AI-geletterdheid: wat de AI Act vraagt van medewerkers, management en toezichthouders

AI-geletterdheid is de kennis en vaardigheid om AI verantwoord te gebruiken: weten wat een AI-toepassing kan, wat ze niet kan, waar de risico's zitten en wanneer je zelf moet oordelen. Artikel 4 van de EU AI Act vraagt organisaties om AI-geletterdheid te ondersteunen bij iedereen die namens hen met AI werkt.

Rond deze verplichting is verwarring ontstaan. De Digital Omnibus heeft de formulering in 2026 afgezwakt, en sommigen concluderen daaruit dat AI-geletterdheid niet meer hoeft. Dat is een misverstand, juridisch én praktisch. In dit artikel lees je wat er nu geldt, waarom het er in de praktijk meer toe doet dan in de wet, en hoe je het per rol aanpakt.

Wat de wet nu vraagt

Artikel 4 geldt sinds 2 februari 2025.¹ Oorspronkelijk moesten organisaties maatregelen nemen om een voldoende niveau van AI-geletterdheid te waarborgen bij hun personeel.

Met de Digital Omnibus (Verordening (EU) 2026/1744, in werking sinds 27 juli 2026)² is die formulering verzacht. Organisaties moeten nu maatregelen nemen om de ontwikkeling van AI-geletterdheid te ondersteunen. Van een resultaatsverplichting is het een inspanningsverplichting geworden. Lidstaten en de Europese Commissie krijgen daarnaast een rol in het bevorderen ervan, bijvoorbeeld met trainingen en informatiemateriaal.

Wat niet is veranderd:

• De plicht bestaat nog. Je moet aantoonbaar iets doen, alleen is niet meer voorgeschreven welk niveau je bereikt.
• Bij hoog-risico-AI gelden zwaardere eisen. Wie toezicht houdt op een hoog-risicosysteem, moet daarvoor de benodigde competentie, opleiding en bevoegdheid hebben.
• De transparantieplicht geldt gewoon. Mensen moeten weten wanneer ze met AI te maken hebben. Dat vraagt dat je medewerkers dat zelf ook herkennen en kunnen uitleggen.

Lees meer over de tijdlijn in Wat is de EU AI Act?.

Ook de Cyberbeveiligingswet vraagt training. Bestuurders van organisaties die onder de Cbw vallen, moeten voldoende kennis hebben om cyberrisico's te beoordelen en volgen daarvoor een passende training.³ Combineer die met AI-geletterdheid, want de risico's overlappen. Zie Cyberbeveiligingswet (NIS2): wat je data- en AI-laag moet kunnen aantonen.

Waarom het in de praktijk meer uitmaakt dan in de wet

De wettekst is zachter geworden. De risico's niet. Vier dingen gaan mis als medewerkers niet weten hoe AI werkt.

Ze vertrouwen antwoorden die goed klinken. Een taalmodel geeft een overtuigend antwoord, ook als het niet klopt. Wie niet weet dat AI kan verzinnen, controleert niets.

Ze stoppen gevoelige data in een prompt. Een klantcontract in een openbare chatbot plakken is een datalek. Wie niet weet waar een prompt naartoe gaat, ziet het risico niet.

Ze gebruiken tools die niemand kent. Schaduw-AI ontstaat niet uit kwade wil, maar uit behulpzaamheid. Medewerkers pakken het gereedschap dat werkt, en niemand heeft uitgelegd welk gereedschap wel mag.

Ze gebruiken het niet. Het omgekeerde gebeurt ook. Wie AI niet begrijpt, wantrouwt het of laat het links liggen. Dan levert een toepassing niets op en raakt ze een stopregel. Zie Stopregels voor AI.

AI-geletterdheid is dus geen complianceonderwerp maar een adoptieonderwerp. Het bepaalt of je investering in AI iets oplevert.

Wat AI-geletterdheid per rol betekent

Niet iedereen heeft hetzelfde nodig. Een medewerker die vragen stelt aan de eigen data, heeft andere kennis nodig dan een commissaris die toezicht houdt op het AI-register.

