AI Act of ISO 42001: wat heeft u nodig? Het korte antwoord: de AI Act is wet en dus niet optioneel, ISO 42001 is een vrijwillige norm die helpt bij het aantonen. Ze vervangen elkaar niet. Een certificaat levert ook geen vermoeden van conformiteit op onder de AI Act.
De EU AI Act is een wet. Wie verboden AI inzet, riskeert een boete tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet als dat hoger is (Artikel 99, lid 3). Voor de meeste andere plichten ligt het maximum op 15 miljoen euro of 3 procent (Artikel 99, lid 4). ISO 42001 is een vrijwillige internationale norm. Niet voldoen heeft op zichzelf geen wettelijke gevolgen, tenzij een contract of aanbesteding de norm eist. Toch kiezen steeds meer organisaties voor beide. Waarom?
Het verschil in een zin
De AI Act beschrijft wat u moet bereiken. ISO 42001 beschrijft hoe u dat organiseert.
De AI Act is prescriptief: er staat zwart op wit dat hoog-risico systemen een risicobeheersysteem moeten hebben (Artikel 9), technische documentatie volgens Bijlage IV (Artikel 11), menselijk toezicht (Artikel 14) en post-market monitoring (Artikel 72). De wet zegt niet hoe u dat inricht, maar wel dat het moet.
ISO 42001 is een managementsysteemnorm. De norm, voluit ISO/IEC 42001:2023, beschrijft hoe u een AI-managementsysteem (AIMS) opzet. Beleid, verantwoordelijkheden, processen, audits, continue verbetering. De structuur is identiek aan ISO 27001 of ISO 9001. Wie een van die normen kent, herkent de opzet meteen.
Kort door de bocht: de AI Act wijst het doel aan, ISO 42001 geeft u het bouwwerk waarmee u dat doel structureel haalt.
Waar de overlap zit
Er is geen officiële mapping tussen de twee, wel een reeks commerciële mappingguides die onderling verschillen. Wat er overlapt hangt af van uw systemen, dus een percentage zegt hier weinig. Zes gebieden waar beide vrijwel hetzelfde vragen:
Risicobeheer
AI Act Artikel 9 eist een doorlopend risicobeheersysteem voor hoog-risico AI. ISO 42001 Clause 6.1 eist hetzelfde proces, zij het zonder de specifieke eisen die Artikel 9 aan hoog-risico AI stelt.
Data governance
Artikel 10 stelt eisen aan de data waarmee een hoog-risicosysteem wordt getraind, gevalideerd en getest: kwaliteit, representativiteit en het opsporen van vertekening. Annex A.7 van ISO 42001, Data for AI systems, vraagt hetzelfde over de hele levenscyclus. A.8 gaat over iets anders, namelijk de informatie die u aan gebruikers en betrokkenen geeft; die sluit aan op Artikel 13 en Artikel 50.
Technische documentatie
Bijlage IV vraagt specifieke documentatie per hoog-risico systeem. De ISO-tegenhanger is A.6.2.7, AI system technical documentation, onderdeel van Annex A.6 over de levenscyclus. A.4 gaat over middelen: data, gereedschap, rekenkracht en mensen.
Menselijk toezicht
De AI Act eist dat een hoog-risicosysteem zo wordt geleverd dat mensen de output kunnen negeren of terugdraaien en het systeem veilig kunnen stilleggen (Artikel 14, lid 4, onder d en e). ISO 42001 regelt menselijk toezicht algemener, als beheersmaatregel uit Annex A.9 die u via uw risicobeoordeling kiest en vastlegt.
Post-market monitoring
Artikel 72 vraagt de aanbieder een hoog-risicosysteem te blijven monitoren nadat het in de handel is gebracht. In ISO 42001 komt beheersmaatregel A.6.2.6 over werking en monitoring daar het dichtst bij, met de evaluatiecyclus van Clause 9 als kader.
Kwaliteitsbeheer
Aanbieders van hoog-risico AI moeten een gedocumenteerd systeem voor kwaliteitsbeheer hebben, met onder meer een nalevingsstrategie, risicobeheer, monitoring en een verantwoordingskader voor het management (Artikel 17, lid 1). Dat ligt het dichtst bij wat ISO 42001 als managementsysteem vraagt.
