ISO 42001: de nieuwe wereldwijde standaard voor AI-governance
Artificiële intelligentie (AI) is inmiddels compleet verweven met dagelijkse bedrijfsprocessen, vaak sneller dan governancekaders zich kunnen ontwikkelen. Nu het gebruik van AI in verschillende sectoren toeneemt, wordt organisaties steeds vaker gevraagd aan te tonen hoe zij AI beheren, beheersen en borgen.
ISO/IEC 42001 is de eerste internationale norm voor managementsystemen die specifiek gericht is op AI-governance. De norm biedt een gestructureerd, controleerbaar kader voor het beheersen van AI-risico's, de impact en verantwoordelijkheden gedurende de volledige levenscyclus van AI. Hiermee helpt de norm organisaties om de overstap te maken van informeel of versnipperd AI-gebruik naar aantoonbare borging.
Waarom ISO/IEC 42001 juist nu belangrijk is
AI is niet langer iets van de toekomst. Het beïnvloedt nu al hoe organisaties gegevens analyseren, beslissingen nemen, met klanten communiceren en risico's beheren. Een van de meestvoorkomende uitdagingen binnen organisaties is het gebruik van zogeheten schaduw-AI (shadow AI), waarbij teams AI-tools of AI-functionaliteiten informeel in gebruik nemen zonder centraal toezicht.
ISO/IEC 42001 is ontwikkeld om antwoord te geven op een praktische en steeds urgentere vraag: hoe kunnen organisaties AI op een gestructureerde, herhaalbare en geloofwaardige manier beheren, zonder algoritmen of broncode te hoeven onderzoeken?
De norm biedt een kader om:
- Vast te stellen waar en hoe AI wordt gebruikt
- Risico's en de impact in de praktijk te beoordelen
- Verantwoordelijkheden, toezicht en beheersmaatregelen vast te leggen
- Deskundigheid en bewustwording te verankeren binnen relevante functies
- Aan klanten, toezichthouders en andere belanghebbenden aan te tonen dat AI op een verantwoorde manier wordt toegepast
ISO/IEC 42001 is een norm voor managementsystemen en geen technische specificatie. De nadruk ligt op governance, besluitvorming, beheersing van de levenscyclus en continue verbetering, in plaats van op de interne werking van AI-modellen.
Wat is ISO/IEC 42001?
ISO/IEC 42001 beschrijft de eisen voor het opzetten, implementeren, onderhouden en continu verbeteren van een managementsysteem voor artificiële intelligentie, ook wel een Artificial Intelligence Management System (AIMS) genoemd.
De norm is van toepassing op organisaties die AI-systemen ontwikkelen, AI-ondersteunde diensten aanbieden of AI gebruiken binnen hun bedrijfsvoering. De structuur sluit aan op andere moderne ISO-normen voor managementsystemen en ondersteunt integratie met bestaande governancekaders, zoals kwaliteitsmanagement, informatiebeveiliging en milieumanagement.
Voor organisaties die al met een geïntegreerd managementsysteem werken, kan deze aansluiting dubbel werk aanzienlijk verminderen en tegelijkertijd de algehele governance versterken.
ISO/IEC 42001 en de Europese AI Act
Een veelgestelde vraag van organisaties die ISO/IEC 42001 onderzoeken, is hoe de norm zich verhoudt tot de Europese AI Act.
Beide hebben een verschillend, maar aanvullend doel. De Europese AI Act is wetgeving die wettelijke verplichtingen introduceert op basis van het risiconiveau van AI-toepassingen en de rol die een organisatie vervult, bijvoorbeeld als aanbieder of gebruiksverantwoordelijke. ISO/IEC 42001 is een governancekader dat organisaties helpt om wettelijke verplichtingen te identificeren, risico's te beheersen en doorlopend toezicht aan te tonen.
De Europese AI Act is in augustus 2024 in werking getreden en is sinds augustus 2026 volledig van toepassing, met gefaseerde verplichtingen vóór en na die datum. Voor organisaties die actief zijn op de Europese markt of daaraan leveren, biedt ISO/IEC 42001 een gestructureerde en controleerbare basis die helpt bij de voorbereiding op regelgeving en het blijvend voldoen aan de eisen.
