Op vrijwel elke school wordt al met AI gewerkt — met of zonder beleid. Leraren laten ChatGPT rapportcommentaren aanscherpen, maken toetsvragen met Copilot en vatten oudergesprekken samen. Handig, maar één gedachteloze prompt met leerlinggegevens is een datalek richting een Amerikaanse cloud. De vraag is dus niet óf je iets met AI moet, maar hoe je het veilig maakt.
Wat er precies mis kan gaan
- Gevoelige data in prompts. Namen, BSN's, zorginformatie of complete leerlingdossiers in een publieke AI-tool: de gegevens verlaten je organisatie en mogelijk de EU, zonder verwerkersovereenkomst of grondslag.
- Schaduw-AI. Naast de bekende tools gebruiken medewerkers tientallen kleinere AI-diensten die niemand kent of heeft beoordeeld.
- Onjuiste output met gezag. AI-teksten over leerlingen (adviezen, beoordelingen) kunnen fouten bevatten die doorwerken in besluiten — de AVG stelt juist bij geautomatiseerde ondersteuning eisen aan zorgvuldigheid.
De aanpak in drie sporen
1. Proces: beleid dat werkbaar is
Stel een AI-gedragscode en een kort AI-beleid vast: welke tools zijn toegestaan (bij voorkeur de varianten met verwerkersovereenkomst en EU-garanties), wat mag er wél in een prompt (niets herleidbaars tot personen) en wie beoordeelt nieuwe tools. Neem AI-toepassingen op in je verwerkingsregister en doe bij risicovolle toepassingen een DPIA.
2. Mens: train op herkenbaar gedrag
Een regel die niemand kent, bestaat niet. Korte kennisbytes en quizzen (“mag deze prompt?”) werken beter dan een beleidsstuk van twintig pagina's. Maak het positief: laat zíen hoe je AI wél veilig gebruikt — geanonimiseerd, met controle van de output.
3. Techniek: vang de fout af vóór hij het lek wordt
Mensen blijven mensen, zeker onder werkdruk. Technische vangnetten maken het verschil: detectie van gevoelige gegevens (BSN, namen, dossiers) in AI-prompts, signalering van onbekende AI-tools (schaduw-AI) en blokkering vóór verzending. Precies dit doet Deflecta, het AI-vangnet binnen het Edufort-ecosysteem — de fout wordt tegengehouden op het moment dat hij gemaakt wordt.
En de AI-verordening dan?
Naast de AVG stelt de Europese AI-verordening (AI Act) stapsgewijs extra eisen, onder meer aan AI-geletterdheid van medewerkers en aan toepassingen met een hoog risico — waaronder sommige onderwijstoepassingen zoals geautomatiseerde beoordeling. Het goede nieuws: wie de drie sporen hierboven regelt, heeft het fundament daarvoor al staan.
Aan de slag — zonder er een dagtaak bij te krijgen?
Edufort vertaalt het Normenkader IBP naar concrete taken, houdt de bewijsvoering bij en neemt je organisatie stap voor stap mee. Het complete ecosysteem vanaf €1,70 per leerling per jaar — bekijk de prijzen.