Wat ISO 42001 is
ISO/IEC 42001, eind 2023 gepubliceerd, stelt eisen aan een managementsysteem voor AI: het beleid, de rollen, de risicoprocessen en de beheersmaatregelen waarmee een organisatie AI verantwoord ontwikkelt, aanbiedt of gebruikt. De norm heeft dezelfde structuur als ISO 27001 en kan door een geaccrediteerde instelling worden gecertificeerd. Annex A bevat beheersmaatregelen voor AI-beleid, interne organisatie, middelen, impactbeoordeling, de levenscyclus van AI-systemen, data voor AI-systemen, informatie voor de betrokkenen, het gebruik van AI-systemen en relaties met derden.
Wat klanten vragen
Een klant die ISO 42001 noemt, vraagt meestal niet meteen om een certificaat. De vragen volgen de thema's van de norm:
- Of u een AI-beleid hebt, wie het heeft goedgekeurd, en wie in het bedrijf verantwoordelijk is voor AI.
- Hoe u de risico's en de impact van elke AI-functie beoordeelt voordat die wordt uitgebracht, ook voor de mensen op wie de uitvoer van invloed is.
- Waar de gegevens vandaan komen waarmee de functie is gebouwd, afgestemd of getest, en of daar klantgegevens bij zitten.
- Hoe u de uitvoer test, wat u in productie bewaakt, en hoe een fout of klacht wordt afgehandeld.
- Wat gebruikers te horen krijgen over de AI en de beperkingen ervan, en hoe een mens de uitvoer kan controleren of terzijde kan schuiven.
- Op welke modelaanbieders u vertrouwt en hoe u ze beoordeelt.
Antwoorden met een certificaat
Voeg het certificaat bij en citeer de scope letterlijk, want een beoordelaar gaat na of de AI-functies die hij koopt daarbinnen vallen. Beantwoord daarna elk thema vanuit uw verklaring van toepasselijkheid, net als bij ISO 27001.
Antwoorden zonder certificaat
Beantwoord elke rij op zichzelf: wat u doet, wie de eigenaar is, en waar het is vastgelegd. Twee documenten dragen de meeste antwoorden. Het ene is een AI-beleid van een of twee pagina's. Het andere is een inventaris van uw AI-functies, met per functie het model dat ze gebruikt, de gegevens die ze ziet, hoe ze wordt getest en wie de uitvoer controleert. Is certificering gepland, zeg dan wanneer. Een heldere inventaris en een eerlijk plan overtuigen meer dan vage beweringen dat u op de norm bent afgestemd.
In Responsemate
Het AI-beleid, de inventaris en eventuele certificaten staan in de kennisbank als bewijs met controledatums, naast de goedgekeurde antwoorden die daaruit zijn opgesteld. De eigen antwoorden van Responsemate op deze vragen, van de modelkeuze tot de persoon die elk antwoord goedkeurt, staan op de beveiligingspagina.
Veelgestelde vragen
Is ISO 42001 verplicht onder de EU AI Act?
Nee. ISO 42001 is vrijwillig. De norm helpt aantonen dat AI op een georganiseerde manier wordt bestuurd, en sommige klanten vragen erom als teken van volwassenheid, maar de AI Act vereist geen certificaat.
Kunnen we ons laten certificeren voor ISO 42001 als we alleen AI-modellen van andere aanbieders gebruiken?
Ja. De norm geldt voor organisaties die AI-systemen ontwikkelen, aanbieden of gebruiken. Een leverancier die functies bouwt op het model van een ander bedrijf, valt eronder voor de manier waarop hij die functies ontwerpt, test, uitrolt en bewaakt.
We hebben ISO 27001. Hoeveel van ISO 42001 hebben we dan al?
De onderdelen van het managementsysteem hebben dezelfde vorm: scope, beleid, risicobeoordeling, interne audit, directiebeoordeling. Nieuw zijn de AI-specifieke beheersmaatregelen, zoals impactbeoordeling, data voor AI-systemen en de levenscyclus van AI-systemen.