Wegen naar vertrouwen

De weg voor elk kader

Gebruik het wanneer een wet, een standaard of een klant bewijs eist. Dezelfde negen stappen leiden door elk ervan, zodat elk kader een variatie op dit traject wordt.

1. Benoem de verplichting

   Wat is vereist, van wie, tegen wanneer, en wie beslist dat eraan is voldaan: een wet, een standaard, een klant.

2. Bepaal de reikwijdte

   Welke systemen, diensten, mensen en gegevens erbij horen. Leg dit eerst vast.

3. Koppel vereisten aan beheersmaatregelen

   Eén beheersmaatregel kan op veel vereisten antwoord geven, dus schrijf hem één keer.

4. Zoek de hiaten

   Vergelijk wat er werkelijk gebeurt met wat de beheersmaatregelen verwachten, en bewaar het bewijs.

5. Geef elke beheersmaatregel een eigenaar

   Een genoemde persoon, een datum en een prioriteit op basis van risico. Een plan zonder eigenaar is een wens.

6. Bouwen en uitvoeren

   Beleid dat mensen kunnen volgen en beheersmaatregelen die draaien. Bewijs moet uit het werk voortkomen.

7. Controleer uzelf

   Een interne beoordeling en een directiebeoordeling voordat iemand extern kijkt.

8. Zorg voor onafhankelijke zekerheid

   Waar het kader erom vraagt: een auditor, een certificeringsinstelling of een aangemelde instantie. Een wet kan ook door een toezichthouder worden gehandhaafd, zonder auditstap die u moet doorstaan.

9. Houd het levend

   Monitoring, wijzigingsbeheer en een jaarlijks ritme, zodat de volgende audit routine is.

Waar AI en automatisering helpen

• De koppeling tussen vereisten en beheersmaatregelen, eigenaars en bewijs gekoppeld houden.
• Bewijs volgens een schema verzamelen en tegen de beheersmaatregel controleren.
• Letten op afwijking: een beheersmaatregel die is gestopt, een beoordeling die achterstallig is, een bewering zonder artefact erachter.

Valkuilen die het meeste tijd kosten

• Beginnen met documenten in plaats van met de reikwijdte.
• Een beheersmaatregelenkaart uit een sjabloon gekopieerd die niemand kan uitleggen.
• Bewijs dat alleen in het hoofd van één persoon bestaat.
• De audit behandelen als de eindstreep.

De weg naar SOC 2

Gebruik het wanneer klanten om zekerheid vragen. SOC 2 is het rapport van een auditor over hoe uw beheersmaatregelen aan de Trust Services Criteria voldoen. Het rapport is het product: klanten lezen het in plaats van u een vragenlijst te sturen.

1. Kies de reikwijdte

   Welke diensten en systemen, en welke criteria. Security is er altijd bij; beschikbaarheid, vertrouwelijkheid, verwerkingsintegriteit en privacy komen erbij wanneer klanten erom vragen.

2. Beschrijf het systeem en beoordeel het risico

   De beschrijving van het systeem door het management, en een risicobeoordeling die uitlegt waarom elke beheersmaatregel bestaat. Auditors lezen beide voordat ze iets testen.

3. Zoek de hiaten

   Vergelijk wat u vandaag doet met wat de criteria verwachten. Een korte gereedheidsbeoordeling bespaart later maanden.

4. Leg de beheersmaatregelen vast

   Beleid dat mensen kunnen volgen, genoemde eigenaars en beheersmaatregelen die passen bij hoe het team echt werkt.

5. Verzamel bewijs vanaf dag één

   Tickets, reviews, toegangslijsten en testresultaten bestaan al; leg ze vast terwijl ze ontstaan.

6. Type I: beheersmaatregelen zoals ontworpen

   Een accountantskantoor (CPA) rapporteert of de beheersmaatregelen op één moment geschikt zijn ontworpen. Het is het snelste eerste rapport. SOC 2 is een attestatie, geen certificering, en het rapport wordt gewoonlijk met beperkt gebruik met klanten gedeeld.

7. Type II: beheersmaatregelen in werking

   Dezelfde beheersmaatregelen, aangetoond over een observatieperiode, vaak drie tot twaalf maanden. Klanten waarderen dit rapport meestal het meest.

Waar AI en automatisering helpen

• Bewijs volgens een schema uit systemen halen en toetsen aan de beheersmaatregel, in plaats van schermafbeeldingen op het moment van de audit.
• Beleid en beschrijvingen van beheersmaatregelen opstellen vanuit uw werkelijke praktijk, ter beoordeling en goedkeuring door een persoon.
• Letten op afwijking: een beheersmaatregel die ongemerkt is gestopt, een toegangsbeoordeling die achterstallig is.

