AI-risicobeoordeling versus AI system impact assessment: het verschil tussen 6.1.2 en 6.1.4

Wie ISO 42001 implementeert, komt twee beoordelingsprocessen tegen die op het eerste gezicht op elkaar lijken: de AI-risicobeoordeling uit clausule 6.1.2 en het AI system impact assessment uit clausule 6.1.4. In de praktijk zien wij organisaties die de twee samenvoegen tot één document, of die het impact assessment overslaan omdat "we al een risicobeoordeling hebben". Beide zijn bij een certificeringsaudit een afwijking. De norm behandelt ze als aparte processen met een eigen doel, een eigen perspectief en een eigen uitkomst. In dit artikel leggen we het verschil uit en laten we zien hoe je beide inricht zonder dubbel werk te doen.

Twee vragen, twee perspectieven

Het kernverschil laat zich samenvatten in de vraag die elk proces beantwoordt. De risicobeoordeling (6.1.2) vraagt: welke risico's loopt de organisatie en haar omgeving door de ontwikkeling, levering en het gebruik van AI-systemen, en hoe groot zijn die risico's? Het impact assessment (6.1.4) vraagt: welke gevolgen kan dit specifieke AI-systeem hebben voor individuen, groepen en de samenleving, zowel bij beoogd gebruik als bij redelijkerwijs voorzienbaar misbruik?

Het perspectief verschilt dus. De risicobeoordeling kijkt breed naar risico's binnen de AIMS-scope en weegt kans en impact tegen acceptatiecriteria. Het impact assessment kijkt per AI-systeem naar de buitenwereld: de sollicitant die door een model wordt gescreend, de patiënt die door een algoritme wordt getrieerd, de groepen die onevenredig geraakt kunnen worden. De norm vraagt in 6.1.2 overigens ook al om risico's voor individuen en de samenleving mee te wegen, maar het impact assessment gaat daar dieper op in en dwingt een systematische analyse per systeem af.

Wat clausule 6.1.2 vraagt

De risicobeoordeling moet volgens de norm een gedefinieerd en herhaalbaar proces zijn. Dat betekent concreet: vastgelegde risicocriteria met schalen voor kans en impact en drempels voor risicoacceptatie, een aanpak die bij herhaling consistente en vergelijkbare resultaten oplevert, en identificatie van risico's rond ontwikkeling, levering en gebruik van AI-systemen. De impactschalen horen breder te zijn dan alleen financieel en reputatie: ook ethische, maatschappelijke en juridische dimensies tellen mee.

In de praktijk gaat het hier vaak mis op consistentie. Verschillende teams beoordelen risico's met verschillende maatstaven, waardoor de uitkomsten niet vergelijkbaar zijn en prioritering op drijfzand staat. Een gestandaardiseerd sjabloon met een scoringsrubriek en een kalibratiesessie tussen teams lost dat grotendeels op. Een tweede veelvoorkomend gat: de beoordeling gebeurt één keer, bij het ontwerp, en daarna nooit meer. De norm verwacht beoordelingen op meerdere momenten in de levenscyclus, ook bij hertraining, nieuwe databronnen of inzet in een nieuwe context. Clausule 8.2 herhaalt die eis voor de operationele fase: op geplande momenten en bij significante wijzigingen.

Wat clausule 6.1.4 vraagt

Het impact assessment is een proces om de mogelijke gevolgen van AI-systemen voor individuen, groepen en de samenleving te beoordelen. Drie elementen maken het anders dan de risicobeoordeling. Ten eerste het onderwerp: niet het organisatierisico staat centraal, maar de impact op mensen. Denk aan discriminatie, aantasting van privacy, verlies van autonomie, gevolgen voor kwetsbare groepen en bredere maatschappelijke effecten. Ten tweede de scope van scenario's: de norm vraagt expliciet om naast het beoogde gebruik ook redelijkerwijs voorzienbaar misbruik te analyseren. Wat gebeurt er als iemand het systeem inzet voor een doel waarvoor het niet is bedoeld? Ten derde de doorwerking: de resultaten moeten worden gedocumenteerd en gebruikt bij risicobehandeling, ontwerpkeuzes en de beslissing om een systeem wel of niet in productie te nemen.

