ISO 42001: de AI-managementnorm die naast de EU AI Act bestaat

ISO 42001 is de internationale norm voor AI-managementsystemen — en in alle gesprekken over AI-regelgeving domineert toch steeds één naam: de EU AI Act. Logisch, want die heeft directe verplichtingen en boetes.

Maar ISO 42001 is een tweede kader dat groeiende relevantie krijgt en vrijwel nooit wordt besproken in MKB-context.

Dit artikel legt uit wat ISO 42001 is, wat het verschilt van de EU AI Act, en waarom het voor Nederlandse MKB-bedrijven die AI serieus inzetten steeds belangrijker wordt.

Wat is ISO 42001?

ISO 42001 is een internationale norm gepubliceerd door de International Organization for Standardization (ISO) in november 2023. De volledige naam is "Artificial intelligence — Management system".

Het is een managementnorm — vergelijkbaar met ISO 27001 (informatiebeveiliging) of ISO 9001 (kwaliteitsmanagement). Dat betekent: het beschrijft hoe je als organisatie AI beheert, niet specifiek welke technologie je gebruikt.

ISO 42001 definieert eisen voor het opzetten, implementeren, onderhouden en continu verbeteren van een AI-managementsysteem (AIMS): een gestructureerde aanpak om verantwoord met AI om te gaan.

Wat vraagt ISO 42001 concreet?

De norm is opgebouwd rondom het bekende Plan-Do-Check-Act (PDCA)-model dat ook in andere ISO-normen zit. De kern:

Context en governance

• Inzicht hebben in de organisatiecontext: welke AI-systemen gebruik je, voor welke doelen, en voor welke stakeholders?
• Een AI-beleid formuleren: hoe gaat de organisatie om met AI?
• Rollen en verantwoordelijkheden toewijzen voor AI-beheer

Risicobeheer

• AI-risico's systematisch identificeren (bias, privacy, transparantie, veiligheid)
• Risico's beoordelen per toepassing
• Maatregelen definiëren per risico

Operationele beheersing

• Documenteren hoe AI-systemen worden ingezet
• Borgen dat AI-gebruik voldoet aan het vastgestelde beleid
• Trainingen en bewustwording voor medewerkers

Monitoring en verbetering

• Prestaties van AI-systemen meten
• Audits uitvoeren (intern of extern)
• Continu verbeteren op basis van bevindingen

ISO 42001 vs. EU AI Act — wat is het verschil?

Dit is de vraag die het meest wordt gesteld. Ze zijn gerelateerd maar fundamenteel anders:

De EU AI Act is wetgeving — je hebt geen keuze. ISO 42001 is een norm — je kiest zelf of je het implementeert en/of laat certificeren.

Maar de twee zijn complementair: wie ISO 42001 implementeert, bouwt precies de structuren op die ook voor EU AI Act compliance nodig zijn. Meer over de overlap: ISO 42001 vs EU AI Act: twee overlappende kaders uitgelegd.

Waarom is ISO 42001 relevant voor MKB?

Zakelijke druk van grote klanten

B2B-bedrijven — met name in financiële dienstverlening, gezondheidszorg, overheid, en technologie — vragen steeds vaker aan leveranciers: hoe manage jij AI? Een ISO 42001-certificering is een concreet antwoord op die vraag.

Net zoals ISO 27001 de afgelopen jaren standaard werd voor IT-leveranciers die zaken doen met grote organisaties, verwachten branche-experts dat ISO 42001 dezelfde weg gaat.

Concurrentievoordeel

Een bedrijf dat kan aantonen hoe het AI beheert, onderscheidt zich van concurrenten die dit niet kunnen. Zeker voor dienstverleners waarbij vertrouwen centraal staat — accountancy, juridische dienstverlening, consulting, zorg.

Voorbereiding op verdere AI-regulering

De EU AI Act is niet de laatste AI-wetgeving. Overheden wereldwijd ontwikkelen aanvullende kaders. Organisaties die nu een managementsysteem bouwen, zijn beter gepositioneerd om op toekomstige vereisten te reageren.

Interne discipline

ISO 42001 implementeren dwingt een organisatie om vragen te beantwoorden die bij informeel AI-gebruik nooit worden gesteld: welke AI-tools gebruiken we, voor welke doelen, wie is verantwoordelijk als er iets misgaat, en hoe borgen we kwaliteit?