AI-geletterdheid is nog een overlap. Artikel 4 vraagt van aanbieders en gebruiksverantwoordelijken maatregelen die de AI-geletterdheid ondersteunen van hun personeel en van anderen die namens hen AI-systemen gebruiken. Een bepaald niveau hoeven ze niet te waarborgen (Artikel 4, lid 1). ISO 42001 Clause 7.2 gaat verder: u bepaalt welke competentie nodig is en zorgt dat de betrokkenen die hebben.
Wat uniek is aan de AI Act
De AI Act bevat elementen die ISO 42001 niet adresseert.
Risicoclassificatie met verboden praktijkenDe AI Act kent vier risiconiveaus (onaanvaardbaar, hoog, beperkt, minimaal) en een lijst verboden AI-toepassingen. Social scoring en manipulatieve AI zijn verboden (Artikel 5, lid 1, onder a en c). Dat geldt ook voor emotieherkenning op de werkplek en in het onderwijs, tenzij het om medische of veiligheidsredenen gaat (onder f). ISO 42001 kent die concrete verbodslijst niet.
Conformiteitsbeoordeling en CE-markeringHoog-risico AI doorloopt een conformiteitsbeoordeling voordat het in de handel wordt gebracht of in gebruik wordt gesteld (Artikel 16, onder f). Een aangemelde instantie (Notified Body) komt in beeld bij biometrische systemen uit Bijlage III, punt 1, als u geen geharmoniseerde normen of gemeenschappelijke specificaties toepast (Artikel 43, lid 1). Hoog-risico-AI in producten uit Bijlage I, afdeling A, volgt de keuring die de productwetgeving voorschrijft (Artikel 43, lid 3). Dit is puur AI Act.
EU-databankregistratieAanbieders van hoog-risico AI uit Bijlage III registreren zichzelf en hun systeem in de EU-databank voordat het in de handel wordt gebracht of in gebruik wordt gesteld (Artikel 49, lid 1). Voor kritieke infrastructuur uit punt 2 van Bijlage III loopt dat via een nationaal register (Artikel 49, lid 5). ISO 42001 kent zoiets niet.
GPAI-verplichtingenAanbieders van AI-modellen voor algemene doeleinden, zoals de modellen achter GPT, Claude en Gemini, hebben eigen verplichtingen onder Hoofdstuk V van de AI Act (Artikel 53; bij systeemrisico ook Artikel 55). ISO 42001 raakt dit niet.
Fundamental Rights Impact AssessmentGebruiksverantwoordelijken die publiekrechtelijke organen zijn of als particuliere entiteit openbare diensten verlenen, voeren een FRIA uit voordat ze een hoog-risicosysteem uit Bijlage III in gebruik stellen. Kritieke infrastructuur uit punt 2 valt daarbuiten. Wie AI inzet voor kredietbeoordeling van natuurlijke personen of voor de risicobeoordeling en prijsstelling van hun levens- en ziektekostenverzekeringen, voert de FRIA altijd uit (Artikel 27, lid 1, met Bijlage III, punt 5, onder b en c). ISO 42001 kent een bredere impact-beoordeling, maar geen FRIA in deze specifieke vorm.
Wat uniek is aan ISO 42001
ISO 42001 bevat elementen die de AI Act niet voorschrijft.
PDCA-managementcyclusPlan, Do, Check, Act. De AI Act eist van aanbieders van hoog-risico AI een risicobeheersysteem en een systeem voor kwaliteitsbeheer (Artikel 9 en 17). Een vaste cyclus van management review en interne audits komt alleen in ISO 42001 voor.
ManagementcommitmentClause 5 eist expliciete betrokkenheid van het topmanagement. Handtekening onder het AI-beleid. Middelen vrijmaken. Periodieke review. De AI Act vraagt aanbieders van hoog-risico AI alleen om een verantwoordingskader dat de verantwoordelijkheden van het management vastlegt (Artikel 17, lid 1, onder m).
