ISO 42001 Maturity Model: groeien naar volwassen AI-governance
De meeste organisaties gebruiken AI sneller dan hun governance kan bijhouden. Het gevolg is voorspelbaar: losse initiatieven per afdeling, impliciete risico’s en besluitvorming die pas achteraf wordt vastgelegd. Niet uit onwil, maar omdat niemand de vraag heeft gesteld wie er eigenlijk stuurt.
Het ISO 42001 Maturity Model maakt zichtbaar waar je staat, wat de logische volgende stap is en hoe je gecontroleerd groeit naar volwassen AI-governance. Vijf niveaus, gebaseerd op 42001 en gevoed door wat wij als Lead Auditor in de praktijk tegenkomen. Geen score om de score, maar een stuurinstrument voor management en bestuur.
Waarom een volwassenheidsmodel voor ISO 42001?
42001 beschrijft wát je moet organiseren. Het zegt niets over hoe ver je daarin bent, en daar zit voor de meeste organisaties het echte vraagstuk. Wie de norm als checklist benadert, krijgt een managementsysteem op papier dat in de praktijk niemand gebruikt.
Het volwassenheidsmodel beantwoordt een andere vraag: hoe goed werkt het wat je hebt ingericht? Directies gebruiken het om AI-initiatieven te overzien, risico’s te prioriteren en investeringen te onderbouwen richting bestuur. Voor organisaties die certificering op 42001 overwegen, voorkomt het model dat de norm verwordt tot een ja/nee-oefening. Een organisatie die weet op welk niveau ze staat, weet ook welke stap haalbaar is en welke nog niet.
Uit onze auditpraktijk: vrijwel elke organisatie die zich bij ons meldt voor 42001 schat zichzelf op niveau 3, en zit feitelijk op niveau 2. Het verschil is zelden beleid. Het verschil is eigenaarschap.
Hoe werkt het ISO 42001 Maturity Model?
Het model beoordeelt AI-volwassenheid op vijf kerngebieden: governance en besluitvorming, AI-risicomanagement, lifecycle management, beleid en kaders, en monitoring en verbetering. Die gebieden sluiten direct aan op de normstructuur: leiderschap en sturing (cl. 5.1), risicobeoordeling (cl. 6.1) en de managementreview (cl. 9.3) vormen samen de ruggengraat.
Per domein kijken we naar drie dingen: consistentie, borging en sturing. Doet de organisatie wat ze zegt, ook als de projectleider op vakantie is? Is vastgelegd wie beslist, of weet “iedereen het wel”? En stuurt het management op AI-risico’s, of leest het er achteraf over in een rapportage? Documentdichtheid telt nadrukkelijk niet mee. Een dikke beleidsmap op niveau 1 blijft niveau 1.
De vijf volwassenheidsniveaus
Niveau 1: Ad hoc
AI wordt gebruikt, maar incidenteel en zonder centrale regie. Medewerkers experimenteren met tools, afdelingen kopen eigen oplossingen in en beslissingen liggen bij individuen. Risico’s zijn impliciet: ze bestaan wel, maar niemand heeft ze benoemd of geadresseerd. Kenmerkend voor dit niveau is veel innovatiedrang en weinig overzicht. Dat is geen diskwalificatie. Vrijwel elke organisatie start hier, en de energie van dit niveau is later goud waard, mits er sturing bijkomt.
Niveau 2: Bewust
Er ontstaat besef dat AI om governance vraagt. De eerste beleidsafspraken liggen er, AI-risico’s worden herkend en er is meestal een werkgroep of een verantwoordelijke aangewezen. Wat ontbreekt is structurele borging: het beleid bestaat, maar leeft alleen bij de mensen die het schreven. In audits is dit het niveau waar we de meeste organisaties aantreffen, vaak terwijl ze zelf denken verder te zijn. De toets is simpel: vraag drie willekeurige medewerkers wie een nieuw AI-gebruik moet goedkeuren. Op niveau 2 krijg je drie verschillende antwoorden.
Niveau 3: Beheerst
AI wordt organisatiebreed beheerst. Rollen en verantwoordelijkheden zijn helder belegd, risicoanalyses zijn structureel en de stappen in de AI-lifecycle liggen vast: van use-case-intake tot uitfasering. AI is onder controle, maar de sturing is nog vooral operationeel. Het management krijgt rapportages, maar gebruikt ze zelden om strategische keuzes te maken. Dit is het minimumniveau waarop een 42001-certificeringstraject realistisch wordt.
