AI-implementatie in het mkb: een praktisch stappenplan

De meeste mkb-bedrijven waarmee wij spreken gebruiken al AI, meestal nog voordat er bewust iemand toe besloten heeft. Een medewerker laat een conceptmail schrijven door een chatbot op zijn eigen laptop, een ander vat een lang leverancierscontract samen met een gratis tool waar niemand toestemming voor heeft gegeven. Dat is AI-gebruik, en dat ontstaat vanzelf. AI-implementatie is iets anders: bewust besluiten dat één specifiek proces op AI gaat draaien, de data waarop dat proces steunt op orde brengen, kiezen tussen een kant-en-klare tool of iets op maat, en daar regels omheen zetten voordat het ooit klantgegevens raakt. Deze gids gaat over dat tweede deel: het stuk dat los tool-gebruik verandert in iets waarop het bedrijf kan bouwen en waar het verantwoording over kan afleggen.

AI-implementatie begint met één proces, niet met een strategie

De projecten die vastlopen, beginnen meestal met een doel als "we moeten iets met AI gaan doen" zonder vaste afbakening. Na een half jaar staat er een pilot die niemand gebruikt, loopt er een leverancierscontract dat niemand zich herinnert te hebben getekend, en is er geen manier om te zeggen of iets ervan heeft gewerkt.

De projecten die wel ergens komen, beginnen kleiner: één proces, met een duidelijk voor en na, waarbij een fout te herstellen is in plaats van een juridisch of reputatieprobleem. Goede eerste kandidaten delen meestal drie kenmerken: ze komen vaak genoeg voor om de opzet de moeite waard te maken, de invoer is redelijk consistent, en een mens kan de uitkomst nog controleren voordat die ergens belangrijks terechtkomt. Een eerste reactie op een routinevraag bij de klantenservice laten opstellen, regels uit leveranciersfacturen laten overnemen, of interne vergadernotities laten samenvatten, passen allemaal in dat plaatje. Het eerste klantcontract dat juridisch bindend is, of iets dat bepaalt wie wordt uitbetaald, nog niet.

Weet u al welk proces u wilt automatiseren, dan behandelt onze gids over bedrijfsprocessen automatiseren de bredere catalogus van wat het mkb automatiseert en met welke tools, met of zonder AI. Onze gids over factuurverwerking automatiseren is een concreet voorbeeld van precies dit soort eerste project, goed uitgevoerd.

Eerst de data op orde, dan de tool

Een AI-tool is nooit beter dan wat hij te verwerken krijgt, en precies hier lopen de meeste implementatietrajecten vast. Leveranciersnamen die in drie systemen anders gespeld staan, facturen die als gescande afbeelding zijn opgeslagen zonder vaste structuur, klantgegevens die verspreid staan over een CRM en een spreadsheet die elkaar tegenspreken: niets van dit alles is een probleem totdat u er een AI-tool op richt. Dan wordt het in één klap het hele project.

Kijk daarom eerlijk naar de data die het gekozen proces daadwerkelijk raakt, voordat u één leverancier beoordeelt: staat die op één plek of verspreid over systemen die niet met elkaar praten, is die consistent genoeg gestructureerd om betrouwbaar door een tool te laten verwerken, en wie is er momenteel verantwoordelijk om die schoon te houden. Ons team Data & databases doet precies dit soort voorbereidend werk, meestal het liefst vóórdat een AI-project van start gaat en niet pas tijdens, want dan is het goedkoper.

Standaardtool, configuratie of maatwerk: wat u eigenlijk aanschaft

"We implementeren AI" kan drie heel verschillende aankopen betekenen, en ze door elkaar halen is hoe budgetten uit de hand lopen.

Een standaardfunctie die al in uw bestaande tools zit. Heeft uw mailprogramma, officepakket of helpdesksysteem al een AI-functie aan boord, dan is die aanzetten en medewerkers goed leren gebruiken meestal de goedkoopste en snelste optie, en het juiste startpunt voor een goed afgebakende, veelvoorkomende taak.

Een geconfigureerde tool, gebouwd op het platform van een leverancier maar ingericht op uw bedrijf. Een chatbot getraind op uw eigen productinformatie, of een documentverwerkingstool ingesteld op uw specifieke factuurlay-out, valt hieronder. Onze gids over wat een chatbot laten maken werkelijk kost gaat specifiek over deze middelste laag: echte prijsniveaus en wat die bepaalt.

