Sinds 2 augustus 2026 handhaven het AI Office van de Europese Commissie en de nationale toezichthouders de EU AI Act. Vanaf diezelfde datum gelden ook de transparantieverplichtingen voor onder andere chatbots en gegenereerde content. Voor organisaties die AI ontwikkelen, inkopen of gebruiken heeft dit impact. Het is belagnrijk dat je aantoont dat je erover nadenkt en actie onderneemt. ISO/IEC 42001 speelt hier een rol in. ISO/IEC 42001 is de eerste internationale norm voor een managementsysteem voor artificiële intelligentie. Die norm is geen wet, maar een kader dat AI-governance faciliteert.

Wat ISO/IEC 42001 regelt

ISO/IEC 42001 beschrijft hoe je een AI-managementsysteem opzet, implementeert, onderhoudt en continu verbetert. De logica is dezelfde als bij ISO 9001 of ISO/IEC 27001. Je bepaalt de context waarin je organisatie AI inzet, legt rollen en verantwoordelijkheden vast, formuleert beleid, identificeert risico’s en kansen, voert audits uit en stuurt bij op basis van controles.

Het verschil zit in de inhoud van die risico’s. De norm dwingt je expliciet stil te staan bij de impact van AI op mensen en op de samenleving, niet enkel op de organisatie zelf: bias in trainingsdata, uitlegbaarheid van resultaten van AI, menselijk toezicht, datakwaliteit en het beheer van de volledige levenscyclus van een AI-systeem. De doelgroep is breed. Ontwikkelaars van AI-producten vallen eronder, maar ook overheden, zorginstellingen, financiële spelers en industriële bedrijven die AI-diensten van derden gebruiken.

ISO/IEC 42001 en ISO/IEC 27001 zijn complementair. De informatiebeveiligingsnorm ISO/IEC 27001 dekt vertrouwelijkheid, integriteit en beschikbaarheid van informatie in het algemeen. De AI-norm richt zich op de specifieke besluitvormingsrisico’s van modellen. Organisaties die al een werkend managementsysteem hebben, kunnen 42001 daarop entten in plaats van een parallel systeem te bouwen.

Waar de ISO/IEC 42001 norm en de AI Act elkaar raken

De EU AI Act werkt op vier niveaus. Het eerste niveau is de categorie met onaanvaardbare risico’s. Een aantal praktijken zijn verboden: ongerichte scraping voor gezichtsherkenningsdatabanken, emotieherkenning op de werkvloer en in het onderwijs, sociale scoring,…. Daarnaast is er een categorie hoog risico met stricte regels, een categorie met transparantieplichten en een grote restgroep met minimaal risico waarvoor de verordening geen nieuwe regels invoert.

Voor aanbieders van hoogrisicosystemen legt de verordening verplichtingen op die opvallend goed rijmen met de bouwstenen van een managementsysteem. Er moet een risicobeheersysteem zijn, datasets moeten van hoge kwaliteit zijn om discriminerende uitkomsten te beperken, activiteiten moeten gelogd worden voor traceerbaarheid, er is uitgebreide technische documentatie nodig, gebruikers moeten adequate informatie krijgen, menselijk toezicht moet geregeld zijn en het systeem moet robuust, accuraat en cyberveilig zijn. Daarbovenop komt monitoring na marktintroductie en een meldingsplicht bij ernstige incidenten.

Wie ISO/IEC 42001 serieus implementeert, bouwt vrijwel al die processen op. Documentatiebeheer, versiebeheer van modellen, impactbeoordelingen, leverancierscontrole en interne audits zijn zijn de infrastructuur waarmee je aantoont dat je de wettelijke verplichtingen naleeft.

Waarom deze norm geen conformiteit van een product garandeert, en EN 18286 wel

ISO/IEC 42001 is een vrijwillige internationale norm. De AI Act is bindende Europese wetgeving. Certificatie tegen 42001 levert dus geen wettelijk vermoeden van conformiteit op. Dat vermoeden is voorbehouden aan geharmoniseerde Europese normen die na beoordeling door de Commissie in het Publicatieblad van de EU worden vermeld. Zo is er toe nu toe nog geen, maar er is er al één op komst, de EN 18286 norm. 

De geharmoniseerde normen komen van CEN en CENELEC. De Europese Commissie die graag regels maakt, vroeg normen in tien domeinen, waaronder governance, kwaliteit van datasets, risicobeheer, kwaliteitsmanagement en conformiteitsbeoordeling. Op 30 oktober 2025 werd prEN 18286 als eerste geharmoniseerde AI-norm gepubliceerd. Op 12 juni 2026 werd EN 18286 door de Europese normalisatieorganisaties CEN en CENELEC gepubliceerd. Die norm richt zich specifiek op het kwaliteitsmanagementsysteem dat artikel 17 van de AI Act oplegt aan aanbieders van hoogrisicosystemen en is duidelijk productgericht. ISO/IEC 42001 is organisatiegericht. De geharmoniseerde normen bewijzen iets over je product. Toepassing van geharmoniseerde normen blijft technisch gezien vrijwillig, want een aanbieder mag een ander kader kiezen om conformiteit aan te tonen.

Gelukkig groeien beide sporen naar elkaar toe. De Europese normalisatie werkt volgens een international first principe. Bestaande internationale normen die aansluiten bij Europese eisen kunnen geharmoniseerde normen worden. ISO/IEC SC 42 ontwikkelt AI-normen waar Europese experts actief aan meewerken, juist om regelgevende fragmentatie te vermijden en dubbel werk voor ontwikkelaars te beperken.

Datums die voor jouw organisatie belangrijk zijn

De AI Act trad in werking op 1 augustus 2024 en is van toepassing sinds 2 augustus 2026. De gefaseerde invoering maakt de planning wel wat complex.

  • Verboden praktijken en de verplichtingen rond AI-geletterdheid gelden al sinds 2 februari 2025.
  • De governanceregels en de verplichtingen voor general purpose AI-modellen gelden sinds 2 augustus 2025.
  • Het verbod op AI-toepassingen die niet-consensuele seksueel expliciete beelden of materiaal van kindermisbruik genereren, toegevoegd via de AI Omnibus, wordt van kracht in december 2026.
  • Regels voor hoogrisicotoepassingen in gevoelige domeinen zoals biometrie, kritieke infrastructuur, onderwijs, werkgelegenheid, migratie en grenscontrole gelden vanaf 2 december 2027.
  • Voor AI die is ingebouwd in gereguleerde producten zoals liften en speelgoed schuift de datum door naar 2 augustus 2028.

De AI Omnibus, politiek beslecht op 7 mei 2026 en in werking sinds 27 juli 2026, koppelt de hoogrisicoverplichtingen aan het moment waarop ondersteunende instrumenten zoals normen effectief beschikbaar zijn. Voor organisaties met hoogrisicoplannen betekent dit dat ze nog anderhalf jaar hebben om governance op te bouwen.

Hoe je ISO/IEC 42001 praktisch inzet

Begin met een inventaris van alles wat in jouw organisatie onder de definitie van een AI-systeem valt, inclusief tools van leveranciers en ingebouwde functionaliteit hiervan. Zonder dit overzicht is elke risicoclassificatie een gok.

Bepaal daarna per systeem je rol. Ben je aanbieder, of ben je gebruiksverantwoordelijke die een systeem van een derde inzet? Die rol bepaalt welke verplichtingen op jou rusten. Let op dat je door aanpassingen aan een bestaand systeem (bv. door je eigen merk erop te kleven) je aanbieder kan worden.

Gebruik vervolgens het risicokader van ISO/IEC 42001 om per systeem impact te beoordelen op betrokkenen, en leg die beoordeling vast op een manier die een auditor kan volgen. Werk je contracten en inkoopvoorwaarden bij zodat leveranciers de documentatie en informatie leveren die je zelf nodig hebt. Verwerk AI-geletterdheid in opleidingsplannen, want die verplichting geldt al langer dan de rest van de verordening en raakt iedereen die met AI werkt.

Kleinere organisaties hebben minder verplichtingen. De vereenvoudigde eisen voor kmo’s gelden nu ook voor small mid-caps.

Aantoonbaarheid

ISO/IEC 42001 is geen oplossing voor juridische conformiteit. Het zorgt wel dat toezichthouders, klanten en verzekeraars bewijs krijgen van wat de organisatie doet, niet aleen goede intenties. Een werkend managementsysteem levert dat bewijs consistent.

Het normenlandschap rond AI is nog in beweging, met geharmoniseerde normen die pas de komende jaren definitief worden. Dat wil niet zeggen dat je moet wachten. Het pleit voor een systeem dat verandering aankan. Wie zijn AI-governance ontwerpt met herbruikbare processen in plaats van voor één specifieke norm, moet bij elke nieuwe versie enkel bij stellen, niet opnieuw beginnen.