Niveau 4: Gestuurd
AI is onderdeel van strategische besluitvorming. Het MT stuurt actief op AI-risico’s, governance is geïntegreerd in het bredere managementsysteem en monitoring en evaluatie zijn structureel ingericht. Het verschil met niveau 3 zit in de richting van het gesprek: op niveau 3 rapporteert de organisatie aan het management, op niveau 4 stelt het management de vragen. AI ondersteunt de strategie, niet andersom.
Niveau 5: Volwassen
AI-governance is volledig ingebed in hoe de organisatie werkt. Continu verbeteren is de norm, er is transparantie richting stakeholders en AI-risico’s én kansen worden voorspelbaar gemanaged. Weinig organisaties zitten hier, en dat hoeft ook niet: niveau 5 is alleen zinvol voor organisaties waar AI kernactiviteit is. Voor de meeste organisaties is niveau 4 het reële eindstation, en dat is een uitstekende plek.
Wat levert een ISO 42001 maturity assessment op?
Na een assessment heb je een objectief beeld van je AI-volwassenheid per domein, inzicht in de grootste risico’s en quick wins, en een realistische roadmap naar het volgende niveau. Geen ambitieplaat richting niveau 5, maar de stap die past bij waar je staat. Dat beeld onderbouwt investeringsbeslissingen richting bestuur en vormt directe input voor een 42001-implementatie of auditvoorbereiding.
Een assessment duurt twee tot drie weken, afhankelijk van het aantal AI-toepassingen. De doorgroei van niveau 2 naar niveau 3 kost de meeste organisaties vier tot acht maanden; sneller kan, maar dan koop je documenten in plaats van gedrag. Het assessment is daarmee het natuurlijke startpunt voor AI-governance-inrichting, een AI-implementatietraject of een management review over AI.
Voor wie is het ISO 42001 Maturity Model bedoeld?
Het model is gemaakt voor organisaties die AI inzetten maar overzicht missen, en voor directies en MT’s die grip willen op AI-risico’s zonder de innovatie te smoren. Zorginstellingen en IT-leveranciers vormen onze grootste groep, omdat daar AI-gebruik en toezichtsdruk samenkomen. Daarnaast is het model het logische vertrekpunt voor organisaties die 42001 overwegen: iQomply begeleidde de eerste 42001-certificering van Nederland, en dat traject begon met exact deze vraag. Waar staan we, en wat is de volgende stap?
Veelgestelde vragen over het ISO 42001 Maturity Model
Hoe verhoudt het maturity model zich tot ISO 42001-certificering?
Het model is geen onderdeel van de norm, maar een stuurinstrument erbovenop. 42001 stelt eisen; het volwassenheidsmodel meet hoe goed die eisen werken in de praktijk. Certificering wordt realistisch vanaf niveau 3. Organisaties die eerder een certificeringstraject starten, halen het soms wel, maar bouwen dan een systeem dat na het certificaat stilvalt. Het model voorkomt die valse start.
Hoe lang duurt een ISO 42001 maturity assessment?
Twee tot drie weken, afhankelijk van het aantal AI-toepassingen en de omvang van de organisatie. Het assessment bestaat uit documentreview, interviews met sleutelfunctionarissen en een toets op de werking in de praktijk. Je ontvangt een niveaubepaling per domein, de belangrijkste risico’s en een concrete roadmap naar het volgende niveau.
Op welk niveau moet onze organisatie zitten voor certificering?
Niveau 3 is het reële minimum. Op dat niveau zijn rollen belegd, risicoanalyses structureel en lifecycle-stappen vastgelegd: precies wat een certificerende instelling toetst. Vanaf niveau 2 starten kan, maar reken dan op vier tot acht maanden voorbereiding voordat een initiële audit zinvol is.
Is het model ook bruikbaar zonder certificeringsambitie?
Ja, en dat gebeurt vaak. Veel organisaties willen aantoonbaar grip op AI richting klanten, toezichthouders of hun eigen bestuur, zonder direct een certificaat na te streven. Het model geeft dan dezelfde sturing: een objectieve niveaubepaling en een groeipad. Een AI-implementatietraject met governance vanaf dag één is daarvoor de gebruikelijke vervolgstap.
Wil je weten waar jouw organisatie staat op AI-volwassenheid?
Start met een ISO 42001 maturity assessment. Praktisch, risicogestuurd en gericht op de stap die nu past.