Competentie en bewustzijn in het AIMS: zo voldoe je aan clausule 7.2 en 7.3 van ISO 42001

Bij de voorbereiding op een ISO 42001-certificering gaat de aandacht meestal naar de risicobeoordeling, het AI-beleid en de Annex A-controls. Hoofdstuk 7 blijft dan liggen. Dat is jammer, want de eisen aan competentie (clausule 7.2) en bewustzijn (clausule 7.3) leveren bij audits opvallend vaak afwijkingen op. De vraag erachter is ook niet vrijblijvend: wie mag bij jullie een AI-risicobeoordeling uitvoeren, en waaruit blijkt dat die persoon dat kan? Dit artikel beschrijft wat beide clausules vragen, welke afwijkingen wij in de auditpraktijk tegenkomen en hoe je met één programma ook de AI-geletterdheidsverplichting uit artikel 4 van de EU AI Act afdekt.

Wat clausule 7.2 vraagt

In eigen woorden komt clausule 7.2 neer op vier stappen. Bepaal welke competenties nodig zijn voor het werk dat de prestaties van het AI-managementsysteem en de uitkomsten van AI-systemen beïnvloedt. Zorg dat de mensen die dat werk doen aantoonbaar competent zijn, op basis van opleiding, training of ervaring. Onderneem actie waar competenties ontbreken en beoordeel daarna of die actie heeft gewerkt. En bewaar gedocumenteerde informatie als bewijs.

Die vier stappen kent iedereen die een ISO 27001-systeem beheert; de formulering loopt parallel. Het verschil zit in de invulling. Bij informatiebeveiliging weet een organisatie meestal wel welke kennis een securityfunctionaris nodig heeft. Bij AI is dat minder uitgekristalliseerd. Wat moet een productmanager weten die een AI-functie in een dienst laat bouwen? Welke kennis heeft iemand nodig om een impactassessment te beoordelen op maatschappelijke gevolgen? Daar begint het werk.

Meer rollen dan alleen de data scientist

De reikwijdte van 7.2 is het werk dat de uitkomsten van AI-systemen beïnvloedt. Dat is een bredere groep dan het AI-team. Denk aan de ontwikkelaars en engineers die modellen bouwen en trainen. Aan de mensen die het AIMS beheren en de governance uitvoeren. Aan productmanagers die beslissen welke AI-functies er komen. Aan de collega's die risicobeoordelingen en impactassessments uitvoeren; juist voor die groep vraagt de norm om kennis van AI-ethiek, fairness en de beoordeling van gevolgen voor personen en samenleving. En aan het management dat toezicht houdt op AI-systemen en daarover besluiten neemt.

Het praktische instrument is een competentiematrix: per rol de vereiste kennis en vaardigheden, bijvoorbeeld ML-basiskennis, datamanagement, biasdetectie, uitlegbaarheid en kennis van AI-regelgeving. Niet elke rol hoeft alles te kunnen. Een bestuurder hoeft geen model te kunnen trainen, maar moet wel begrijpen wat een fairnessmetriek zegt en wat er op het spel staat als die verslechtert. De matrix maakt zichtbaar waar de lat ligt en waar gaten zitten, en het trainingsplan volgt daaruit.

Wat clausule 7.3 vraagt

Bewustzijn is iets anders dan competentie. Competentie gaat over kunnen; bewustzijn over weten. Clausule 7.3 vraagt dat iedereen die onder het gezag van de organisatie werkt drie dingen weet: wat het AI-beleid inhoudt, wat de eigen bijdrage aan het AIMS is, en wat de gevolgen zijn als de eisen niet worden nageleefd. Dat laatste is concreter dan het klinkt. Een ontwikkelaar moet weten dat een model uitrollen zonder de afgesproken tests geen slordigheid is maar een afwijking van het managementsysteem, met mogelijke gevolgen voor klanten en betrokkenen.