Integratie met andere normenISO 42001 deelt de Annex SL-structuur met onder meer ISO 27001 (informatiebeveiliging) en ISO 9001 (kwaliteit). Wie al ISO-gecertificeerd is, kan AI-governance inbedden in het bestaande managementsysteem.
CertificeringU kunt zich voor ISO 42001 laten certificeren door een certificatie-instelling. In Nederland waren BSI en DNV in januari 2025 de eersten met een accreditatie van de Raad voor Accreditatie; welke instellingen nu geaccrediteerd zijn, ziet u in het register van de RvA. Een certificaat is een signaal naar klanten, partners en toezichthouders. De AI Act kent geen certificaat voor de organisatie als geheel. Wel geeft een aangemelde instantie in de route van Bijlage VII een certificaat af voor één specifiek hoog-risicosysteem (Artikel 44).
Geeft ISO 42001-certificering vermoeden van conformiteit onder de AI Act?
Kort: nee. Niet op dit moment.
De AI Act kent het concept van geharmoniseerde normen. Voldoet een hoog-risicosysteem aan zo'n norm en is de referentie ervan in het Publicatieblad bekendgemaakt, dan wordt het geacht te voldoen aan de eisen die die norm dekt (Artikel 40, lid 1). ISO 42001 is geen geharmoniseerde norm. De Europese AI-normen die daarvoor bedoeld zijn, komen uit de gezamenlijke technische commissie JTC 21 van CEN en CENELEC. De eerste, EN 18286 over het systeem voor kwaliteitsbeheer uit Artikel 17, verscheen in juli 2026. Pas als de Commissie de referentie in het Publicatieblad bekendmaakt, levert die norm een vermoeden van conformiteit op. Dat was op 2 oktober 2026 nog niet gebeurd.
Praktisch betekent dit: ISO 42001-certificering helpt u om aan de AI Act te voldoen, maar het vervangt de AI Act-documentatie en procedures niet. U moet beide kunnen laten zien.
Wanneer kiest u voor allebei?
Vier scenario's waar de combinatie waarde toevoegt.
U levert AI-diensten aan grote zakelijke klanten. Die vragen steeds vaker om ISO 27001 of een SOC 2-rapport. ISO 42001 duikt inmiddels op in dezelfde vragenlijsten. Wie nu begint, ligt voor op de concurrentie.
U zit in een gereguleerde sector: financiële dienstverlening, zorg, overheid. Toezichthouders kijken naar uw governance-volwassenheid. Een gecertificeerd AIMS is een sterk signaal.
U bouwt AI-producten die hoog-risico zijn onder de AI Act. De compliance-last is fors. ISO 42001 als fundament maakt het compliance-werk efficient en voorkomt dat u het wiel opnieuw uitvindt.
U wilt AI-governance vanaf dag een goed inrichten. In plaats van losse checklisten voor elke regel, bouwt u een managementsysteem dat mee-evolueert met nieuwe regelgeving. ISO 42001 is dat fundament.
Wanneer is de AI Act alleen voldoende?
Voor de meeste MKB-bedrijven die AI inkopen en gebruiken, is AI Act-compliance de juiste eerste stap. U bent dan in de regel gebruiksverantwoordelijke (deployer). Aanbieder wordt u als u een AI-systeem ontwikkelt of laat ontwikkelen en het onder eigen naam in de handel brengt of in gebruik stelt, ook voor intern gebruik (Artikel 3, punt 3). Bij hoog-risico AI wordt u het ook als u uw naam op het systeem van een ander zet, het substantieel wijzigt of het beoogde doel zo verandert dat een systeem hoog-risico wordt (Artikel 25, lid 1). Die route geldt voor Bijlage III vanaf 2 december 2027 en voor Bijlage I vanaf 2 augustus 2028 (Artikel 113, derde alinea, onder c). Uw verplichtingen zijn beperkter: maatregelen voor AI-geletterdheid (Artikel 4), de transparantieplichten uit Artikel 50 voor zover uw gebruik eronder valt en, bij hoog-risico AI, de plichten uit Artikel 26. Een AI-register met een risicoclassificatie per systeem is het overzicht waarmee u ziet welke daarvan gelden.