Dat zijn vragen die elke MKB-ondernemer zou moeten stellen — onafhankelijk van certificering.

Is ISO 42001 geschikt voor kleine bedrijven?

De norm is schaalbaar. ISO 42001 schrijft niet voor hoe groot je managementsysteem moet zijn — alleen dat het proportioneel is aan de omvang en context van de organisatie.

Een bedrijf van 10 medewerkers dat AI inzet voor contentcreatie en klantcommunicatie hoeft geen 200-pagina's managementsysteem op te zetten. Een beknopt AI-beleid, een risicoanalyse van de gebruikte tools, en duidelijke afspraken over verantwoordelijkheid kunnen al voldoen aan de geest van de norm.

Praktische stappen voor MKB:

1. Inventariseer welke AI je gebruikt — welke tools, voor welke taken, door wie. Dit is ook de eerste stap voor EU AI Act compliance: de AI-inventaris als eerste stap

1. Schrijf een AI-beleid — één tot twee pagina's: welke AI-tools zijn goedgekeurd, voor welke doelen, welke data mag erin, wie is verantwoordelijk

1. Voer een basisrisicoanalyse uit — voor elke AI-toepassing: wat is het risico als het misgaat? Hoe groot is dat risico? Welke maatregel neem je?

1. Documenteer — ISO vraagt om documentatie. Voor MKB hoeft dat geen uitgebreid systeem te zijn — een gedeeld document in Notion of SharePoint is een begin

1. Evalueer jaarlijks — AI-gebruik verandert snel. Plan een jaarlijkse review van het beleid en de risicoanalyse

Certificering — wel of niet?

ISO 42001 maakt certificering mogelijk — een externe audit door een geaccrediteerde certificeringsinstelling die beoordeelt of je managementsysteem voldoet aan de norm.

Voor de meeste MKB-bedrijven is certificering in eerste instantie niet noodzakelijk. Het is een investering in tijd en geld die pas terugverdiend wordt als:

• Klanten of aanbestedende diensten het expliciet vragen
• Je in een sector opereert waar certificeringen standaard worden
• Je organisatie groot genoeg is dat extern toezicht waarde toevoegt

De route voor MKB is doorgaans: eerst de structuren bouwen (beleid, risicoanalyse, governance), dan evalueren of certificering zakelijk relevant is.

In Nederland is NEN de nationale normalisatieorganisatie die informatie biedt over ISO-normen en certificering.

De samenhang met de EU AI Act

Wie ISO 42001 implementeert, bouwt direct aan EU AI Act-gereedheid. De overlap is groot:

• AI-inventaris — vereist door beide
• Risicoklassificatie — beide vragen dat je beoordeelt wat voor risico een AI-toepassing heeft
• AI-beleid — ISO vraagt een intern beleid; EU AI Act vraagt transparantie over AI-gebruik
• Governance — beide vragen duidelijke verantwoordelijkheden
• Documentatie — beide vragen vastlegging van AI-gebruik en -beslissingen

Het verschil: de EU AI Act heeft boetes voor niet-naleving. ISO 42001 niet — maar als je ISO 42001 correct implementeert, ben je ook veel beter voorbereid op de wetgeving.

Meer over de EU AI Act: Wat is de EU AI Act en wat betekent het voor jouw MKB?

De eerste stap

Begin niet met de vraag "hoe certificeer ik voor ISO 42001?" maar met de vraag: "welke AI-systemen gebruik ik, en heb ik daar verantwoord beleid voor?"

Die vraag leidt tot dezelfde acties die ISO 42001 vraagt — en die ook de EU AI Act voorbereidt.

De EU AI Act Audit van Afdeling AI brengt precies dat in kaart: welke AI-tools gebruik je, wat zijn de risico's, en welke governance-structuren heb je nodig — inclusief de verbinding met ISO 42001.

→ Meer over de EU AI Act Audit

→ Lees ook: ISO 42001 vs EU AI Act — twee overlappende kaders uitgelegd

→ Lees ook: de AI-inventaris als eerste stap naar compliance

→ Lees ook: Wat is de EU AI Act en wat betekent het voor jouw MKB?

Gratis download — AI Strategie Canvas

Breng jouw AI-plannen in kaart met dit gestructureerde canvas: van doelen en tools tot implementatiestappen en risico's. Handig als startpunt voor een intern gesprek of een concrete implementatie.

→ Download gratis: AI Strategie Canvas