AI-beleid voor scholen: wat moet erin staan?

Goed Ai-beleid is wat ons betreft meer dan een document waarin staat wat medewerkers wel en niet met ChatGPT mogen doen. Zeker voor een onderwijsorganisatie met meerdere scholen. Want hoe zorg je dat twintig scholen ruimte houden om Ai zinvol te gebruiken, terwijl je als organisatie tegelijkertijd grip houdt op privacy, data, veiligheid, applicaties en verantwoordelijkheden?

Wat moet er in een AI-beleid voor scholen staan?

Wij zouden minimaal de volgende acht onderdelen opnemen:

1. Begin met de visie

Wat wil je als organisatie met Ai bereiken?

Bijvoorbeeld:

• administratieve lasten verminderen;
• medewerkers ondersteunen bij terugkerend werk;
• informatie binnen de organisatie toegankelijker maken;
• docenten ondersteunen;
• verantwoord experimenteren met nieuwe toepassingen;
• leerlingen voorbereiden op een wereld waarin Ai een rol speelt.

Maar leg ook vast wat je niet wilt. Bijvoorbeeld dat Ai-agents zelfstandig beslissingen nemen waar menselijke beoordeling noodzakelijk is of dat alle medewerkers toegang hebben tot alle agents. Kennisnet adviseert scholen hun visie op Ai te verbinden aan de eigen kernwaarden en onderwijsvisie. Daardoor hoeven verschillende scholen niet noodzakelijk overal dezelfde keuzes te maken, zolang keuzes maar vanuit heldere uitgangspunten worden gemaakt.

Voor een overkoepelende organisatie betekent dit dus: centraal de kaders, lokaal ruimte voor toepassing.

2. Breng eerst in kaart welke Ai al wordt gebruikt

Dit onderdeel wordt verrassend vaak overgeslagen. Organisaties maken beleid zonder dat ze precies weten wat de behoefte is. Maak daarom eerst een inventarisatie. Niet alleen op bestuursniveau, maar bij alle aangesloten scholen. Welke tools gebruiken ze en waarom? Waren er momenten dat ze Ai wilde inzetten, maar ervan afzagen doordat het niet AVG-proof kon?

Denk aan:

• vragen stellen aan generatieve Ai-tools zoals ChatGPT, Claude, Gemini en Copilot;
• Ai-functionaliteiten binnen bestaande software;
• toepassingen voor lesvoorbereiding;
• tools voor beeld en video;
• toepassingen voor administratie;
• toepassingen voor HR;
• Ai voor analyse;
• pilots van afzonderlijke scholen of teams.

Kennisnet begint zijn praktische aanpak voor grip op Ai precies hier: eerst in kaart brengen hoe Ai binnen de school wordt gebruikt, daarna schoolafspraken maken. Dat is niet alleen een inventarisatie van software. Je wilt weten waarvoor Ai wordt gebruikt en welke gegevens daarbij betrokken zijn. Want dezelfde tool kan in de ene toepassing weinig risico opleveren en in een andere toepassing gevoelige persoonsgegevens verwerken.

3. Bepaal welke gegevens wel en niet in Ai mogen

Hier moet het beleid concreet worden. Een medewerker moet niet iedere keer zelf hoeven bedenken: “Mag ik dit eigenlijk in Ai zetten?”

Leg bijvoorbeeld vast hoe wordt omgegaan met:

• persoonsgegevens van leerlingen;
• bijzondere persoonsgegevens;
• leerlingdossiers;
• toetsinformatie;
• personeelsinformatie;
• financiële gegevens;
• vertrouwelijke documenten;
• interne beleidsstukken;
• openbare informatie.

De Autoriteit Persoonsgegevens publiceerde in juli 2026 een specifieke handreiking voor organisaties die generatieve Ai inzetten. Zodra persoonsgegevens worden verwerkt, moet rekening worden gehouden met de AVG en onder meer met de manier waarop gegevens worden verzameld, beheerd, gebruikt en bewaard.

Maar alleen opschrijven dat medewerkers bepaalde informatie niet in een publieke Ai-tool mogen invoeren, vinden wij te makkelijk. Goed beleid moet ook praktisch uitvoerbaar zijn. Als Ai medewerkers aantoonbaar tijd kan besparen bij werk waarbij interne informatie nodig is, moet de vervolgvraag zijn: “Hoe creëren we een omgeving waarin ze dat wél verantwoord kunnen doen?” 

4. Maak duidelijk welke Ai-tools medewerkers mogen gebruiken

Hier ontstaat bij grotere onderwijsorganisaties een interessant spanningsveld. Laat iedere school zelf Ai-tools selecteren? Laat iedere medewerker dat doen? Of wordt centraal bepaald welke omgeving gebruikt mag worden?

