Een norm voor verantwoord gebruik van AI
ISO/IEC 42001 beschrijft eisen voor een managementsysteem voor kunstmatige intelligentie, in het Engels AI management system of AIMS. Het doel is dat een organisatie AI-systemen verantwoord ontwikkelt, aanbiedt of gebruikt, met aandacht voor risico’s, gevolgen voor mensen en de eisen van klanten en wetgeving.
De internationale norm is in 2023 verschenen. NEN heeft hem in 2025 ongewijzigd gepubliceerd als NEN-ISO/IEC 42001:2025. Net als bij ISO 27001 gaat het om dezelfde inhoud onder een Nederlandse aanduiding.
Niet alleen voor ontwikkelaars
De norm is bedoeld voor elke organisatie die producten of diensten levert of gebruikt waarin AI een rol speelt, ongeacht grootte of sector. Een softwarebedrijf dat een AI-functie in zijn product bouwt, valt er net zo goed onder als een accountantskantoor dat Microsoft Copilot of een AI-tool voor het verwerken van facturen inzet.
Een belangrijke eerste stap is het bepalen van uw rol. Bent u aanbieder, ontwikkelaar, gebruiker of leverancier van data? Die rol bepaalt welke eisen en beheersmaatregelen voor u het zwaarst wegen.
Dezelfde opbouw als ISO 27001
ISO 42001 volgt de geharmoniseerde structuur voor managementsysteemnormen. De hoofdstukken 4 tot en met 10 behandelen context, leiderschap, planning, ondersteuning, uitvoering, evaluatie en verbetering. Wie ISO 27001 kent, herkent de directiebeoordeling, de interne audit en de Verklaring van Toepasselijkheid.
Nieuw ten opzichte van ISO 27001 zijn onder meer een AI-beleid, AI-doelstellingen en een impactbeoordeling van AI-systemen. Die beoordeling kijkt nadrukkelijk verder dan de eigen organisatie: wat betekent het systeem voor de mensen en groepen die ermee te maken krijgen?
Combineren met uw ISMS
Door de gelijke structuur kunt u ISO 42001 integreren in een bestaand managementsysteem. Rollen, documentbeheer, interne audits en directiebeoordelingen worden dan gezamenlijk ingericht. Informatiebeveiliging van AI-systemen, zoals toegangsbeheer en logging, regelt u via ISO 27001. ISO 42001 voegt de onderwerpen toe die specifiek zijn voor AI, zoals datakwaliteit, transparantie en menselijke controle.
Waar begint u?
Begin met een overzicht van de AI-toepassingen die al in gebruik zijn, inclusief functies in bestaande software en tools die medewerkers zelf gebruiken. Bepaal per toepassing het doel, de gebruikte gegevens, de eigenaar en uw rol. Op basis van dat overzicht stelt u een AI-beleid op en beoordeelt u de risico’s. Certificering kan een vervolgstap zijn, maar het overzicht en het beleid leveren direct waarde op.