Voldoet een ISO 42001 Awareness Training aan de AI-geletterdheidsplicht van de EU AI Act?

Steeds meer bedrijven kijken naar ISO 42001, de internationale norm voor verantwoord AI-management. Tegelijk moeten diezelfde bedrijven voldoen aan Artikel 4 van de EU AI Act, dat AI-geletterdheid van medewerkers vraagt. Dan komt vanzelf de vraag naar boven: als onze mensen een ISO 42001 Awareness Training volgen, hebben we daarmee meteen aan Artikel 4 voldaan?

Het eerlijke antwoord: de twee sluiten sterk op elkaar aan maar niet één op één. Er zit een belangrijk verschil in de richting waarin de dekking werkt en in wat een algemene training wel en niet kan afdekken. Dat bepaalt welke route bij jouw organisatie past.

Twee vertrekpunten, dezelfde onderliggende behoefte

Artikel 4 en ISO 42001 lijken op elkaar te wijzen. Toch zijn het twee verschillende soorten dingen.

Artikel 4 is een wettelijke plicht. Val je onder de EU AI Act, dan moet je passende maatregelen nemen rond de AI-geletterdheid van je mensen. Daar kies je niet voor, dat geldt gewoon.

ISO 42001 is een vrijwillige managementsysteemnorm waarop een organisatie zich kan laten certificeren. Je gaat ervoor omdat je verantwoord AI-beheer wil aantonen, je je internationaal wil profileren of omdat een klant of partner erom vraagt. Het is een keuze, geen verplichting.

Verschillend startpunt dus. Maar de behoeften overlappen sterk: mensen die met AI werken en begrijpen wat ze doen, welke risico's daarbij horen en welke verantwoordelijkheid zij dragen.

Wat Artikel 4 van je medewerkers vraagt

Artikel 4 vraagt dat je passende maatregelen neemt rond de AI-geletterdheid van je medewerkers, afgestemd op hun rol, hun kennis en ervaring en het risico van het AI-gebruik. Het doel: dat mensen begrijpen wat AI wel en niet kan, de risico's en mogelijke schade herkennen en AI verantwoord inzetten.

Wat Artikel 4 níét doet, is een methode voorschrijven. Er is geen verplicht lesprogramma, geen verplicht examen, geen verplicht certificaat en geen verplichte AI-officer. Er is geen voorgeschreven kennisniveau dat iedere medewerker individueel moet behalen. Wat telt, is dat je passende maatregelen neemt en aannemelijk kunt maken wat je daarvoor hebt gedaan. Zonder enige registratie wordt dat in de praktijk lastig.

De verplichting is van kracht sinds 2 februari 2025. De nationale toezichthouders kunnen Artikel 4 vanaf 2 augustus 2026 actief gaan handhaven maar de plicht geldt nu al. De Digital Omnibus versoepelt de formulering, van het waarborgen van een voldoende niveau naar maatregelen die de verbetering van AI-geletterdheid ondersteunen. Zolang die wijziging nog niet in het Publicatieblad staat, geldt de oorspronkelijke tekst. De kern blijft overeind: je mensen moeten AI-geletterd worden en je moet kunnen laten zien wat je daarvoor doet.

Wat ISO 42001 van je medewerkers vraagt

ISO 42001 regelt AI-management veel breder dan opleiding alleen. Twee onderdelen gaan rechtstreeks over je mensen.

Clausule 7.2, competentie, gaat over iedereen wiens werk de prestaties van het AI-managementsysteem beïnvloedt. De organisatie moet bepalen welke competentie nodig is, zorgen dat de betrokken personen die hebben op basis van opleiding, training of ervaring, waar nodig maatregelen nemen, de effectiviteit daarvan beoordelen en er gedocumenteerd bewijs van bewaren. Een voltooid trainingscertificaat laat zien dat iemand een training heeft gevolgd. Het bewijst op zichzelf nog niet dat de vereiste competentie is bepaald, bereikt en geëvalueerd.

Clausule 7.3, awareness, vraagt dat de betrokken medewerkers het AI-beleid van de organisatie kennen, weten hoe hun werk bijdraagt en begrijpen wat de gevolgen zijn van het niet naleven van de regels.

Belangrijk om te zien: dit zijn twee radertjes in een veel groter geheel. Voor het ISO 42001-certificaat komt er nog veel bij, van AI-beleid en risico- en impactanalyses tot beheersmaatregelen, communicatie, documentatie en een externe certificatie-audit door een onafhankelijke, bij voorkeur geaccrediteerde certificatie-instelling.

