AI-standaarden en normering: wat ze wel en niet doen
Kaderstellende wetgeving en juridische richtlijnen vormen het fundamentele uitgangspunt voor marktdeelnemers, maar in de dagelijkse praktijk laten wetten ruimte voor interpretatie. Een wet formuleert wat er wettelijk vereist is op hoofdlijnen, zoals het voorkomen van onaanvaardbare risico's voor grondrechten of veiligheid. Wetgeving geeft echter zelden een stapsgewijze handleiding voor hoe een organisatie technologisch of operationeel bewijst dat zij aan die verplichtingen voldoet. Op dit snijvlak komen standaarden en normen in beeld.
In debatten over governance en naleving worden de begrippen wet, norm en certificaat regelmatig door elkaar gehaald. Dit leidt tot misverstanden over wat een ISO-norm of internationale standaard exact bereikt. Een standaard is geen wetgeving, en een certificaat is geen bewijs van volmaakte kwaliteit. In dit artikel analyseren we de opbouw van het normalisatielandschap, de mechaniek van managementsysteemnormen, de politieke lading van geharmoniseerde normen en de praktische waarde voor organisaties.
Afbakening: Dit artikel behandelt de operationele en bestuurlijke werking van normering en standaarden. Bekijk voor de bredere wettelijke kaders de EU AI Act uitleg. Voor het toezichts- en handhavingskader in Nederland kun je terecht bij het overzicht van AI-toezicht in Nederland.
Het onderscheid tussen wet, norm en certificaat
Om te begrijpen hoe naleving in de praktijk werkt, is het noodzakelijk om drie kernbegrippen strikt van elkaar te scheiden:
- De wet: Dit is een binding opleggend voorschrift van een overheidsorgaan. Wetgeving bepaalt wat wel en niet is toegestaan en verbindt juridische sancties aan overtredingen. Wetten richten zich doorgaans op te bereiken doelen en te vermijden uitkomsten.
- De norm: Dit is een vrijwillige, afgesproken afspraak of richtlijn, opgesteld door marktpartijen, wetenschappers en experts binnen een normalisatie-instituut. Een norm beschrijft 'hoe' je een bepaald proces inricht of 'waar' een product technisch aan moet voldoen. Een norm krijgt pas een verplichtend karakter wanneer wetgeving ernaar verwijst of wanneer twee contractpartijen dat afspreken.
- Het certificaat: Dit is een schriftelijke verklaring van een onafhankelijke toetsende instantie. Het certificaat bevestigt dat een specifiek proces, product of managementsysteem op een bepaald moment voldoet aan de eisen die in een geselecteerde norm zijn vastgelegd.
In de praktijk veronderstellen beleidsmakers en leidinggevenden soms dat het behalen van een certificaat automatisch betekent dat een organisatie volledig aan alle relevante wetgeving voldoet. Dat is onjuist. Een norm kan helpen om wettelijke vermoedens van conformiteit te onderbouwen, maar het bezit van een certificaat vervangt de juridische verantwoordelijkheid niet.
| Begrip | Oorsprong | Juridische status | Kernvragen |
|---|---|---|---|
| Wet | Wetgever / Overheid | Verplichtend | Wat moet of mag absoluut niet? |
| Norm | Normalisatie-instituten (experts/markt) | Vrijwillig (tenzij gekoppeld aan wet/contract) | Hoe voer je het proces op gestandaardiseerde wijze uit? |
| Certificaat | Onafhankelijke auditpartij | Bewijsstuk / Waardering | Is getoetst dat het proces werkt zoals afgesproken? |
Wat een managementsysteemnorm in de kern inhoudt
Veel van de veelbesproken internationale normen rondom technologie zijn opgebouwd als managementsysteemnormen. Het is essentieel te begrijpen dat een managementsysteemnorm geen directe eisen stelt aan de rekenkundige nauwkeurigheid van een algoritme of de architectuur van een neuraal netwerk. Een managementsysteemnorm stelt eisen aan de wijze waarop een organisatie besluitvorming structureert, risico's in kaart brengt, maatregelen documenteert en processen herhaaldelijk herziet.
