AI-governance: vragen en antwoorden.
ISO 42001, de EU AI Act en hoe AI-governance voortbouwt op een bestaand ISMS.
Wat is ISO 42001?
ISO/IEC 42001:2023 is de internationale norm voor een AI-managementsysteem (AIMS). De norm stelt eisen aan hoe een organisatie de ontwikkeling, levering of het gebruik van AI-systemen bestuurt, met onder meer AI-risicobeoordeling, een impactbeoordeling van AI-systemen en de maatregelen uit Annex A. ISO 42001 volgt dezelfde opbouw, clausule 4 tot en met 10, als ISO 27001.
Hebben we eerst ISO 27001 nodig voor ISO 42001?
Nee. ISO 42001 kun je los invoeren. Heb je al ISO 27001, dan hergebruik je veel van het managementsysteem, zoals documentbeheer, interne audit, directiebeoordeling en corrigerende maatregelen, en voeg je de AI-specifieke onderdelen toe.
Hoe verhoudt ISO 42001 zich tot de EU AI Act?
ISO 42001 is geen geharmoniseerde norm onder de AI Act, dus certificering alleen geeft geen vermoeden van conformiteit. De norm geeft je wel een managementsysteem om je AI-verplichtingen te organiseren en aan te tonen, zoals risicobeheer, datagovernance, menselijk toezicht en monitoring.
Wanneer geldt de EU AI Act?
De AI Act geldt in fasen. De verordening trad op 1 augustus 2024 in werking; de verboden praktijken en de verplichting tot AI-geletterdheid gelden sinds 2 februari 2025, de verplichtingen voor AI-modellen voor algemene doeleinden sinds 2 augustus 2025 en de meeste transparantieverplichtingen sinds 2 augustus 2026. Na de Digital Omnibus, Verordening (EU) 2026/1744, gelden de verplichtingen voor hoog risico vanaf 2 december 2027 voor systemen uit bijlage III en vanaf 2 augustus 2028 voor AI in producten uit bijlage I.
Wat is een impactbeoordeling van een AI-systeem?
Dat is een beoordeling van de mogelijke gevolgen van een AI-systeem voor personen, groepen en de samenleving, zoals ISO 42001 vraagt. Je kijkt naar het beoogde gebruik, voorzienbaar misbruik en effecten zoals discriminatie, veiligheid of verlies van privacy. Het is een van de onderdelen die je bovenop een ISO 27001-risicoanalyse toevoegt.
Wie is eigenaar van AI-governance in de organisatie?
De directie stelt het AI-beleid en de doelstellingen vast en wijst verantwoordelijkheden toe, zoals ISO 42001 vraagt. In de praktijk heeft elk AI-systeem een eigenaar, terwijl de CISO of security officer de beveiliging dekt en de privacy officer de persoonsgegevens. Basenorm legt deze eigenaren vast per maatregel en per AI-systeem.
Plan een demo
Staat je vraag er niet bij?
In een demo beantwoorden we je vragen in de context van je eigen frameworks en scope.
- Waar je staat met ISO 27001 en ISO 42001.
- Welke frameworks voor je gelden.
- Hoe Basenorm je managementsysteem actueel houdt.
Gehost in Nederland. Je data blijft in de EU.