Het is verleidelijk om aan te nemen dat een ISO 42001-certificaat automatisch betekent dat een organisatie voldoet aan de Europese AI-wet (EU AI Act). Beide hebben immers veel raakvlakken en gebruiken deels dezelfde terminologie. Toch is die aanname onjuist.
ISO 42001-certificering betekent op zichzelf niet dat een organisatie aan de EU-AI-wet voldoet. De certificering biedt wel een belangrijke basis: een onafhankelijk beoordeeld managementsysteem waarmee een organisatie kan aantonen dat zij AI op een gestructureerde en verantwoorde manier beheert.
Dat is van grote waarde. Een certificaat laat zien dat AI-governance niet alleen op papier bestaat, maar daadwerkelijk in de organisatie is ingebed. Bovendien vormt het opzetten van zo'n managementsysteem vaak een van de meest tijdrovende onderdelen van het voorbereidingstraject. Organisaties die al ISO 42001-gecertificeerd zijn, hebben daarmee een belangrijke stap gezet.
In dit artikel leggen we uit wat ISO 42001-certificering wel en niet aantoont in het kader van de EU-AI-wet, en op welke punten het certificaat daadwerkelijk bewijskracht heeft.
ISO 42001 in het kort
ISO 42001, gepubliceerd in december 2023, is de eerste internationale norm voor een certificeerbaar managementsysteem voor kunstmatige intelligentie (AI Management System, AIMS).
De norm stelt eisen aan het opzetten, implementeren, onderhouden en voortdurend verbeteren van AI-governance binnen een organisatie. Bijlage A bevat een reeks beheersmaatregelen voor onder meer AI-beleid, interne organisatie, middelen, effectbeoordelingen, de levenscyclus van AI-systemen, gegevensbeheer, informatievoorziening aan belanghebbenden, het gebruik van AI-systemen en relaties met derden.
In maart 2026 werd de norm zonder wijzigingen in de technische eisen overgenomen als Europese norm: EN ISO 42001:2026.
Waarom ISO 42001-certificering niet automatisch betekent dat u aan de EU-AI-wet voldoet
Binnen de EU-AI-wet spelen geharmoniseerde Europese normen een bijzondere rol. Dit zijn normen die op verzoek van de Europese Commissie worden ontwikkeld ter ondersteuning van de wetgeving en waarvan de referenties vervolgens in het Publicatieblad van de Europese Unie worden gepubliceerd.
Wanneer een organisatie aan een dergelijke norm voldoet, kan zij voor de eisen die door die norm worden afgedekt aanspraak maken op een zogenoemd vermoeden van conformiteit. Dit biedt een belangrijk juridisch voordeel: de organisatie hoeft niet voor elk afzonderlijk voorschrift opnieuw aan te tonen dat zij eraan voldoet, zolang de betreffende norm die voorschriften afdekt.
ISO 42001 is echter niet specifiek voor dit doel ontwikkeld. De norm bevat geen bijlage ZA die de bepalingen ervan koppelt aan de wettelijke vereisten. ISO 42001-certificering geeft daarom geen automatisch vermoeden van conformiteit met de EU-AI-wet.
EN 18286 is daarentegen wel specifiek voor dit doel ontwikkeld. Deze norm, die in juli 2026 werd gepubliceerd, is de eerste Europese norm ter ondersteuning van de EU-AI-wet. De referentie ervan is echter nog niet opgenomen in het Publicatieblad van de Europese Unie. Daardoor biedt de norm op dit moment nog geen vermoeden van conformiteit.
Daarnaast zijn er drie belangrijke beperkingen waarmee organisaties rekening moeten houden:
-
De wet stelt eisen aan afzonderlijke AI-systemen, niet alleen aan organisaties. Voor elk AI-systeem met een hoog risico dat een organisatie op de markt brengt, moet zij onder meer kunnen aantonen dat de vereiste documentatie, logboekregistratie, menselijke toezichtmaatregelen en nauwkeurigheid aanwezig zijn. Een managementsysteem ondersteunt dit proces, maar vervangt deze systeemspecifieke verplichtingen niet.
-
Verboden AI-praktijken blijven verboden. Ook wanneer een organisatie gecertificeerd is en een verboden toepassing zorgvuldig documenteert, blijft die toepassing in strijd met de wet.
-
Conformiteitsbeoordeling is een afzonderlijke wettelijke verplichting. ISO 42001-certificering vervangt de formele conformiteitsbeoordelingsprocedures die de EU-AI-wet voorschrijft niet.
Overzicht: wat dekt ISO 42001 per wettelijke verplichting?
De onderstaande tabel laat zien hoe ISO 42001 bijdraagt aan de belangrijkste verplichtingen uit de EU-AI-wet en welke aanvullende maatregelen organisaties moeten treffen.