Volledige centralisatie is niet voor iedere toepassing noodzakelijk. Maar volledig vrije toolkeuze maakt toezicht, gegevensbescherming en beheer steeds ingewikkelder.

Daarom zou je kunnen werken met categorieën, bijvoorbeeld:

Goedgekeurd
Mag binnen vastgestelde voorwaarden organisatiebreed worden gebruikt.

Beperkt toegestaan
Alleen voor bepaalde toepassingen, doelgroepen of soorten informatie.

Pilot
Wordt gecontroleerd getest voordat bredere inzet wordt toegestaan.

Niet toegestaan
Voldoet niet aan de eisen van de organisatie.

En misschien wel het belangrijkste: Nieuwe Ai-tools komen niet rechtstreeks bij medewerkers terecht, maar doorlopen eerst een centraal beoordelingsproces. Niet om innovatie af te remmen. Juist om te voorkomen dat iedere goede ingeving leidt tot nóg een account, nóg een leverancier en nóg een plek waar data terechtkomt.

5. Leg vast wie waarvoor verantwoordelijk is

“IT bepaald Ai” is geen governance-model. Ai raakt verschillende onderdelen van de organisatie:

• bestuur;
• schoolleiding;
• IT;
• FG/privacy;
• informatiebeveiliging;
• HR;
• onderwijs;
• inkoop;
• medewerkers en leerlingen.

Leg daarom vast wie:

• nieuwe toepassingen mag aandragen;
• een Ai-toepassing beoordeelt;
• privacyrisico’s beoordeelt;
• leveranciers beoordeelt;
• bepaalde toepassingen goedkeurt;
• gebruikers toegang geeft;
• toezicht houdt op gebruik;
• incidenten afhandelt;
• het Ai-beleid actualiseert.

Voor een scholenorganisatie zou ik daarbij expliciet onderscheid maken tussen centrale verantwoordelijkheid en lokale verantwoordelijkheid.

Bijvoorbeeld:

Bestuursniveau: kaders, infrastructuur, veiligheid, leveranciers, governance en organisatiebrede toepassingen.

Schoolniveau: toepassingen binnen de onderwijspraktijk en uitvoering binnen de centrale kaders.

Zo voorkom je twee uitersten: iedere school opnieuw het wiel laten uitvinden of alles vanuit het bestuursbureau te veel dichtmetselen.

6. Neem AI-geletterdheid op in het beleid

Je kunt technisch alles uitstekend beveiligen en alsnog onverantwoord Ai gebruiken. Een medewerker moet bijvoorbeeld begrijpen dat een Ai-antwoord overtuigend kan klinken zonder correct te zijn. Maar Ai-geletterdheid gaat verder. Medewerkers moeten passend bij hun rol begrijpen:

• wat Ai wel en niet kan;
• hoe ze output controleren;
• wanneer menselijke controle noodzakelijk is;
• met welke informatie ze mogen werken;
• welke risico’s bij hun toepassing horen;
• welke afspraken binnen de organisatie gelden.

De Europese AI-verordening maakt Ai-geletterdheid bovendien relevant voor organisaties die Ai-systemen inzetten. Kennisnet neemt professionalisering daarom expliciet mee als onderdeel van de ontwikkeling van Ai-beleid. Dat maakt een eenmalige workshop “prompts schrijven” nog geen Ai-beleid. Ai-geletterdheid moet meegroeien met het gebruik.

7. Regel menselijke controle en verantwoordelijkheid

“Maar de Ai zei het” kan nooit het einde van de discussie zijn. Leg vast bij welke toepassingen altijd een medewerker verantwoordelijk blijft voor de uitkomst. Dat is zeker relevant wanneer Ai wordt gebruikt rond bijvoorbeeld:

• beoordeling;
• leerlingbegeleiding;
• communicatie richting ouders;
• analyses;
• personeelsvraagstukken;
• beleidsadvies.

Hoe groter de impact van een uitkomst op een persoon, hoe belangrijker het is om vooraf goed vast te leggen welke rol Ai wel en niet mag spelen. Een Ai-assistent die een eerste concept van een interne tekst maakt, is immers fundamenteel iets anders dan Ai die invloed krijgt op beslissingen over mensen.

De techniek mag ondersteunen. De verantwoordelijkheid blijft menselijk.

8. Bepaal hoe je voorkomt dat Ai versnipperd raakt

Dit onderdeel is juist voor onderwijsorganisaties interessant. Want als je tientallen scholen hebt, kun je uitstekend beleid hebben en toch eindigen met een landschap van tientallen losse Ai-oplossingen.

School 1 koopt tool A, school 2 experimenteert met B, HR wil C, communicatie gebruikt D en een docent ontdekt E. Iedere toepassing heeft zijn eigen login, voorwaarden, dataverwerking, rechten en beheer. En iedere volgende Ai-toepassing voegt weer een stukje complexiteit toe.

