Kennisbank · ISO 42001
ISO 42001 en de AI Act: wat geldt vandaag voor uw bedrijf?
Stand 9 november 2026. De AI Act is in 2026 aangepast door Verordening (EU) 2026/1744, de Digital Omnibus. Daardoor zijn data verschoven en is één bepaling herschreven. Hier leest u wat vandaag geldt voor een kmo die AI gebruikt, wat later komt en wat ISO 42001 daarbij wel en niet bewijst.
Tijdlijn
De AI Act in zes data die er vandaag toe doen
Verordening (EU) 2026/1744 is op 27 juli 2026 in werking getreden en wijzigt Verordening (EU) 2024/1689.
| Datum | Wat van toepassing wordt | Voor wie |
|---|---|---|
| 2 februari 2025 | Verboden praktijken en AI-geletterdheid | Alle aanbieders en gebruiksverantwoordelijken |
| 2 augustus 2025 | Regels voor AI-modellen voor algemene doeleinden | Aanbieders van die modellen |
| 2 augustus 2026 | De verordening is in het algemeen van toepassing, met de transparantieregels van artikel 50 | Aanbieders en gebruiksverantwoordelijken, afhankelijk van het artikel |
| 2 december 2026 | Twee nieuwe verboden: AI die niet-consensuele seksueel expliciete beelden of materiaal van seksueel kindermisbruik genereert. Ook de uiterste datum voor machineleesbare markering (artikel 50, lid 2) bij generatieve systemen die voor 2 augustus 2026 op de markt waren | Alle partijen voor de verboden, aanbieders van generatieve systemen voor de markering |
| 2 december 2027 | Eisen voor hoog-risicosystemen uit bijlage III, inclusief verplichtingen van gebruiksverantwoordelijken | Aanbieders en gebruiksverantwoordelijken van die systemen |
| 2 augustus 2028 | Eisen voor hoog-risico-AI ingebouwd in gereguleerde producten (bijlage I) | Aanbieders en gebruiksverantwoordelijken van die systemen |
Vandaag
Een kmo die AI-tools alleen gebruikt heeft nu al drie plichten
Verboden praktijken
Gelden sinds 2 februari 2025. Controleer dat geen enkele tool of toepassing in uw bedrijf onder een verbod valt. Twee verboden komen er op 2 december 2026 bij.
AI-geletterdheid
Geldt sinds 2 februari 2025, maar de tekst is in 2026 herschreven. Aanbieders en gebruiksverantwoordelijken moeten maatregelen nemen die de ontwikkeling van AI-geletterdheid bij hun mensen ondersteunen. Een korte opleiding en een schriftelijke instructie, met bewijs dat ze gegeven zijn, is een redelijk begin.
Transparantie
Geldt sinds 2 augustus 2026. Als gebruiksverantwoordelijke duidt u deepfakes aan als kunstmatig, informeert u mensen als u emotieherkenning of biometrische categorisering toepast, en meldt u AI-gegenereerde tekst over zaken van openbaar belang, tenzij een mens ze redactioneel heeft nagekeken. Wie AI enkel intern gebruikt om teksten voor te bereiden, valt daar doorgaans niet onder. Bij twijfel beslist een jurist, niet deze pagina.
Wat niet voor u geldt
De regels voor modellen voor algemene doeleinden rusten op de aanbieders van die modellen. De verplichtingen voor gebruiksverantwoordelijken van hoog-risicosystemen gelden pas vanaf de data in de tabel.
Later en verschoven
Het uitstel geldt voor hoog-risico, niet voor transparantie
De hoog-risicoregels zijn verschoven: naar 2 december 2027 voor de systemen uit bijlage III en naar 2 augustus 2028 voor AI in gereguleerde producten uit bijlage I. Voor hoog-risicosystemen die overheden al gebruikten, geldt 2 augustus 2030. De transparantieregels van artikel 50 zijn niet uitgesteld. Alleen de machineleesbare markering van synthetische output kreeg respijt tot 2 december 2026, en enkel voor generatieve systemen die al voor 2 augustus 2026 op de markt waren. De maximumboetes uit artikel 99 blijven: tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet voor verboden praktijken, tot 15 miljoen euro of 3 procent voor de meeste andere verplichtingen, en tot 7,5 miljoen euro of 1 procent voor onjuiste informatie aan de autoriteiten. Telkens telt het hoogste van beide. Voor kmo's, start-ups inbegrepen, geldt het laagste. Voor kleine midcaps ook, behalve bij verboden praktijken.
Rollen
Een kmo wordt ongemerkt aanbieder zodra ze AI onder eigen naam uitbrengt
De AI Act kent vier hoofdrollen. Welke u heeft, bepaalt wat u moet doen.
