Bepaal waarom u een AI-managementsysteem nodig heeft
Wilt u grip op intern AI-gebruik, vraagt een klant om aantoonbare governance of ontwikkelt u zelf een dienst met AI? Dat zijn verschillende vertrekpunten. De scope moet passen bij de activiteiten waarvoor uw organisatie verantwoordelijkheid draagt en bij de zekerheid die uw opdrachtgever verwacht.
ISO/IEC 42001:2023 beschrijft eisen voor een AI-managementsysteem. Het helpt om besluiten over AI structureel te organiseren. Het certificeringsdoel moet daarom gaan over uw manier van beheren en verbeteren. Een certificaat is geen algemene goedkeuring van elk AI-model of elke uitkomst.
Maak zichtbaar welke AI werkelijk in gebruik is
Een inventaris hoort verder te gaan dan een lijst met bekende chatbots. Bespreek ook AI-functies in kantoorsoftware, klantcontact, recruitment, analyses en producten van leveranciers. Welke toepassingen worden formeel gebruikt? Waar draait een pilot? Welke informatie voeren medewerkers in?
Per toepassing leggen we de belangrijkste gegevens vast: doel, eigenaar, gebruikers, leverancier, gegevensstromen en invloed op beslissingen. Onzekerheden krijgen een eigenaar en een vervolgstap. Een beperkte maar onderhouden inventaris helpt meer dan een omvangrijk overzicht dat na de eerste workshop niet meer wordt bijgewerkt.
Leg vast wie een toepassing mag invoeren en veranderen
AI-governance wordt werkbaar wanneer bevoegdheden duidelijk zijn. Wie vraagt een nieuwe toepassing aan? Wie beoordeelt privacy, beveiliging en de gevolgen voor mensen? Wie beslist over ingebruikname? En wie kan ingrijpen als de uitkomsten onbetrouwbaar blijken?
Die verdeling maken we concreet voor uw organisatie. De verantwoordelijke bestuurder en proceseigenaar blijven besluiten nemen. Datajuristen ondersteunt de analyse en inrichting; de FG houdt een onafhankelijke adviserende en toezichthoudende positie. Technische eigenaren en leveranciers leveren informatie over de werking en beperkingen.
Beoordeel de gevolgen in de context van het gebruik
Dezelfde technologie kan verschillende risico's hebben. Een hulpmiddel dat een eerste concept voor een interne tekst schrijft, vraagt een andere beoordeling dan een toepassing die kandidaten rangschikt of zorgbeslissingen beïnvloedt. We beschrijven daarom de feitelijke werksituatie, de mensen die geraakt kunnen worden en de rol van menselijke controle.
Een illustratieve beslissing: een organisatie wil gespreksnotities automatisch samenvatten. Dan bespreken we onder meer welke gegevens worden gedeeld, welke fouten kunnen doorwerken, wie de samenvatting controleert en of betrokkenen passende informatie krijgen. Pas daarna worden voorwaarden voor gebruik vastgelegd.
Vertaal het beleid naar herkenbare werksituaties
Een algemeen verbod of een lange beleidsnota helpt medewerkers maar beperkt. Zij moeten weten welke tools zijn toegestaan, welke gegevens daarin mogen, hoe zij uitkomsten controleren en waar zij twijfels melden. Training sluit daarom aan op de toepassingen en verantwoordelijkheden van de deelnemers.
We helpen deze werkafspraken verbinden met inkoop, leveranciersbeheer, toegang, incidenten en wijzigingen. Bij een nieuwe modelversie of leverancier moet duidelijk zijn of een herbeoordeling nodig is. Een wijziging die gebruikers nauwelijks zien, kan wel gevolgen hebben voor gegevensstromen of de kwaliteit van resultaten.
Houd norm, AI-wetgeving en privacyvragen uit elkaar
Een ISO 42001-traject kan structuur geven aan uw beoordelingen en bewijsvoering. Het neemt de afzonderlijke vragen onder de AI-verordening en AVG niet weg. Welke regels gelden, hangt onder meer af van de toepassing, de rol van uw organisatie, de gegevens en de feitelijke risico's.
Daarom leggen we in het dossier vast welke vragen via het managementsysteem worden opgepakt en waar een specifieke juridische of technische beoordeling nodig is. Een DPIA, leveranciersbeoordeling of analyse van een AI-toepassing kan aansluiten op het traject, maar heeft een eigen doel en afbakening.
Bouw bewijs op en organiseer onafhankelijk inzicht
Bewijs bestaat bijvoorbeeld uit goedgekeurde beoordelingen, opleidingsactiviteiten, vastgelegde wijzigingen en de opvolging van incidenten. We bepalen met u welke registraties nodig zijn en hoe u die zonder onnodige dubbeling bijhoudt. Ook krijgt iedere verbeteractie een verantwoordelijke en een moment van evaluatie.
Voor certificering bereiden we interne toetsing, directiebeoordeling en herstelacties voor. De onafhankelijke certificerende instelling verricht de externe audit en neemt de beslissing. Na de implementatie blijft onderhoud nodig: toepassingen, leveranciers en het gebruik door medewerkers blijven veranderen.
Zo pakken we het aan
Een duidelijke stap, op het juiste moment.
- 1
Inventariseren
We brengen toepassingen, rollen, gebruikers en doelen in beeld.
- 2
Beoordelen
Risico's, gevolgen en relevante verplichtingen worden per gebruikssituatie onderzocht.
- 3
Organiseren
Beleid, beslisroutes, training en bewijs sluiten aan op bestaande processen.
- 4
Evalueren
Interne toetsing en verbeteringen bereiden een eventuele externe certificatie voor.
Nog een vraag?
Veelgestelde vragen
Is ISO 42001 verplicht omdat wij AI gebruiken?
De toepasselijke wettelijke verplichtingen moeten afzonderlijk worden beoordeeld. AI gebruiken betekent niet automatisch dat u een ISO 42001-certificaat moet hebben. Een opdrachtgever kan wel om dit bewijs vragen.
Wij ontwikkelen geen modellen. Heeft een traject dan zin?
Ook een organisatie die AI afneemt en gebruikt kan behoefte hebben aan een werkbaar managementsysteem. De scope en aanpak moeten passen bij uw rol en invloed, in plaats van verplichtingen van een modelontwikkelaar te kopiëren.
Kunnen we aansluiten op ons bestaande ISO 27001-systeem?
Dat kan vaak. Denk aan documentbeheer, risicoafweging, interne audits en directiebeoordeling. AI-specifieke onderwerpen, waaronder impact op mensen en het beheer van toepassingen, verdienen een eigen inhoudelijke beoordeling.
Geeft certificering zekerheid dat AI-uitkomsten altijd juist zijn?
Nee. Certificering betreft het managementsysteem binnen de afgesproken scope. Het vervangt geen kwaliteitscontrole van afzonderlijke toepassingen of menselijke beoordeling waar die nodig is.
Bronnen en actualiteit
Deze uitleg gebruikt onderstaande bronnen, geraadpleegd op 12 oktober 2026. De precieze eisen en aanpak hangen af van uw scope, activiteiten en de actuele afspraken met de onafhankelijke toetsende partij.
Van uitleg naar uw praktijk
Wat betekent dit voor uw organisatie?
Vertel waar u staat en welke vraag u wilt oplossen. We bespreken een concrete eerste stap.