Een goed ingericht assessment is proportioneel: de diepgang groeit mee met het risiconiveau van het systeem. Voor een intern hulpmiddel dat vergaderverslagen samenvat is een beknopte beoordeling voldoende. Voor een model dat sollicitanten voorselecteert, wil je een grondige analyse met betrokkenheid van juridische of ethische expertise.

Hoe de twee processen samenwerken

De processen zijn gescheiden, maar niet los van elkaar. De logische volgorde: het impact assessment levert per systeem inzicht in wie geraakt kan worden en hoe ernstig. Die uitkomsten voeden de risicobeoordeling, waar impact op individuen en samenleving een van de dimensies is waarop risico's worden gescoord. De risicobeoordeling leidt vervolgens tot risicobehandeling (6.1.3): maatregelen selecteren, toetsen aan Annex A en vastleggen in de Statement of Applicability en het risicobehandelplan.

Een voorbeeld. Een organisatie zet een model in voor CV-voorselectie. Het impact assessment identificeert dat het model kandidaten uit bepaalde groepen structureel lager kan scoren door bias in de trainingsdata, en dat afgewezen kandidaten geen inzicht hebben in de reden. De risicobeoordeling vertaalt dit naar gescoorde risico's: discriminatierisico met juridische en ethische impact, transparantierisico richting kandidaten en toezichthouders. De risicobehandeling koppelt daar maatregelen aan: fairness-metingen per doelgroep, menselijke review van afwijzingen en informatievoorziening aan kandidaten. Zo hangt het geheel aan elkaar en kan een auditor de lijn volgen van impact naar risico naar maatregel.

Veelvoorkomende afwijkingen bij audits

Bij audits op deze twee clausules zien wij dezelfde patronen terugkomen. Er is geen apart impactassessmentproces: de organisatie beschouwt de technische risicobeoordeling als afdoende. De risicocriteria kijken alleen naar organisatie-impact en laten gevolgen voor individuen en groepen buiten beschouwing. Voorzienbaar misbruik wordt niet geanalyseerd. Impactassessments worden alleen gedaan voor de zichtbaar risicovolle systemen, terwijl de norm ze vraagt voor de systemen binnen de scope, ook de interne en ogenschijnlijk onschuldige. En de resultaten belanden in een documentmap zonder dat er in ontwerp of uitrolbeslissingen iets mee gebeurt. Dat laatste is misschien wel de meest voorkomende: het assessment bestaat, maar stuurt niets.

Welke documenten een auditor verwacht

Voor 6.1.2: de methodiek en procedure voor AI-risicobeoordeling, de risicocriteria en acceptatiedrempels, uitgevoerde risicobeoordelingen voor de systemen binnen de scope, sjablonen en scoringsrubrieken, en registraties van review en goedkeuring. Voor 6.1.4: de procedure voor het impact assessment, uitgevoerde assessments per systeem, sjablonen, registraties van stakeholderconsultatie en review, en uitrolbeslissingen die aantoonbaar naar de assessmentuitkomsten verwijzen. Wie beide sets kan overleggen en de samenhang kan uitleggen, staat er bij een certificeringsaudit goed voor.

Voor organisaties die ook met de EU AI Act te maken hebben: het impact assessment van 6.1.4 is een goede basis voor de fundamentele-rechtenbeoordeling die de verordening voor bepaalde inzet van hoogrisicosystemen vraagt, maar de twee zijn niet identiek. Wie wil weten waar zijn AI-systemen onder de verordening vallen, kan onze zelfassessment op /ai-act-check doen.

Hulp nodig bij het inrichten van je AI-risicobeoordeling of impactassessmentproces? Wij helpen organisaties bij pragmatische ISO 42001-implementaties, met sjablonen en werkwijzen die bij een certificeringsaudit standhouden. Neem contact op voor een vrijblijvend gesprek.