Oktober 2026. Microsoft Copilot, ChatGPT en vergelijkbare assistenten worden dagelijks gebruikt, vaak zonder dat iemand ze heeft ingekocht. Voor een auditor zijn het nieuwe leveranciers en nieuwe gegevensstromen. Hoe u daarmee omgaat in uw ISMS bepaalt of u dit onder controle hebt of juist een blinde vlek.
Welke controls ze raken
Een AI-assistent raakt meerdere controls tegelijk: leveranciersbeheer (5.19 tot 5.23), classificatie en behandeling van informatie (5.12 en 5.13), toegangsbeheer (5.15 en 8.2), gegevenslekpreventie (8.12) en bewustzijn (6.3). Geen nieuwe norm nodig; wel een bewuste toepassing van wat u al hebt.
Beleid: wat mag er wel en niet in
Maak een korte regel op basis van uw classificatie. Bijvoorbeeld: publieke en interne informatie mag in goedgekeurde tools, vertrouwelijke gegevens alleen in een omgeving met contractuele afspraken, en persoonsgegevens of klantgeheimen nooit in consumentenversies. Benoem welke tools zijn goedgekeurd, en wie nieuwe tools mag toelaten.
Inrichting: begin bij toegang
Copilot toont gebruikers alles waartoe zij toegang hebben. Rommelige rechten in SharePoint of Teams worden dus ineens zichtbaar. Voer eerst een toegangsreview uit en beperk overmatige rechten; zie ook bewijs uit Microsoft 365. Zet logging aan en controleer de instellingen voor gegevensgebruik en -bewaring bij de aanbieder.
Leveranciersbeoordeling van de AI-dienst
Behandel de dienst als elke andere leverancier: waar worden gegevens verwerkt, worden ze gebruikt om modellen te trainen, welke subverwerkers zijn er, en is er een verwerkersovereenkomst? Leg de beoordeling vast in uw leveranciersregister.
Ongeautoriseerd gebruik zichtbaar maken
Mensen gebruiken tools die u niet kent. Inventariseer dat met een korte enquête en netwerklogs, en neem het mee in uw risicobeoordeling; zie shadow AI in het MKB. Wilt u verder gaan met governance, dan biedt ISO 42001 een kader.
Bewijs voor de auditor
Een goedgekeurde toolslijst, het beleid, het bewustzijnsmateriaal, de leveranciersbeoordeling en een voorbeeld van een toegangsreview. Dat is voldoende om aan te tonen dat AI-gebruik onderdeel is van uw beheerste omgeving.