Valkuilen die het meeste tijd kosten

• Beleid schrijven dat niemand volgt. De auditor toetst wat er gebeurt, niet wat het document zegt.
• Een reikwijdte die tijdens de audit groeit. Bepaal haar vroeg en leg haar vast.
• Bewijs dat niemand beheert. Elke beheersmaatregel heeft een benoemde persoon nodig die hem controleert.

SOC-suite en criteria (AICPA) ↗↗ Meer verwijzingen in de bibliotheek →

De weg naar ISO 27001

Gebruik het wanneer u een onafhankelijk, gecertificeerd bewijs nodig hebt van hoe u informatiebeveiliging uitvoert. ISO 27001 certificeert een managementsysteem, geen product: een manier van werken die blijft verbeteren en die een onafhankelijke instantie controleert.

1. Begrijp de context

   Wie van u afhangt, wat wet en contracten vereisen en wat beschermd moet worden.

2. Bepaal reikwijdte en beleid

   Welke delen van de organisatie en welke bedrijfsmiddelen erbij horen. De top van de organisatie is eigenaar van het beleid.

3. Beoordeel en behandel risico

   Een herhaalbare risicomethode, een register met eigenaars en beslissingen om te verminderen, te aanvaarden, over te dragen of te vermijden.

4. Selecteer de beheersmaatregelen

   Kies uit de beheersmaatregelen van Bijlage A (ISO/IEC 27001:2022) en leg keuzes en redenen vast in de Verklaring van toepasselijkheid.

5. Laat het systeem draaien

   Voer de beheersmaatregelen uit, train mensen, monitor en bewaar de registraties die dat aantonen.

6. Audit uzelf en beoordeel daarna

   Een interne audit, corrigerende acties voor de bevindingen en een directiebeoordeling voordat de certificerende instelling komt.

7. Certificering en de cyclus

   Een tweefasige audit door een geaccrediteerde certificerende instelling, jaarlijkse toezichtaudits en hercertificering aan het einde van de driejarige cyclus.

Waar AI en automatisering helpen

• Het risicoregister, de lijst met beheersmaatregelen en het bewijs gekoppeld houden.
• Beoordelingsdata, achterstallige taken en corrigerende maatregelen bijhouden en de eigenaren eraan herinneren.
• De interne audit voorbereiden: steekproeven, bewijscontroles en een eerste lijst met bevindingen die de auditor kan bevestigen.

Valkuilen die het meeste tijd kosten

• Het behandelen als een documentproject. Auditors zoeken een systeem dat draait en verbetert.
• Een Verklaring van toepasselijkheid uit een sjabloon gekopieerd, met redenen die niemand kan uitleggen.
• De directiebeoordeling laten verworden tot een formaliteit. Daar worden beslissingen vastgelegd.

ISO/IEC 27001 (ISO) ↗↗ Meer verwijzingen in de bibliotheek →

De weg naar ISO/IEC 42001

Gebruik het wanneer u AI ontwikkelt, aanbiedt of gebruikt en een manier nodig hebt om die te besturen die een onafhankelijke instantie kan controleren. ISO/IEC 42001 is een managementsysteemstandaard voor AI, gepubliceerd in 2023. Als u al ISO 27001 hanteert, is de structuur dezelfde en kan veel hergebruikt worden.

1. Begrijp uw rol

   Ontwikkelt u AI, biedt u haar aan of gebruikt u haar? Wie is ervan afhankelijk, en wat verwachten de wet en uw klanten?

2. Bepaal de reikwijdte en een AI-beleid

   Welke AI-systemen en delen van de organisatie erbij horen, en een beleid waarvan de top van de organisatie eigenaar is.

3. Inventariseer de AI-systemen

   Elk systeem, de eigenaar ervan, de gegevens die het gebruikt en de leveranciers erachter. U kunt niet beheren wat u niet kunt zien.

4. Beoordeel risico en impact

   AI-risico’s voor de organisatie, en een impactbeoordeling van elk systeem voor de mensen die het raakt. Herhaal ze wanneer een systeem verandert.

5. Selecteer de beheersmaatregelen

   Kies de beheersmaatregelen die passen, leg de redenen vast en dek de volledige levenscyclus van AI: gegevens, ontwikkeling, testen, uitrol en monitoring.

6. Werk met mensen in de lus

   Menselijk toezicht waar het ertoe doet, monitoring van wat het systeem werkelijk doet, en afhandeling van incidenten en klachten.

7. Audit en beoordeling

   Een interne audit en een directiebeoordeling, daarna een certificeringsaudit door een geaccrediteerde instelling, met toezichtaudits erna.

Waar AI en automatisering helpen

• De AI-inventaris actueel houden door te lezen wat er werkelijk in gebruik is, en gebruik signaleren dat niemand heeft geregistreerd.
• Monitoringbewijs volgens een schema verzamelen: prestaties, afwijking, ingrepen door mensen.
• Impactbeoordelingen opstellen ter beoordeling en goedkeuring door een persoon.