In de kern volgt een managementsysteem de bekende cyclus van plannen, uitvoeren, controleren en bijsturen (Plan-Do-Check-Act). Toegepast op de ontwikkeling of implementatie van kunstmatige intelligentie vraagt een managementsysteem dat een organisatie gedocumenteerd vastlegt:
- Welke doelen en risico's zijn geïdentificeerd voor de specifieke toepassing.
- Welke rollen en verantwoordelijkheden zijn toegewezen aan medewerkers en leidinggevenden.
- Welke bewakings- en testmechanismen worden toegepast gedurende de levenscyclus van de software.
- Hoe incidenten en afwijkingen worden geregistreerd, geëvalueerd en gecorrigeerd.
Voor buitenstaanders en technici kan deze nadruk op procedures en verslaglegging teleurstellend overkomen. Het toepassen van een managementsysteem garandeert niet dat een getraind model vrij is van fouten, hallucinaties of vertekening (bias). Wat het wel garandeert, is dat er een aantoonbaar en controleerbaar proces aanwezig is waarin keuzes bewust zijn gemaakt en herleidbaar zijn vastgelegd. Als er iets misgaat, kan de organisatie aantonen welke afwegingen vooraf zijn gemaakt en op welke manier het risico werd gemonitord.
Verhouding tot informatiebeveiliging en privacy
Normen voor kunstmatige intelligentie staan niet op zichzelf. Ze bouwen voort op bestaande en ingeburgerde structuren voor informatiebeveiliging en gegevensbescherming. Organisaties die reeds ervaring hebben met bekende kaders voor informatiebeveiliging (zoals de bekende ISO/IEC 27001-reeks) of de Algemene Verordening Gegevensbescherming (AVG) ontdekken snel dat de basiseisen sterk op elkaar lijken.
Een organisatie met een volwassen managementsysteem voor informatiebeveiliging beschikt al over een risicoregister, toegangsbeheer, incidentenprocedures en interne auditcycli. De uitbreiding naar AI-specifieke normering vraagt niet om het opbouwen van een compleet nieuw administratief apparat, maar om het toevoegen van specifieke risicocategorieën aan het bestaande raamwerk.
Denk bij AI-specifieke toevoegingen aan:
- Het expliciet monitoren van de datakwaliteit en de herkomst van trainings- en testdata.
- Het inrichten van menselijk toezicht (human-in-the-loop) in operationele processen.
- Het waarborgen van transparantie en uitlegbaarheid van geautomatiseerde besluiten.
- Het beheren van de specifieke kwetsbaarheden van AI-modellen, zoals data-poisoning of afwijkingen in modelprestaties na verloop van tijd (model drift).
Voor een organisatie die nog geen enkele ervaring heeft met gestructureerde normering is de instapdrempel hoog. Organisaties met een solide basis op het gebied van informatiebeveiliging en IT-governance hebben daarentegen minder nieuw werk te verrichten dan op het eerste gezicht lijkt. Zij kunnen bestaande auditmechanismen uitbreiden met AI-specifieke controlepunten.
De verschillende soorten normen naast elkaar
Het landschap van standaarden is divers en bestaat uit meerdere lagen die elkaar aanvullen. Om overzicht te houden, worden normen doorgaans onderverdeeld in drie categorieën:
1. Bestuurlijke en organisatorische normen
Dit zijn de reeds genoemde managementsysteemnormen. Ze bepalen hoe het bestuur en de directie sturing geven aan de toepassing van technologie binnen de gehele organisatie. Een voorbeeld hiervan is de internationale standaard voor AI-managementsystemen, ISO/IEC 42001. Deze norm biedt de overkoepelende organisatorische structuur.
2. Normen voor terminologie en begrippen
In een snel ontwikkelend vakgebied ontstaat verwarring als marktpartijen, juristen en technici niet dezelfde taal spreken. Begripsnormen, zoals ISO/IEC 22989, leggen definities vast van termen zoals 'autonomie', 'machine learning', 'bias' en 'uitlegbaarheid'. Deze standaarden zorgen ervoor dat een contractuele afspraak of een wettelijke verplichting door alle betrokken partijen op dezelfde manier wordt geïnterpreteerd.