De wettelijke verplichtingen zijn gebaseerd op de geconsolideerde tekst van Verordening (EU) 2024/1689. De bijdragen van ISO 42001 zijn ontleend aan de norm zelf.
| Verplichting uit de EU-AI-wet | Wat ISO 42001 bijdraagt | Wat buiten de certificering valt |
|---|---|---|
| Artikel 4: AI-geletterdheid | Eisen aan competenties, opleiding en bewustwording binnen de organisatie. | Functiespecifieke kennis en vaardigheden, afgestemd op de daadwerkelijke verantwoordelijkheden van de organisatie als aanbieder of gebruiksverantwoordelijke. |
| Artikel 5: Verboden AI-praktijken | Risicobeoordelingen en beheersmaatregelen gedurende de levenscyclus, waarmee verboden toepassingen vroegtijdig kunnen worden geïdentificeerd. | De wettelijke verboden zelf. Certificering verandert niets aan de toepasselijkheid daarvan. |
| Artikel 9: Risicomanagementsysteem | Een sterk vergelijkbare structuur voor risicobeoordeling, risicobeheersing, evaluatie en voortdurende verbetering. | De toepassing van risicomanagement op elk afzonderlijk AI-systeem met een hoog risico, gedurende de volledige levenscyclus. |
| Artikel 10: Gegevens en gegevensbeheer | Beheersmaatregelen uit bijlage A voor onder meer gegevensherkomst, gegevenskwaliteit en gegevensvoorbereiding. | Systeemspecifiek onderzoek naar datasets, waaronder mogelijke vertekening en representativiteit. |
| Artikel 11: Technische documentatie | Eisen aan documentbeheer, versiebeheer en bewaartermijnen. | De voorgeschreven technische documentatie volgens bijlage IV, die voor elk afzonderlijk systeem moet worden opgesteld en bijgehouden. |
| Artikel 12: Registratie en logboekregistratie | Beleid voor traceerbaarheid en het bewaren van gegevens. | Automatische logboekregistratie die in het AI-systeem zelf is ingebouwd en aan de wettelijke eisen voldoet. |
| Artikel 13: Transparantie en gebruiksinstructies | Beheersmaatregelen uit bijlage A voor de informatievoorziening aan belanghebbenden. | Systeemspecifieke gebruiksinstructies die aan de wettelijke inhoudsvereisten voldoen en bij het systeem worden verstrekt. |
| Artikel 14: Menselijk toezicht | Beheersmaatregelen voor het gebruik van AI-systemen en het vastleggen van verantwoordelijkheden. | In het afzonderlijke systeem ingebouwde toezichtmaatregelen waarvan de doeltreffendheid is aangetoond. |
| Artikel 15: Nauwkeurigheid, robuustheid en cyberbeveiliging | Een governancekader dat vereist dat deze onderwerpen worden beheerst. | Technische prestatietests, meetcriteria en vastgestelde nauwkeurigheidsniveaus voor elk afzonderlijk systeem. |
| Artikel 17: Kwaliteitsmanagementsysteem | Een aanzienlijke overlap op organisatorisch niveau. EN 18286 legt een formele koppeling tussen beide kaders. | De specifieke wettelijke eisen van artikel 17, die door EN 18286 worden behandeld en niet rechtstreeks door ISO 42001. |
| Artikelen 26 en 27: Verplichtingen van gebruiksverantwoordelijken en grondrechteneffectbeoordeling | Een methodiek voor effectbeoordelingen en operationele beheersmaatregelen. | De afzonderlijke, wettelijk voorgeschreven grondrechteneffectbeoordeling met de vereiste inhoud. |
| Artikelen 43 en 47 tot en met 49: Conformiteitsbeoordeling, verklaring, CE-markering en registratie | Een gestructureerde documentatiepraktijk en voorbereiding op audits. | De wettelijke procedures zelf, waarbij in bepaalde gevallen een aangemelde instantie betrokken moet worden. |
| Artikel 72: Monitoring na het in de handel brengen | Processen voor monitoring, meting, interne audits en voortdurende verbetering. | Een specifiek monitoringplan voor elk afzonderlijk AI-systeem met een hoog risico. |
| Artikel 73: Melding van ernstige incidenten | Procedures voor incidentbeheer en corrigerende maatregelen. | Het melden van ernstige incidenten aan de bevoegde markttoezichtautoriteiten binnen de wettelijke termijnen. |
Uit dit overzicht komt een duidelijk patroon naar voren. ISO 42001 legt de organisatorische basis: processen, verantwoordelijkheden, competenties en aantoonbare beheersmaatregelen. De EU-AI-wet stelt daarnaast specifieke eisen aan individuele AI-systemen.
Organisaties die certificering als einddoel beschouwen, lopen het risico pas laat te ontdekken welke aanvullende maatregelen nodig zijn. Organisaties die certificering als fundament gebruiken, kunnen de werkzaamheden op systeemniveau parallel uitvoeren. Zo bouwen zij niet alleen aan beleid en processen, maar ook aan het concrete bewijs dat nodig is om naleving aan te tonen.
Waar ISO 42001-certificering wél het verschil maakt
Dat ISO 42001-certificering geen automatisch bewijs van naleving van de EU-AI-wet vormt, doet niets af aan de waarde ervan.
Een geaccrediteerd ISO 42001-certificaat biedt onafhankelijk geverifieerd bewijs dat een organisatie haar AI-governance daadwerkelijk heeft ingericht en toepast.