Volledige ISO 42001-certificering is voor zo'n organisatie vaak overdreven. De kosten wegen zelden op tegen de baten. Certificatie-instellingen werken op offerte. Reken daarnaast op flink wat interne tijd voor de implementatie. De discipline van de norm kunt u wel overnemen zonder formeel certificaat.
De slimme aanpak
Begin met het in kaart brengen van uw AI-landschap. Welke systemen gebruikt u? Wat is de risicoclassificatie? Pas met dat overzicht ziet u welke plichten uit de AI Act voor welk systeem gelden.
Bouw daarop een eenvoudig AI-beleid en risicobeoordeling. Hanteer de structuur van ISO 42001 als leidraad, zonder u meteen te committeren aan certificering. U krijgt een werkend fundament dat aansluit op de AI Act.
Overweeg formele certificering pas als u er een concrete aanleiding voor heeft: een grote klant die erom vraagt, een aanbesteding die het eist, een concurrent die het claimt.
Veelgestelde vragen
Moet ik eerst ISO 42001 of eerst de AI Act doen?
Eerst de AI Act, want dat is de wet met deadlines. Begin bij inventarisatie en classificatie: zonder te weten welke systemen u heeft en in welke categorie ze vallen, weet u ook niet welk deel van ISO 42001 u nodig heeft.
Geeft ISO 42001 vermoeden van conformiteit?
Nee. Dat vermoeden ontstaat bij geharmoniseerde normen waarvan de referentie in het Publicatieblad is bekendgemaakt (Artikel 40, lid 1) en bij gemeenschappelijke specificaties van de Commissie (Artikel 41, lid 3). ISO 42001 is geen van beide. De norm is wel bruikbaar als onderbouwing dat uw governance op orde is.
Wat kost ISO 42001 tegenover AI Act-naleving?
AI Act-naleving is niet optioneel en heeft dus geen alternatief. ISO 42001-certificering is een investering die u kiest. De certificatie-audit en de jaarlijkse controle-audits gaan op offerte; de implementatie vraagt daarnaast vooral interne tijd. Voor de meeste MKB-organisaties is het raamwerk gebruiken zonder certificaat de betere verhouding.
Helpt ISO 42001 bij aanbestedingen?
Ja, dat is vaak het sterkste argument. Een certificaat verkort het gesprek met inkopers die om aantoonbare AI-governance vragen. Zonder certificaat moet u die governance telkens opnieuw uitleggen. Dat kost per traject tijd.
Voor welke bedrijven is ISO 42001 zinvol?
Drie soorten. Bedrijven die AI-diensten leveren aan grote zakelijke klanten, want voor een inkoper is een certificaat een herkenbaar bewijs van AI-governance. Wie zelf hoog-risico AI-systemen ontwikkelt, kan de norm gebruiken als basis voor het systeem voor kwaliteitsbeheer uit Artikel 17. Een vermoeden van conformiteit komt pas van een geharmoniseerde norm (Artikel 40, lid 1). En organisaties met ISO 27001 of ISO 9001 herkennen die opbouw meteen. Gebruikt u AI alleen intern en vraagt geen klant erom? Dan volstaat meestal de AI Act. Vijf concrete aanleidingen staan in wanneer uw MKB ISO 42001 nodig heeft.
Kan ik allebei tegelijk oppakken?
Ja. Dat is zelfs efficiënter dan achter elkaar, want inventarisatie, risicobeoordeling, rolverdeling en documentatie dienen beide kaders. Doe het werk één keer en leg per beheersmaatregel vast welk AI Act-artikel en welke ISO-clausule ermee gedekt is.
Waar u kunt starten
De gratis risicoscan plaatst uw AI-systemen in vijf minuten in de juiste risicocategorie. Vanuit onze AI compliance software bouwt u uw AI-register op, genereert u documenten voor uw AI Act-dossier en zet u e-learning in als maatregel voor AI-geletterdheid (Artikel 4). De opzet sluit aan op de structuur van ISO 42001. Zo houdt u de optie op certificering open, zonder er nu al aan vast te zitten.