Kennisbank · whitepaper
AI veilig en verantwoord gebruiken
AI kan medewerkers aantoonbaar ondersteunen, maar ook vertrouwelijke informatie laten weglekken en overtuigende onjuistheden produceren. Organisaties hebben geen verbod nodig, maar bestuurbare kaders.
Jan Willem van Hoorn, lead auditor NEN 7510 en ISO 27001 · LinkedIn
juni 2026 · leestijd 4 minuten
Een medewerker die een cliëntverslag, offerte, broncode of intern besluit in een publieke AI-dienst plakt, start feitelijk een externe gegevensverwerking. De organisatie verliest dan mogelijk de controle over opslag, hergebruik, bewaartermijnen, doorgifte en verwijdering.
ISO 27001:2022 en NEN 7510:2024 verbieden AI niet. Ze vragen wel dat je context, risico's, leveranciers, informatie, bevoegdheden en incidenten aantoonbaar beheerst. Behandel AI daarom niet als een losse applicatie, maar als een nieuwe verwerkingsketen.
De bestuurlijke minimumset in acht onderdelen
- Een actueel register van AI-systemen en -toepassingen, inclusief informeel gebruik.
- Een gegevensclassificatie die bepaalt welke informatie in welke AI-omgeving mag.
- Een goedkeuringsproces per toepassing, op basis van impact en menselijke controle.
- Beoordeling van leveranciers: training op klantdata, logging, bewaartermijn, locatie en subverwerkers.
- Heldere werkinstructies voor medewerkers en praktijkgerichte AI-geletterdheid.
- Menselijke controle van belangrijke output, extra streng in zorg, HR, juridisch en financieel.
- Logging, incidentmelding, monitoring en verbetering binnen het bestaande ISMS.
- Bestuurlijke keuzes over proportionaliteit, rechten, transparantie en maatschappelijke impact.
Een zakelijke licentie is daarbij geen automatische garantie. Controleer de feitelijke instellingen en contractvoorwaarden.
AI-gebruik in je ISMS borgen?
Plan een vrijblijvend kennismakingsgesprek; je krijgt binnen 24 uur een reactie. Jan Willem kijkt met je naar je situatie, je deadline en de beschikbare tijd, en vertelt eerlijk wat haalbaar is.