ISO/IEC 42001: waarom u nu een AI-managementsysteem opzet, juist met het uitstel van de AI Act

Sinds de Digital Omnibus on AI op 27 juli 2026 in werking trad, gelden de hoog-risicoverplichtingen van de AI Act pas vanaf 2 december 2027 (bijlage III) en 2 augustus 2028 (bijlage I). Dat voelt ruim. Toch is dit precies het moment om een AI-managementsysteem op te zetten. Niet omdat de wet het al eist, maar omdat u nu de tijd heeft om het goed te doen. De norm daarvoor bestaat sinds december 2023: ISO/IEC 42001.

In dit artikel leest u wat ISO/IEC 42001 is, voor wie de norm zinvol is, hoe deze zich verhoudt tot de AI Act en ISO 27001, en hoe u pragmatisch begint.

Wat is ISO/IEC 42001?

ISO/IEC 42001:2023 is de eerste internationale, certificeerbare managementsysteemnorm voor kunstmatige intelligentie. De norm beschrijft hoe een organisatie een AI-managementsysteem (AIMS) opzet, invoert, onderhoudt en verbetert. Het gaat daarbij om de organisatie rondom AI, niet om de techniek zelf: beleid, rollen, risico's, levenscyclus en toezicht.

Wie ISO 27001 of ISO 9001 kent, herkent de opbouw direct. ISO/IEC 42001 volgt de Harmonized Structure, met dezelfde clausules 4 tot en met 10: context van de organisatie, leiderschap, planning, ondersteuning, uitvoering, evaluatie en verbetering. Daarnaast bevat de norm twee bijlagen:

Annex A met 38 beheersmaatregelen in 9 doelgebieden, waaronder AI-beleid, rollen en verantwoordelijkheden, resources, impactbeoordeling, levenscyclusbeheer, data, informatie voor belanghebbenden, gebruik van AI-systemen en relaties met derde partijen.

Annex B met implementatierichtlijnen bij die maatregelen.

De kern in vijf punten

1.AI-beleid: wat mag uw organisatie wel en niet met AI, en wie besluit daarover?

2.Risico- én impactbeoordeling: naast de gebruikelijke risicoanalyse vraagt de norm om een AI-impactbeoordeling, gericht op de gevolgen voor personen en de maatschappij.

3.Rollen en verantwoordelijkheden: wie is eigenaar van welk AI-systeem en wie houdt toezicht?

4.Levenscyclusbeheer: van ontwerp en inkoop tot gebruik, monitoring en uitfasering.

5.Transparantie en derde partijen: wat vertelt u gebruikers, en hoe beheerst u AI die u inkoopt bij leveranciers?

Voor wie is ISO/IEC 42001 zinvol?

De norm is niet alleen bedoeld voor bedrijven die zelf AI-modellen bouwen. Drie groepen hebben er in de praktijk het meeste aan:

Aanbieders van AI-oplossingen, zoals softwarebedrijven en SaaS-leveranciers, die klanten en toezichthouders willen laten zien dat hun AI beheerst wordt ontwikkeld en onderhouden.

Organisaties die AI intensief gebruiken, bijvoorbeeld in HR, klantcontact, financiële beoordeling of zorg, waar de impact op mensen groot is.

Organisaties met een bestaand ISO 27001-managementsysteem die AI-governance willen toevoegen zonder een tweede, losstaand systeem op te bouwen.

Certificering is optioneel. Veel organisaties gebruiken de norm eerst als kader en laten certificering afhangen van wat klanten en aanbestedingen vragen.

De relatie met de AI Act

Het belangrijkste verschil: de AI Act is wet, ISO/IEC 42001 is een vrijwillige norm. Een certificaat betekent dus niet automatisch dat u aan de AI Act voldoet. De geharmoniseerde Europese normen die dat vermoeden van conformiteit wél geven, zijn nog in ontwikkeling bij CEN-CENELEC (JTC 21).