3. Technische richtlijnen en procesnormen
Deze normen bieden specifieke, operationele handvatten voor ontwikkelaars en engineers. Voorbeelden zijn richtlijnen voor het beoordelen van datakwaliteit voor analytics en AI (zoals de ISO/IEC 5259-reeks), technische kaders voor risicobeheer (zoals het NIST AI Risk Management Framework) of standaarden voor het testen van de robuustheid van modellen. Deze documenten beschrijven concrete meetmethoden en beproevingsprotocollen.
Geharmoniseerde normen: waarom normalisatie politiek is geworden
Een cruciale schakel in de Europese regelgeving is het concept van de 'geharmoniseerde norm'. Dit is een standaard die op verzoek van de Europese Commissie is ontwikkeld door Europese normalisatie-organisaties (zoals CEN en CENELEC) en waarvan de referentie is gepubliceerd in het Publicatieblad van de Europese Unie.
Wanneer een organisatie een geharmoniseerde norm volledig toepast, ontstaat er een zogenaamd 'vermoeden van conformiteit'. Dit betekent dat de toezichthouder er rechtens van uitgaat dat het product of de dienst voldoet aan de specifieke wettelijke eisen die door de norm worden afgedekt. Dit mechanisme verlaagt de administratieve bewijslast voor organisaties aanzienlijk.
Doordat geharmoniseerde normen direct invloed hebben op hoe een Europese wet in de praktijk wordt gehandhaafd, is het opstellen van deze normen niet langer een louter technische aangelegenheid. Normalisatie-commissies zijn de afgelopen jaren het speelveld geworden van internationale politieke en economische belangen. Grote technologiebedrijven, nationale overheden en maatschappelijke organisaties proberen hun eigen definities, protocollen en marktbelangen te verankeren in deze standaarden. Wie de norm bepaalt, bepaalt immers de toegangseisen tot de markt.
Wat certificering praktisch inhoudt
Het behalen van een certificaat op basis van een norm is een formeel traject dat wordt uitgevoerd door een externe, onafhankelijke partij (een certificerende instelling). Dit proces verloopt doorgaans in een vast patroon:
- Fase 1-audit (Documentenbeoordeling): De auditor controleert of de verplichte beleidsstukken, risicoanalyses, registeroverzichten en procesbeschrijvingen op papier aanwezig zijn en voldoen aan de normeisen.
- Fase 2-audit (Praktijktoetsing): De auditor spreekt met medewerkers, bekijkt concrete projecten en toetst of de vastgelegde processen in de dagelijkse praktijk daadwerkelijk worden nageleefd en aantoonbaar werken.
- Certificaatverlening: Bij een positief advies wordt het certificaat afgegeven, meestal met een duidelijk afgebakende reikwijdte (scope) en een beperkte geldigheidsduur (vaak drie jaar).
- Periodieke herbeoordeling: Certificering is geen eenmalige momentopname. Jaarlijks vindt een tussentijdse controle-audit plaats om vast te stellen of het managementsysteem operationeel blijft. Na afloop van de geldigheidsduur is een volledige hertoetsing vereist.
Wanneer levert certificering waarde op en wanneer kost het vooral geld?
Een certificeringstraject vraagt een substantiële investering in tijd, middelen en externe auditkosten. Het is voor organisaties dan ook essentieel om vooraf te bepalen wat het concrete doel is van een formeel certificaat.
Formele certificering levert een duidelijke meerwaarde op in situaties waarin extern vertrouwen noodzakelijk is. Bij grote overheidsaanbestedingen of zakelijke trajecten in ketens met strenge risicoprofielen eisen opdrachtgevers steeds vaker vooraf het bewijs van een gecertificeerd managementsysteem. In die gevallen functioneert het certificaat als een toegangsbewijs tot de markt. Het bespaart tijd omdat de organisatie niet bij elke individuele klant een langdurige leveranciersaudit hoeft te ondergaan.
