Geharmoniseerde normen en de AI Act: hoe CEN-CENELEC je compliance vereenvoudigt

Kort samengevat

Toepassing van een geharmoniseerde norm levert een vermoeden van conformiteit op met de eisen die de norm afdekt.
Normen zijn nooit verplicht: je mag altijd een eigen technische oplossing kiezen, mits je die onderbouwt.
CEN-CENELEC JTC 21 ontwikkelt de Europese AI-normen in opdracht van de Commissie.
Zolang normen ontbreken, kan de Commissie gemeenschappelijke specificaties vaststellen die hetzelfde effect hebben.

De AI Act is opgezet volgens het New Legislative Framework, hetzelfde model dat de EU gebruikt voor machines, speelgoed en medische hulpmiddelen. Kenmerkend daarvoor is de taakverdeling: de wetgever stelt essentiële eisen vast, normalisatie-instellingen vertalen die naar technische normen, en fabrikanten kunnen die normen toepassen om aan te tonen dat ze voldoen.

Hoe het vermoeden van conformiteit werkt

Artikel 40 bepaalt dat hoog-risico AI-systemen of GPAI-modellen die in overeenstemming zijn met geharmoniseerde normen — of delen daarvan — waarvan de referenties in het Publicatieblad van de EU zijn bekendgemaakt, worden geacht in overeenstemming te zijn met de eisen die door die normen worden gedekt.

Dat is geen formaliteit. Het verschuift de bewijslast: normaal gesproken moet jij aantonen dat je systeem robuust genoeg is; met een toegepaste geharmoniseerde norm wordt dat aangenomen, tenzij de toezichthouder het tegendeel aantoont. Voor kmo's is dit vaak het verschil tussen een haalbaar en een onhaalbaar traject.

Wie de normen maakt

De Europese Commissie heeft CEN en CENELEC een normalisatieverzoek gestuurd voor de AI Act. Het werk gebeurt in het gezamenlijke technische comité JTC 21 "Artificial Intelligence", waarin nationale normalisatie-instituten — voor Nederland NEN — deelnemen. De werkgebieden lopen parallel aan de eisen uit hoofdstuk III:

risicobeheersystemen voor AI;
datakwaliteit en datagovernance voor training, validatie en test;
transparantie en informatie voor gebruiksverantwoordelijken;
menselijk toezicht;
nauwkeurigheid, robuustheid en cyberbeveiliging;
kwaliteitsmanagementsystemen en conformiteitsbeoordeling;
terminologie en classificatie.

Veel van dit werk bouwt voort op internationale normen van ISO/IEC JTC 1/SC 42, waaronder ISO/IEC 42001 (AI-managementsysteem), ISO/IEC 23894 (AI-risicomanagement) en ISO/IEC 25059 (kwaliteitsmodel voor AI-systemen). Die normen zijn niet automatisch geharmoniseerd, maar sluiten inhoudelijk sterk aan.

Gemeenschappelijke specificaties als achtervang

Normontwikkeling kost tijd, en de AI Act had een strak tijdpad. Daarom bevat artikel 41 een terugvaloptie: als er geen geharmoniseerde norm is, of als de bestaande normen tekortschieten, kan de Commissie via uitvoeringshandelingen gemeenschappelijke specificaties vaststellen. Ook die geven een vermoeden van conformiteit. Wie ze niet toepast, moet aantonen dat zijn oplossing ten minste gelijkwaardig is.

Normen zijn nooit verplicht. Je mag altijd een eigen technische route kiezen. Doe je dat, dan vraagt bijlage IV om een gedetailleerde beschrijving van de gekozen oplossingen en van hoe je aan de eisen voldoet — inclusief de andere normen of specificaties die je hebt gebruikt.

Wat je nu al kunt doen

Volg het normenlandschap. Via NEN kun je deelnemen aan de Nederlandse schaduwcommissie en vroeg zien welke kant een norm opgaat.
Bouw op ISO/IEC 42001 voor je kwaliteitsmanagementsysteem. Die structuur is bruikbaar en blijft dat waarschijnlijk.
Documenteer je keuzes nu al in de structuur van bijlage IV, zodat je later alleen hoeft te verwijzen naar een norm in plaats van alles te herschrijven.
Neem normconformiteit op in je inkoop. Vraag leveranciers welke normen zij toepassen en of ze een certificaat kunnen tonen — zie AI inkopen en contracteren.
Let op de datum van bekendmaking. Alleen normen waarvan de referentie in het Publicatieblad is gepubliceerd, geven het vermoeden van conformiteit.

Voor GPAI-aanbieders geldt tot die tijd de Code of Practice als het meest concrete referentiekader.

Veelgestelde vragen

Wat is een vermoeden van conformiteit?

Een juridisch mechanisme uit het Europese productrecht: pas je een geharmoniseerde norm toe waarvan de referentie in het Publicatieblad is bekendgemaakt, dan wordt aangenomen dat je voldoet aan de wettelijke eisen die door die norm worden gedekt. Een toezichthouder die het tegendeel beweert, draagt dan de bewijslast.

Ben ik verplicht om ISO/IEC 42001 te implementeren?

Nee. Geen enkele norm is op zichzelf verplicht onder de AI Act. ISO/IEC 42001 is wel een praktische basis voor het kwaliteitsmanagementsysteem van artikel 17, omdat de structuur ervan goed aansluit bij de dertien vereiste elementen.

Wat doe ik zolang er nog geen geharmoniseerde norm is?

Dan onderbouw je zelf hoe je aan de eis voldoet, en documenteer je die keuze in je technische documentatie — bijlage IV vraagt daar expliciet om. Je kunt daarbij internationale normen, gedragscodes en gepubliceerde richtsnoeren van het AI Office als referentie gebruiken.