ISO 42001.
AI-verantwoordelijkheid, risico’s en operationele beslissingen organiseren in een managementsysteem en de grenzen van de bewijsvoering begrijpen.
- ISO/IEC 42001:2023
- Door Jonathan Bezdek
- Stand: 22-10-2026
- Leestijd: 7 min.
Kort antwoord.
ISO 42001 is de internationale eisennorm voor een AI-managementsysteem, kortweg AIMS. ISO/IEC 42001:2023 richt zich op organisaties die AI ontwikkelen, aanbieden of gebruiken. De norm ordent verantwoordelijkheid, risico’s en doorlopende verbetering. Vrijwillige certificering door een onafhankelijke instantie beoordeelt het managementsysteem binnen de vastgestelde scope en vormt geen algemene goedkeuring van elke AI-toepassing.
ISO 42001 en het AI-managementsysteem.
Een AI-managementsysteem verbindt organisatiedoelen met betrouwbare beslissingen over het gebruik van kunstmatige intelligentie. Het AIMS beschrijft wie verantwoordelijkheid draagt, welke informatie een beslissing vereist en hoe ervaringen tot verbeteringen leiden. ISO/IEC 42001:2023 is daarvoor de eerste internationale uitgave, van december 2023; de openbare ISO-publicatievermelding vermeldt deze nog steeds als gepubliceerd.
De norm kijkt naar de organisatie en haar omgang met AI. Dat onderscheidt een AIMS van één modeltest, een producttoelating of een onderzoek naar alleen de broncode. Een goed testresultaat kan een beslissing ondersteunen; daarnaast moet navolgbaar blijven wie het gebruik onder welke voorwaarden verantwoordt en hoe wijzigingen worden beoordeeld.
De openbare ISO-uitleg bij ISO 42001, paragraaf 3, onderscheidt de ondersteuning van wettelijke verplichtingen van de feitelijke naleving daarvan. Een managementsysteem creëert hiervoor werkprocessen, maar vervangt geen toetsing van het concrete rechtskader. Europese of nationale overnames met een ander jaartal moeten bovendien van de internationale basisuitgave worden onderscheiden.
Voor wie ISO 42001 geschikt is.
ISO 42001 richt zich ook op organisaties die AI van andere aanbieders afnemen. De openbare ISO- en IEC-beschrijvingen noemen ontwikkeling, beschikbaarstelling en gebruik, ongeacht omvang of sector. Een dienstverlener met ingekochte AI-hulpmiddelen kan daarom een AIMS opzetten zonder zelf een basismodel te trainen.
De passende scope volgt uit de feitelijke activiteiten. Bepaal bijvoorbeeld welke diensten, teams, locaties en beslissingen moeten worden bekeken en welke afhankelijkheden van externe modellen bestaan. Een afgebakende start vereenvoudigt de organisatie van het werk; interfaces en gevolgen buiten die grens moeten wel zichtbaar blijven.
Klanten kunnen een bepaalde certificeringsscope verwachten. Vraag vroeg of het bewijs de ontwikkeling van een dienst, de uitvoering ervan of het interne gebruik moet dekken. Alleen de organisatienaam op een certificaat verklaart nog niet welke AI-activiteit daadwerkelijk is beoordeeld.
Overzicht van de ISO 42001-eisen.
De eisen verbinden directie en doelen met AI-gerelateerd risicowerk, operationele procedures en verbetering. De volgende zes werkgebieden zijn een redactionele oriëntatie op basis van de openbare ISO-uitleg, geen volledige weergave van de norm of bijlagen.
Opdracht en verantwoordelijkheid bepalen.
De directie geeft richting en verantwoordelijkheden aan het AI-werk. Voor de praktische implementatie moeten vakafdelingen, ontwikkeling, inkoop en controlefuncties kunnen herkennen welke beslissingen zij mogen nemen en wanneer anderen moeten worden betrokken. Een centrale coördinator vervangt de inhoudelijke verantwoordelijkheid van de afzonderlijke betrokkenen niet.
