Naar de inhoud
EN Plan een startsprint

Compliance en security

ISO 42001: wat het is en of je het nodig hebt

David Homan · 3 min lezen

Het korte antwoord

ISO/IEC 42001 is de internationale norm voor een managementsysteem voor AI: hoe een organisatie AI‑toepassingen verantwoord ontwikkelt, gebruikt en bewaakt. Certificering is vrijwillig. Ze helpt om aan klanten, aanbestedende partijen en toezichthouders te laten zien dat je AI‑risico's beheerst, en sluit aan op de werkwijze van ISO 27001.

Wat is ISO 42001?

ISO/IEC 42001:2023 is de internationale norm voor een AI-managementsysteem. Hij is eind 2023 gepubliceerd door ISO en IEC. De norm beschrijft geen techniek. Hij beschrijft hoe een organisatie haar AI beheerst: wie verantwoordelijk is, hoe je risico’s inschat, hoe je toepassingen bewaakt en hoe je verbetert.

Dat gebeurt volgens dezelfde cyclus als andere managementsysteemnormen, zoals ISO 9001 en ISO 27001:

  1. Plan: scope, beleid, rollen, risico’s en doelen.
  2. Do: maatregelen invoeren en toepassingen volgens afspraak ontwikkelen of inkopen.
  3. Check: meten, intern auditen, de directie laten beoordelen.
  4. Act: verbeteren waar het niet werkt.

Een geaccrediteerde certificerende instelling kan je managementsysteem met een audit aan de norm toetsen.

Voor wie is het zinvol?

ISO 42001 levert het meest op voor organisaties die:

  • zelf AI-toepassingen ontwikkelen of leveren aan klanten;
  • meedoen aan aanbestedingen waarin aantoonbaar AI-beheer meetelt;
  • klanten hebben die er expliciet om vragen;
  • al ISO 27001 of ISO 9001 hebben en hun AI in dezelfde structuur willen beheren.

Gebruikt je organisatie alleen standaardtools zoals Copilot, dan is een volledig managementsysteem meestal te zwaar. Dan volstaan een helder AI-beleid en AI-geletterdheid.

ISO 42001 en de AI Act

Een norm is geen wet. De AI Act stelt wettelijke eisen; ISO 42001 is een vrijwillige manier om je organisatie in te richten. Ze vullen elkaar wel aan:

AI ActISO 42001
KarakterWet, met toezicht en boetesVrijwillige norm, met certificering
FocusHet AI-systeem en zijn risicoklasseDe organisatie die AI beheert
RisicobeheerVerplicht voor hoog-risico-AIVoor alle AI binnen de scope
Documentatie en loggingVerplicht voor hoog-risico-AIOnderdeel van het managementsysteem
ToezichtMenselijk toezicht bij hoog risicoRollen en verantwoordelijkheden vastgelegd

ISO 42001 is geen geharmoniseerde Europese norm. Een certificaat geeft daarom geen automatisch vermoeden dat je aan de AI Act voldoet. De Europese normen die dat wel doen, worden opgesteld door CEN en CENELEC; pas als ze in het Publicatieblad van de EU zijn opgenomen, geven ze dat vermoeden. Wie ISO 42001 op orde heeft, heeft wel een groot deel van het fundament gelegd.

ISO 42001 naast ISO 27001

Beide normen gebruiken dezelfde hoofdstructuur. Wie ISO 27001 heeft, hergebruikt veel: de beleidscyclus, interne audits, directiebeoordeling, documentbeheer en leveranciersbeheer. Wat je toevoegt, zijn de AI-specifieke onderdelen: een effectbeoordeling van AI voor mensen en groepen, de kwaliteit en herkomst van data, transparantie en toezicht op uitkomsten.

Hoe een traject eruitziet

  1. Scope bepalen: welke AI-toepassingen, afdelingen en locaties vallen eronder.
  2. Nulmeting: wat heb je al, en wat ontbreekt ten opzichte van de norm.
  3. Risico- en effectbeoordeling: per toepassing de risico’s voor de organisatie en voor de mensen op wie de AI effect heeft.
  4. Inrichten: beleid, rollen, procedures en maatregelen.
  5. Draaien en meten: het systeem een tijd gebruiken, intern auditen en de directie laten beoordelen.
  6. Certificeringsaudit: door een geaccrediteerde instelling, in twee fasen.

Hoe lang dat duurt, hangt af van je scope en wat je al hebt. Dat zetten we in het eerste gesprek op een rij.

Wat AI Heroes hier doet

  • We begeleiden organisaties bij ISO 42001: scope, risico- en effectbeoordeling, documentatie en de voorbereiding op de audit.
  • We werken zelf toe naar certificering voor ISO 42001 en ISO 27001.
  • We bouwen AI-toepassingen met de documentatie, logging en het menselijk toezicht die in zo’n managementsysteem passen. Bij elke bouw zit dat vanaf de tekentafel in het ontwerp.

Bronnen

Veelgestelde vragen

Is ISO 42001 verplicht?

Nee. Het is een vrijwillige norm. Wel vragen steeds meer klanten en aanbestedingen om aantoonbaar beheer van AI‑risico's, en dan is een certificaat een sterk bewijs.

Ben je met ISO 42001 AI Act‑compliant?

Nee, niet automatisch. ISO 42001 is geen geharmoniseerde Europese norm en geeft dus geen vermoeden van conformiteit met de AI Act. Het helpt wel: risicobeheer, documentatie en toezicht die de norm vraagt, heb je ook nodig voor de AI Act.

Hoe lang duurt certificering?

Dat hangt af van je scope, het aantal AI‑toepassingen en wat je al hebt. Wie ISO 27001 heeft, is sneller klaar. In een eerste gesprek maken we een planning voor jouw situatie.

Wat is het verschil met ISO 27001?

ISO 27001 gaat over informatiebeveiliging, ISO 42001 over het verantwoord ontwikkelen en gebruiken van AI: risico's voor mensen, transparantie, kwaliteit van data, toezicht. Ze delen dezelfde opbouw, dus veel processen kun je hergebruiken.

Kan een klein bedrijf ISO 42001 halen?

Ja. De norm schaalt mee met de omvang. Voor een klein bedrijf dat alleen standaardtools gebruikt, is hij meestal te zwaar; voor een klein bedrijf dat AI‑producten levert, kan hij juist het verschil maken in een aanbesteding.

Wil je ISO 42001 halen? We begeleiden je traject, van scope en risicoanalyse tot de voorbereiding op de audit.

Vraag ISO 42001-begeleiding aan

Verder lezen