Wet en norm zijn verschillende dingen
De Europese AI-verordening, in het Engels AI Act, is sinds augustus 2024 van kracht en wordt gefaseerd van toepassing. Het is wetgeving met verplichtingen en sancties. ISO 42001 is een vrijwillige norm die beschrijft hoe u AI-gebruik organiseert. Certificering tegen ISO 42001 betekent dus niet automatisch dat u aan de verordening voldoet. Een goed ingericht managementsysteem maakt het wel veel eenvoudiger om de eisen aantoonbaar na te komen.
Wat de verordening vraagt
De verordening deelt AI-toepassingen in naar risico. Bepaalde toepassingen zijn verboden. Voor hoog-risico systemen, bijvoorbeeld bij werving en selectie of kredietbeoordeling, gelden uitgebreide eisen aan risicobeheer, data, documentatie, menselijk toezicht en nauwkeurigheid. Voor sommige systemen gelden transparantieverplichtingen, zoals melden dat iemand met een chatbot praat.
Een verplichting die vrijwel iedere organisatie raakt, is AI-geletterdheid: medewerkers die AI-systemen gebruiken of beheren, moeten voldoende kennis hebben om dat verantwoord te doen. Deze verplichting geldt sinds februari 2025.
Gefaseerde invoering
De verboden en de eis van AI-geletterdheid gelden sinds februari 2025. Regels voor aanbieders van AI-modellen voor algemene doeleinden volgden in augustus 2025. De verplichtingen voor hoog-risico systemen worden later van toepassing. De Europese Commissie heeft voorgesteld een deel daarvan uit te stellen. Controleer daarom de actuele planning bij de Rijksoverheid of de Europese Commissie voordat u een planning vastlegt.
Waar ISO 42001 helpt
Veel onderdelen van de verordening hebben een tegenhanger in de norm. Een overzicht van AI-systemen en uw rol, een risico- en impactbeoordeling, afspraken met leveranciers, technische documentatie, logging en een proces voor incidenten en meldingen. Wie deze onderdelen via ISO 42001 inricht, kan bij een vraag van een klant of toezichthouder laten zien hoe AI wordt beheerst.
Een praktische volgorde
Inventariseer eerst welke AI-toepassingen u gebruikt en in welke risicocategorie ze vallen. Regel daarna AI-geletterdheid met een beleid en een korte training voor medewerkers. Bepaal vervolgens of u hoog-risico systemen ontwikkelt of inzet; dan is een uitgebreidere aanpak nodig. Gebruik ISO 42001 als kader om deze stappen samenhangend en controleerbaar vast te leggen.