ISO 42001-eisen per hoofdstuk en de maatregelen uit bijlage A

ISO 42001 heeft twee soorten eisen. Hoofdstuk 4 tot en met 10 beschrijven je managementsysteem voor AI. Die eisen gelden altijd. Bijlage A geeft beheersdoelen en maatregelen, en bijlage B legt uit hoe je ze invoert. Beide bijlagen zijn normatief. De auditor kan je er dus op toetsen. Bijlage C en D zijn informatief. Ze helpen je, maar je wordt er niet op beoordeeld.

Hoofdstuk 4 tot en met 10 volgen de vaste opbouw die ISO voor al zijn managementnormen gebruikt (harmonized structure). ISO 9001 en ISO 27001 hebben dezelfde nummers en titels. De norm zegt in zijn inleiding dat je je managementsysteem voor AI opneemt in je bestaande processen en je bestaande leiding. Het is dus geen los project.

Je bepaalt welke zaken binnen en buiten je bedrijf je AI raken, wie er belang bij heeft en wat zij verwachten. Daarna leg je het toepassingsgebied vast (4.3): welke AI-systemen, welke rol en welke locaties eronder vallen. Een bedrijf dat AI bouwt, heeft een ander toepassingsgebied dan een bedrijf dat een AI-tool inkoopt.

De directie draagt het systeem. Ze stelt een AI-beleid vast (5.2) en verdeelt rollen en bevoegdheden (5.3). Het beleid past bij het doel van je bedrijf en geeft het kader voor je doelen voor AI.

Paragraaf 6.1 heeft drie onderdelen die ISO 42001 eigen maken: de AI-risicobeoordeling (6.1.2), de AI-risicobehandeling (6.1.3) en de impactbeoordeling van AI-systemen (6.1.4). Daarnaast stel je doelen voor je AI en plan je hoe je ze haalt (6.2). Wijzigingen in je systeem plan je vooraf (6.3).

Je zorgt voor middelen, voor mensen die hun taak kunnen en voor bewustzijn (7.1 tot en met 7.3). Je regelt de communicatie (7.4) en je beheert wat je vastlegt (7.5). Wie aan je AI werkt, moet weten wat jouw AI-beleid van hem vraagt.

Je voert uit wat je in hoofdstuk 6 hebt gepland. Je beheerst je werk (8.1) en voert de risicobeoordeling (8.2), de risicobehandeling (8.3) en de impactbeoordeling (8.4) echt uit. Plan wanneer je die beoordelingen herhaalt, bijvoorbeeld als een AI-systeem verandert door een nieuw model of nieuwe data.

Je meet of je systeem werkt (9.1). Je doet een interne audit (9.2) en een directiebeoordeling (9.3). Dat laatste is een vast moment waarop de leiding kijkt of het systeem werkt.

Je verbetert je systeem steeds (10.1). Bij een fout zoek je de oorzaak en neem je een maatregel die herhaling voorkomt (10.2).

De risicobeoordeling vraagt wat er mis kan gaan met je AI en wat de gevolgen zijn. De impactbeoordeling vraagt per AI-systeem wat het kan betekenen voor de mensen en groepen die ermee te maken krijgen. Neem een recruitmentbureau dat een AI-tool sollicitanten laat voorselecteren. Het risico voor het bureau is dat de tool goede kandidaten mist. De impact op mensen is dat een groep sollicitanten stelselmatig lager scoort. Allebei hoort in je systeem.

De inleiding van de norm noemt waarom AI om eigen aandacht vraagt:

De inleiding noemt ook onderwerpen waarvoor je processen nodig hebt: veiligheid, eerlijkheid, transparantie, de kwaliteit van data en de kwaliteit van AI-systemen, gedurende hun hele levensduur. Uitleg over de impactbeoordeling geeft de aparte norm ISO/IEC 42005:2025. Die norm helpt je de gevolgen voor mensen, groepen en de samenleving te vinden en vast te leggen. Het is een handleiding. Je kunt je er niet op laten certificeren.

Bijlage A is een referentielijst met beheersdoelen en maatregelen voor AI. Bijlage B geeft per maatregel uitleg over het invoeren. Je kiest maatregelen op basis van je risicobeoordeling en je impactbeoordeling. De inleiding van de norm zegt dat je de eisen met een aanpak op basis van risico mag toepassen. Zo past de mate van beheersing bij elke toepassing van AI in je bedrijf. Een bedrijf dat alleen AI gebruikt, kiest andere maatregelen dan een bedrijf dat zelf modellen traint.

Een eis uit hoofdstuk 4 tot en met 10 sluit je niet uit. Die gelden voor elk bedrijf, van elke grootte. Een maatregel uit bijlage A mag je wel laten vallen, als je risico's die maatregel niet nodig maken. Je legt dan vast welke maatregelen je toepast en waarom je andere uitsluit, in een verklaring van toepasselijkheid (Statement of Applicability). Die eis staat in paragraaf 6.1.3. Bij ISO 27001 werkt dat net zo. Elke rij in die verklaring noemt een maatregel, of je hem toepast en waarom. Vraag je certificeerder vóór fase 1 hoe hij jouw verklaring wil zien.

Neem een webwinkel die alleen een ingekochte chatbot gebruikt. Gaat een maatregel over het ontwikkelen van eigen AI, dan is die daar meestal niet nodig. De afspraken met de leverancier van de chatbot zijn dan juist belangrijk. Een uitsluiting zonder reden kan de auditor als afwijking noteren.

De editie die geldt, is ISO/IEC 42001:2023. Dat is de eerste editie, uit december 2023. Er is geen wijzigingsblad en er loopt geen overgang. In maart 2026 heeft CEN de norm zonder wijziging overgenomen als EN ISO/IEC 42001:2026. In Nederland heet hij NEN-EN-ISO/IEC 42001:2026. Die versie verving op 1 maart 2026 de NEN-ISO/IEC 42001:2025. De tekst is gelijk aan die van ISO.

De eisen zijn bij elke certificeerder gelijk. Wel verschilt hoe goed de auditor jouw soort AI kent. ISO/IEC 42006:2025 is de norm met eisen aan certificeerders van ISO 42001. Die norm stelt algemene en specifieke technische eisen aan de kennis van de mensen die auditen. Vraag daarom in de offerte welke ervaring de auditor heeft met jouw AI: zelf ontwikkelen, aanbieden of gebruiken. Vraag ook of hij ervaring heeft in jouw sector. Stel die vragen via CertificeerWijzer in één aanvraag aan certificeerders met ISO 42001 in hun accreditatie. Dan leg je hun antwoorden over de auditor naast elkaar. Wat je moet vastleggen, staat bij de documenten voor ISO 42001.