vermelden het AI-gebruik en de verantwoordelijkheid van de accountant.
- Het arbeidsreglement of een bijlage bij de arbeidsovereenkomst verwijst naar het AI-beleid. (check nieuw personeel, maar ook interims en zelfstandigen)
- Een chatbot op de website of in het portaal meldt dat de gebruiker met een AI-systeem praat.
- Er is een incidentprocedure die aansluit bij de procedure voor datalekken.
- De verzekeraar heeft schriftelijk bevestigd dat AI-ondersteund werk gedekt is.
- De contracten met AI-leveranciers zijn getoetst aan de bestaande wetgeving (AI-verordening, de AVG en het WER), en worden vóór 1 september 2027 aan Boek 7 BW aangepast.
- Het beleid wordt jaarlijks en bij elke nieuwe tool herbekeken.
- Uw AI-beleid en belangrijke wijzigingen zijn juridisch gevalideerd.
Besluit
Een AI-beleid vormt de basis voor wat “AI-governance” wordt genoemd. Die term duikt steeds vaker op, samen met ISO/IEC 42001, de eerste internationale norm voor AI-managementsystemen. Onze verwachting is dat deze nieuwe ISO 42001 norm als geharmoniseerde norm zal worden overgenomen, niet alleen voor de aanbieders (providers) van dergelijke systemen, maar uiteindelijk ook voor de gebruikers (deployers/kantoren) die op vraag van de grote cliënten of verzekeraars hun AI-governance zullen moeten gaan professionaliseren. Wie zijn AI-beleid vandaag goed opbouwt, heeft dat kader dan al in huis. ISO 42001 komt immers in essentie overeen met wat wij hierboven hebben beschreven.
ST-SCAN beoordeelt en valideert contracten en documenten onder toezicht van een ervaren jurist en tegen een vaste prijs. Voor accountants biedt ST-SCAN een abonnementsformule voor juridische begeleiding en AI-governance. Meer informatie op www.st-scan.be/Accountant.
ST-SCAN is opgericht door Steve Theunissen, Master in de rechten met 30 jaar ervaring in ondernemingsrecht.