Doelen en verwachtingen samenbrengen.
Het managementsysteem vereist een navolgbare relatie met de organisatiedoelen en de verwachtingen van betrokken partijen. Beschrijf voor het gekozen gebruik welk resultaat wordt beoogd en welke grenzen gelden. Zo kunnen verantwoordelijken later beoordelen of een wijziging nog bij het goedgekeurde doel past.
Risico’s en effecten beoordelen.
AI-risicowerk kijkt ook naar mogelijke gevolgen voor mensen en groepen. De openbare beschrijving van de aanvullende ISO/IEC 42005:2025 verduidelijkt dit perspectief gedurende de levenscyclus. In de praktijk helpt het om bedrijfsschade en effecten op betrokkenen afzonderlijk te bekijken, zodat goede prestatiecijfers relevante nadelen niet verbergen.
Gegevens, leveranciers en levenscyclus aansturen.
Verantwoordelijkheid reikt verder dan de eerste invoering. Documenteer de voor uw gebruik relevante gegevensbronnen, externe diensten en wijzigingstrajecten zo dat latere beslissingen op de juiste stand berusten. Een update van een ingekocht model kan nieuwe evaluaties of andere gebruiksgrenzen nodig maken.
Competentie en informatie beschikbaar stellen.
Betrokkenen hebben informatie nodig die bij hun taak past. Een inkopend team heeft andere beslissingsgrondslagen nodig dan personen die AI-outputs tijdens het gebruik beoordelen. Leg verantwoordelijkheden, bekende grenzen en escalatiekanalen begrijpelijk vast en toets of die informatie bij het daadwerkelijke gebruik aankomt.
Beoordelen en verbeteren.
Een AIMS blijft alleen deugdelijk wanneer ervaringen en geconstateerde afwijkingen tot toetsbare beslissingen leiden. Onderzoek daarom de uitvoering en doeltreffendheid van uw procedures. Voor elke verbetering moet zichtbaar zijn wie verantwoordelijk is, welk resultaat wordt verwacht en waarop de latere beoordeling aansluit.
Een AI-managementsysteem opzetten.
Toepassingen afbakenen.
Breng als praktische eerste stap een concrete AI-dienst met doel, betrokken personen en belangrijke afhankelijkheden in kaart, in plaats van alleen namen van ingekochte modellen op te sommen.
Beslissingsrechten vastleggen.
Benoem verantwoordelijken voor gebruik, technische wijzigingen en beoordeling en stem af welke beslissingen directie, vakafdelingen en controlefuncties gezamenlijk nemen.
Risico’s en gevolgen onderzoeken.
Beoordeel aan de hand van de feitelijke gebruikscontext mogelijke ongewenste effecten en betrokken groepen en bepaal welke aanvullende informatie voor een deugdelijke beslissing ontbreekt.
Procedures en bewijsvoering uitvoeren.
Implementeer passende maatregelen en verbind goedkeuringen, tests, leveranciersinformatie en operationele waarnemingen met de betreffende beoordeelde dienst en versie.
Intern beoordelen.
Toets de implementatie met voldoende afstand tot het eigen werk en leg vast welke afwijkingen, openstaande beslissingen en verbeteringen vóór de volgende goedkeuring worden behandeld.
Gebruik en bewijsvoering voortzetten.
Plan periodieke herbeoordelingen en eventueel onafhankelijke certificering en reageer ook tussen geplande momenten op veranderde modellen, taken of effecten.
Wat ISO 42001-certificering aantoont.
ISO 42001-certificering bevestigt de beoordeelde conformiteit van het AIMS binnen de vermelde scope. Volgens de openbare ISO-uitleg, paragraaf 7, is certificering vrijwillig en wordt zij uitgevoerd door onafhankelijke certificatie-instellingen. ISO ontwikkelt de norm, maar geeft zelf geen certificaten af.
