Risico voor de organisatie en impact op mensen
Een gewone risicoanalyse kijkt vooral naar de gevolgen voor de eigen organisatie. ISO 42001 vraagt daarnaast om een impactbeoordeling van AI-systemen. Die beoordeelt welke gevolgen de inzet, het beoogde gebruik en voorzienbaar misbruik van een AI-systeem kunnen hebben voor individuen, groepen en de samenleving. De uitkomsten neemt u mee in de risicoanalyse.
Welke vragen stelt u?
Een impactbeoordeling begint met een beschrijving van het systeem en de context waarin het wordt gebruikt. Daarna beoordeelt u de mogelijke gevolgen.
- Wie worden geraakt door de uitkomsten: medewerkers, klanten, sollicitanten of burgers?
- Kan het systeem tot ongelijke behandeling leiden, bijvoorbeeld door eenzijdige trainingsdata?
- Begrijpen betrokkenen dat AI wordt gebruikt en kunnen zij een besluit laten toetsen door een mens?
- Wat gebeurt er als het systeem een fout maakt, en hoe snel wordt die opgemerkt?
- Welke persoonsgegevens worden verwerkt en is daarvoor een grondslag?
Verbind het met bestaande beoordelingen
Verwerkt een AI-systeem persoonsgegevens met een hoog risico, dan is onder de AVG vaak al een gegevensbeschermingseffectbeoordeling nodig. Voor hoog-risico AI kan de Europese AI-verordening aanvullende beoordelingen vragen. Gebruik één samenhangende aanpak, zodat dezelfde vragen niet drie keer worden gesteld, en verwijs naar elkaars uitkomsten.
Leg vast en houd actueel
Documenteer de uitkomsten en bewaar ze gedurende een vastgestelde periode. Herhaal de beoordeling wanneer het doel van het systeem verandert, wanneer een nieuw model of nieuwe data wordt gebruikt, of wanneer meldingen van gebruikers daar aanleiding toe geven. Waar passend deelt u de uitkomsten met belanghebbenden, bijvoorbeeld met klanten die het systeem afnemen.
Begin klein
U hoeft niet elke AI-functie even diepgaand te beoordelen. Maak een korte eerste toets voor alle toepassingen en een uitgebreide beoordeling voor systemen die besluiten over mensen ondersteunen of gevoelige gegevens verwerken. Zo besteedt u de meeste aandacht aan de toepassingen met de grootste gevolgen.