Het ISO 42001-certificeringsproces
Van besluit tot certificaat doorloop je zes stappen. Reken op negen tot achttien maanden, afhankelijk van je startpositie en AI-complexiteit.
De zes stappen naar certificering
-
Scope bepalen
- Welke AI-systemen, processen en afdelingen vallen onder het AIMS? Begin eventueel met je belangrijkste AI-toepassingen.
-
AI-inventaris en risicoanalyse
- Maak een overzicht van alle AI-systemen en identificeer de risico's. Dit is het hart van ISO 42001.
-
AIMS opzetten
- Implementeer de beheersmaatregelen, stel beleid op, train medewerkers, en documenteer processen.
-
Bewijsperiode doorlopen
- Werk minimaal drie maanden volgens je AIMS. Auditoren willen bewijs dat het systeem in de praktijk werkt.
-
Interne audit en directiebeoordeling
- Controleer zelf of alles werkt en laat de directie het AIMS formeel beoordelen.
-
Externe audit
- De certificeerder voert de audit uit in twee fases. Bij succes ontvang je het certificaat.
Wie doet wat?
Jij
AI-inventaris, risicoanalyse, AIMS opzetten, interne audits
IT/Data team
AI-systemen documenteren, technische maatregelen
Consultant (optioneel)
Begeleiding, gap-analyse, templates, training
Certificeerder
Audit uitvoeren, certificaat afgeven
Accreditatie-instantie
Controleert de certificeerder (de Nederlandse instantie, UKAS, etc.)
Goed om te weten: Een consultant is niet verplicht. Organisaties met ervaren IT- en compliancemensen kunnen het zelf. Wel kan begeleiding het proces versnellen.
Voorbereiding op ISO 42001
Goede voorbereiding is het halve werk. De meeste tijd gaat zitten in de AI-inventaris en het opzetten van je AIMS, niet in de audit zelf.
Wat moet je intern regelen?
Daarna volgen deze stappen:
- Projectleider aanwijzen - Iemand met mandaat, AI-kennis en tijd die het trekt
- AI-inventaris maken - Welke AI-systemen heb je? Waar worden ze voor gebruikt?
- Scope bepalen - Welke systemen en processen vallen onder het AIMS?
- Risicoanalyse uitvoeren - Identificeer risico's per AI-systeem
- Maatregelen implementeren - Technisch en organisatorisch, gebaseerd op de risicoanalyse
- Awareness creëren - Medewerkers trainen over verantwoord AI-gebruik
- Bewijsperiode starten - Minimaal drie maanden werken volgens het AIMS
Welke documentatie is nodig?
De norm vereist minimaal:
AI-beleid
Jouw visie en doelstellingen voor verantwoord AI-gebruik
Scope van het AIMS
Welke AI-systemen en processen gecertificeerd worden
AI-inventaris
Overzicht van alle AI-systemen met classificatie
Risicoanalyse en -behandelplan
Geïdentificeerde risico's en gekozen maatregelen
SoA
Verklaring van Toepasselijkheid
Welke controls je toepast en welke niet, met onderbouwing
Data governance documentatie
Hoe je omgaat met data voor AI-systemen
Procesbeschrijvingen
Levenscyclus van AI-systemen
Geen dik handboek nodig. Veel organisaties werken met een digitaal systeem of compacte documenten. De vorm is vrij, zolang het actueel en toegankelijk is.
Drie veelgemaakte fouten
Fout 2: Papieren tijger
Je documenten moeten kloppen met de praktijk. Als je opschrijft dat je maandelijks AI-risico's evalueert, moet je dat ook echt doen. Auditoren vragen om bewijs.
Fout 3: Te laat starten met de bewijsperiode
Je moet minimaal drie maanden volgens je AIMS hebben gewerkt voordat de externe audit kan plaatsvinden. Plan dit in, anders schuift je certificeringsdatum op.