ISO 42001 vs EU AI Act: wanneer welk?

ISO/IEC 42001 is sinds december 2023 de internationale standaard voor een AI Management System (AIMS) — een set processen, rollen en documenten dat een organisatie opzet om verantwoordelijk met AI om te gaan. Net als ISO 27001 voor informatiebeveiliging of ISO 9001 voor kwaliteit: vrijwillig in te voeren, certificeerbaar door een aangemelde instantie, internationaal erkend.

EU AI Act is iets fundamenteel anders: wetgeving met handhaafbare verplichtingen, vergelijkbaar met de AVG. Niet-certificeerbaar; wel boete-baar. Sinds 2 februari 2025 deels van kracht (art. 4 + 5), augustus 2026 voor de meeste hoog-risico-verplichtingen.

De vraag die we vaak krijgen: 'moet ik ISO 42001 doen om AI Act-compliant te zijn?' Antwoord: nee. 'Helpt ISO 42001 mijn AI Act-naleving?' Ja, substantieel. 'Moet ik certificeren?' Bijna altijd niet als MKB.

Wezenlijk verschil — wettelijk vs. organisatorisch

Wat overlapt?

Beide instrumenten eisen vergelijkbare bouwstenen. Een ISO 42001-implementatie levert 70-80% van wat de AI Act ook vraagt:

• AI-policy — beide eisen een organisatie-breed beleid (ISO 5.2 ≈ AI Act art. 4 + 26).
• Risico-beoordeling per systeem — ISO 6.1.2 ≈ AI Act art. 9 (hoog-risico) + art. 27 (FRIA).
• AI-inventaris / register — ISO 8.2 ≈ AI Act art. 26 lid 5.
• Rollen en verantwoordelijkheden — ISO 5.3 ≈ AI Act art. 26 lid 2.
• Training en bewustwording — ISO 7.2 ≈ AI Act art. 4.
• Monitoring en metingen — ISO 9.1 ≈ AI Act art. 12 (logging) + art. 72 (post-market monitoring).
• Incident-management — ISO 8.4 ≈ AI Act art. 73.

Wat NIET overlapt — let op

Drie gebieden waar ISO 42001 jou niet AI Act-compliant maakt:

1. 1.Specifieke verboden praktijken (art. 5) — ISO 42001 heeft geen lijst van verboden AI-toepassingen. Je kunt ISO-gecertificeerd zijn en alsnog een art. 5-overtreding begaan.
2. 2.FRIA-kennisgeving (art. 27 lid 3) — een ISO-FRIA-document is intern; de AI Act eist een kennisgeving naar de markttoezichtautoriteit. Niet ISO-vereist, wel wettelijk vereist.
3. 3.Conformiteitsbeoordeling als aanbieder (art. 43) — als je hoog-risico AI op de markt brengt, moet je via art. 43 conformiteitsbeoordeling. Geen ISO-equivalent.

Wanneer is ISO 42001-certificering interessant?

Vier scenarios waarin het de moeite waard is:

1. Je verkoopt AI internationaal (buiten EU)

Klanten in UK, US, APAC vragen vaker om een ISO-certificaat dan om EU AI Act-compliance. Als je markt internationaal is, opent ISO deuren. Voor pure EU-spelers minder van waarde.

2. Je wint overheids-aanbestedingen

Sommige Nederlandse overheidsaanbestedingen vragen al expliciet naar ISO 42001 of een gelijkwaardige certificering. Vooral bij grote opdrachten (>€500k) wordt het een differentiator.

3. Je bent een AI-aanbieder, geen gebruiksverantwoordelijke

Als je organisatie AI bouwt en op de markt brengt (niet alleen inzet), is ISO 42001 een sterk signaal naar klanten dat je verantwoordelijk werkt. Voor pure gebruiksverantwoordelijken minder relevant.

4. Je hebt 50+ fte en meerdere AI-systemen

Bij grotere organisaties met 5+ hoog-risico-systemen wordt een formeel AI Management System praktisch zinvol als coordinatie-tool. Voor 5-50 fte met 2-10 tools is het overkill.

Realistische kosten ISO 42001-certificering

Voor een MKB-scale-up van 50-200 fte:

• Implementatie-traject: €15.000-40.000 met externe consultant (3-6 maanden), of €5.000-15.000 met interne kracht + samples van consultant.
• Certificering door aangemelde instantie: €5.000-15.000 voor stage 1 + stage 2 audit.
• Onderhoud: €2.000-5.000/jaar voor surveillance audits + interne tijd.
• Hercertificering: elke 3 jaar full audit, ~€10.000.

Vergelijk dat met de typische jaarlijkse kost van EU AI Act-naleving via een tool zoals AuditAI: €500-2.000 voor MKB. ISO is een orde van grootte duurder, en levert een internationaal certificaat — niet meer wettelijke compliance.

Werkbare aanpak voor MKB

Onze aanbeveling voor 5-50 fte MKB:

1. 1.Begin met EU AI Act-compliance — dat is wettelijk verplicht. AuditAI of een vergelijkbare tool. Doel: audit-pack klaar, training rond, register bijgehouden.
2. 2.Gebruik ISO 42001 als referentie-framework voor je interne organisatie — niet om te certificeren, wel om gestructureerd te werken (verantwoordelijkheden, processen, monitoring).
3. 3.Overweeg certificering pas wanneer een grote internationale klant of overheidsaanbesteding er expliciet om vraagt, of bij 50+ fte / 5+ hoog-risico systemen.
4. 4.Houd je documentatie ISO-compatibel — als je later certificering wil, scheelt dat 30-50% van het implementatie-werk.