Toch dekt ISO/IEC 42001 een groot deel van de governance-eisen uit de AI Act: risicomanagement, documentatie, menselijk toezicht, data governance en transparantie. Wie het managementsysteem nu inricht, heeft eind 2027 een werkende structuur waarin de specifieke hoog-risico-eisen alleen nog hoeven te worden ingepast.

En vergeet niet: een deel van de AI Act geldt al. De transparantieverplichtingen (artikel 50) zijn sinds 2 augustus 2026 van kracht, de verplichting tot AI-geletterdheid (artikel 4) al sinds februari 2025. Beide onderwerpen komen in ISO/IEC 42001 terug als beheersmaatregel. Meer over de nieuwe tijdlijn leest u in ons artikel over de Digital Omnibus.

De relatie met ISO 27001

Omdat beide normen dezelfde structuur volgen, laten ze zich goed combineren in één geïntegreerd managementsysteem. Veel maatregelen overlappen: toegangsbeheer, logging, leveranciersbeheer, incidentafhandeling en bewustwording. Die hoeft u niet opnieuw op te zetten. U breidt ze uit met de AI-specifieke onderdelen: de impactbeoordeling, het AI-register en de maatregelen voor de levenscyclus van AI-systemen.

Pragmatische aanpak in zes stappen

1.AI-inventarisatie. Leg vast welke AI-systemen u ontwikkelt, inkoopt of gebruikt, inclusief AI die in bestaande software is ingebouwd. Noteer eigenaar, doel en leverancier.

2.Scope en beleid. Bepaal welke onderdelen van de organisatie en welke AI-systemen onder het managementsysteem vallen en stel een AI-beleid vast.

3.Risico- en impactbeoordeling. Beoordeel per systeem de risico's voor de organisatie én de impact op personen en maatschappij.

4.Maatregelen kiezen en integreren. Selecteer de relevante maatregelen uit Annex A en koppel ze waar mogelijk aan uw bestaande ISO 27001-maatregelen.

5.Bewustwording en AI-geletterdheid. Train medewerkers die met AI werken en leg vast wie welke training heeft gevolgd.

6.Meten en verbeteren. Monitor de werking, voer interne audits uit en verbeter waar nodig. Certificering is de optionele laatste stap.

Hoe uComply helpt

In uComply zet u ISO/IEC 42001 niet op als apart project, maar als extra norm naast uw bestaande managementsysteem.

ISO/IEC 42001 als tweede of derde norm: activeer de norm in dezelfde omgeving als ISO 27001. Bestaande maatregelen koppelt u aan meerdere normeisen; de gap-analyse toont direct welke Annex A-maatregelen al gedekt zijn en waar u nog werk heeft.

AI-register: leg AI-systemen vast met eigenaar en risicoclassificatie en koppel per systeem de geïdentificeerde risico's. Zo vormt de inventarisatie meteen de basis voor de risico- en impactbeoordeling.

ISO/IEC 42001 Content Pack: kant-en-klare controls, risicoanalyse-templates en beleidsdocumenten voor AI-governance als vertrekpunt.

Flightdeck: het dashboard toont de voortgang per norm, zodat u ziet hoe ver uw AI-managementsysteem is naast uw andere normen.

Responsible AI in de praktijk: de uComply Bot draait volledig in uw eigen Microsoft 365-tenant, heeft uitsluitend toegang tot uw eigen compliance-data en is alleen beschikbaar voor interne gebruikers. Zo passen wij zelf toe wat ISO/IEC 42001 van organisaties vraagt.

Samenvatting

Het uitstel van de hoog-risicoverplichtingen tot 2 december 2027 geeft organisaties tijd. ISO/IEC 42001 biedt een certificeerbaar en herkenbaar kader om die tijd goed te benutten: dezelfde structuur als ISO 27001, aangevuld met AI-specifieke maatregelen zoals de impactbeoordeling en het AI-register. Wie nu begint, heeft eind 2027 een werkend managementsysteem in plaats van een stapel losse documenten.

Wilt u zien hoe u ISO/IEC 42001 koppelt aan uw bestaande ISO 27001-omgeving? Plan een vrijblijvende demo of bekijk onze prijzen.