ISO/IEC 42001-certificering toont aan dat een AI-managementsysteem binnen een bepaalde scope aan de norm voldoet. Het bewijst op zichzelf niet dat een afzonderlijk AI-systeem aan de EU AI Act voldoet. De toepassingsdata van 2 december 2027 en 2 augustus 2028 gelden voor specifieke hoogrisicoclassificaties en bepalingen.
Beoordeel een certificaat op de scope van het managementsysteem; bepaal de verplichtingen uit de AI Act per systeem, classificatie en rol.
Wat ISO/IEC 42001-certificering omvat
ISO/IEC 42001:2023 is een vrijwillige norm voor een AI-managementsysteem, oftewel een organisatorisch systeem voor het beheersen van AI-gerelateerde risico’s en processen. FinTech Global beschrijft certificering als een beoordeling van dat managementsysteem binnen een vastgestelde scope, niet als een test of wettelijke goedkeuring van een AI-product.
FinTech Global stelt ook dat ISO/IEC 42001 geen geharmoniseerde norm onder de AI Act is en op zichzelf geen vermoeden van conformiteit op grond van artikel 40 oplevert. Een certificaat geeft dus geen automatische vrijstelling van verplichtingen die voor een afzonderlijk AI-systeem gelden.
De norm kan wel organisatorische werkwijzen ondersteunen. FinTech Global meldt raakvlakken met risicobeheer, datagovernance en menselijk toezicht. Het beschrijft daarnaast een beoordeling van de gevolgen van een AI-systeem voor mensen, groepen en de samenleving, die volgens de genoemde normclausules op geplande momenten en na belangrijke wijzigingen opnieuw plaatsvindt.
Welke hoogrisicoregels gelden vanaf 2027 en 2028?
Verordening (EU) 2026/1744 koppelt de twee data aan verschillende classificatieroutes. De termijnen hebben betrekking op hoofdstuk III, afdelingen 1–3 van de AI Act. De aangenomen wijzigingsverordening en de geconsolideerde tekst van artikel 113 geven de toepassingsdata en hun reikwijdte.
| Classificatie | Rechtsgrondslag | Betrokken bepalingen | Van toepassing vanaf |
| Hoog risico volgens artikel 6, lid 2 | Bijlage III | Hoofdstuk III, afdelingen 1–3 | 2 december 2027 |
| Hoog risico volgens artikel 6, lid 1 | Bijlage I | Hoofdstuk III, afdelingen 1–3 | 2 augustus 2028 |
Deze data zijn geen algemene uitsteltermijn voor alle verplichtingen uit de AI Act. Andere onderdelen hebben eigen toepassingsdata. De algemene toepassingsdatum is 2 augustus 2026; bepalingen over AI-geletterdheid gelden sinds 2 februari 2025.
Hoe een managementsysteem kan helpen
Een managementsysteem en de wettelijke beoordeling van een AI-systeem beantwoorden verschillende vragen. Het eerste richt zich op de organisatie en de processen binnen de certificeringsscope. Voor de AI Act zijn onder meer de classificatie van het systeem en de rol van de betrokken organisatie van belang. Daardoor kan één organisatie met meerdere systemen niet automatisch uitgaan van dezelfde verplichtingen voor elk daarvan.
FinTech Global noemt onder meer conformiteitsbeoordeling, CE-markering, registratie in de EU-databank, technische documentatie volgens bijlage IV en termijnen voor het melden van ernstige incidenten als procedures die een ISO-certificaat niet vervangt. Het beschrijft als aanpak eerst een AI-managementsysteem op te zetten en vervolgens per hoogrisicosysteem de toepasselijke eisen en openstaande punten te beoordelen. Dat is een aanbeveling van FinTech Global, geen wettelijke vrijstelling of veilige haven.
