Mei 2026. Generatieve AI en besluitondersteunende systemen zitten in HR, klantenservice, development en finance. De EU AI Act maakt risicoclassificatie en governance verplicht voor veel use-cases; ISO 42001 biedt een managementsysteem voor AI.
Wat bestuur nu wil weten
- Welke AI-systemen draaien we (intern én via SaaS)?
- Welke risicoklasse geldt per systeem (minimaal, beperkt, hoog)?
- Wie keurt nieuwe use-cases goed vóór productie?
- Hoe borgen we privacy, bias en incidentrespons?
ISO 42001 zonder parallel universum
Koppel AI-governance aan ISMS en AVG/privacy. Eén risicoregister, één actielijst, één management review — met AI als expliciete categorie. Verdieping: ISO 42001 certificering.
Eerste 30 dagen
- Register van AI-systemen + eigenaar per systeem.
- Beleid voor acceptabel gebruik (incl. copilot’s en externe API’s).
- Impactanalyse op hoog-risico use-cases.
- Training voor key users — niet alleen IT.
In 2026 vragen enterprise-klanten expliciet om een AI-register met datastromen, model-eigenaar en human oversight. Koppel SaaS-AI (Microsoft Copilot, CRM-AI, HR-tools) aan hetzelfde register als interne modellen — auditors en privacy officers zoeken inconsistenties.
Risicoclassificatie onder de AI Act is geen eenmalige exercitie. Plan herbeoordeling bij nieuwe datasets, model-updates of uitbreiding naar nieuwe landen. Leg besluiten vast in management review zodat ISO 42001 en ISMS dezelfde governance-lijn tonen.
Voor hoog-risico AI: documenteer technische en organisatorische maatregelen, logging en incidentprocedures. Dat overlapt met ISO 27001 logging en AVG DPIA’s — gebruik één evidence-map met tags per kader.
AI-register dat klopt met de werkelijkheid
Shadow AI — medewerkers die zelf tools gebruiken zonder goedkeuring — hoort in het register via periodieke inventarisatie, niet alleen via formele projecten. Vraag lijnmanagers welke copilots, API’s en SaaS-AI ze gebruiken.
Voor hoog-risico use-cases: leg human oversight, logging en fallback vast vóór productie. Auditors en enterprise-klanten vergelijken AI-register met DPIA’s en ISO 27001 logging — inconsistenties zijn een rode vlag.
Training hoeft geen eenmalige e-learning te zijn; korte kwartaalupdates over acceptabel gebruik en meldpunt voor incidenten werken beter voor adoption.
Koppel AI-besluiten aan management review: nieuwe systemen, risicoklasse-wijzigingen en incidenten horen op de agenda, net als leveranciers en security.
Leg vast welke datasets geen training mogen voeden voor klant- of persoonsdata — technisch en contractueel. Veel enterprise-klanten vragen daar expliciet naar naast AI Act-classificatie. Eén data governance-beleid met AI-tags voorkomt dubbele documenten.
AI-inventaris en governance op één lijn
Begin met een inventaris: welke systemen gebruiken AI (generatief of klassiek), welke datasets, welke beslissingen raken klanten of medewerkers? Classificeer volgens EU AI Act en koppel high-risk systemen aan extra governance — DPIA, menselijke oversight, logging.
ISO 42001 biedt structuur voor AI-managementsystemen naast uw ISMS. Gebruik gedeelde risicoregisters en management review; scheid documentatie niet in een “AI-map” die auditors niet kunnen volgen.
Enterprise-klanten vragen in 2026 expliciet welke datasets niet mogen trainen op klant- of persoonsdata. Leg dat technisch én contractueel vast in één data governance-beleid met AI-tags.
Vervolgstappen in uw ISMS
Vertaal dit artikel naar één concrete actie in uw risicoregister of verbeterplan: eigenaar, deadline, gewenst bewijs. Bespreek voortgang in het eerstvolgende management review-overleg — auditors en ketenpartners willen besluiten zien, niet alleen beleidsintentie. Koppel waar mogelijk aan bestaande ISO 27001-, NIS2- of AVG-documentatie zodat u geen parallelle mappen onderhoudt.
Heeft u vragen over scope, certificering of keteneisen? Gebruik onze readiness-overzicht en kennisbank-pagina’s voor diepere guidance. Dit artikel vervangt geen juridisch of auditorisch advies voor uw specifieke situatie.
Deel relevante bevindingen kort met lijnmanagement en inkoop — compliance wordt pas werkbaar wanneer de hele organisatie dezelfde prioriteiten herkent. Herhaal de gekozen actie kwartaal in teamoverleg en update evidence-locaties in uw SoA of controleplan zodat surveillance steekproeven snel te beantwoorden zijn.
Wat doet u deze week?
Kies één concreet actiepunt uit dit artikel, wijs een eigenaar en zet het in uw risico- of verbeterregister met deadline. Deel het kort in teamoverleg — zo wordt compliance iets wat de lijn herkent. Herhaal dit kwartaal in management review zodat bestuur voortgang ziet, niet alleen intentie.
Let op: dit artikel is educatief en vervangt geen juridisch, privacy- of auditorisch advies voor uw specifieke situatie.
Bewijs en governance
Leg vast wie eigenaar is van de maatregelen uit dit artikel en hoe u werking aantoont in de steekproefperiode — logs, tickets, goedgekeurde changes of oefenverslagen. Certificerende instellingen en ketenpartijen accepteren geen intentie zonder sample. Koppel evidence-locaties aan uw SoA of controleplan zodat interne en externe audit dezelfde bronnen gebruiken.