Klanten vragen steeds vaker: "Hoe gaan jullie om met AI?" Een mooie belofte is dan niet genoeg. Ze willen zien dat je het geregeld hebt. Daarom krijgt ISO 42001 snel meer aandacht.
ISO 42001 is de eerste internationale norm voor het managen van AI in een organisatie. In dit artikel lees je in gewone taal wat de norm vraagt, voor wie certificering zinvol is en hoe je begint. Ook als je (nog) niet wilt certificeren.
Wat is ISO/IEC 42001?
Voluit heet de norm ISO/IEC 42001:2023. Hij beschrijft hoe je een AI-managementsysteem opzet, in het Engels een AI management system of AIMS. Dat is geen software, maar een samenhangend geheel van beleid, rollen, processen en controles voor verantwoorde AI.
De norm is bedoeld voor organisaties die AI ontwikkelen, aanbieden of gebruiken. Dus niet alleen voor techbedrijven. Ook een organisatie die Copilot en AI-agents inzet, kan de norm gebruiken.
Wat vraagt ISO 42001?
ISO 42001 is opgebouwd zoals andere managementsysteemnormen, zoals ISO 27001 voor informatiebeveiliging. Het werkt volgens de bekende cyclus: plannen, uitvoeren, controleren en verbeteren. De belangrijkste onderdelen:
- Context: welke AI gebruik je, met welk doel en welke belanghebbenden spelen een rol?
- Leiderschap: het management neemt verantwoordelijkheid en stelt een AI-beleid vast.
- Risico's en impact: je beoordeelt de risico's van je AI-toepassingen, ook de impact op mensen.
- Ondersteuning: mensen, kennis, bewustzijn en documentatie zijn op orde.
- Uitvoering: je beheert AI-toepassingen over hun hele levenscyclus.
- Evaluatie: je meet, controleert en doet interne audits.
- Verbetering: je leert van incidenten en stuurt bij.
Daarnaast bevat de norm een bijlage met beheersmaatregelen (Annex A) en toelichting om die in te vullen.
ISO 42001 vs. ISO 27001
| ISO 27001 | ISO 42001 | |
|---|---|---|
| Onderwerp | Informatiebeveiliging | Verantwoord gebruik en beheer van AI |
| Kernvraag | Is onze informatie veilig? | Gebruiken we AI verantwoord en beheerst? |
| Risico's | Vertrouwelijkheid, integriteit, beschikbaarheid | Ook bias, transparantie, impact op mensen, betrouwbaarheid |
| Opbouw | Managementsysteemnorm | Managementsysteemnorm, met dezelfde basisstructuur |
Heb je ISO 27001 al? Dan heb je een flinke voorsprong. De structuur is vergelijkbaar, en veel processen kun je combineren.
ISO 42001 en de AI-verordening
De Europese AI-verordening (de EU AI Act) is wetgeving. ISO 42001 is een vrijwillige norm. Ze vullen elkaar aan. De wet vertelt je wat er moet, afhankelijk van het risico van je toepassingen. ISO 42001 helpt je om dat structureel te organiseren en aantoonbaar te maken. Een certificaat betekent niet automatisch dat je aan de wet voldoet, maar het helpt wel om je aanpak op orde te brengen.
Voor wie is ISO 42001-certificering zinvol?
- Organisaties die AI-oplossingen leveren aan klanten.
- Organisaties in sectoren waar vertrouwen cruciaal is, zoals zorg, finance en overheid.
- Organisaties die al ISO 27001 hebben en hun managementsysteem willen uitbreiden.
- Organisaties waarvan klanten of aanbestedingen om aantoonbare AI-governance vragen.
Gebruik je AI alleen op kleine schaal? Dan is volledige certificering vaak nog niet nodig. Maar de norm is wel een uitstekende leidraad.
Hoe krijg je ISO 42001-certificering?
- Bepaal de scope. Welke AI-toepassingen en welke onderdelen van de organisatie vallen eronder?
- Doe een nulmeting. Waar sta je ten opzichte van de eisen van de norm?
- Richt het managementsysteem in. Beleid, rollen, risicobeoordelingen en processen.
- Draai het systeem. Leg vast, monitor, train en doe een interne audit.
- Laat je auditen. Een geaccrediteerde certificerende instelling voert de externe audit uit, meestal in twee fases.
- Blijf verbeteren. Na certificering volgen periodieke controle-audits.
Wat kost ISO 42001-certificering?
Dat hangt sterk af van je situatie. De belangrijkste kostendrijvers zijn de omvang van de scope, het aantal AI-toepassingen, hoe volwassen je huidige processen zijn, of je al een ISO-managementsysteem hebt en hoeveel externe begeleiding je inschakelt. Vraag meerdere certificerende instellingen om een offerte op basis van je scope.
Waar helpt Microsoft 365 bij?
Microsoft 365 maakt je niet ISO 42001-compliant. Maar het levert wel bouwstenen. Toegangsbeheer met Entra ID. Gevoeligheidslabels en auditlogs met Microsoft Purview. Inzicht in gebruik via rapportages. En een vaste plek voor beleid en documentatie in SharePoint.
Hoe 365 Agents helpt
De Frontier Crew is gebouwd met governance by design. Elke agent heeft een vaste rol, goedgekeurde kennis met een eigenaar per bron, duidelijke grenzen en monitoring. Achteraf kun je nagaan wat er gebeurde. Dat zijn precies de bouwstenen die je nodig hebt om AI beheerst en aantoonbaar in te zetten, ook als je richting ISO 42001 werkt.
Wil je AI inzetten op een manier die je kunt verantwoorden? Plan een gesprek en we kijken naar jouw situatie.
Veelgestelde vragen
Is ISO 42001 verplicht?
Nee. ISO 42001 is een vrijwillige norm. Wel vragen klanten en aanbestedingen er steeds vaker naar.
Kunnen personen ook ISO 42001-gecertificeerd worden?
De norm zelf certificeert organisaties. Voor personen bestaan er wel trainingen en persoonscertificaten, bijvoorbeeld voor lead implementer of lead auditor.
Hoe lang duurt een ISO 42001-traject?
Dat hangt af van je scope en startpunt. Met een bestaand ISO 27001-systeem gaat het sneller.
Waar vind ik de officiële tekst van ISO 42001?
De norm is te koop via ISO en via nationale normalisatie-instituten, zoals NEN in Nederland en NBN in België.
