Data & privacy
Welke data gaat een model in, en hoe bescherm je die?
ISO 42001 · AI-governance
AI gebruiken in je organisatie? Zorg dat governance meegroeit.
ISO 42001 helpt organisaties AI-systemen verantwoord, beheersbaar en aantoonbaar in te richten — zonder hype, met focus op risico’s, beleid en verantwoordelijkheid.
Wat is ISO 42001?
ISO 42001 is de internationale norm voor een AI Management System (AIMS). Je legt vast hoe je AI inzet: doelen, risico’s, data, toezicht en verantwoordelijkheden — zodat je kunt uitleggen wat je doet en waarom.
Een AI-managementsysteem werkt zoals je het van ISO kent: hoofdstuk 4 tot en met 10 beschrijven het systeem zelf — context, leiderschap, planning, ondersteuning, uitvoering, evaluatie en verbetering — en Annex A bevat concrete maatregelen waaruit je kiest. Bij ISO 42001 zijn dat er 38, verdeeld over negen doelstellingen. Wat je toepast en wat niet, leg je vast in een Verklaring van Toepasselijkheid, precies zoals bij ISO 27001.
Wat de norm onderscheidt van klassieke IT-normen is de impactbeoordeling: je kijkt niet alleen naar risico’s voor je eigen organisatie, maar ook naar de gevolgen voor de mensen en groepen die aan het systeem blootstaan. Dat is precies de vraag die klanten, toezichthouders en journalisten stellen zodra een AI-systeem iets doet wat niemand verwachtte.
Voor wie is dit relevant?
- Je gebruikt AI in producten, diensten of interne processen
- Klanten of partners vragen om AI-governance of transparantie
- Je wilt voorbereid zijn op de EU AI Act
- Je team experimenteert met AI zonder centraal kader
Welke risico’s adresseert het?
Bias & kwaliteit
Hoe test en monitor je output voordat die impact heeft?
Verantwoordelijkheid
Wie beslist over inzet, escalatie en incidenten?
Relatie met de AI Act
De EU AI Act stelt wettelijke eisen voor bepaalde AI-toepassingen. ISO 42001 kan helpen om governance en documentatie op orde te brengen — maar vervangt geen juridische classificatie. Laat je situatie toetsen als je hoog-risico AI inzet.
Praktische start
- Inventarisatie — welke AI gebruik je nu (tools, modellen, data)?
- Risico’s — waar zit de grootste impact als het misgaat?
- Beleid — simpele regels die je team begrijpt en volgt.
- Bewijs — documentatie voor klanten, auditors of toezicht.
Wat Annex A afdekt
De negen onderwerpen waar de 38 maatregelen onder vallen. Voor het MKB zit het zwaartepunt meestal bij de laatste: je traint zelden zelf, dus je risico zit bij je leveranciers.
AI-beleid
Vastleggen waarvoor je organisatie AI wel en niet inzet, wie dat bepaalt en hoe het beleid wordt herzien als de techniek verandert.
Interne organisatie
Rollen en verantwoordelijkheden beleggen. Wie is eigenaar van een AI-systeem, wie beoordeelt het, en wie mag besluiten dat het uit gaat?
Middelen
De mensen, data, tooling en rekenkracht die je AI-systemen nodig hebben, expliciet in kaart brengen en beheren.
Impactbeoordeling
Beoordelen wat een AI-systeem doet met de mensen en groepen die eraan blootstaan. Dit is het onderdeel dat het duidelijkst verschilt van klassieke IT-normen.
Levenscyclus
Van ontwerp en training tot uitrol, monitoring en uitfasering. Inclusief het vastleggen van keuzes onderweg, zodat je ze later kunt verantwoorden.
Data
Herkomst, kwaliteit en representativiteit van je trainings- en invoerdata, en hoe je omgaat met wijzigingen daarin.
Transparantie
Informatie voor gebruikers en betrokkenen over wat het systeem doet, wat de beperkingen zijn en hoe iemand bezwaar kan maken.
Verantwoord gebruik
Vaststellen wat een acceptabele toepassing is, en hoe je voorkomt dat een systeem wordt ingezet voor iets waarvoor het nooit bedoeld was.
Derde partijen
De leveranciers van je modellen, API’s en data. Bij het MKB zit hier vrijwel het hele risico, omdat je zelden zelf traint.
De AI Act-tijdlijn, na het uitstel
De AI Act wordt gefaseerd van kracht, en die fasering is in juli 2026 gewijzigd. Via de Digital Omnibus — Verordening (EU) 2026/1744 — zijn de verplichtingen voor hoog-risicosystemen opgeschoven. Dat is geen afstel, en een deel van de wet geldt gewoon.
