ISO 42001 implementatie: AI Management System opzetten.

Introductie

Van norm naar werkend management-systeem.

ISO/IEC 42001:2023 is de eerste internationale management-standaard voor kunstmatige intelligentie. De norm beschrijft wat een AI Management System (AIMS) moet kunnen, niet hoe je het bouwt. Deze gids vertaalt de norm naar een concrete implementatie-aanpak voor MKB: werkbaar, schaalbaar en met oog voor de praktijk.

We doorlopen het traject in drie lagen. Eerste: de PDCA-cyclus die het management-systeem draagt. Tweede: het tien-stappen-plan voor implementatie volgens Clauses 4-10 en de audit-fase. Derde: de Annex A-controls die de operationele kern van het AIMS vormen. Afsluitend komen rolverdeling, tooling en veelgestelde vragen aan bod.

Voor de waarde-afweging van certificering, zie onze pagina over toegevoegde waarde ISO 42001. Voor de uitleg van de standaard zelf: ISO 42001 uitgelegd. Deze implementatie-gids verwijst naar concrete artikelen en controls van de norm en is gericht op uitvoering.

Kernprincipe: de PDCA-cyclus.

Elk ISO-management-systeem draait op de Plan-Do-Check-Act-cyclus. Ontwerp een keer, voer uit, meet, verbeter. Voor AI is deze cyclus extra belangrijk omdat AI-systemen drift kennen (modellen presteren minder goed over tijd), bias kunnen ontwikkelen en door nieuwe data of code-wijzigingen ineens anders gedragen kunnen. Zonder cyclus verwatert een AIMS tot een lege huls.

Valkuilen

Vijf fouten die implementatie laten stranden.

1. Alleen documentatie bouwen zonder operationalisatie.

Een handboek met 120 paginas beleid dat niemand leest is een bekende fout. Auditor stelt tijdens interview vragen aan medewerkers; als zij niet weten wat er staat, valt het systeem door. Oplossing: start bij operationele praktijk, documenteer wat je doet, verbeter waar nodig. Betrek mensen die AI gebruiken; beleid volgt uit gesprek, niet uit een sjabloon.

2. Te grote scope in eerste certificering.

Alle afdelingen, alle AI-systemen, alle locaties direct onder scope. Project wordt onhanteerbaar. Oplossing: start met compacte, hoge-waarde scope (bijvoorbeeld klant-facing AI-producten of high-risk AI-systemen). Breid uit bij volgende surveillance of re-audit.

3. Geen senior sponsor.

IT of compliance-team trekt traject zonder directie-backing. Zonder sponsorship: geen middelen, geen prioriteit, geen deelname. Oplossing: directie-mandaat schriftelijk, kwartaal-status-rapport naar directie, directie-deelname aan management-review. Zonder dit: niet beginnen.

4. Onderschatten van data-governance.

A.7 (Data voor AI) vergt data-kwaliteit, herkomst, governance. Vaak blijkt tijdens implementatie dat basis-data-governance nog niet goed geregeld is. Dan wordt ISO 42001-implementatie een data-governance-project. Oplossing: in fase 1 gap-analyse een data-governance-check meenemen. Plan expliciet voor data-werk; meestal 30-40% van totale tijd.

5. Certificaat als eindstation.

Na uitgifte valt aandacht weg, surveillance-audit jaar 1 faalt, certificaat wordt ingetrokken. Reputatie-schade groter dan voordien. Oplossing: continual improvement echt leven: jaarlijkse management-review, KPI-monitoring, nieuwe AI-systemen in register, regelmatige interne audits. Certificaat is baseline, niet eindpunt.

Veelgestelde vragen

Over ISO 42001 implementatie.

Wat is een AI Management System (AIMS)?

Het geheel van beleid, procedures, rollen, controls en documentatie waarmee je AI-systemen beheerst ontwikkelt, inkoopt of inzet. Dekt de hele levenscyclus van probleem-definitie tot uitfaseren. Risico-gestuurd, PDCA-cyclus, integreerbaar met bestaande ISO-systemen, schaalbaar naar organisatiegrootte.