Het toont aan dat risico's volgens een vastgestelde methodiek worden beoordeeld, verantwoordelijkheden duidelijk zijn toegewezen, medewerkers over de benodigde competenties beschikken en leveranciers op een gestructureerde manier worden beheerd. Ook wordt het managementsysteem regelmatig geaudit en voortdurend verbeterd.
Dit is geen bewijs dat aan elk afzonderlijk artikel van de EU-AI-wet wordt voldaan. Het is wel een belangrijke bevestiging dat de onderliggende governanceprocessen bestaan en functioneren.
Die zekerheid is waardevol bij contacten met toezichthouders, aanbestedingen, due diligence door klanten en de verantwoording aan het bestuur. Organisaties kunnen hiermee aantonen dat hun aanpak van AI-governance verder gaat dan beleidsvoornemens.
Accreditatie versterkt de betrouwbaarheid van dit bewijs. LRQA is door UKAS geaccrediteerd als certificeringsinstantie voor ISO 42001. Dit betekent dat ook de deskundigheid en onpartijdigheid van LRQA onafhankelijk zijn beoordeeld.
Het tijdschema is gewijzigd, maar de richting blijft hetzelfde
De Digital Omnibus inzake AI, die de Europese Commissie in november 2025 voorstelde, is op 27 juli 2026 in werking getreden.
Hiermee zijn de toepassingstermijnen voor bepaalde verplichtingen rond AI-systemen met een hoog risico uitgesteld.
Voor zelfstandige AI-systemen met een hoog risico die onder bijlage III vallen, gelden de betreffende verplichtingen vanaf 2 december 2027. Het gaat onder meer om toepassingen op het gebied van biometrie, werkgelegenheid en werving, kredietbeoordeling, onderwijs en kritieke infrastructuur.
Voor AI-systemen met een hoog risico die zijn geïntegreerd in gereguleerde producten onder bijlage I, is de toepassing uitgesteld tot 2 augustus 2028.
Niet alle verplichtingen zijn uitgesteld. De transparantievereisten van artikel 50 gelden sinds augustus 2026. Voor de verplichting tot het aanbrengen van watermerken bij systemen die al op de markt waren, geldt een beperkte verlenging tot december 2026.
Ook de verboden AI-praktijken en de bepalingen rond AI-geletterdheid blijven van kracht. Daarnaast introduceerde de Omnibus een aanvullend verbod in artikel 5, gericht op AI-systemen die zonder toestemming seksueel expliciete of intieme beelden genereren, evenals materiaal dat seksueel misbruik van kinderen afbeeldt.
De mogelijke sancties blijven aanzienlijk. Voor verboden AI-praktijken kunnen boetes oplopen tot 35 miljoen euro of 7% van de totale wereldwijde jaaromzet. Voor andere overtredingen kunnen boetes oplopen tot 15 miljoen euro of 3% van de wereldwijde jaaromzet.
De aangepaste termijnen geven organisaties meer ruimte om hun documentatie, processen en governance op orde te brengen. Ze vormen echter geen reden om de voorbereidingen uit te stellen.
Wat betekent dit voor organisaties die al ISO 27001-gecertificeerd zijn?
ISO 42001 volgt de geharmoniseerde structuur van ISO-managementsysteemnormen, zoals vastgelegd in bijlage SL van de ISO/IEC-richtlijnen. Dit gemeenschappelijke raamwerk bestaat uit tien hoofdstukken en maakt gebruik van uniforme terminologie.
Ook ISO 27001 is volgens deze structuur opgebouwd. Daardoor kunnen organisaties beide normen relatief eenvoudig integreren in één managementsysteem, in plaats van twee afzonderlijke systemen te onderhouden.
Organisaties met een bestaand managementsysteem voor informatiebeveiliging beschikken vaak al over een groot deel van de benodigde basis. Denk aan gedocumenteerde processen, managementbeoordelingen, interne auditprogramma's en registraties van competenties.
Onze ervaring leert dat het uitbreiden van een bestaand managementsysteem met de vereisten van ISO 42001 doorgaans sneller verloopt en minder middelen vraagt dan het opzetten van een volledig nieuw systeem. Geïntegreerde audits kunnen bovendien de terugkerende inspanningen en kosten van certificering beperken.
De aanvullende verplichtingen op het niveau van individuele AI-systemen blijven uiteraard bestaan en vragen om een eigen planning en aanpak. Organisaties met een volwassen ISO 27001-managementsysteem hebben echter al een belangrijke basis waarop zij kunnen voortbouwen.
AI-governance die u kunt aantonen, niet alleen beloven
De organisaties die in december 2027 het best voorbereid zijn, zijn niet noodzakelijk de organisaties met de meeste certificaten.
Het zijn de organisaties die kunnen aantonen dat hun AI-governance daadwerkelijk werkt, zowel op organisatorisch niveau als op het niveau van individuele AI-systemen. En die beschikken over onafhankelijk geverifieerd bewijs om dat te onderbouwen.
ISO 42001-certificering door een UKAS-geaccrediteerde certificeringsinstantie zoals LRQA biedt daarvoor een solide uitgangspunt.