Voor bestuur en toezicht is AI-geletterdheid vooral het vermogen om de juiste vragen te stellen. Zie Vijf vragen die een RvC elk kwartaal over AI kan stellen.

Wat er in een goede training zit

Een algemene cursus over "wat is AI" is een begin, maar niet genoeg. De beste training gaat over de toepassingen die je organisatie echt gebruikt. Zes onderwerpen horen erin:

1. Hoe het werkt, in gewone taal. Een taalmodel voorspelt tekst. Het weet niets tenzij je het de juiste informatie geeft, en het kan zelfverzekerd fout zijn.
2. Waar een antwoord vandaan komt. Kan de gebruiker zien op welke bron en welke definitie een antwoord is gebaseerd? Zo niet, dan is het advies, geen feit.
3. Wat je niet deelt. Persoonsgegevens, vertrouwelijke contracten en klantdata gaan alleen naar goedgekeurde toepassingen.
4. Wanneer je zelf oordeelt. Het systeem adviseert, de mens besluit. Geen besluit over een klant of medewerker op basis van AI alleen.
5. Hoe je een fout meldt. Een feedbackknop die niemand gebruikt, is geen feedbackmechanisme. Laat zien wat er met een melding gebeurt.
6. Wat is toegestaan. Welke tools mogen, waarvoor, en waar staat dat?

Een aanpak in vijf stappen

1. Begin bij het AI-register. Welke toepassingen draaien er, en wie gebruikt ze? Dat bepaalt wie welke training nodig heeft.
2. Stel een gebruiksbeleid op van één pagina. Welke tools zijn toegestaan, welke data mag erin en wat is verboden. Kort genoeg om gelezen te worden.
3. Train per rol, op de toepassingen die mensen echt gebruiken. Een uur praktijk met de eigen toepassing is waardevoller dan een dag theorie.
4. Leg vast wie wat heeft gevolgd. Onder een inspanningsverplichting moet je kunnen laten zien wat je hebt gedaan. Een simpele registratie per medewerker en rol volstaat.
5. Herhaal het. AI verandert snel, en je toepassingen ook. Plan een jaarlijkse opfrisser, en een extra sessie bij elke nieuwe toepassing.

Geletterdheid begint bij herleidbare antwoorden

Je kunt medewerkers leren om AI-antwoorden te controleren. Maar dat werkt alleen als ze dat ook kunnen. Als een AI-antwoord niet laat zien uit welke bron het komt en welke definitie is gebruikt, valt er niets te controleren.

Daarom is AI-geletterdheid ook een datavraag. Een platform waarin elk antwoord herleidbaar is tot bron en definitie, en waarin AI nooit meer toont dan de gebruiker mag zien, maakt kritisch gebruik mogelijk. Zonder dat fundament vraag je medewerkers om iets te controleren wat niet te controleren is. Zie AI implementeren: waarom het bijna altijd op je data stukloopt.

Veelgestelde vragen

Is AI-geletterdheid nog verplicht na de Digital Omnibus? Ja. De verplichting is verzacht van het waarborgen van een voldoende niveau naar het ondersteunen van de ontwikkeling ervan. Je moet dus aantoonbaar maatregelen nemen, maar er is geen voorgeschreven eindniveau.

Voor wie geldt het? Voor iedereen die namens je organisatie met AI-systemen werkt. Dat zijn medewerkers, maar ook inhuur en andere personen die AI namens jou gebruiken.

Is een e-learning genoeg? Als start misschien. Een training over de toepassingen die mensen echt gebruiken, met een duidelijk gebruiksbeleid, is veel effectiever en beter aantoonbaar.

Moeten bestuur en RvC ook getraind worden? Onder de AI Act gaat het om wie met AI werkt. Maar wie toezicht houdt op AI, moet de juiste vragen kunnen stellen, en onder de Cyberbeveiligingswet geldt al een trainingsplicht voor bestuurders. Een korte jaarlijkse sessie voor bestuur en RvC is verstandig.

Waar begin je? Met het AI-register en een gebruiksbeleid van één pagina. Daarna weet je wie welke training nodig heeft. Vraag een fundamentscan aan.