De competentie van de onderzoekende instantie is een afzonderlijke vraag. Volgens de openbare ISO-beschrijving vult ISO/IEC 42006:2025 de eisen aan instanties die AI-managementsystemen auditen en certificeren aan. Toets bij de selectie de passende activiteitenscope en accreditatiestatus, zoals de ISO-pagina over certificering aanbeveelt.
Een overgelegd bewijsstuk moet bij de actuele beslissing passen. Controleer scope, uitgevende instantie, status en de vermelde geldigheidsgegevens. Operationele registraties en technische evaluaties blijven nodig om concrete AI-toepassingen te beoordelen; zij krijgen door een AIMS-certificaat geen algemene goedkeuring op beveiligings- of rechtsgebied.
ISO 42001 en andere frameworks.
ISO 27001 organiseert informatiebeveiliging en kan bestaande procedures beschikbaar stellen voor AI-werk. Het NIST AI RMF ondersteunt contextafhankelijk onderzoek naar AI-risico’s, terwijl de EU AI Act eigen wettelijke rollen en verplichtingen vastlegt. ISO 9001 biedt een andere managementsysteemcontext voor gezamenlijke procedures rond procesaansturing en verbetering; het afzonderlijke inhoudelijke beoordelingsobject blijft behouden.
- ISO 27001De eisen aan informatiebeveiligingsmanagement duiden.
- NIST AI RMFVrijwillig risicowerk voor AI in de gebruikscontext begrijpen.
- EU AI ActJuridische rollen, classificatie en toepasselijke verplichtingen afzonderlijk toetsen.
- ISO 9001Kwaliteitsmanagement en gezamenlijke managementprocessen duiden.
In Secani.
Secani bevat een redactionele werkcatalogus voor ISO/IEC 42001:2023. Profielgegevens leggen onder meer aanbieder- of gebruikersrol, externe modellen, AI-persoonsgegevens en mogelijke effecten vast. Onderbouwde toepasselijkheidsbeslissingen helpen de behandeling te relateren aan de beschreven context. De catalogus is een werkhulpmiddel en vervangt noch rechtmatige toegang tot de norm, noch inhoudelijke beoordeling of onafhankelijke certificering.
Volgende stap.
Kies een AI-toepassing en verzamel doel, verantwoordelijke persoon, wezenlijke afhankelijkheden en de bestaande goedkeuring. Toets vervolgens of een andere persoon kan herkennen op welke grond het gebruik is toegestaan en wanneer de beslissing opnieuw moet worden beoordeeld. Zo ontstaat een concrete start voor het managementsysteem.
Veelgestelde vragen.
Ja. Het algemene toepassingsgebied omvat ook organisaties die AI-producten of AI-diensten van andere aanbieders gebruiken. De eigen activiteit en de vastgestelde scope van het managementsysteem zijn bepalend.
Nee. De certificering beoordeelt het AI-managementsysteem binnen zijn scope. De veiligheid en geschiktheid van concrete toepassingen vereisen nog steeds passende technische en inhoudelijke beoordelingen.
Nee. Het AIMS kan de organisatie van bewijsvoering ondersteunen, maar vervangt geen juridische toetsing van rollen en toepasselijkheid. Wettelijk voorgeschreven beoordelingsprocedures blijven afzonderlijk van belang.
Nee. Certificering is een vrijwillige, zelfstandige beslissing. Een organisatie kan haar AI-verantwoordelijkheid en operationele procedures al vóór een externe beoordeling opzetten en verbeteren.
AI-verantwoordelijkheid navolgbaar organiseren.
Bespreek met Secani hoe u context, beslissingen en bewijsmateriaal samenbrengt.
Deze pagina duidt de norm op algemeen niveau. De actuele normversie en de eisen van het betreffende beoordelings- en rechtskader zijn bepalend.