Wat is AI-conformiteitsbeoordeling?
Voordat een AI-systeem met een hoog risico op de markt komt, moet iemand het controleren op naleving van de regels. Conformiteitsbeoordeling is die controle — en wat het verbruikt, is bewijs.
Conformiteitsbeoordeling is de gestructureerde controle of een AI-systeem voldoet aan de toepasselijke regelgevingseisen. Afhankelijk van het systeem en het regime kan dit worden uitgevoerd door de aanbieder onder interne controle, of door een onafhankelijke instantie. Het onderzoekt technische documentatie, het kwaliteitsmanagementsysteem en bewijs over hoe het systeem zich daadwerkelijk gedraagt. Verwacht wordt dat normen in ontwikkeling zullen bepalen wat beoordelaars vragen en hoe zij dit beoordelen.
Wie voert de beoordeling uit
Het hangt af van het systeem. Veel risicovolle systemen worden door de aanbieder zelf beoordeeld onder een interne controleprocedure, met de verplichting om volledige documentatie te bewaren en deze op verzoek te overleggen. Anderen vereisen een onafhankelijke instantie. Hoe dan ook is de inhoud vergelijkbaar: een gedefinieerde set van vereisten, documentatie die elk van deze vereisten behandelt, en bewijs dat de beschrijving overeenkomt met de werkelijkheid.
Wat een beoordeling onderzoekt
In grote lijnen drie dingen. Documentatie — beschrijft het systeem, zijn doel, zijn risico's en zijn controles voldoende voor iemand anders om te evalueren. Beheer — is er een functionerend kwaliteitsysteem in plaats van een set bestanden. Bewijs — komt het werkelijke gedrag van het systeem overeen met wat is beschreven, onderzocht aan de hand van gegevens van specifieke gevallen in plaats van beweringen over algemeen gedrag. Het laatste hiervan is waar compliance bewijs zijn werk doet.
Beoordeling is geen eenmalige gebeurtenis.
Een systeem dat materieel verandert na beoordeling kan herbeoordeling vereisen, en verplichtingen blijven bestaan na markttoegang: monitoring, incidentrapportage en het bewaren van gegevens. Een beoordeling stelt een toestand vast op een bepaald moment; het handhaven van die toestand is een voortdurende plicht, wat de reden is waarom het bijhouden van gegevens belangrijker is dan een enkele succesvolle beoordeling.
Waarom normen hier belangrijk zijn
Regelgevende teksten stellen eisen in algemene termen; normen vertalen deze naar controleerbare specificaties. Waar een norm formeel wordt erkend, kan het volgen ervan de veronderstelling met zich meebrengen dat aan de bijbehorende eis is voldaan — wat normen de praktische route maakt die de meeste organisaties volgen, en hun inhoud ongewoon ingrijpend maakt. Verschillende relevante normen zijn nog in ontwikkeling, dus wat beoordelaars zullen vragen is nog niet volledig vastgesteld. Hoe certificering van managementsystemen zich verhoudt tot regelgeving is een veelvoorkomende verwarring, uitgelegd in ISO 42001 vs de EU AI Act — en de bredere verplichtingen zijn te vinden in de EU AI Act gids.
Wat beoordeling verbruikt
Vier invoerwaarden, in ongeveer de volgorde waarin een beoordelaar ze doorloopt.
Technische documentatie
Wat het systeem is, waarvoor het dient, hoe het is gebouwd, welke risico's zijn geïdentificeerd en welke controles deze aanpakken.
Kwaliteitsmanagement
Bewijs dat ontwikkeling en verandering worden beheerst door een functionerend proces in plaats van een aspiratief proces.
Zaakniveau-registraties
Registraties van individuele beslissingen, gebruikt om te controleren of gedrag overeenkomt met de beschrijving. Monstername is standaardpraktijk.
Post-markt registraties
Monitoring, incidenten en corrigerende acties, die aantonen dat het systeem nog steeds het systeem is dat is beoordeeld.
De derde invoer is waar de meeste organisaties het dunst zijn, omdat het niet achteraf kan worden geschreven — het moet zijn vastgelegd terwijl het systeem draaide.
Conformiteitsbeoordeling: veelgestelde vragen
Is conformiteitsbeoordeling hetzelfde als certificering?
Nee. Certificering wordt uitgegeven door een geaccrediteerde instantie op basis van een specifieke norm. Conformiteitsbeoordeling onder een regeling is een breder proces en, voor veel systemen, een proces dat de aanbieder zelf uitvoert. Gereedheid voor de een levert niet automatisch de ander op.