Aanbieder
Ontwikkelt een AI-systeem of laat het ontwikkelen en brengt het onder eigen naam of merk op de markt of neemt het in gebruik.
Gebruiksverantwoordelijke
Gebruikt een AI-systeem onder eigen gezag, behalve voor persoonlijk niet-professioneel gebruik.
Importeur
In de EU gevestigd, brengt een systeem met naam of merk van een partij buiten de EU op de markt.
Distributeur
Maakt een systeem beschikbaar in de keten zonder aanbieder of importeur te zijn.
De valkuil
Bouwt u een AI-functie in uw eigen product of dienst en biedt u die onder uw naam aan, dan kan u aanbieder zijn, ook als een ander de techniek bouwde. Bij hoog-risicosystemen wordt u ook aanbieder als u een bestaand systeem wezenlijk wijzigt, uw eigen naam of merk erop zet of het doel zo wijzigt dat het hoog-risico wordt (artikel 25).
België
Stand november 2026De Belgische toezichtsstructuur is in november 2026 nog niet rond
Stand november 2026: voor zover wij konden nagaan heeft België zijn markttoezichtautoriteiten voor de AI Act nog niet formeel aangewezen en is er nog geen nationale uitvoeringswet met sanctieregels gestemd. Het BIPT wordt genoemd als voornaamste toezichthouder, en bij de FOD Economie ligt een voorontwerp. De Gegevensbeschermingsautoriteit blijft bevoegd zodra er persoonsgegevens in het spel zijn. De verplichtingen uit de verordening gelden intussen rechtstreeks, ook zonder Belgische wet. Wacht dus niet op de toezichthouder om uw gebruik in kaart te brengen, en kijk de actuele stand na voor u er een beslissing op bouwt.
ISO 42001
ISO 42001 ondersteunt uw AI Act-werk maar bewijst geen conformiteit
ISO/IEC 42001:2023 stelt eisen aan een managementsysteem voor AI en verscheen op 18 december 2023. De norm volgt dezelfde hoofdstukken 4 tot 10 als ISO 27001 en voegt onder meer een beoordeling van de impact van AI-systemen toe, met 38 maatregelen in bijlage A. Ze is geen geharmoniseerde norm onder de AI Act en geeft dus geen vermoeden van conformiteit. De eerste geharmoniseerde norm, EN 18286:2026, werd op 14 oktober 2026 in het Publicatieblad bekendgemaakt en gaat over het kwaliteitsmanagementsysteem van aanbieders van hoog-risicosystemen. Een ISO 42001-certificaat toont dat uw beheerssysteem bestaat en werkt. Het toont niet dat u de AI Act naleeft. Certificatie-instellingen werken volgens ISO/IEC 42006:2025. Welke instellingen in België hiervoor geaccrediteerd zijn, vraagt u best na bij BELAC.
Beslishulp
Voor de meeste kmo's volstaat eerst een lichtere aanpak
Lichter volstaat
U gebruikt vooral standaardtools. Dan volstaan een AI-register, een kort beleid en aantoonbare opleiding.
ISO 42001 loont
U bouwt of levert AI-functies, klanten of aanbestedingen vragen een certificaat, of u heeft al een ISO 27001-systeem om op voort te bouwen.
Overlap met ISO 27001
Beide normen delen dezelfde structuur. Risicoregister, auditprogramma en directiebeoordeling kunnen voor beide dienen. Nieuw in ISO 42001 zijn de impactbeoordeling en de maatregelen die specifiek over AI gaan.
Deze maand
Begin deze maand met een AI-register
- 1Som alle AI-tools op die in uw bedrijf gebruikt worden, ook de tools die medewerkers zelf kozen en de AI-functies in software die u al heeft.
- 2Noteer per tool de eigenaar, het doel, de gegevens die erin gaan en de leverancier.
- 3Controleer of een gebruik in de buurt van een verbod komt en of u AI-tekst of AI-beeld publiceert zonder menselijke controle.
- 4Bepaal per tool uw rol: enkel gebruiksverantwoordelijke, of ook aanbieder omdat u iets onder eigen naam aanbiedt.
- 5Geef medewerkers een korte instructie en leg vast wat u deed, zodat u de maatregelen voor AI-geletterdheid kan aantonen.
- 6Beslis daarna of dit register volstaat of dat een managementsysteem nodig is.
Veelgestelde vragen
Kort beantwoord
Wilt u uw AI-gebruik op orde brengen?
In een eerste, gratis gesprek bekijken we of een register volstaat of een managementsysteem loont. Zelf aan de slag? Dan is er de templatekit op 42001.app.