AI-beleid voor programmeren in HBO-ICT-opleidingen: wie beslist waarover?

Houd beleid, richtlijnen, opdrachtinstructies en procedures uit elkaar

Beleid stelt eisen, toestemmingen, verboden, verantwoordelijkheden en beslisrechten vast. Richtlijnen helpen mensen die regels in praktijksituaties toe te passen. Cursus- of toetsinstructies benoemen de AI-voorwaarden voor een specifieke leeractiviteit of toets. Een instellingsprocedure behandelt formele zaken zoals een vermoeden van regelovertreding, beroep, sancties of een beveiligingsincident. De documenten kunnen naar elkaar verwijzen; opleidingsbeleid vervangt ze niet allemaal.

Maak de lagen en voorrang begrijpelijk

Instellingsbrede voorwaarden kunnen gaan over goedgekeurde systemen, inkoop, informatiebeveiliging, gegevensbeheer en formele procedures. Opleidingsregels kunnen onderwijsbrede uitgangspunten, gedeelde termen, meldverwachtingen en verantwoordelijkheden vastleggen. Cursusrichtlijnen leggen uit hoe die uitgangspunten in een cursus gelden. Toetsinstructies bepalen welke AI-hulp voor die specifieke taak is toegestaan, beperkt of verboden, en welke melding of welk bewijs wordt gevraagd.

Dit is een praktische manier om regels te ordenen, geen juridisch vastgelegde Nederlandse hiërarchie. Benoem wat standaard geldt, wie andere toetsvoorwaarden mag vaststellen, of een toets de opleidingsafspraak mag aanscherpen en wat studenten doen als instructies botsen. Wijs vóór het werk of de inlevering een duidelijk aanspreekpunt aan. Voor de koppeling met leerclaims op cursus- en opleidingsniveau, zie Integriteit van de beoordeling; voor afstemming binnen één opdracht, zie Programmeertoetsen ontwerpen.

Schrijf regels die mensen kunnen toepassen

Brainstormen, uitleg vragen, codevoorstellen, implementatie, debuggen, tests genereren, refactoren en documenteren zijn verschillende toepassingen. Een opleiding kan onderscheid maken tussen toegestaan, beperkt en verboden gebruik, maar de voorwaarden hangen af van leeruitkomst, toetsdoel en institutionele beperkingen rond tools of gegevens. “AI toegestaan” of “AI verboden” is vaak te vaag om te weten wat te doen.

“AI mag ondersteunen, maar niet je eigen werk vervangen” laat open wat “vervangen” betekent. Een betere toetsinstructie noemt welke toepassingen zijn toegestaan, welk beoordeeld werk zonder gegenereerde implementatie moet worden uitgevoerd, welk materieel gebruik moet worden gemeld, welke verificatie wordt verwacht en waar studenten vragen kunnen stellen. Vervang ook “al het AI-gebruik moet worden gedocumenteerd” door een afgebakende meldplicht met de minimaal benodigde informatie; maak bijvoorbeeld duidelijk of gewone ingebouwde autocomplete is uitgezonderd. Dit zijn voorbeelden, geen standaardclausules.

Toelating van een tool is niet hetzelfde als toestemming voor onderwijsgebruik

Instellingsgoedkeuring kan gaan over inkoop, accounts, ondersteuning, informatiebeveiliging of gegevensbeheer. Onderwijstoestemming gaat over de vraag of een specifiek AI-gebruik bij een leeractiviteit of toets mag. Een goedgekeurde tool is dus niet automatisch bij elke toets toegestaan. Andersom betekent een onderwijskundig zinvolle toepassing niet dat iedere externe tool institutioneel is goedgekeurd.

Kies bewust tussen toolnamen en mogelijkheden

Regels met een specifieke toolnaam kunnen duidelijk zijn en aansluiten op institutionele ondersteuning, maar raken verouderd of verhullen verschillen tussen abonnementen en modelmogelijkheden. Regels op basis van gebruik of mogelijkheden kunnen beter aansluiten op het leerdoel, maar worden soms dubbelzinnig en moeten nog steeds passen binnen institutionele grenzen voor tools en gegevens. Een combinatie kan lokaal bruikbaar zijn; geen aanpak is universeel de beste.