Ai-governance begint daarom niet met het beheren van zoveel mogelijk tools. Het begint met voorkomen dat je ze allemaal apart moet beheren.

Dat betekent dat je bij iedere nieuwe toepassing ook moet vragen: “Moeten we hiervoor werkelijk een nieuwe Ai-tool toevoegen, of kan deze toepassing binnen onze bestaande Ai-omgeving worden georganiseerd?”

Eén Ai-beleid voor 20 scholen betekent niet dat iedere school hetzelfde moet doen

Dat onderscheid is belangrijk. Centrale regie betekent niet centrale uniformiteit.

School A kan andere toepassingen nodig hebben dan school B. Een intern begeleider werkt anders dan een docent. En een medewerker op het bestuurskantoor heeft weer andere behoeften dan iemand voor de klas. Het doel is daarom niet: iedereen gebruikt Ai op precies dezelfde manier. Het doel is: iedereen gebruikt Ai vanuit dezelfde veilige basis.

Vergelijk het met een wegennet. Je hoeft niet te bepalen waar iedere medewerker naartoe rijdt. Je wilt wel zorgen voor verkeersregels, veilige wegen en duidelijke grenzen. De organisatie bepaalt de infrastructuur en kaders. Binnen die omgeving krijgen scholen en medewerkers ruimte.

En precies daar schiet een beleidsdocument alleen tekort

Je kunt een uitstekend Ai-beleid schrijven. Veertig pagina’s. Juridisch gecontroleerd. Goedgekeurd door het bestuur. Op intranet gezet. En alsnog heeft een docent de volgende ochtend een probleem. Hij wil Ai gebruiken om informatie uit drie interne documenten samen te vatten.

Waar doet hij dat dan?

Als het antwoord is: “Dat mag niet in ChatGPT vanwege onze beleidsregels” maar er is geen alternatief, dan heb je governance op papier georganiseerd, maar nog niet in de praktijk.

Dat is waarom wij bij Vindex vinden dat beleid en infrastructuur bij elkaar horen. Goed Ai-beleid zegt niet alleen wat niet mag. Het zorgt dat medewerkers een veilige omgeving hebben, zodat ze alsnog gebruik kunnen maken van Ai.

Van Ai-beleid naar Ai-infrastructuur

Daarom hebben wij Vindex niet opgebouwd als nóg een losse Ai-tool. Vindex biedt organisaties één centraal Ai-platform in een private cloud in Nederland. Binnen die omgeving kun je Ai beschikbaar maken voor verschillende scholen, afdelingen, teams en rollen, terwijl de organisatie centraal grip houdt op de infrastructuur.

Daarmee wordt het mogelijk om vanuit één basis toepassingen te organiseren voor bijvoorbeeld:

• onderwijs;
• administratie;
• HR;
• communicatie;
• beleid;
• interne kennis;
• documentverwerking.

Zonder voor ieder nieuw Ai-vraagstuk opnieuw een losse oplossing aan te schaffen. Voor een onderwijsorganisatie met meerdere scholen is dat een wezenlijk verschil. Je organiseert centraal de voorwaarden waaronder innovatie verantwoord kan plaatsvinden.

Lees hier meer over Veilige Ai voor onderwijsorganisaties

Een goed AI-beleid geeft geen antwoord op iedere toekomstige AI-vraag

En dat hoeft ook niet. Want de toepassingen die over twee jaar relevant zijn, kennen we vandaag nog niet allemaal. Een toekomstgericht Ai-beleid probeert daarom niet iedere mogelijke toepassing vooraf dicht te regelen.

Het regelt iets belangrijkers: wie mag wat, met welke data, binnen welke omgeving, onder wiens verantwoordelijkheid en volgens welke uitgangspunten? Als die basis staat, hoef je bij iedere nieuwe ontwikkeling niet opnieuw vanaf nul te beginnen. Dat is uiteindelijk waar Ai-governance voor een scholenorganisatie over gaat. Niet zoveel mogelijk regels maken. Niet Ai tegenhouden. En ook niet iedere school zelf laten uitzoeken wat verantwoord is. Wel één fundament neerzetten waarop al je scholen veilig verder kunnen.

Van AI-beleid naar een werkbare Ai-omgeving voor al je scholen?

Heeft jouw scholenorganisatie meerdere locaties of scholen en wil je Ai gecontroleerd beschikbaar maken zonder voor iedere toepassing een nieuwe tool, leverancier of omgeving toe te voegen?

Bekijk hoe Vindex Ai voor het onderwijs centraal organiseert, met ruimte voor verschillende scholen, teams en toepassingen.

Want toekomstgericht Ai-beleid gaat niet alleen over wat je afspreekt. Het gaat erom dat je die afspraken technisch kunt waarmaken.

Plan hier een online kennismaking in. We denken graag vrijblijvend met je mee.