Voor een kleine organisatie met een enkele, interne toepassingen met een laag risicoprofiel staat de opschaling van formele certificering vaak niet in verhouding tot de baten. De financiële middelen en de overhead die nodig zijn om een certificerend orgaan jaarlijks te laten auditeren, kunnen in dat geval beter worden ingezet voor directe kwaliteitstesten en inhoudelijk risicobeheer. Meer over de afwegingen voor kleinere organisaties lees je in het artikel over AI-governance voor het MKB.
Scherpe kritiek op procesnormering
Er is fundamentele en terechte kritiek op de sterke nadruk op managementsysteemnormen binnen de technologiesector. Het voornaamste kritiekpunt is dat procesnormen de neiging hebben te verworden tot een bureaucratische afvinkexercitie. Een organisatie kan een perfect gedocumenteerd managementsysteem hebben waarin elke risicoanalyse keurig is gearchiveerd, terwijl het uiteindelijke model in de praktijk alsnog bevooroordeelde of schadelijke resultaten genereert.
Bij fysieke producten, zoals een hijskraan of een medisch hulpmiddel, zijn de fysieke eigenschappen en slijtage direct meetbaar tegen duidelijke veiligheidsmarges. Bij AI-systemen liggen die grenzen ingewikkelder. Het gedrag van een probabilistisch model hangt sterk af van de context, de invoer van de gebruiker en de veranderende omgeving. De illusie van veiligheid die uitgaat van een papier-correct managementsysteem is bij software- en AI-toepassingen daarom een groter risico dan bij traditionele industriële normen.
Normen moeten daarom worden gezien als een organisatorisch fundament, en nooit als een garantie voor ethische of feitelijke juistheid op systeemniveau.
Waarde behalen zonder formeel certificaat
Het goede nieuws voor organisaties is dat het hanteren van een norm en het behalen van een formeel certificaat twee gescheiden besluiten zijn. Een organisatie kan een internationale norm prima aanschaffen, bestuderen en als interne leidraad gebruiken zonder ooit een externe auditor over de vloer te laten komen.
De structuur die de normering biedt, helpt organisaties bij het opzetten van nuttige interne instrumenten, zoals:
- Het AI-register: Een centraal overzicht van alle binnen de organisatie gebruikte algoritmen, modellen, leveranciers en doel einden.
- Een heldere risicoclassificatie: Een methode om toepassingen in te delen naar impact op de organisatie en de gebruiker, zodat toezicht en controle evenredig worden ingezet.
- Vaste herzieningsmomenten: Het inbouwen van periodieke evaluaties waarin wordt getoetst of een in productie genomen model nog steeds presteert volgens de oorspronkelijke specificaties.
Door deze elementen op te nemen in de bedrijfsvoering ontstaat een volwassen vorm van governance. Dit kan onder meer worden vormgegeven door een gestructureerd AI-beleid op te stellen dat aansluit bij de feitelijke werkprocessen. Mocht er in de toekomst alsnog een markt- of wetgevingsplicht ontstaan om te certificeren, dan ligt het fundament er al en kan de formele audit met minimale extra inspanning worden doorlopen.
Dynamiek en beweging in het veld
Het veld van AI-standaarden beweegt snel. Regelmatig verschijnen er nieuwe leidraden, worden conceptnormen herzien of ontstaan er specifieke sectorale richtlijnen. Dit betekent dat beweringen over 'de definitieve AI-standaard' met de nodige terughoudendheid moeten worden gelezen.
Er bestaat niet één overkoepelende norm die alle aspecten van AI-ontwikkeling, databeheer en maatschappelijke impact afdekt. Organisaties doen er verstandig aan om de internationale en Europese ontwikkelingen op de voet te volgen, maar tegelijkertijd hun focus te houden op de kern: het in kaart brengen van eigen risico's, het transparant bepalen van verantwoordelijkheden en het continu controleren van de gebruikte systemen.
De opkomst van gespecialiseerde tools ondersteunt organisaties bij het overzichtelijk houden van deze processen. Een overzicht van software die helpt bij documentatie en risicobewaking vind je in het overzicht van AI-governance en compliance platforms. Bovendien heeft de stijgende vraag naar gestructureerde naleving geleid tot nieuwe functies binnen organisaties. Meer informatie over het functieprofiel van de specialist die deze processen leidt, is te lezen in de omschrijving van de AI compliance officer rol.
