AI-ethiekbeleid

1. Doel

Dit beleid legt de ethische, juridische en operationele richtlijnen vast voor verantwoord gebruik van generatieve AI binnen HEED SAI. Het zorgt ervoor dat AI het vakmanschap, het vertrouwen van klanten, de vertrouwelijkheid en de integriteit ondersteunt en nooit vervangt.

2. Reikwijdte

• Alle medewerkers, opdrachtnemers en partners van HEED SAI
• Implementatiepartners, onderaannemers en forward-deployed engineers, die via de geheimhoudingsovereenkomst van HEED SAI aan dit beleid gebonden zijn voordat zij klantinformatie ontvangen
• Elk gebruik van generatieve AI-tools, intern of extern
• Alle klantgerelateerde en bedrijfsmatige werkzaamheden

3. Kernprincipes

• Transparantie. Het gebruik van AI wordt gemeld wanneer het wezenlijk van invloed is op producten of besluiten.
• Integriteit. AI-uitkomsten worden beoordeeld en gevalideerd door een vakinhoudelijk mens.
• Vertrouwelijkheid. Klantgegevens zijn te allen tijde beschermd.
• Verantwoordelijkheid. Mensen blijven volledig verantwoordelijk voor de uitkomsten.
• Eenvoud. AI hoort complexiteit te verminderen, niet verborgen risico's toe te voegen.

4. Toegestaan gebruik

• Het opstellen van documenten, waaronder brieven, samenvattingen en sjablonen
• Ondersteuning bij onderzoek en het samenbrengen van informatie
• Hulp bij het structureren en analyseren van data
• Interne productiviteitsverbetering

Alle uitkomsten worden door een mens beoordeeld voordat ze worden gebruikt.

5. Verboden gebruik

• Het geven van juridisch, financieel of regulatoir advies zonder toezicht
• Het maken van misleidende, bedrieglijke of verzonnen inhoud
• Het uploaden van vertrouwelijke klantgegevens in niet-goedgekeurde tools
• Het autonoom nemen van besluiten die klanten raken
• Een agent laten draaien met permanente toegang tot een productiesysteem van een klant, of met ruimere rechten dan de taak vraagt

6. Menselijk toezicht, agents en toegang

• AI-uitkomsten zijn uitsluitend adviserend.
• Een gekwalificeerde professional beoordeelt alle inhoud die naar de klant gaat.
• Kritische analyses worden onafhankelijk gevalideerd.
• Agents draaien met minimale rechten, toegespitst op één taak, en die toegang vervalt zodra de taak klaar is.
• Geen enkele agent voert een onomkeerbare handeling uit, zoals versturen, publiceren, betalen, indienen of verwijderen, zonder dat een mens die specifieke handeling goedkeurt.
• Elke handeling van een agent op klantdata wordt gelogd, met een audittrail die minimaal dertig dagen opvraagbaar is.
• Elke agent heeft een eigenaar met naam die hem kan stoppen, en een vastgelegde manier om dat te doen.
• Alles wat een agent leest is gegeven om samen te vatten en nooit een instructie om op te volgen. Velden uit webformulieren, binnenkomende e-mail, supporttickets, CRM-records en documenten van derden gelden als niet-vertrouwde tekst, wat daarin ook aan de agent lijkt te worden gevraagd.
• Geen enkele agent draait onbeheerd op klantwerk, en er wordt geen permanente of always-allow-goedkeuring gegeven voor een tool die naar een bestandssysteem kan schrijven, een shell-opdracht kan uitvoeren of kan publiceren.

7. Transparantie en melding

• Wij melden AI-ondersteunde werkwijzen wanneer dat relevant is voor het klantwerk
• Wij presenteren AI-gegenereerde inhoud niet als volledig door mensen geschreven
• Wij maken waar nodig onderscheid tussen menselijke analyse en geautomatiseerde ondersteuning
• Alles wat HEED SAI publiceert over een onderwerp van algemeen belang, waaronder de Weekly Signal, gaat vóór publicatie door menselijke beoordeling en redactionele controle. Die beoordeling, en de vastlegging daarvan, is hoe wij voldoen aan de labelverplichting uit artikel 50 van de EU AI Act, die geldt vanaf 2 augustus 2026. Bouwen of beheren wij een generatief systeem dat inhoud voor een klant voortbrengt, dan horen de markerings- en detectieverplichtingen uit hetzelfde artikel bij de bouw, en een systeem dat al op de markt is heeft tot 2 december 2026 om die te dragen.