Volg vóór het invoeren van beschermde of vertrouwelijke informatie in een externe AI-dienst de toepasselijke eisen van de instelling, opdrachtgever, stage en het project. Voer geen wachtwoorden, API-sleutels, toegangstokens of privésleutels in, tenzij een expliciet goedgekeurde werkwijze dit toestaat. SURF biedt een handreiking voor informatiebeveiliging rond AI in het onderwijs; OWASP bespreekt veilig programmeren met AI. Geen van beide bepaalt de lokale gegevensregels of juridische uitkomst.

Voorbeeld: één opleiding, twee toetsvoorwaarden

Voorbeeld ter illustratie — geen instellingsbeleid, juridisch advies of TraceYield-beleid. Een module Web Development in het tweede jaar HBO-ICT volgt de institutionele voorwaarden voor tools, gegevens en beveiliging, plus de formele procedure voor vermoedelijke regelovertredingen. De opleiding hanteert als onderwijsuitgangspunt dat AI bij formatief werk mag worden gebruikt binnen die institutionele grenzen. De toetsinstructie bepaalt wanneer daarvan wordt afgeweken.

Bij toets A is AI-hulp bij implementatie toegestaan. De instructie beschrijft welk materieel gebruik studenten melden en wat ze moeten controleren. Toets B beperkt AI tijdens één gecontroleerd onderdeel, omdat zelfstandig uitvoeren deel uitmaakt van de leeruitkomst. Wie geen toegang heeft tot een genoemde tool of twijfelt over een nieuwe toepassing, krijgt een bekende verduidelijkingsroute en een aangewezen beslisser voor uitzonderingen. Vraagt een student of klantcode naar een externe dienst mag, dan verwijst de docent naar de toepasselijke regels voor institutionele, klant- of projectgegevens in plaats van zelf ter plekke een antwoord te verzinnen. Dit is een voorbeeld, geen verplicht beleidsmodel.

Geef studenten en medewerkers duidelijke verantwoordelijkheden

Studenten moeten weten welke voorwaarde geldt, tool- en gegevensbeperkingen volgen, vereiste meldingen doen, alleen expliciet gevraagd bewijs bewaren, output controleren wanneer de leeruitkomst dat vraagt en vóór inlevering vragen stellen als een toepassing onduidelijk is. De aparte gids over het melden van AI-gebruik behandelt de studentvraag uitvoeriger.

Medewerkers moeten voorwaarden helder formuleren, gedeelde termen gebruiken, tegenstrijdige instructies voorkomen, meld- en bewijsverwachtingen uitleggen, materiaal actueel houden en vermoedelijke overtredingen via de juiste instellingsroute escaleren. Een detectoruitslag is geen oordeel; zie AI-detectie bij programmeerbeoordeling.

Wijs een route aan voor uitzonderingen en toegangsverschillen

Benoem waar iemand terechtkan als een genoemde tool niet beschikbaar is, een account of limiet het werk blokkeert, stage- of klantvoorwaarden anders zijn, een student een aanpassing nodig heeft of een nieuwe toepassing niet in het beleid staat. Wijs de persoon of instellingsroute aan die kan verduidelijken of beslissen. Laat uitzonderingen niet afhangen van willekeurige antwoorden zonder eigenaar.

Als AI-gebruik vereist is of wordt beoordeeld, kijk dan naar verschillen in modelmogelijkheden, accountniveaus, limieten, hardware, institutionele ondersteuning en toegankelijkheid. Als AI optioneel is, overweeg dan een haalbaar alternatief waarmee dezelfde leeruitkomst kan worden aangetoond. Dit zijn praktische onderwijsvragen, geen belofte van gelijke toegang of juridisch oordeel.

Benoem wie welke beslissing beheert

De instelling kan de brede eisen voor tools, gegevens, beveiliging en formele procedures vastleggen. De opleiding wijst een eigenaar aan voor onderwijsuitgangspunten, gedeelde termen, de geldende versie en de route voor vragen. Een cursuscoördinator vertaalt die uitgangspunten naar cursusinformatie; docent of toetsenteam communiceert de voorwaarde voor de specifieke taak. IT, beveiliging, inkoop en toegankelijkheid adviseren binnen hun eigen taakgebied. Een examen- of toetsorgaan kan volgens lokale afspraken een rol hebben. Dit is een governance-neutrale verdeling van werk, geen uitspraak over wettelijke bevoegdheden.

Maak duidelijk wie een uitzondering mag goedkeuren, wie conflicterende instructies oplost en waar studenten vóór inlevering vragen kunnen stellen over nieuw gebruik. “Medewerkers zijn verantwoordelijk” zegt niet wie daadwerkelijk in actie komt.