Wat zijn de clauses van ISO 42001?

ISO 42001 volgt de Harmonized Structure (ISO Annex SL) en is opgebouwd uit tien clauses. De eerste drie zijn formeel van aard en behandelen de scope, normatieve verwijzingen en definities. Vanaf Clause 4 begint de inhoudelijke kern: achtereenvolgens komen Context (4), Leiderschap (5), Planning (6), Ondersteuning (7), Operationele uitvoering (8), Performance-evaluatie (9) en Verbetering (10) aan bod. Daarnaast bevat de norm een Annex A met 38 controls die de operationele invulling van het management-systeem vormgeven.

Wat zijn de 38 Annex A-controls?

Verdeeld over 9 categorieen: A.2 AI-beleid (3), A.3 Interne organisatie (5), A.4 Middelen (6), A.5 AI Impact Assessment (6), A.6 Levenscyclus (7), A.7 Data (4), A.8 Stakeholders (4), A.9 Gebruik (2), A.10 Derden (1). Zie het overzicht hierboven voor detail per categorie.

Welke rollen zijn verplicht in AIMS?

Geen specifieke titels voorgeschreven, wel duidelijke rolverdeling. Typisch: top management (AI-owner), AIMS-coordinator, risk-owner, human-oversight-rol. Voor MKB combineerbaar in 1-2 personen bij kleine organisatie. Belangrijk: rollen expliciet in beleid en RACI-matrix.

Wat is AI Impact Assessment onder ISO 42001?

Onder A.5 verplicht per AI-systeem. Inhoud: doel, betrokken personen en groepen, impact op rechten en samenleving, risico-kwantificatie, mitigaties, residueel risico, monitoring-plan. Conceptueel verwant aan FRIA uit AI Act Artikel 27, details verschillen. MKB-werkbaar: 15-25 paginas per AI-systeem.

Hoe lang duurt implementatie?

Voor het MKB varieert de doorlooptijd doorgaans tussen vier en vijftien maanden, afhankelijk van de uitgangssituatie. Organisaties die al over een ISO 27001- of 9001-certificering beschikken en een sterke sponsor en externe begeleiding hebben, kunnen een versneld traject van vier tot zeven maanden doorlopen. Bij een neutrale startsituatie is zeven tot tien maanden realistischer, en wanneer er geen eerder systeem bestaat en interne capaciteit beperkt is, kan het tien tot vijftien maanden of langer duren. Tel daar de audit-fase van twee tot vier maanden bij op, en de totale doorlooptijd tot certificaat komt op zes tot negentien maanden.

Welke tooling ondersteunt AIMS?

Zes categorieen: documentatie-platform, AI-register, risk-management-tool, ML-monitoring, incident-tracking, evidence-platform. MKB-startstack: Notion plus spreadsheet plus Jira plus open-source ML-monitoring. Upgrade bij groeiende volwassenheid naar GRC-platform.

Wat is een Statement of Applicability?

Verplicht document dat per Annex A-control vastlegt: van toepassing of uitgesloten, reden, implementatie-status, verwijzing naar procedures en evidence. Centraal referentiedocument tijdens audit, typisch 15-30 paginas voor MKB. Updates bij scope-wijziging of nieuwe AI-systemen.

Kan ik ISO 42001 combineren met ISO 27001?

Ja, aan te raden als beide relevant zijn. Harmonized Structure maakt geintegreerd management-systeem mogelijk met gedeelde Clauses 4, 5, 7, 9, 10 en aparte Annex A-blokken. Besparing: 30-40% implementatie, 40-50% onderhoud. Certificering blijft separaat per norm.

Hoe verschilt ISO 42001 van ISO 27001?

Scope: 27001 informatiebeveiliging (CIA), 42001 AI-management (bias, uitlegbaarheid, human oversight). Controls: 27001 heeft 93 in 4 thema's, 42001 heeft 38 in 9 categorieen. Risico-perspectief: beveiligings-dreigingen vs AI-specifieke risico's. Complementair en combineerbaar.