8. Intellectueel eigendom en auteursrecht

• Wij respecteren auteursrechten, licenties en gebruiksbeperkingen
• Wij reproduceren geen beschermde inhoud zonder toestemming
• Wij toetsen AI-uitkomsten op eigen originaliteit
• Wij gaan er niet van uit dat AI-uitkomsten vanzelf vrij zijn van IE-beperkingen

9. Privacy en toestemming

• Wij vragen passende toestemming voor AI-ondersteunde werkwijzen
• Wij beperken AI-gebruik met persoonlijke of gevoelige gegevens
• Wij voldoen aan de geldende privacyregels, waaronder de AVG
• Wij houden de blootstelling van data zo klein mogelijk
• Klantdata wordt nooit gebruikt om een model van een leverancier te trainen of bij te trainen. Wij kiezen tools waarvan de voorwaarden training op klantinhoud uitsluiten, en controleren die instelling per tool voordat de tool klantdata raakt.

10. Omgang met data en beveiliging

• Uitsluitend goedgekeurde AI-tools en leveranciers gebruiken
• Geen gevoelige data invoeren tenzij contractueel geborgd
• Versleuteling en toegangsbeheer toepassen
• Werken met zo min mogelijk rechten

11. Juistheid en verificatie

• Feitencontrole op door AI gegenereerde informatie
• Validatie van financiële en juridische interpretaties
• Expliciete bevestiging van kritische gegevens

Hallucinaties van AI gelden als een bekend risico.

12. Vooringenomenheid en eerlijkheid

• AI-uitkomsten worden beoordeeld op vooringenomenheid of vertekening
• Besluiten steunen nooit uitsluitend op geautomatiseerde gevolgtrekking
• Het menselijk oordeel prevaleert

13. Bescherming van de klant

• Het klantbelang gaat voor efficiencywinst
• Wij voorkomen dat AI risico's voor vertrouwelijkheid of juistheid introduceert
• Wij houden ons aan onze professionele zorgplicht

14. Keuze van leveranciers en tools

• Waarborgen voor databeveiliging
• Heldere privacyvoorwaarden
• Controleerbaarheid en logging
• Enterprise-waardige beheersmaatregelen waar van toepassing
• Een uitgever met naam voor elke agent-extensie, connector en Model Context Protocol-server, vastgesteld voordat die klantdata raakt, samen met de plaats waar het eindpunt oplost. Een eindpunt dat wij niet kunnen herleiden, of dat niet meer oplost, wordt niet goedgekeurd.

15. Vastlegging en controleerbaarheid

• Wij documenteren de rol van AI in wezenlijke analyses
• Wij bewaren versiehistorie van kritische producten
• Wij ondersteunen herleidbaarheid
• Vastleggingen over de inzet van AI blijven bij het opdrachtdossier gedurende de looptijd van het contract plus vier jaar, waarmee ook de bewaartermijn van vier jaar wordt gedekt die Californië aan werkgevers oplegt voor data uit geautomatiseerde beslissystemen.

16. Incidentrespons

• Het gebruik direct stoppen
• Omvang en impact binnen vierentwintig uur vaststellen, onder een eigenaar met naam.
• De betrokken klant zonder onnodige vertraging informeren, en binnen tweeënzeventig uur wanneer er persoonsgegevens in het spel kunnen zijn
• Corrigerende maatregelen doorvoeren en vastleggen wat er is veranderd

17. Opleiding en bewustzijn

• Risico's en beperkingen van AI
• Verantwoordelijkheid voor verificatie
• Waarborgen voor vertrouwelijkheid

18. Governance en actualisatie

• Dit beleid wordt minimaal elk kwartaal herzien, tegen de regelgevende en security-ontwikkelingen van dat kwartaal.
• Het wordt aangepast naarmate techniek en regelgeving veranderen, en de herzieningsdatum op deze pagina wordt bij elke herziening bijgewerkt.
• Ethische normen gaan voor gemak.

HEED SAI gebruikt generatieve AI uitsluitend als hulpmiddel voor helderheid, efficiëntie en inzicht, nooit als vervanging van vakmanschap, professioneel oordeel of ethische verantwoordelijkheid.