ISO 42001: AI-management en certificering

ISO/IEC 42001 is de norm voor een managementsysteem voor AI. In het Engels heet dat een AI management system (AIMS). Je legt daarin vast hoe je bedrijf AI verantwoord ontwikkelt, aanbiedt of gebruikt. Je kijkt naar de risico's van je AI en naar de gevolgen voor de mensen die met je AI te maken krijgen. De norm verscheen in december 2023 en is de eerste editie.

De norm volgt dezelfde vaste opbouw als ISO 9001 en ISO 27001. Hoofdstuk 4 tot en met 10 hebben dezelfde nummers en titels. Daarbovenop komen eisen die alleen voor AI gelden. De inleiding van de norm noemt drie redenen voor die extra eisen:

Achter in de norm staat een lijst met beheersdoelen en maatregelen (bijlage A), met uitleg hoe je ze invoert (bijlage B). Die twee bijlagen zijn normatief. Daar kan de auditor je dus op toetsen. In maart 2026 is de norm ongewijzigd overgenomen als Europese norm. In Nederland heet hij nu NEN-EN-ISO/IEC 42001:2026.

Geen Nederlandse of Europese wet maakt een ISO 42001-certificaat verplicht. De norm is er voor elk bedrijf dat producten of diensten met AI levert of gebruikt, van elke grootte en in elke sector. Je hoeft dus geen AI te bouwen. Een bedrijf dat een AI-tool van een leverancier inzet voor klantcontact of selectie van sollicitanten, kan de norm ook gebruiken. Bedrijven halen het om deze redenen:

ISO 42001 is geen geharmoniseerde norm onder de AI-verordening (AI Act). Alleen als je een geharmoniseerde norm volgt, mag je ervan uitgaan dat je aan die eisen van de wet voldoet. Dat heet een vermoeden van overeenstemming. Zo'n norm moet in het Publicatieblad staan, de officiële krant van de EU. Dat staat in artikel 40 van de verordening. Op 14 oktober 2026 verscheen de eerste geharmoniseerde norm voor AI met een hoog risico. Dat is EN 18286:2026, over het kwaliteitssysteem dat aanbieders van zulke AI moeten hebben. ISO 42001 staat niet in dat besluit. Ook de Europese versie van ISO 42001 noemt geen koppeling met de wet.

Het kwaliteitssysteem uit de wet staat in artikel 17. Het geldt voor aanbieders van AI-systemen met een hoog risico. Sinds juli 2026 gelden daarvoor latere datums. Voor AI uit bijlage III, zoals AI voor het selecteren van sollicitanten of het beoordelen van kredietwaardigheid, gelden de eisen vanaf 2 december 2027. Voor AI in producten uit bijlage I, zoals liften of medische hulpmiddelen, gelden ze vanaf 2 augustus 2028. Een ISO 42001-systeem kan je helpen om dat werk te ordenen. Het bewijst niet dat je aan de wet voldoet. Wat de wet van jou vraagt, hangt af van je rol en van de soort AI.

ISO 42001 vraagt dat je je AI beheerst en blijft verbeteren. De norm schrijft niet voor welke techniek je gebruikt. In gewone taal vragen de eisen dat je:

De impactbeoordeling is wat ISO 42001 eigen maakt. ISO 9001 en ISO 27001 hebben die niet. Alle eisen staan bij de eisen van ISO 42001. Wat je moet vastleggen, staat bij de verplichte documenten.

Een ISO 42001-traject duurt vanaf nul ongeveer acht maanden. Daarin zit drie tot vier maanden wachten tot een certificeerder tijd heeft. Heb je al ISO 27001, dan ken je de opbouw en ben je sneller klaar. Daarna volgt de certificeringsaudit in twee fasen. In fase 1 kijkt de auditor of je klaar bent. In fase 2 toetst hij of je managementsysteem voor AI in de praktijk werkt zoals je hebt beschreven. Vanaf het besluit over je certificaat loopt een cyclus van drie jaar. In jaar 1 en jaar 2 volgt een controle-audit. In jaar 3 volgt de hercertificering, voordat je certificaat verloopt. Elke stap staat bij de stappen naar ISO 42001.

Een certificeerder rekent het aantal auditdagen maal zijn dagtarief. Dat tarief ligt tussen €1.000 en €1.800 exclusief btw. Het aantal dagen volgt uit bijlage A van ISO/IEC 42006:2025. Dat is de norm met eisen aan certificeerders van ISO 42001. Die bijlage staat alleen in de betaalde normtekst, dus hier staat geen aantal dagen. Vraag elke certificeerder hoeveel dagen hij per audit rekent en waarom. Elke dag die twee offertes verschillen, scheelt €1.000 tot €1.800. Wat de dagen bepaalt en hoe je offertes narekent, staat bij de kosten van ISO 42001.

Heb je al een ISO 42001-certificaat? Dan kun je in de drie jaar overstappen naar een andere certificeerder, zolang je certificaat geldig is en niet geschorst. Je hoeft dan niet opnieuw te beginnen. De nieuwe certificeerder neemt je cyclus over volgens Global ACI-TECH-3-002. Dat is de regel van Global ACI, de wereldwijde samenwerking van accreditatie-instanties. Vroeger heette die regel IAF MD 2. Er loopt nu geen overgang naar een nieuwe versie van ISO 42001. De regels die voor elke norm gelden, staan bij overstappen.

Een geaccrediteerd ISO 42001-certificaat krijg je alleen bij een certificeerder die daarvoor is goedgekeurd door de nationale accreditatie-instantie of een buitenlandse zusterorganisatie. Meer over die goedkeuring staat bij accreditatie. CertificeerWijzer telde op 24 september 2026 in het de nationale accreditatie-instantie-register en de UKAS-schedules 4 certificeerders in Nederland met zo'n accreditatie voor ISO 42001:

Bij ISO 9001 telt je sector. Bij ISO 42001 niet: de accreditaties noemen geen sectorcodes (IAF-codes). Wel noemen sommige accreditaties de rol of de complexiteit van de AI. Bij één certificeerder maakt de nationale accreditatie-instantie-scope onderscheid tussen hoog complexe en beperkt complexe AI-managementsystemen. Op de UKAS-schedules van twee certificeerders staan de rollen ontwikkelaar, aanbieder en gebruiker. Vier certificeerders is weinig. Ter vergelijking: voor ISO 27001 telden we er 23.

Kies op deze punten:

Meer keuzepunten staan bij certificeerder kiezen. Via CertificeerWijzer vraag je in één keer offertes op bij certificeerders die ISO 42001 onder accreditatie mogen doen. Dan zie je hun eerste auditdatum en hun aantal dagen naast elkaar.

ISO 42001 deelt zijn opbouw met andere managementnormen. Zo kun je ze in één systeem en één audit combineren: