Wat is ISO 42001? De AI-managementnorm en certificering uitgelegd

ISO 42001, officieel ISO/IEC 42001:2023, is de internationale norm voor een managementsysteem voor AI. De norm beschrijft hoe een organisatie de AI die zij ontwikkelt, levert of gebruikt beheerst: beleid, rollen, risico- en impactbeoordeling, beheersmaatregelen en continue verbetering. Ze is vrijwillig, verscheen in december 2023 en is certificeerbaar door een geaccrediteerde certificatie-instelling.

Het belangrijkste in het kort

• ISO/IEC 42001 werkt zoals ISO/IEC 27001, maar richt zich op verantwoorde ontwikkeling en inzet van AI in plaats van op informatiebeveiliging.
• De eisen staan in hoofdstuk 4 tot en met 10 en volgen de vaste ISO-structuur. Daardoor sluit de norm aan op 27001, 27701 en 9001.
• Bijlage A bevat referentiemaatregelen, meestal geteld als 38 maatregelen in negen thema's. U kiest welke van toepassing zijn en verantwoordt dat in een verklaring van toepasselijkheid.
• Certificering verloopt via een audit in twee fasen, gevolgd door jaarlijkse controle-audits in een cyclus van drie jaar.
• Een certificaat is geen bewijs van naleving van de AI-verordening, maar levert wel veel van de governance die de verordening veronderstelt.

Wat is ISO/IEC 42001?

De norm is ontwikkeld door ISO/IEC JTC 1/SC 42, de gezamenlijke commissie van ISO en IEC voor kunstmatige intelligentie. De norm staat op de ISO-website; de volledige titel luidt "Information technology — Artificial intelligence — Management system". Het was de eerste certificeerbare norm voor een AI-managementsysteem (AIMS).

Een managementsysteem is het geheel van beleid, processen, rollen en vastleggingen waarmee een organisatie haar doelen beheerst nastreeft. ISO 42001 schrijft geen model voor en legt geen technische drempels voor nauwkeurigheid vast. De norm vraagt dat u zelf bepaalt wat verantwoorde AI voor uw organisatie betekent, de risico's en gevolgen van uw AI-systemen beoordeelt, passende maatregelen neemt, meet of die werken en ze verbetert.

De norm is bedoeld voor elke organisatie die AI-producten of -diensten levert of gebruikt, groot of klein, publiek of privaat. Dat geldt dus ook voor een zorgverzekeraar die alleen AI van derden inzet, of voor een gemeente die Copilot uitrolt. Staat u nog aan het begin, dan laat de gratis scan voor AI-beleid en AI governance zien waar u staat op tien domeinen en stelt hij een eerste AI governance-raamwerk voor u op.

De opbouw van de norm

ISO 42001 gebruikt de geharmoniseerde structuur van alle ISO-managementsysteemnormen. Hoofdstuk 1 tot en met 3 gaan over toepassingsgebied, verwijzingen en termen. De eisen zelf staan hier:

Het AI-specifieke zwaartepunt ligt in hoofdstuk 6. Anders dan 27001 vraagt 42001 een impactbeoordeling van AI-systemen: wat kunnen de gevolgen zijn voor personen, groepen en de samenleving? Daarmee kijkt de norm verder dan het risico voor de organisatie zelf. Dat sluit aan bij de Nederlandse praktijk rond het IAMA en de beoordeling van gevolgen voor de grondrechten uit artikel 27 van de AI-verordening, die we uitleggen in FRIA en IAMA.

De bijlagen

• Bijlage A – referentiedoelstellingen en maatregelen in negen thema's (A.2 tot en met A.10): beleid rond AI, interne organisatie, middelen, impactbeoordeling, levenscyclus van AI-systemen, data, informatie voor belanghebbenden, gebruik van AI-systemen en relaties met derden en klanten.
• Bijlage B – implementatierichtlijnen per maatregel uit bijlage A.
• Bijlage C – mogelijke organisatiedoelen en risicobronnen, zoals eerlijkheid, veiligheid, privacy, transparantie, robuustheid en de mate van automatisering.
• Bijlage D – gebruik van het managementsysteem in verschillende sectoren en combinatie met andere normen.