Een systeem op maat, verweven met uw eigen data en werkprocessen. Dit is de juiste laag als geen leverancierstool het proces goed genoeg dekt, of als het proces zo specifiek is voor hoe uw bedrijf werkt dat het forceren in een generieke tool meer kost aan omwegen dan het gewoon goed laten bouwen. Onze gids over de kosten van maatwerksoftware laten ontwikkelen en ons team AI & automatisering behandelen dit uiterste van de reeks.

De meeste AI-projecten in het mkb horen te beginnen bij de eerste of tweede laag. Meteen naar maatwerk springen omdat een demo indrukwekkend leek, is een van de duurdere fouten die we tegenkomen.

Raakt de AI-tool persoonsgegevens? Dan geldt de AVG

Zodra een AI-tool klantgegevens, personeelsgegevens of iets anders verwerkt dat onder de AVG valt, is dit geen puur technische keuze meer.

Voert de tool van een leverancier feitelijk de verwerking uit op uw instructie, bijvoorbeeld door supporttickets samen te vatten waarin klantnamen staan, dan is uw bedrijf onder de AVG de *verwerkingsverantwoordelijke* en de leverancier de *verwerker*. Artikel 28 van de AVG verplicht dan een schriftelijke verwerkersovereenkomst tussen beide partijen, vóórdat die verwerking begint. Zonder die overeenkomst beschouwt de Autoriteit Persoonsgegevens beide partijen als in overtreding, niet alleen degene die erom had moeten vragen. Die overeenkomst moet de daadwerkelijke verwerkingsopdracht vastleggen, wat de leverancier wel en niet met de data mag doen, de beveiligingsmaatregelen waartoe die zich verplicht, en wat er met de data gebeurt zodra u stopt met de tool.

Ook de melding van een datalek verloopt op een vaste manier: krijgt de leverancier te maken met een incident dat uw data raakt, dan moet die u daarover zo snel mogelijk informeren. Maar die leverancier mag dat lek alleen zelf melden bij de Autoriteit Persoonsgegevens als u daar vooraf expliciet toestemming voor hebt gegeven. De verantwoordelijkheid om binnen de wettelijke termijn te melden blijft bij u liggen, ook als het incident bij de leverancier plaatsvond, en dat is precies waarom de verwerkersovereenkomst moet vastleggen hoe en hoe snel de leverancier u informeert, in plaats van dat impliciet te laten.

Niets hiervan is een reden om AI-tools die persoonsgegevens raken te vermijden. Het is een reden om de verwerkersovereenkomst als onderdeel van het voorstel te vragen, voordat er echte klantgegevens in de tool terechtkomen, niet erna.

Leg het AI-beleid vast voordat iemand de tool gebruikt

Een AI-beleid is niet wettelijk verplicht op zichzelf, maar het is het document dat "wees voorzichtig met AI" vertaalt naar iets wat medewerkers daadwerkelijk kunnen volgen, en het is het eerste dat de moeite waard is om vast te leggen, ook bij een pilot met maar één tool.

Een goed AI-beleid beantwoordt een korte lijst concrete vragen: waarvoor AI-gebruik bij uw bedrijf eigenlijk bedoeld is; voor wie het geldt (alle medewerkers, specifieke functies, ook freelancers); welke AI-tools zijn goedgekeurd, als lijst die regelmatig wordt herzien in plaats van aan aannames overgelaten; wat nooit in een AI-tool mag, zoals persoonsgegevens, bedrijfsgeheimen of gevoelige klantinformatie, zeker in tools die niet op AVG-conformiteit zijn gecontroleerd; wie AI-gegenereerde uitkomsten controleert voordat die voor iets belangrijks worden gebruikt, want ook capabele tools maken met overtuiging fouten; en wie verantwoordelijk is als er toch iets misgaat.

Twee van die vragen zijn niet langer alleen goede gewoonte. Sinds 2 februari 2025 is een aantal AI-systemen en -toepassingen onder de EU AI-verordening ronduit verboden, los van de grootte van het bedrijf. En vanaf diezelfde datum moet elke organisatie die AI-systemen ontwikkelt of gebruikt, ervoor zorgen dat de mensen die ermee werken een basaal werkend begrip hebben van hoe die systemen functioneren en waar hun grenzen liggen: een verplichting tot AI-geletterdheid die de verordening nu rechtstreeks oplegt, geen aanbeveling meer. Een vastgelegd beleid, actueel gehouden en daadwerkelijk gelezen door nieuwe medewerkers, is voor de meeste mkb-bedrijven de praktische manier om aan die tweede verplichting te voldoen zonder dat het een apart compliancetraject wordt. Wilt u het volledige plaatje van hoe de risicoclassificaties van de AI-verordening gelden voor een specifiek systeem dat u inzet, dan behandelt onze gids over AI-verordening compliance dat uitgebreider; deze gids blijft gericht op de implementatiekeuzes zelf.

