Het antwoord: Je kunt nu al stappen zetten om je bedrijf voor te bereiden op ISO 42001, de nieuwe internationale norm voor verantwoord AI-gebruik, zonder dat je direct een volledig certificeringstraject hoeft te doorlopen. Door proactief je AI-processen in kaart te brengen en te documenteren, voorkom je dat je straks achter de feiten aanloopt wanneer klanten of opdrachtgevers het keurmerk gaan eisen.

Wat er aan de hand is

ISO 42001 is een nieuwe internationale norm die eisen stelt aan verantwoord en beheersbaar gebruik van kunstmatige intelligentie. Wereldwijd hebben ongeveer driehonderd organisaties het keurmerk inmiddels behaald, waaronder KPMG en CM.com. De norm volgt hetzelfde patroon als ISO 27001 voor informatiebeveiliging: wat eerst een strategische keuze was, wordt steeds vaker een harde eis in aanbestedingen en contracten. Vier organisaties – Milgro, Ictivity, Ilionx en Thinkwise – geven aan dat zij niet wachten tot de norm breed wordt geëist, maar nu al anticiperen. Volgens Mariët Scholten, CFO bij Thinkwise, volgt AI dezelfde route als cybersecurity: eerst bewustwording, dan verwachting, dan eis. Gijs Derks, directeur van Milgro, verwacht dat AI-specifieke eisen snel hun weg vinden naar tenders en contracten, en dat ISO 42001 een aankomende ‘license to operate’ wordt.

Wat dit betekent

Voor het MKB betekent de opkomst van ISO 42001 dat je op termijn niet meer zonder dit keurmerk kunt bij grotere opdrachtgevers, zeker in sectoren zoals zorg, lokale overheid en woningcorporaties. Michael Schmitt van Ictivity benadrukt dat het een kwestie van tijd is voordat certificering standaard wordt gevraagd in aanbestedingen. Wie dan al gecertificeerd is, staat sterker, niet alleen bij tenders maar ook in de dagelijkse klantrelatie. De norm is geen kostenpost maar een investering, stellen de betrokken organisaties. Het gaat erom dat je AI op een gestructureerde en aantoonbare manier organiseert, zoals Rik Opdam van Ilionx het verwoordt. Voor kleinere bedrijven zonder compliance-afdeling lijkt certificering misschien een brug te ver, maar de praktijk wijst uit dat je met eenvoudige stappen al kunt beginnen.

Hoe je dit kunt toepassen

Als je een klein bedrijf runt met beperkte tijd en budget. Je hoeft niet direct een volledig certificeringstraject te starten. Een mogelijke eerste stap is het in kaart brengen van alle plekken in je organisatie waar je AI gebruikt, van klantenservice-chatbots tot geautomatiseerde factuurverwerking. Documenteer per toepassing welk doel deze dient, welke data erin gaat en hoe je de uitkomsten controleert. Dit overzicht vormt de basis voor een verantwoordingsdocument dat je later kunt laten toetsen. Overweeg om dit overzicht eenmaal per kwartaal te actualiseren, zodat je niet voor verrassingen komt te staan wanneer een klant ernaar vraagt.

Als je werkt met aanbestedingen of overheidsopdrachten. In sectoren zoals zorg en lokale overheid neemt de druk op AI-certificering snel toe, aldus Ictivity. Je zou kunnen overwegen om nu al een eenvoudige risicoanalyse te maken van je AI-toepassingen, vergelijkbaar met wat je voor AVG doet. Vraag je per toepassing af: wat gebeurt er als de AI een fout maakt, wie is verantwoordelijk, en hoe wordt bias voorkomen? Door deze analyse schriftelijk vast te leggen, kun je bij een aanbesteding aantonen dat je serieus met verantwoord AI-gebruik bezig bent, ook zonder dat je het officiële keurmerk al hebt.

Als je een team aanstuurt dat met AI werkt. Een optie is om een interne werkgroep of een verantwoordelijke aan te wijzen die de ontwikkelingen rond ISO 42001 volgt. Deze persoon kan een eenvoudig stappenplan opstellen: eerst inventariseren, dan risico’s in kaart brengen, daarna processen vastleggen. Door dit stappenplan te delen met je team, creëer je bewustwording en voorkom je dat medewerkers zelfstandig AI-tools inzetten zonder dat iemand weet hoe ze werken. Dit sluit aan bij de ervaring van Thinkwise, waar vragen over AI volgens de CFO dezelfde route volgen als cybersecurity-vragen.

Als je twijfelt of certificering voor jouw bedrijf relevant is. De praktische toepassing hangt af van jouw situatie. Als je geen directe klantrelaties hebt met overheden of grote organisaties, is de urgentie mogelijk lager. Maar overweeg om de ontwikkelingen in je sector te monitoren, bijvoorbeeld door vakbladen of brancheverenigingen te volgen. Zodra je merkt dat concurrenten of opdrachtgevers ernaar vragen, kun je het inventarisatiewerk dat je nu al hebt gedaan gebruiken om snel te schakelen. Wie nu begint, hoeft straks niet te haasten.

Bron: Computable