Een referentielijst, net als bij ISO 27001
Annex A van ISO 42001 bevat 38 beheersmaatregelen. Net als bij ISO 27001 vormt de lijst een referentie: u bepaalt op basis van uw risicobeoordeling welke maatregelen nodig zijn en legt dat vast in een Verklaring van Toepasselijkheid. U kunt ook eigen maatregelen toevoegen. Annex B van de norm geeft per maatregel een toelichting voor de implementatie.
Beleid, organisatie en middelen
De eerste onderwerpen leggen het fundament. Ze vragen om een vastgesteld AI-beleid dat periodiek wordt herzien en dat aansluit op ander beleid, zoals privacy en informatiebeveiliging. Rollen en verantwoordelijkheden voor AI zijn toegewezen en er is een manier om zorgen over een AI-systeem te melden.
Daarnaast documenteert u welke middelen een AI-systeem gebruikt: de data, de tools, de reken- en systeemcapaciteit en de mensen met hun kennis. Zonder dat overzicht kunt u risico’s niet goed beoordelen.
Impact en levenscyclus
Een apart onderwerp gaat over het beoordelen van de impact van AI-systemen op individuen, groepen en de samenleving. Het grootste onderwerp beschrijft de levenscyclus van een AI-systeem: doelstellingen voor verantwoorde ontwikkeling, eisen en specificaties, ontwerp, verificatie en validatie, uitrol, beheer en monitoring, technische documentatie en het vastleggen van logboeken tijdens gebruik.
Data, informatie en gebruik
De overige onderwerpen gaan over de rest van de keten.
- Data: hoe gegevens worden verkregen, voorbereid en beheerd, welke kwaliteitseisen gelden en waar de data vandaan komt.
- Informatie voor belanghebbenden: documentatie voor gebruikers, een manier om nadelige gevolgen te melden en een plan om incidenten te communiceren.
- Gebruik: processen en doelstellingen voor verantwoord gebruik, en gebruik binnen het beoogde doel van het systeem.
- Derden: verantwoordelijkheden verdelen met leveranciers, partners en klanten, en leveranciers laten aansluiten op uw aanpak.
Wat dit vraagt van een gebruikende organisatie
Ontwikkelt u zelf geen AI, dan zijn veel maatregelen over ontwerp en training beperkt van toepassing. De nadruk ligt dan op beleid, rollen, leveranciersbeoordeling, verantwoord gebruik en informatie aan medewerkers en klanten. Leg uitsluitingen onderbouwd vast. Een organisatie die een AI-dienst inkoopt, blijft verantwoordelijk voor de manier waarop zij die dienst inzet.