AI-geletterdheid is geen goed voornemen meer, het is een verplichting.

De AI Act omschrijft het als vaardigheden, kennis en begrip. Let op wat daar níét staat: geen urenaantal, geen verplicht curriculum, geen certificaat. Het gaat om wat mensen kunnen, niet om wat ze hebben bijgewoond. Dat onderscheid lijkt formeel maar bepaalt in de praktijk of je onderbouwing standhoudt.

In de praktijk komt het neer op drie dingen die iemand moet doorhebben. Dat een model overtuigend formuleert ongeacht of het klopt. Dat het jouw aanname overneemt in plaats van hem tegen te spreken. En dat wat je invoert ergens terechtkomt, en dat het uitmaakt waar. Wie die drie snapt, gebruikt elk AI-systeem verantwoorder dan iemand die vijftig prompts uit zijn hoofd kent.

Het is bewust breder dan één product. De plicht hangt aan het gebruik van AI-systemen en niet aan de leverancier, dus Copilot, ChatGPT, Gemini en de AI-functie in je HR-pakket vallen er allemaal onder. Dat is meteen de reden dat de kennisbasis merkonafhankelijk hoort te zijn: hij verandert niet mee met de volgende productupdate.

Het probleem is niet de kwaliteit van zo'n cursus, wij verkopen er zelf een. Het probleem is dat een organisatie er bij stap drie mee begint. Zonder inventarisatie weet je niet welke systemen je moet behandelen, zonder niveaubepaling weet je niet wie er nog meer nodig heeft, en zonder herhaalmeting heb je achteraf alleen een deelnemerslijst.

Een uniform programma is aantoonbaar makkelijk, maar niet aantoonbaar passend. Artikel 4 vraagt om geletterdheid die past bij rol, context en risico, en dat verschil is precies waar een toezichthouder naar kijkt. Het goede nieuws: stap twee kost vijf minuten per medewerker en levert meteen de onderbouwing op waarom de ene groep meer nodig had dan de andere.

Er is een tweede reden om verder te kijken dan één sessie, en die staat los van de wet. Wat mensen in negentig minuten leren, zakt weg als er niets mee gebeurt. Dat gold al vóór de AI Act. De borging is dus geen extraatje bovenop de compliance; het is het deel dat maakt dat de compliance ergens op slaat.

Het eerste is zichtbaarheid. Een raadsvraag, een WOO-verzoek of een rekenkameronderzoek komt eerder langs dan een inspecteur, en op die momenten is 'we hebben een training gegeven' een zwakker antwoord dan een meting met een datum eronder. De Algemene Rekenkamer en de Autoriteit Persoonsgegevens publiceren bovendien zelf over dit onderwerp, dus de vraag komt met een referentiekader.

Het tweede is dat het risicoprofiel per taak sterk uiteenloopt. Een communicatieadviseur die een persbericht laat aanscherpen zit ergens anders dan een medewerker die een bezwaarschrift laat samenvatten of een besluit voorbereidt dat een burger raakt. Precies daar wordt de niveaubepaling per rol geen formaliteit maar de kern van je onderbouwing.