26 okt 2026 ISO 42001: welk testbewijs je AI-managementsysteem nodig heeft

In het kort: ISO 42001 is de internationale norm om AI in je organisatie verantwoord te beheren. Je moet de risico’s van je AI-systemen kennen, ze beheersen en controleren of die beheersing werkt. Voor dat laatste heb je bewijs nodig over hoe de AI zich echt gedraagt: testresultaten, monitoringresultaten en wat je met fouten deed. Het meeste bewijs komt uit testen.

Zoek op ISO 42001 en je vindt vooral certificeerders en trainingen. Die leggen de norm goed uit en vertellen hoe je gecertificeerd raakt. Wat ze zelden uitleggen, is het deel waar teams het meest over inzitten als de audit dichterbij komt. De auditor wil niet alleen beleid zien. Hij wil bewijs dat je AI-systeem doet wat je zegt dat het doet, en dat blijft doen. Dat bewijs komt niet uit een beleidsdocument. Het komt uit testen.

Wat is ISO 42001?

ISO 42001, officieel ISO/IEC 42001:2023, is de eerste internationale norm voor een AI-managementsysteem. Hij verscheen in december 2023. De norm stelt eisen aan hoe een organisatie het beheer van AI opzet, uitvoert en blijft verbeteren. Hij geldt voor bedrijven die AI-systemen bouwen en voor bedrijven die ze gebruiken. Ken je ISO 27001 voor informatiebeveiliging, dan voelt de opbouw vertrouwd. Je stelt beleid en doelen vast, beoordeelt risico’s, neemt maatregelen, controleert of die werken en verbetert. Die cirkel heet vaak Plan, Do, Check, Act. Nieuw is de focus. ISO 42001 gaat over risico’s die eigen zijn aan AI. Denk aan oneerlijke uitkomsten, gebrek aan transparantie en systemen die hun gedrag na verloop van tijd veranderen. Ook vraagt de norm je om te beoordelen welke impact je AI-systemen kunnen hebben op mensen en de samenleving.

Hoe verhoudt ISO 42001 zich tot de AI-verordening?

ISO 42001 is een vrijwillige norm, de AI-verordening is een wet. Ze wijzen dezelfde kant op, maar ze zijn niet hetzelfde. De AI-verordening stelt wettelijke plichten, vooral voor AI-systemen met een hoog risico: risicobeheer, controle van data, documentatie, tests op nauwkeurigheid en monitoring na livegang. ISO 42001 geeft je een manier om dat soort werk te organiseren voor al je AI-systemen, met of zonder hoog risico. Met een goed lopend managementsysteem laat je veel makkelijker zien dat je aan de AI-verordening voldoet. Maar een certificaat maakt je niet vanzelf compliant met de wet. Voor de juridische kant lees je wat de AI-verordening van softwareteams vraagt. Veel organisaties gebruiken beide naast elkaar: de wet zegt wat waar moet zijn, de norm helpt het gestructureerd aan te tonen.

Welk bewijs wil een auditor zien over je AI-systeem?

Een auditor wil bewijs dat je AI-risico’s bekend zijn, beheerst worden en gecontroleerd worden, en dat je ingrijpt als er iets misgaat. Beleid en procesbeschrijvingen horen daarbij. Maar voor het AI-systeem zelf wegen vier soorten bewijs het zwaarst:

• Een impact- en risicobeoordeling. Welke risico’s heb je gevonden voor dit AI-systeem, en voor wie?
• Bewijs dat het systeem vóór gebruik is gecontroleerd. Welke tests heb je gedraaid tegen die risico’s, en wat kwam eruit?
• Monitoringresultaten na livegang. Gedraagt het systeem zich nog zoals bedoeld, nu het model, de data en de gebruikers zijn veranderd?
• Opvolging van fouten. Wat ging er mis, hoe ernstig was het, wat heb je aangepast en werkte de oplossing?

Het eerste is een document. De andere drie zijn testresultaten over tijd. Daar ontdekken veel teams een gat. Ze testten één keer vóór livegang, bewaarden de resultaten in een spreadsheet en draaiden de tests nooit meer.

Hoe levert testen dat bewijs op?

Testen levert het bewijs op als elke test terug te voeren is op een risico, en je elk resultaat over tijd bewaart. Begin bij de risicobeoordeling. Maak van elk risico testvragen met duidelijke criteria voor een goed antwoord. Draai ze vóór livegang en daarna op vaste momenten. Leg vast wat fout ging, koppel elke fout aan het risico of de maatregel die erbij hoort en geef hem een prioriteit. Los het op en controleer in de volgende run of de oplossing standhoudt. Die keten van risico, test, resultaat, actie en hercontrole is precies wat een auditor volgt. Het is ook de cirkel uit ons model in vijf stappen voor AI testen na livegang. Omdat AI niet altijd twee keer hetzelfde antwoord geeft, scoor je de antwoorden op criteria in plaats van op één vaste uitkomst. Dat maakt het bewijs sterker, niet zwakker: het laat zien hoe stabiel het systeem echt is.

Heb je een ISO 42001-certificering nodig?

Je hebt ISO 42001-certificering niet wettelijk nodig, maar het kan de moeite waard zijn. Certificering is zinvol als klanten of partners erom vragen, of als je AI verkoopt aan grote of gereguleerde organisaties. Het helpt ook als je één duidelijke structuur wilt voor veel AI-systemen. Het kost tijd: een managementsysteem moet eerst een tijd draaien voordat een audit zin heeft. Gelden die redenen nog niet, dan kun je de norm ook als leidraad gebruiken zonder certificaat. Hoe dan ook: het bewijs over het gedrag van je AI is het deel dat je niet kunt faken en niet snel kunt maken. Begin er nu mee.

Daarom hebben we VeritasAI gebouwd, onze eigen tool om AI-toepassingen te testen. Daarmee testen we je AI-toepassing als dienst. VeritasAI draait je testvragen doorlopend. Elk fout antwoord koppelt het aan de wet, norm of het raamwerk waar het bij hoort, ook ISO/IEC 42001, met een prioriteitsscore. Het managementdashboard geeft je het overzicht voor een directiebeoordeling of audit. Het operationele dashboard laat je team zien welke vragen fout gaan, met de prompt en het antwoord. Lees meer op onze pagina over AI Compliance Testing.

Veelgestelde vragen

Wat is ISO 42001?

ISO/IEC 42001:2023 is de internationale norm voor een AI-managementsysteem. Hij stelt eisen aan het beheren van de risico’s en kansen van AI in een organisatie. Dat geldt voor bedrijven die AI bouwen en bedrijven die AI gebruiken.

Is ISO 42001 verplicht?

Nee. ISO 42001 is vrijwillig. Klanten kunnen er in contracten om vragen, en de norm helpt je het werk te organiseren dat wetten als de AI-verordening vragen.

Wat is het verschil tussen ISO 42001 en ISO 27001?

ISO 27001 gaat over informatiebeveiliging. ISO 42001 gaat over het beheer van AI: risico’s zoals oneerlijke uitkomsten, gebrek aan transparantie en veranderend gedrag. De opbouw lijkt op elkaar, dus organisaties met ISO 27001 combineren de twee vaak.

Ben je met ISO 42001 compliant met de AI-verordening?

Niet vanzelf. De norm helpt je laten zien dat je AI goed beheerd wordt, en dat ondersteunt compliance met de AI-verordening. De wettelijke plichten, zeker voor systemen met een hoog risico, moet je nog steeds één voor één invullen en aantonen.