ISO 42001 en de EU AI Act: wat een certificaat wel en niet afdekt

De EU AI Act en ISO 42001 worden vaak in één adem genoemd, alsof de ene de andere vervangt. Dat klopt niet. De AI Act is een verordening met verplichtingen die afhangen van je rol en van de risicocategorie van het systeem. ISO 42001 is een certificeerbare norm voor een managementsysteem en verplicht niemand tot iets. Ze delen het onderwerp, en daardoor is er echte overlap. Maar er zijn ook plekken waar een certificaat je niets oplevert.

Wat al geldt en wat is verschoven

De verplichtingen komen in stappen. Het verbod op bepaalde AI-praktijken en de plicht om te zorgen voor AI-geletterdheid (artikel 4) gelden sinds 2 februari 2025. De regels voor general-purpose AI-modellen en de governancestructuur volgen sinds 2 augustus 2025. De transparantieverplichtingen van artikel 50 gelden vanaf 2 augustus 2026. Voor hoog-risico AI heeft de Digital Omnibus (Verordening (EU) 2026/1744, in werking getreden op 27 juli 2026) de data verschoven: 2 december 2027 voor de zelfstandige systemen uit Annex III en 2 augustus 2028 voor AI die in producten onder Annex I zit. De details staan in het artikel over de deadlines van de Digital Omnibus. Voor dit onderwerp telt vooral dat het uitstel alleen de hoog-risico-eisen raakt. Inventariseren, classificeren en bewustwording hoeven niet te wachten.

Wat ISO 42001 wel en niet is

ISO/IEC 42001:2023 beschrijft een AI-managementsysteem (AIMS). De norm volgt de bekende ISO-structuur met clausules 4 tot en met 10 en heeft een Annex A met 38 beheersmaatregelen, ingedeeld in negen groepen. Welke maatregelen voor jou gelden leg je vast in de Statement of Applicability. Een geaccrediteerde certificatie-instelling toetst of je managementsysteem aan de norm voldoet en in de praktijk werkt. Dat zegt iets over je organisatie en over de scope van het systeem. Het zegt niets over de vraag of één specifiek AI-systeem aan de verordening voldoet. ISO 42001 heeft ook geen wettelijke status: de norm is niet aangewezen als geharmoniseerde norm onder de AI Act.

Waar ze overlappen

De overlap zit vooral in de basis. Beide gaan uit van een inventaris van je AI-systemen en van een vastgelegde rol per systeem. Beide vragen om risicobeheer: de AI Act voor hoog-risico systemen in artikel 9, ISO 42001 met de AI-risicobeoordeling in clausule 6.1.2 en de impactbeoordeling in clausule 6.1.4 en Annex A.5. Het gegevensbeheer uit artikel 10 vind je ruwweg terug in Annex A.7. De documentatie en logging uit de artikelen 11 en 12 horen bij de levenscyclusmaatregelen van A.6. De informatie aan gebruikers uit artikel 13 komt terug in A.8, en het toezicht uit artikel 14 raakt aan de ontwerpmaatregelen van A.6 en de gebruiksregels van A.9. Annex A.10 over derden sluit aan op de verdeling van verantwoordelijkheden tussen aanbieder, importeur en gebruiksverantwoordelijke.

Daar komt artikel 17 bij: aanbieders van hoog-risico AI moeten een kwaliteitsbeheersysteem hebben. Een goed ingericht AIMS levert daarvoor veel van de structuur, met beleid, rollen, procedures, interne audit, directiebeoordeling en corrigerende maatregelen. Let wel: dit is een inhoudelijke mapping en geen één-op-één-vervanging. Een eis uit artikel 10 over representativiteit en bias-onderzoek van datasets is gedetailleerder dan de bijbehorende maatregel in ISO 42001.

Waar een certificaat niet genoeg is

Bij hoog-risico systemen vraagt de verordening om dingen die een managementsysteem niet voor je kan afhandelen. Je doorloopt een conformiteitsbeoordeling (bij sommige categorieën met een aangemelde instantie), stelt een EU-conformiteitsverklaring op, brengt de CE-markering aan, registreert het systeem in de EU-databank en houdt technische documentatie bij die voldoet aan Annex IV. Aanbieders van general-purpose AI-modellen hebben eigen plichten rond documentatie, auteursrecht en een samenvatting van de trainingsdata; die staan in het artikel over GPAI. Voor de transparantie van artikel 50 gelden concrete meld- en markeringsplichten, bijvoorbeeld bij chatbots en synthetische content, die ISO 42001 niet zo benoemt. Een auditor die een AIMS toetst, kijkt naar de werking van het systeem. Een toezichthouder kijkt naar het product en naar jouw rol daarbij.

De Europese norm voor het kwaliteitsbeheersysteem

Voor dat gat werken CEN en CENELEC aan eigen normen voor de AI Act. De eerste, EN 18286 (Artificial Intelligence: Quality Management System for EU AI Act Regulatory Purposes), is in 2026 goedgekeurd en richt zich op het kwaliteitsbeheersysteem uit artikel 17. Zodra de Europese Commissie de verwijzing in het Publicatieblad plaatst, geeft naleving een vermoeden van overeenstemming met dat onderdeel. CEN en CENELEC verwachten dat dit later in 2026 gebeurt, dus controleer de stand voordat je erop bouwt. ISO 42001 krijgt dat vermoeden niet. De twee normen delen de clausulestructuur, waardoor een bestaand AIMS een goede basis is. Neem de overlap toch niet voor lief: EN 18286 volgt de wettelijke eisen, ISO 42001 de governance van de hele organisatie.

Wat er op het spel staat

De boetes zijn gestaffeld. Overtreding van het verbod op bepaalde AI-praktijken kan tot 35 miljoen euro of 7% van de wereldwijde jaaromzet kosten, de meeste andere verplichtingen tot 15 miljoen euro of 3%. Voor het mkb geldt telkens het laagste van de twee bedragen. Een ISO 42001-certificaat is een manier om aantoonbaar te maken dat je AI beheerst, maar het is geen wettelijk bewijs van naleving en een toezichthouder is er niet aan gebonden.

Zo pak je het aan

Begin met een inventaris van alle AI-systemen, ook wat medewerkers zelf gebruiken (shadow AI). Leg per systeem je rol vast (aanbieder, gebruiksverantwoordelijke, importeur of distributeur) en de risicocategorie, zoals beschreven in de risicoclassificatie onder de AI Act. Bepaal daarna de scope van het AIMS. Wie AI alleen inkoopt en inzet, heeft minder verplichtingen dan een aanbieder en kan met een lichter systeem toe. Werk het AIMS uit aan de hand van het implementatiestappenplan, met de impactbeoordeling volgens ISO 42005. Maak vervolgens een lijst van de AI Act-eisen die je AIMS niet afdekt. Die lijst is je werkvoorraad voor de wettelijke kant. Wat auditors bij een certificeringstraject tegenkomen, staat in de certificeringspraktijk.

De certificeringsaudit zelf wordt uitgevoerd door een geaccrediteerde certificeringsinstelling zoals DigiTrust (www.digitrust.nl). Voor ondersteuning bij de inrichting, zie onze compliance-dienstverlening.