Samenvattingen verschillen nogal. In een audit telt alleen de tekst van de aangeschafte norm, dus gebruik die als uitgangspunt.

Verwante normen

ISO 42001 hoort bij een familie van AI-normen uit SC 42. Vaak gebruikt naast 42001: ISO/IEC 22989 (begrippen en terminologie), ISO/IEC 23894 (richtlijnen voor AI-risicomanagement, gebaseerd op ISO 31000), ISO/IEC 42005 (richtlijnen voor impactbeoordeling van AI-systemen, 2025) en ISO/IEC 42006 (eisen aan instellingen die AI-managementsystemen auditen en certificeren, juli 2025).

Voor wie is ISO 42001 interessant?

Drie groepen zetten de stap meestal als eerste:

1. Softwarebedrijven en SaaS-leveranciers met AI in hun product. Grote klanten en aanbestedende diensten vragen steeds vaker om bewijs van verantwoord AI-beheer. Een certificaat maakt leveranciersvragenlijsten korter.
2. Organisaties met een 27001- of 27701-certificaat. Zij hebben documentbeheer, interne audit en directiebeoordeling al ingericht en kunnen het bestaande systeem uitbreiden.
3. Gereguleerde organisaties die AI op schaal inzetten. Banken, verzekeraars, zorginstellingen en overheden die een toetsbaar raamwerk willen terwijl de verplichtingen uit de AI-verordening ingaan.

Een mkb-bedrijf dat alleen een paar standaardtools gebruikt, haalt meestal meer uit de basis: een AI-gebruiksbeleid, een overzicht van AI-toepassingen, risicobeoordeling en leverancierscontrole. Daarna kunt u bepalen of formele certificering de moeite waard is. Hoe u dat overzicht opbouwt, leest u in ons artikel over schaduw-AI en een AI-register.

ISO 42001-certificering: zo verloopt het

Certificering gebeurt door een onafhankelijke certificatie-instelling. Kies een instelling die voor ISO 42001 geaccrediteerd is door een nationale accreditatie-instantie; in Nederland is dat de Raad voor Accreditatie (RvA). Geaccrediteerde instellingen worden getoetst aan ISO/IEC 17021-1 en ISO/IEC 42006. Certificaten zonder accreditatie bestaan ook, maar tellen in aanbestedingen minder zwaar.

1. Reikwijdte bepalen. Welke organisatieonderdelen, AI-systemen en rollen vallen erin? Een afgebakende reikwijdte is makkelijker te certificeren en te verdedigen.
2. Nulmeting. Vergelijk de huidige praktijk met hoofdstuk 4 tot en met 10 en bijlage A.
3. Inrichten. Stel het AI-beleid op, wijs rollen toe, voer risico- en impactbeoordelingen uit, kies maatregelen, schrijf de verklaring van toepasselijkheid, train medewerkers en begin met vastleggen.
4. Interne audit en directiebeoordeling. Beide zijn verplicht vóór certificering en moeten echt hebben plaatsgevonden.
5. Audit fase 1. De auditor beoordeelt documentatie, reikwijdte en gereedheid.
6. Audit fase 2. De auditor toetst met interviews, vastleggingen en steekproeven of het systeem werkt. Afwijkingen moeten zijn opgelost voordat het certificaat wordt verleend.
7. Controle-audits en hercertificering. Meestal jaarlijks in jaar twee en drie, daarna een hercertificeringsaudit.

Over kosten en doorlooptijd is geen standaardantwoord te geven. Ze hangen af van bestaande managementsystemen, het aantal AI-systemen binnen de reikwijdte, uw rol (een ontwikkelaar moet veel meer levenscyclusmaatregelen aantonen dan een gebruiker), het aantal medewerkers en locaties, en hoe volwassen uw AI-governance al is.