Valkuilen die het meeste tijd kosten

• Eén beleid schrijven en het daarbij laten.
• De AI missen die binnenkomt in de producten van leveranciers.
• De impactbeoordeling behandelen als een formulier in plaats van als een gesprek met de betrokken mensen.

Certificering volgens ISO/IEC 42001 toont op zichzelf geen conformiteit met de EU AI Act aan; dat is een wet met eigen vereisten.

ISO/IEC 42001 (ISO)↗ NIST AI Risk Management Framework↗ Meer in de bibliotheek

De weg naar de EU AI Act

Gebruik het wanneer u AI-systemen bouwt, aanbiedt of gebruikt en de wet op u van toepassing kan zijn. De EU AI Act is een wet, geen standaard: verplichtingen hangen af van uw rol en van hoe risicovol uw AI-systemen zijn. De eerste vraag is welke categorie voor u geldt.

1. Bepaal uw rol

   Aanbieder, gebruiksverantwoordelijke, importeur, distributeur of gemachtigde. Uw verplichtingen hangen af van wat u bent, en u kunt meer dan één rol hebben.

2. Inventariseer uw AI-systemen

   Elk systeem en elk gebruik, ook wat u koopt en wat in andere tools is ingebouwd.

3. Classificeer het risico

   Verboden praktijken (al van kracht), hoogrisicosystemen, systemen met transparantieverplichtingen en de rest. De categorie bepaalt wat volgt.

4. Verplichtingen van aanbieders voor hoogrisicosystemen

   Risicobeheer, gegevensbeheer, technische documentatie, logging, transparantie naar gebruikers, menselijk toezicht, nauwkeurigheid en robuustheid, en een kwaliteitsbeheersysteem. Aanbieders van AI-modellen voor algemene doeleinden hebben eigen verplichtingen.

5. Verplichtingen van gebruiksverantwoordelijken

   Gebruik het systeem volgens de instructies, laat menselijk toezicht uitoefenen door bekwame personen, monitor het, bewaar logs en informeer de betrokken personen. Sommige gebruiksverantwoordelijken moeten ook het effect op de grondrechten beoordelen. Systemen die met mensen praten of synthetische inhoud genereren, kennen transparantieverplichtingen.

6. Bewijs het

   Bij de meeste hoogrisicosystemen beoordeelt de aanbieder de conformiteit zelf; een aangemelde instantie is slechts bij sommige betrokken. Registreer waar vereist en bewaar documentatie die een autoriteit kan lezen.

7. Bouw AI-geletterdheid op

   Deze verplichting geldt al: wie met AI werkt, heeft voldoende inzicht nodig om dat verantwoord te doen.

8. Monitor na de lancering

   Volg het systeem in gebruik, meld ernstige incidenten en werk het dossier bij wanneer het systeem of de wet verandert.

Waar AI en automatisering helpen

• De inventaris en de classificatie actueel houden, met een persoon die elke beslissing bevestigt.
• Logs en monitoringbewijs verzamelen, zodat het technisch dossier zichzelf opbouwt.
• Bijhouden welke verplichtingen vanaf welke datum en voor welke systemen gelden.

Valkuilen die het meeste tijd kosten

• Classificeren op hoop in plaats van op de tekst.
• Vergeten dat het gebruik van andermans AI u nog steeds tot gebruiksverantwoordelijke met verplichtingen maakt.
• Het behandelen als een eenmalig project terwijl de verplichtingen na de lancering doorlopen.

Algemene richtlijnen, geen juridisch advies. De verordening is in augustus 2024 in werking getreden. Zoals ik het schema begrijp, gelden de verboden en de verplichting tot AI-geletterdheid sinds februari 2025, de regels voor AI-modellen voor algemene doeleinden sinds augustus 2025, en hangen de data voor de hoogrisicoregels af van het type systeem en kunnen worden gewijzigd. Raadpleeg de officiële tekst en eventuele wijzigingen voor de datums die vandaag voor u gelden.

EU AI Act, officiële tekst↗ Onafhankelijke doorzoekbare gids↗ Meer in de bibliotheek

Meerdere tegelijk doen zonder het twee keer te doen

De trajecten delen het grootste deel van hun terrein. Bouw beheersmaatregelen en bewijs één keer, koppel ze aan elk kader dat u nodig hebt en laat elke audit dezelfde registraties lezen.

• Eén registratie van een beheersmaatregel, gekoppeld aan elke vereiste waarop ze antwoord geeft, over SOC 2, ISO 27001, ISO/IEC 42001 en de AI Act heen.
• Eén bewijsspoor voor elke audit.
• Eén risicoregister dat uitlegt waarom elke beheersmaatregel bestaat.

Hulp nodig bij het kiezen of starten van een traject? Samenwerken → Lees: compliance als graaf → Terug naar de AI World →