1
Verboden praktijken en AI-geletterdheid
Een aantal AI-toepassingen is simpelweg verboden, zoals social scoring en bepaalde vormen van emotieherkenning op de werkvloer. Daarnaast moeten organisaties zorgen dat medewerkers die met AI werken daar voldoende van begrijpen.
2
Verplichtingen voor algemene AI-modellen
Aanbieders van general purpose AI-modellen kregen documentatie- en transparantieverplichtingen. Voor de meeste MKB-organisaties raakt dit hun leveranciers, niet henzelf.
3
Transparantieplicht en handhaving verboden praktijken
De transparantieverplichting van artikel 50 geldt: gebruikers moeten weten dat ze met een AI-systeem praten, en AI-gegenereerde of gemanipuleerde content moet als zodanig herkenbaar zijn. Dit onderdeel is níét uitgesteld. Ook start de handhaving op verboden praktijken.
4
Hoog-risicosystemen (Annex III)
Oorspronkelijk 2 augustus 2026, maar via de Digital Omnibus uitgesteld naar december 2027. Het gaat om zelfstandige systemen in domeinen als werving, onderwijs, kredietverlening en rechtshandhaving.
5
Hoog-risico AI in producten (Annex I)
AI die is ingebed in producten die al onder productveiligheidswetgeving vallen. Ook dit is met een jaar opgeschoven.
Uitstel van de hoog-risicoverplichtingen betekent niet dat er niets te doen is. De transparantieplicht geldt sinds 2 augustus 2026, en klanten wachten sowieso niet op een wettelijke deadline met hun vragen.
Veelgestelde vragen over ISO 42001
Wat is ISO 42001?
ISO/IEC 42001:2023 is de internationale norm voor een AI-managementsysteem (AIMS). Hij beschrijft hoe je vastlegt waarvoor je AI inzet, welke risico's en effecten dat heeft, wie waarvoor verantwoordelijk is en hoe je dat allemaal aantoonbaar houdt. Het is de eerste certificeerbare norm specifiek voor AI-governance.
Hoe is de norm opgebouwd?
Net als ISO 27001 en ISO 9001 bestaat ISO 42001 uit hoofdstukken 4 tot en met 10 voor het managementsysteem zelf, plus een Annex A met concrete maatregelen: 38 stuks, verdeeld over negen doelstellingen. Je selecteert wat van toepassing is op basis van je risico- en impactbeoordeling en legt die keuze vast in een Verklaring van Toepasselijkheid — dezelfde systematiek als bij ISO 27001.
Is de AI Act uitgesteld?
Gedeeltelijk. Via de Digital Omnibus, Verordening (EU) 2026/1744, zijn de verplichtingen voor hoog-risicosystemen verschoven: zelfstandige systemen uit Annex III van augustus 2026 naar 2 december 2027, en in producten ingebedde systemen uit Annex I naar 2 augustus 2028. De transparantieverplichting van artikel 50 is niét uitgesteld en geldt sinds 2 augustus 2026.
Voldoe ik aan de AI Act als ik ISO 42001 haal?
Nee, en die belofte moet je van niemand accepteren. De AI Act is wetgeving met een eigen classificatie van risiconiveaus en eigen verplichtingen per rol — aanbieder, gebruiksverantwoordelijke, importeur. ISO 42001 is een managementsysteem dat je helpt om die verplichtingen georganiseerd en aantoonbaar op te pakken. Het scheelt veel werk, maar het vervangt de juridische toets niet.
Wij bouwen zelf geen AI, we gebruiken alleen ChatGPT en wat tools. Is dit dan relevant?
Vaak wel, en dat verrast mensen. Zodra je AI inzet in je dienstverlening ben je onder de AI Act meestal gebruiksverantwoordelijke, met eigen verplichtingen rond transparantie en AI-geletterdheid. En je klanten gaan ernaar vragen: waar gaat onze data heen, wat als het model iets fout doet, wie is er dan aansprakelijk? Voor die vragen heb je governance nodig, of je nu zelf traint of niet.
Kan ik ISO 42001 combineren met ISO 27001?
Ja, en dat is de logische route. Beide normen delen dezelfde hoofdstukstructuur en dezelfde systematiek met Annex A en een Verklaring van Toepasselijkheid. Heb je al een ISMS, dan bouw je daar het AI-managementsysteem bovenop in plaats van er een tweede systeem naast te zetten.
Is ISO 42001 al iets voor het MKB, of nog te vroeg?
Dat hangt af van hoe zichtbaar AI in je dienstverlening zit. Verwerk je klantdata met AI of zit er AI in je product, dan komen de vragen sowieso — van klanten eerder dan van de toezichthouder. Zit AI vooral in interne hulpmiddelen, dan is een lichte vorm van beleid en afspraken voorlopig genoeg. Begin klein en groei mee; een volledig AIMS is niet voor iedereen het startpunt.
AI governance zonder buzzwords
Scan, intake of kennismaking — we kijken wat nu nodig is.