Eerst een pilot, dan opschalen

Zijn het proces, de laag van de tool en het beleid eenmaal vastgesteld, weersta dan de verleiding om de eerste versie direct overal in te voeren. Een pilot bij één team, met een vast tijdvak van een paar weken, en één of twee cijfers die u aan het eind daadwerkelijk bekijkt, zoals bespaarde tijd, foutpercentage, of hoeveel mensen de tool nog gebruiken zodra de nieuwigheid eraf is, levert in een maand meer op dan een bedrijfsbrede uitrol in een kwartaal, omdat u nog kunt zien wat er werkelijk gebeurt.

Houd tijdens de pilot een mens die de uitkomst beoordeelt, ook bij een taak die weinig risico lijkt te hebben. Het doel van de pilot is niet alleen bewijzen dat de tool werkt, maar ontdekken wat die verkeerd doet, voordat dat op grotere schaal gebeurt.

Wat er meestal misgaat

Een paar terugkerende patronen verklaren de meeste AI-implementaties die vastlopen of stilletjes schade aanrichten:

• Schaduw-AI is er al, voordat het project begint. Tegen de tijd dat iemand besluit "we gaan AI nu echt goed implementeren", plakken medewerkers meestal al maandenlang bedrijfsinformatie in consumenten-AI-tools. Het beleidswerk hierboven is daarom net zo urgent, hoe ver de formele pilot ook al is.
• Niemand is eigenaar. Implementatie belandt bij wie er toevallig enthousiast genoeg over was om het door te zetten, en de vaart loopt eruit zodra die persoon met iets anders aan de slag gaat.
• Er wordt niets gemeten, dus wordt er niets besloten. Zonder een cijfer van voor en na blijft een pilot op traagheid doorlopen of verdwijnt die stilletjes, en in beide gevallen kan niemand zeggen of de moeite het waard was.
• Tools stapelen zich op. Een tool aanschaffen voordat het proces dat die moet oplossen duidelijk is afgebakend, leidt tot drie overlappende abonnementen die elk maar voor een fractie van hun doel worden gebruikt.

Veelgestelde vragen

Hebben we een vastgelegd AI-beleid nodig als we maar één AI-tool gebruiken? Ja. Het risico begint bij de eerste tool, niet bij de tiende, en een beleid is veel makkelijker te schrijven voordat meerdere tools en gewoontes al vastliggen dan er achteraf nog een op te plakken.

Is AI-implementatie vooral een technisch project of een organisatorisch project? Vooral organisatorisch. De juiste laag tool kiezen is van belang, maar de moeilijkere onderdelen, het juiste eerste proces kiezen, de data op orde brengen, het beleid opstellen en bepalen wie verantwoordelijk is voor het resultaat, zijn beslissingen, geen code.

Hebben we voor elke AI-tool een verwerkersovereenkomst nodig? Alleen voor tools die daadwerkelijk persoonsgegevens verwerken op uw instructie, waardoor de leverancier onder de AVG verwerker wordt. Een tool die nooit klant- of personeelsgegevens ziet, valt hier niet onder, maar controleer die aanname voordat u erop vertrouwt, niet erna.

Hoe lang moet een pilot lopen voordat we besluiten op te schalen? Lang genoeg om voorbij het nieuwigheidseffect te komen, doorgaans een paar weken tot een paar maanden, met een vaste einddatum die vooraf is afgesproken zodat de beslissing niet eindeloos blijft hangen.

Wat is het verschil tussen deze gids en uw gids over bedrijfsprocessen automatiseren? Die gids is de catalogus: welke processen het mkb automatiseert en met welke tools, met of zonder AI. Deze gaat over de keuzes die specifiek horen bij het verantwoord invoeren van AI, de data, de laag van de leverancier, de AVG-verplichtingen en het beleid, zodra u AI al als aanpak hebt gekozen.

Implementatie is een project, geen abonnement

Een AI-tool die zijn geld daadwerkelijk waard is, is het resultaat van een reeks beslissingen in de juiste volgorde: één proces, voldoende schone data, de juiste laag tool, een verwerkersovereenkomst waar persoonsgegevens in het spel zijn, een beleid dat medewerkers echt lezen, en een pilot klein genoeg om van te leren. Ons team AI & automatisering brengt dit traject van begin tot eind in kaart en bouwt het, ons team Cybersecurity & identiteit kan de toegangs- en gegevensbeschermingskant van een specifieke tool beoordelen voordat die live gaat, en ons team Data & databases verzorgt het voorbereidende werk dat de meeste implementaties overslaan totdat het een probleem wordt.