Maakt een ISO-certificering een systeem compliant?
Nee. Een certificering van een managementsysteem toont aan dat er governanceprocessen bestaan en worden gevolgd. Het is nuttig ondersteunend materiaal, maar het behandelt andere vragen dan de vereisten van een regelgeving voor een specifiek systeem.
Wie kan een beoordeling uitvoeren?
Voor veel risicovolle systemen valt de aanbieder onder interne controle. Sommige categorieën vereisen een onafhankelijke instantie. Het toepasselijke regime bepaalt welke route van toepassing is — dit is een vraag die vroeg moet worden beantwoord, omdat het verandert wat je moet produceren.
Wat triggert een herbeoordeling?
Typisch is een substantiële wijziging van het systeem of het beoogde doel ervan. Routinematige hertraining binnen de beschreven parameters doet dit meestal niet; het veranderen van waar het systeem voor bedoeld is, doet dit meestal wel.
Hoe ver terug kijkt een beoordeling?
Ver genoeg om de bewaartermijn te dekken die van toepassing is, gemeten in jaren. Daarom moeten documenten worden bewaard en beschikbaar zijn in plaats van slechts te hebben bestaan.
Kan tooling de beoordeling voor ons uitvoeren?
Nee. Tooling kan het bewijs produceren en organiseren dat een beoordeling verbruikt. De beoordeling zelf is een oordeel dat door mensen wordt gemaakt — het gekwalificeerde personeel van de aanbieder of een onafhankelijke instantie.
Wat als de normen nog niet af zijn?
Dan worden de vereisten op andere manieren vervuld, gedocumenteerd en gerechtvaardigd. Organisaties die nu bouwen, volgen over het algemeen de concepten, omdat de concepten aangeven wat beoordelaars uiteindelijk zullen verwachten.
Gerelateerde AI-governance-onderwerpen
AI Governance
De paraplu-discipline: hoe organisaties AI-agents verantwoordelijk, observeerbaar en compliant houden — start hier.
AI Observabiliteit
Zien wat uw AI-systemen in productie doen — metrieken, traces en logs.
LLM Observabiliteit
Bewaken van prompts, tokens, latentie en kwaliteit van grote taalmodelaanroepen.
AI Traceerbaarheid
Reconstructie van de volledige afstamming van een AI-uitvoer — invoer, stappen en beslissingen.
LLM Traceerbaarheid
End-to-end-traces van multi-stap LLM- en prompt-ketens.
AI Agent Observabiliteit
Observeerbaarheid voor autonome, multi-stap agents — toolaanroepen, plannen en beslissingen.
Agentische AI Governance
Besturen van autonome agents: beleid, toezicht en verantwoorde autonomie.
AI Audit Trail
Alleen-lezen, vervalsingsbewijsbare records van wat een AI-systeem besloot en waarom.
AI Agent Monitoring
Real-time monitoring van agentgedrag, drift en besliskwaliteit.
Verklaarbare AI (XAI)
Maken van AI-beslissingen begrijpelijk voor de mensen die verantwoordelijk zijn voor hen.
AI TRiSM
Gartners kader voor AI-vertrouwen, risico- en beveiligingsbeheer.
Bes
GraphRAG voor agents — het ophalen van eerdere beslissingen als begrensde, controleerbare pakketten.
Besluitregistratie
Het duurzame document van één AI-besluit — redenering, bewijs, beleid en goedkeuring in één bestand.
AI Compliance Bewijs
Wat auditors daadwerkelijk vragen, en waarom beleidsdocumenten geen bewijs zijn.
Beslissingstracing
Vastleggen van de gestructureerde redenering achter elke AI-beslissing — AI Agentree's categorie.
AI Precedent Systemen
Laten van agents leren van eerdere beslissingen als doorzoekbare precedenten.
Besluit Audit Trails
Hoe menselijke teams vastleggen waarom een beslissing is genomen - de deliberatie tegenhanger van een AI-audittrail.
Transparante AI
Het inspecteerbaar maken van modelredenering, en wat er verandert wanneer verschillende modellen met elkaar worden vergeleken.
Multi-Agent Simulatie
Het draaien van veel AI-persona's tegen één scenario om risico's aan het licht te brengen voordat een beslissing wordt genomen.
Wees voorbereid op de bewijsvraag
De documentatie kan later worden geschreven. De zaakniveau-registraties kunnen dat niet — ze moeten bestaan voordat iemand erom vraagt.
Verken het platform