Neem ook AI-gebruik door medewerkers mee

Bespreek binnen de opleiding of de instellingsregels ook gelden wanneer medewerkers AI gebruiken om toetsmateriaal te maken, feedback of beoordelingscommentaar op te stellen, inzendingen te analyseren of studentcode, verslagen en reflecties in een externe tool te plaatsen. Wijs aan welke goedgekeurde voorwaarden gelden en waar medewerkers een beslissing kunnen vragen; doe niet zelf een informele juridische of privacybeoordeling.

Vraag niet standaard om volledige promptgeschiedenissen of continue activiteitregistratie. Bewijsverzameling hoort een benoemd onderwijs- of instellingsdoel te hebben; bewaar gegevens niet alleen omdat een tool ze kan vastleggen.

Houd regel, bewijs, procedure en sanctie gescheiden

Een regel zegt wat mag of niet mag. Bewijs kan erop wijzen dat een regelrelevant gebruik plaatsvond. Een procedure beschrijft hoe een zorg wordt beoordeeld of doorverwezen. Een sanctie volgt uit het bevoegde instellingsproces. Laat een detectorsignaal niet doorgaan voor een vaststelling en verzin geen bewijsdrempels, onderzoeksstappen, beroepsrechten of sancties. De gids over integriteit van de beoordeling gaat over leerclaims en bewijs; formele behandeling van vermoedens blijft bij de toepasselijke instellingsprocedure.

Technische maatregelen — zoals geblokkeerde websites, uitgeschakelde plug-ins, SSO-beperkingen, telemetrie of lijsten van toegestane tools — kunnen onderdelen van regels uitvoeren. Ze bepalen niet of beleid onderwijskundig passend is. Telemetrie bewijst niet automatisch naleving; niet kunnen waarnemen betekent evenmin dat het gebruik is toegestaan.

Beheer versies en vermeld wanneer regels gelden

Vermeld een beleidseigenaar, versienummer, ingangsdatum, aanleiding voor herziening en communicatiekanaal. Aanleidingen kunnen zijn: een wijziging in instellingsregels, een materiële verandering van tool of model, een herontwerp van toetsing of een verandering in beveiliging of inkoop. Een vaste jaarlijkse cyclus is niet nodig; van belang is dat duidelijk is wie het beleid onderhoudt en hoe betrokkenen horen dat het is gewijzigd.

Maak duidelijk welke versie geldt voor lopend werk en ingeleverde toetsen. Beoordeel werk niet aan de hand van een AI-regel die pas na de betreffende activiteit is ingevoerd. Vermeld bij elke wijziging de ingangsdatum, zodat studenten en medewerkers kunnen achterhalen welke voorwaarden golden.

Gebruik Nederlandse sectorgidsen als context, niet als regelboek

De Visietool Toetsen van Npuls ondersteunt multidisciplinair overleg en lokale keuzes over toetsing en AI in hbo en wo. Npuls omschrijft de AI-waaier als een niet-normatief gespreksinstrument dat met en voor het mbo is ontwikkeld en mogelijk ook bruikbaar is in hbo en wo; het is geen HBO-ICT-standaard. Een verslag van een HBO-i-rondetafel beschrijft een gesprek uit 2024 met dertien docenten van zes hogescholen. Dat illustreert sectordiscussie, geen landelijke consensus of gevalideerde beleidspraktijk.

Gebruik deze bronnen om lokaal overleg te informeren en benoem daarna wie beslist en welke regel studenten en medewerkers volgen. Presenteer een sectorvisie of gespreksinstrument niet als bindend beleid.

Evalueer of regels in de praktijk duidelijk zijn

Na een cursus of toets kunnen teams noteren waar studenten om uitleg vroegen, waar instructies botsten, of een tool of toegangsvoorwaarde veranderde en of medewerkers dezelfde regel toepasten. Gebruik die waarnemingen om te bepalen of richtlijnen verduidelijking nodig hebben; ze bewijzen niet dat het beleid een bepaalde uitkomst heeft veroorzaakt.

Waar relevante gegevens zijn vastgelegd, kan TraceYield context geven bij werk onder de genoemde toetsvoorwaarden. Het definieert geen beleid, beslist niet over toegestaan gebruik, keurt geen tools goed, garandeert geen juridische naleving of melding, bepaalt geen fraude of sancties, handhaaft geen instellingsregels en vervangt geen examen- of toetsgovernance. De praktische vraag is of studenten en medewerkers de geldende regel, de eigenaar ervan en de route bij onduidelijkheid konden vinden.