ISO 42001 en de AI-verordening

De AI-verordening is wet; ISO 42001 is een vrijwillige norm. Een certificaat geeft geen vermoeden van conformiteit met de verordening. Dat vermoeden komt alleen van geharmoniseerde Europese normen die in het Publicatieblad worden vermeld, en die waren er per oktober 2026 nog niet. Toch overlappen ze op belangrijke punten:

Een praktische volgorde voor veel organisaties: eerst een overzicht en een gap-analyse tegen de AI-verordening, daarna de managementsysteemlaag van 42001 eromheen bouwen. Wie hulp zoekt bij het inrichten, kan terecht bij onze AI governance consulting. Een overzicht van de verordening zelf vindt u in onze gids over de AI-verordening.

Veelgestelde vragen

Wat is ISO 42001 in het kort?

ISO/IEC 42001 is een internationale norm die eisen stelt aan een managementsysteem voor kunstmatige intelligentie. Ze helpt organisaties AI verantwoord te ontwikkelen en te gebruiken door beleid, rollen, risico- en impactbeoordelingen en verbetercycli vast te leggen. De norm is in december 2023 gepubliceerd en kan door een geaccrediteerde certificatie-instelling worden gecertificeerd.

Is ISO 42001-certificering verplicht?

Nee. ISO 42001 is vrijwillig. Geen Nederlandse of Europese wet schrijft het certificaat voor. Wel vragen klanten, aanbestedende diensten en investeerders er steeds vaker naar als bewijs van volwassen AI-beheer. Voor de AI-verordening telt wat u daadwerkelijk aan maatregelen heeft genomen, niet of u een certificaat bezit.

Voldoe ik met ISO 42001 aan de AI-verordening?

Niet automatisch. De norm dekt veel governance die de verordening verwacht, zoals risicobeoordeling, rollen en competenties. Maar specifieke wettelijke plichten, zoals de technische documentatie voor hoog-risico-AI, registratie in de EU-databank of de transparantieregels van artikel 50, moet u apart aantonen. Gebruik 42001 als raamwerk en koppel de wettelijke eisen eraan.

Wat is het verschil tussen ISO 42001 en ISO 27001?

ISO 27001 gaat over informatiebeveiliging: vertrouwelijkheid, integriteit en beschikbaarheid van informatie. ISO 42001 gaat over het verantwoord ontwikkelen en gebruiken van AI, inclusief de gevolgen voor mensen en de samenleving. De structuur is gelijk, waardoor een organisatie met 27001 beide normen in één managementsysteem kan combineren.

Wie mag in Nederland ISO 42001 certificeren?

Een certificatie-instelling die daarvoor door een accreditatie-instantie is geaccrediteerd. In Nederland is de Raad voor Accreditatie de nationale accreditatie-instantie; ook instellingen met een erkende buitenlandse accreditatie werken hier. Vraag altijd naar de accreditatie voor ISO/IEC 42001 specifiek en controleer die bij de accreditatie-instantie.

Leg eerst de basis

Certificering begint met beleid, een overzicht en een risicoproces. Die basis kunt u vandaag gratis leggen: beantwoord in veertien stappen, in ongeveer 40 minuten, vragen over hoe uw organisatie AI gebruikt en laat uw AI-beleid en governance-documenten opstellen op basis van uw antwoorden. U ontvangt een AI-gebruiksbeleid, een AI governance-raamwerk (opgesteld met ISO/IEC 42001 als referentie), een Checklist AI-leveranciersbeoordeling en een Sjabloon AI-risicoanalyse, plus een volwassenheidsbeeld over tien domeinen. De vragen zijn in het Nederlands, de documenten in het Engels als bewerkbare Word-bestanden. Vrijblijvend, en het is geen certificering.

Dit artikel is algemene informatie, geen juridisch advies. Raadpleeg de geconsolideerde tekst van Verordening (EU) 2024/1689, zoals gewijzigd bij Verordening (EU) 2026/1744, en de officiële tekst van ISO/IEC 42001. Stand oktober 2026.