De overlap

Op één punt komen de twee duidelijk samen. Beide vragen dat mensen die met AI werken het echt begrijpen, verantwoord en risicobewust, niet alleen technisch. En beide vragen bewijs: Artikel 4 wil dat je je maatregelen aannemelijk maakt, ISO 42001 wil competentie- en awarenessregistratie. Een goed opgezette awareness-training legt daarvoor de organisatiebrede basis. Het voltooiingsbewijs is een onderdeel van je bewijsvoering.

Waar het kantelt: de dekking loopt één kant op

Een goed geïmplementeerd ISO 42001-traject kan de maatregelen en de bewijsvoering voor Artikel 4 grotendeels meenemen. Andersom niet. Een losse Artikel 4-training levert je nooit ISO 42001 op. Daarvoor mis je het hele managementsysteem, de risicoanalyses, de beheersmaatregelen en de audit. ISO 42001 is dus het grotere geheel waar de geletterdheidsplicht grotendeels in past, niet omgekeerd.

Let op één misverstand: ISO 42001-certificering is geen automatisch bewijs van naleving van de AI Act. De norm ondersteunt je compliance. Ze vervangt de wet niet en geeft geen wettelijk vermoeden van conformiteit.

Waar een algemene training aanvulling vraagt

Een organisatiebrede awareness-training is een sterke basis maar niet het hele verhaal. Rolspecifieke competentie vraagt meer. Sleutelrollen zoals ontwikkelaars, HR-medewerkers die AI-wervingstools gebruiken, risicomanagers of menselijke toezichthouders hebben verdieping nodig bovenop de basis. Dat sluit aan op zowel de proportionaliteit van Artikel 4 als clausule 7.2.

Daarnaast kan een externe training je mensen niet vertrouwd maken met jullie eigen AI-beleid en procedures, terwijl clausule 7.3 dat juist vraagt. Daar hoort dus een organisatiespecifieke aanvulling bij. En als rollen, systemen of risico's veranderen, horen je maatregelen mee te bewegen.

Wat betekent dit voor jouw keuze?

De verschillen maken de keuze juist overzichtelijk.

Wil je puur voldoen aan Artikel 4, dan vormt een awareness-training de kern van je aanpak, aangevuld met verdieping voor je sleutelrollen en bewustwording van je eigen beleid. Je hoeft daarvoor niet de hele weg naar ISO 42001 te bewandelen.

Ga je wél voor ISO 42001, bijvoorbeeld om je internationaal te profileren, dan neemt dat traject je Artikel 4-inspanning grotendeels mee.

Bij AIAdopt vind je voor beide routes de bouwstenen: een ISO 42001 Awareness Training voor Medewerkers, basismodules voor de Artikel 4-geletterdheid en sectorgerichte verdieping voor specifieke rollen. Drietalig, met examen en certificaat. Welke normering je ook kiest, de onderliggende behoefte is dezelfde. Daar sluit ons aanbod op aan.

Veelgestelde vragen

Voldoet een ISO 42001 Awareness Training aan de EU AI Act?

Voor de organisatiebrede basis van AI-geletterdheid draagt ze sterk bij. Een awareness-training met voltooiingsbewijs is een belangrijk onderdeel van je bewijsvoering onder Artikel 4. Ze dekt niet vanzelf de rolspecifieke competentie en het bewustzijn van je eigen beleid. Voor sleutelrollen en je interne procedures is dus aanvulling nodig.

Is een certificaat verplicht onder de EU AI Act?

Nee. Artikel 4 schrijft geen certificaat of examen voor. Wat de wet vraagt, is dat je passende maatregelen neemt en aannemelijk kunt maken wat je hebt gedaan. Een training met voltooiingsbewijs is een praktische manier om dat te onderbouwen maar het is een keuze, geen wettelijke verplichting.

Vervangt ISO 42001 de EU AI Act?

Nee. ISO 42001 is een vrijwillige norm, de EU AI Act is wetgeving. Wie onder de Act valt, moet die naleven, met of zonder ISO 42001-certificaat. ISO 42001 ondersteunt je compliance maar geeft geen wettelijk vermoeden van conformiteit.

Geldt Artikel 4 nog na de Digital Omnibus?

Ja. De Digital Omnibus versoepelt de formulering van Artikel 4 maar schaft de geletterdheidsverplichting niet af. Zolang de wijziging niet in het Publicatieblad staat, geldt bovendien de oorspronkelijke tekst. AI-geletterdheid van je medewerkers blijft dus nodig.

Geschreven door Rob Ummels in samenwerking met Claude (Anthropic). Redactionele eindverantwoordelijkheid: AIAdopt.