De doelgroep van 7.3 is nadrukkelijk breder dan die van 7.2. Ook de collega die alleen een AI-chatbot als hulpmiddel gebruikt, moet weten dat er een AI-beleid is en wat dat voor zijn of haar werk betekent. In de praktijk betekent dit een bewustzijnsprogramma dat verder reikt dan het technische team: een module in de onboarding, periodieke communicatie bij beleidswijzigingen of nieuwe AI-systemen, en een vorm van vastlegging waarmee je kunt aantonen dat de boodschap is aangekomen.

Afwijkingen die wij vaak zien

Uit onze auditpraktijk en de guidance in onze interne-auditmodule komt een herkenbaar rijtje. Competentie-eisen voor AI-rollen zijn nergens gedefinieerd; er is geen matrix of raamwerk. Trainingen gaan uitsluitend over techniek en slaan ethiek, verantwoorde AI en regelgeving over. Er zijn geen registraties: er is wel getraind, maar niemand kan aantonen wie, wanneer en waarin. De effectiviteit van trainingen wordt niet beoordeeld, dus onbekend is of deelnemers de kennis kunnen toepassen. En de mensen die risico- en impactassessments uitvoeren, missen aantoonbare kennis van fairness en maatschappelijke impact, terwijl hun oordeel het fundament onder het AIMS is.

Bij 7.3 zien we vooral dat bewustzijn blijft hangen bij het AI-team en businessgebruikers of managers nooit bereikt. Of het beleid komt eenmalig langs bij de onboarding en daarna nooit meer. Activiteiten zijn ad hoc, zonder plan en zonder vastlegging, waardoor er bij de audit niets te tonen valt.

De link met AI-geletterdheid uit de EU AI Act

Sinds 2 februari 2025 verplicht artikel 4 van de EU AI Act aanbieders en gebruiksverantwoordelijken om te zorgen voor een toereikend niveau van AI-geletterdheid bij hun personeel, afgestemd op kennis, rol en context. Daarnaast vraagt artikel 26 lid 2 dat menselijk toezicht op hoog-risicosystemen wordt belegd bij personen met de nodige competentie, opleiding en autoriteit.

Wie 7.2 en 7.3 goed inricht, heeft daarmee het grootste deel van deze wettelijke verplichtingen al staan. De competentiematrix, het trainingsplan en de registraties uit het AIMS zijn precies het bewijs waarmee je bij een toezichthouder aantoont dat je aan artikel 4 werkt. Andersom geldt hetzelfde: een organisatie die voor de AI Act al een geletterdheidsprogramma heeft opgezet, kan dat programma onder het AIMS hangen in plaats van iets nieuws te bouwen. Eén programma, twee doelen.

Welke documenten een auditor verwacht

Voor clausule 7.2: een competentiematrix of rolprofielen met AI-competentie-eisen, een trainingsplan, trainingsregistraties en certificaten, en vastlegging van de evaluatie van effectiviteit (toetsresultaten, assessments of beoordelingen). Voor clausule 7.3: een plan voor het bewustzijnsprogramma, deelnameregistraties, bevestigingen van kennisname van het AI-beleid en interne communicatie over AI-governance, zoals aankondigingen bij nieuwe systemen of beleidswijzigingen.

De interviewvragen liggen in het verlengde. Hoe zijn de competentie-eisen voor AI-rollen bepaald? Welke training krijgen de mensen die risicobeoordelingen uitvoeren? Hoe meet je of een training heeft gewerkt? En de lakmoesproef voor 7.3: kan een willekeurige collega buiten het AI-team vertellen dat er een AI-beleid is en wat dat voor zijn of haar werk betekent? Als het antwoord nee is, weet je wat er de komende maanden te doen staat.

In de interne-auditmodule van het Secure Audit platform staan voor 7.2 en 7.3 het criterium, de interviewvragen, een voorbeeld van een goede inrichting en de documenten die je paraat wilt hebben. Zo toets je vooraf of dit deel van je AIMS auditbestendig is. Neem contact op voor een vrijblijvend gesprek.