Belangrijke thema's uit de praktijk van AI-governance
Bij organisaties die ISO/IEC 42001 onderzoeken of implementeren, komen verschillende terugkerende thema's naar voren.
Wat u niet ziet, kunt u niet beheersen
Veel organisaties beginnen met een AI-beleid, maar ontdekken al snel dat beleid alleen niet inzichtelijk maakt waar AI al wordt gebruikt. Effectieve AI-governance begint met een eerlijk en volledig beeld van de situatie, waarbij tools, toepassingen en gegevensstromen binnen de organisatie in kaart worden gebracht.
Dit betekent doorgaans dat het AI-gebruik per afdeling of functie wordt geïnventariseerd, dat wordt onderzocht welke informatie met welke tools wordt gedeeld en dat weloverwogen keuzes worden gemaakt over toegestane en beperkte technologieën.
Ontworpen voor integratie, niet voor afzonderlijk beheer
ISO/IEC 42001 sluit aan op de structuur van andere ISO-normen voor managementsystemen. Daardoor kan AI-governance worden geïntegreerd in bestaande beheersmaatregelen, in plaats van afzonderlijk te worden georganiseerd.
In de praktijk vertoont AI-governance vaak raakvlakken met informatiebeveiliging, leveranciersmanagement, kwaliteitsborging en risicogebaseerd denken gedurende de gehele levenscyclus.
Leveranciers- en contractuele risico's moeten actief worden beheerd
AI-diensten ontwikkelen zich snel, met veranderingen in functionaliteit, gegevensverwerking en contractvoorwaarden. ISO/IEC 42001 vereist dat organisaties leveranciersrelaties actief beheren en veranderingen doorlopend monitoren, in plaats van de inkoop van AI als een eenmalige beslissing te beschouwen.
Impactbeoordeling staat centraal
Een kenmerkend onderdeel van ISO/IEC 42001 is de verplichting om de impact van AI te beoordelen. Het is essentieel om inzicht te krijgen in wie door AI-systemen kan worden beïnvloed, hoe mogelijke schade kan ontstaan en welk toezicht nodig is.
Organisaties die impactbeoordelingen serieus aanpakken, merken vaak dat risicobeheer en de selectie van beheersmaatregelen duidelijker en effectiever worden.
Deskundigheid en toezicht zijn cruciaal
AI-governance is net zo afhankelijk van mensen als van technologie. Organisaties moeten kunnen aantonen dat medewerkers in relevante functies over de benodigde deskundigheid beschikken om AI verantwoord te beheren.
Dit omvat het vaststellen van competentie-eisen, het aanbieden van passende trainingen of bewustwordingsactiviteiten en het inrichten van duidelijke procedures voor het melden van zorgen of incidenten rondom AI-gebruik.
Vertrouwen opbouwen met geaccrediteerde certificering
Nu de vraag naar borging van AI groeit, hangt vertrouwen af van geloofwaardige en consistente certificering. ISO/IEC 42006 stelt aanvullende eisen aan instellingen die managementsystemen voor AI certificeren en ondersteunt daarmee de zorgvuldigheid en consistentie waarmee ISO/IEC 42001 wordt geaudit en gecertificeerd.
Voor welke organisaties is ISO/IEC 42001 relevant?
ISO/IEC 42001 is relevant voor organisaties die:
- AI-systemen ontwikkelen, inzetten of gebruiken
- Betrouwbare en verantwoorde AI-toepassingen moeten kunnen aantonen
- Actief zijn in markten waarop nieuwe AI-regelgeving van invloed is
- Gestructureerde governance willen invoeren naarmate het gebruik van AI toeneemt
De norm is vooral waardevol als AI invloed heeft op beslissingen, resultaten, veiligheid, naleving van wet- en regelgeving of reputatie.
Klaar om verder te gaan?
Bron: Dit artikel is oorspronkelijk gepubliceerd door NQA, onderdeel van de Kiwa Group, en opnieuw gepubliceerd in het kader van de campagne ‘Why Trust Matters’. Voor de meest recente versie en gerelateerde informatie kunt u het oorspronkelijke artikel raadplegen op de website van NQA.
