Verplichte documenten voor ISO 42001

Alles wat je vastlegt, heet in ISO 42001 gedocumenteerde informatie. Per eis zegt de norm of je iets moet vastleggen. Niet elke eis vraagt om een document. ISO legt bij de vaste opbouw van zijn normen uit wat dat betekent. Bij een eis waarin je iets alleen "bepaalt", hoef je geen stuk te hebben. Je moet het wel kunnen laten zien.

Er zijn twee soorten die je wel moet vastleggen:

Je kiest zelf de vorm. Dat kan een document zijn, een register in een tool of een pagina in een wiki. De editie die geldt, is ISO/IEC 42001:2023. Welke eisen erachter zitten, staat bij de eisen van ISO 42001.

ISO 42001 vraagt om deze documenten. De tabel zet de paragraaf van de norm erbij:

De eerste, tweede en laatste rij staan in de vaste opbouw die alle ISO-managementnormen delen. De drie rijen over AI horen bij de paragrafen die ISO 42001 eigen maken. Hoe die paragrafen de vastlegging precies verwoorden, staat in de betaalde normtekst. Leg de drie methodes in elk geval vast, want de auditor beoordeelt ze in fase 1.

Naast de documenten bewaar je bewijs. Daarmee laat je zien dat je doet wat je hebt afgesproken. Uit de vaste opbouw van de ISO-normen volgt dit bewijs:

Voor AI komen daar de uitkomsten van je risicobeoordeling (8.2), je risicobehandeling (8.3) en je impactbeoordeling (8.4) bij. Bewaar elke uitvoering, ook de herhalingen, want de auditor volgt in fase 2 die uitkomsten. Je beheert al deze stukken volgens paragraaf 7.5. Ze zijn goedgekeurd voordat ze gelden. Wie ze nodig heeft, moet ze kunnen vinden. Ze hebben versiebeheer en een bewaartermijn.

De impactbeoordeling is het stuk dat je bij ISO 9001 en ISO 27001 niet hebt. Je legt per AI-systeem vast wat het kan betekenen voor de mensen en groepen die ermee te maken krijgen. Uitleg over zo'n beoordeling staat in de aparte norm ISO/IEC 42005:2025. Die norm gaat over het vinden, beoordelen en vastleggen van gevolgen voor mensen, groepen en de samenleving, gedurende de hele levensduur van een AI-systeem.

Een goede impactbeoordeling is concreet. Neem een woningcorporatie die AI gebruikt om huurachterstand te voorspellen. Dan staat erin wie er een signaal krijgt, wat een fout signaal voor een huurder betekent en wie een besluit controleert. Een beoordeling die alleen "laag risico" zegt, geeft de auditor niets om te volgen.

Gebruik je AI van een leverancier, dan heb je ook informatie van die leverancier nodig. De inleiding van de norm noemt het beheer van leveranciers en partners die AI voor je leveren of ontwikkelen. De vaste opbouw zegt dat je ook informatie van buiten beheert als je die nodig hebt voor je systeem. Bewaar dus de documentatie van je leverancier over zijn model en zijn data. Bewaar ook je afspraken met hem. Ontbreekt die informatie, dan kun je je risicobeoordeling niet onderbouwen.

In fase 1 kijkt de auditor of je stukken compleet genoeg zijn om je systeem echt te toetsen. De regels daarvoor staan in ISO/IEC 17021-1. Aanvullingen voor AI staan in ISO/IEC 42006:2025. Hij bekijkt:

De auditor geeft je de conclusies op papier. Daarin staan de punten die in fase 2 een afwijking kunnen worden. Los die punten op voordat fase 2 begint.

In fase 2 kijkt de auditor of je systeem in de praktijk werkt. Hij kiest een AI-systeem en volgt een spoor. Dat spoor loopt van de impactbeoordeling en de risicobeoordeling naar de gekozen maatregelen. Daarna loopt het naar het bewijs dat die maatregelen werken. Dat bewijs is bijvoorbeeld een test van een model, een klacht van een gebruiker die je hebt opgelost, of een besluit dat een mens heeft gecontroleerd.

Ontbreekt een verplicht stuk, zoals de uitkomst van je impactbeoordeling of het bewijs van je interne audit? Dan kan de auditor een grote afwijking (major) noteren. Je krijgt het certificaat pas als de certificeerder heeft gecontroleerd dat je die hebt opgelost. Lukt dat niet binnen zes maanden na fase 2, dan volgt een nieuwe fase 2. Dat staat in ISO/IEC 17021-1. Wat er na fase 2 gebeurt, staat bij de certificeringsaudit. Het hele traject staat bij de stappen voor ISO 42001.

De eisen aan je documenten zijn bij elke certificeerder gelijk. Wel verschilt hoe hij fase 1 aanpakt en hoeveel dagen hij rekent. Vraag in de offerte drie dingen. Welke stukken wil hij vóór fase 1 zien? Kan fase 1 op afstand? Hoeveel tijd zit er tussen fase 1 en fase 2? De dagen zelf staan bij de kosten van ISO 42001. Heb je je toepassingsgebied en je lijst van AI-systemen klaar? Dan stel je deze drie vragen via CertificeerWijzer in één aanvraag aan certificeerders met ISO 42001 in hun accreditatie. Heb je ISO 27001, vraag dan ook naar een gecombineerde audit.