AI-keurmerken in Nederland: wat is juridisch geldig onder de EU AI Act?

Sinds de EU AI Act in werking is getreden, schieten "AI-keurmerken", "AI-zegels" en "AI Act ready"-stempels als paddenstoelen uit de grond. Voor inkopers, juristen en compliance officers is het onderscheid tussen een marketingstempel en een juridisch geldig certificaat cruciaal. In dit artikel zetten we het Nederlandse keurmerklandschap helder uiteen, leggen we de rol van de Raad voor Accreditatie en Notified Bodies uit, en geven we praktische handvatten om door de marketingmist heen te kijken.

1. De drie categorieën keurmerken in Nederland

Niet elk AI-keurmerk is gelijk. Voor goed begrip onderscheiden we drie juridisch en commercieel volstrekt verschillende categorieën.

Het probleem: aanbieders mengen vaak deze categorieën in hun marketing. "ISO 42001-ready", "AI Act compliant" of "gecertificeerd door X" kan alles betekenen, van een serieuze audit tot een betaalde sticker.

2. De rol van de Raad voor Accreditatie (RvA)

De Raad voor Accreditatie is de Nederlandse nationale accreditatie-instantie, aangewezen onder Verordening (EG) 765/2008. De RvA accrediteert geen producten of systemen — zij accrediteert de organisaties die certificeren. Een door de RvA geaccrediteerde certificerende instelling (CI) is bewezen competent, onpartijdig en consistent volgens internationale ISO-normen.

Voor AI zijn vooral twee accreditatieschema's relevant:

• ISO/IEC 17021-1: accreditatie voor CI's die managementsystemen certificeren (zoals ISO 9001, ISO 27001 en ISO/IEC 42001 voor AI). Dit is de route voor organisatorische AI-managementsysteem-certificering.
• ISO/IEC 17065: accreditatie voor CI's die producten, processen en diensten certificeren. Dit is de relevante norm voor AI Act-conformiteitsbeoordelingen per AI-systeem.

Een keurmerk van een niet-geaccrediteerde partij heeft geen wettelijke status onder de AI Act. Dat betekent niet automatisch dat het waardeloos is — wel dat de waarde 100% afhangt van de reputatie en methodiek van de uitgevende partij.

3. Notified Bodies onder de EU AI Act

De EU AI Act vereist voor bepaalde hoog-risico AI-systemen een conformiteitsbeoordeling door een Notified Body (artikel 43). Notified Bodies worden door de bevoegde nationale autoriteit aangemeld bij de Europese Commissie en gepubliceerd in de NANDO-database.

In Nederland is de aanwijzende autoriteit de Rijksinspectie Digitale Infrastructuur (RDI). Een organisatie kan alleen Notified Body worden als zij:

• Geaccrediteerd is onder ISO/IEC 17065 (door RvA);
• Voldoet aan de aanvullende eisen uit AI Act bijlage VII;
• Aantoonbaar onafhankelijk is van de aanbieders die zij beoordeelt;
• Beschikt over voldoende technisch gekwalificeerd personeel;
• Zich onderwerpt aan periodieke peer reviews door andere Notified Bodies.

Per medio 2026 zijn er nog géén Nederlandse Notified Bodies actief voor de AI Act. Internationaal lopen TÜV Süd (DE), DEKRA (DE/NL), KIWA (NL) en Bureau Veritas (FR) voorop. De verwachting is dat de eerste aanwijzingen in de tweede helft van 2026 plaatsvinden.

4. ISO/IEC 42001 — de internationale AI-managementsysteemnorm

ISO/IEC 42001:2023 is de eerste internationale norm voor AI-managementsystemen (AIMS). Het is een proces- en governance-norm, vergelijkbaar met ISO 27001 voor informatiebeveiliging. Een ISO 42001-certificaat toont aan dat uw organisatie systematisch risico's identificeert, beheerst en monitort die inherent zijn aan AI-ontwikkeling en -gebruik.

Belangrijke nuance: ISO 42001 vervangt geen AI Act-conformiteit.De normen overlappen voor circa 60-70%, maar de AI Act stelt aanvullende systeem-specifieke eisen (zoals technische documentatie per hoog-risico systeem, post-market monitoring en incidentmeldingen). Andersom is ISO 42001 wél een krachtige basis: een gecertificeerd AIMS levert sterk bewijs voor de governance-eisen uit AI Act-artikelen 8-15.

In Nederland kunnen organisaties terecht bij geaccrediteerde CI's zoals BSI, DNV, KIWA en TÜV Nederland voor formele ISO 42001-certificering. Het traject duurt typisch 9-18 maanden, met jaarlijkse surveillance audits.

5. Self-certification: waarom kritische beoordeling nodig is

Onder de AI Act mogen aanbieders van bepaalde hoog-risico systemen een interne conformiteitsbeoordeling uitvoeren (artikel 43 lid 1). Dit heet self-assessment of self-certification. Voor andere categorieën — vooral biometrische identificatie — is altijd een Notified Body verplicht.

Self-certification klinkt aantrekkelijk: sneller, goedkoper, geen externe afhankelijkheid. De praktijk is complexer. Aansprakelijkheidsrisico's blijven volledig bij de aanbieder, en bij incidenten is een interne assessment moeilijk te verdedigen tegenover toezichthouders, klanten of rechters. Bovendien geldt: self-certification onder de AI Act vereist dat u een volledig gecertificeerd kwaliteitsmanagementsysteem heeft (artikel 17), wat de drempel feitelijk verhoogt.

6. Praktisch beslismodel: welk keurmerk past bij u?

Hieronder een praktisch beslismodel voor inkopers en compliance officers.

7. Rode vlaggen bij keurmerk-aanbieders

Niet elk AI-keurmerk is integer. Let op deze waarschuwingssignalen:

• "AI Act gecertificeerd" zonder Notified Body-nummer. Vraag altijd het NB-nummer en verifieer in de Europese NANDO-database.
• Geen openbare methodiek. Een serieus keurmerk publiceert beoordelingscriteria en steekproefmethode.
• Dezelfde partij doet advies én audit. Onpartijdigheid vereist organisatorische scheiding.
• Geen publiek register. Uitgegeven keurmerken horen verifieerbaar te zijn met scope, niveau en geldigheidsdatum.
• Te snel, te goedkoop. Een degelijke audit kost minimaal tijd voor documentreview, interviews en steekproeven.

8. Conclusie en advies

Het Nederlandse AI-keurmerklandschap is in 2026 nog volop in ontwikkeling. Voor de meeste organisaties is een gelaagde aanpak verstandig:

1. Start met een onafhankelijk marktkeurmerk om snel commerciële zekerheid te bieden;
2. Werk parallel toe naar ISO/IEC 42001-certificering bij een geaccrediteerde CI;
3. Bereid voor hoog-risico systemen formele AI Act-conformiteitsbeoordeling voor zodra Nederlandse Notified Bodies actief zijn.

Wat u in elk geval moet vermijden: vertrouwen op vage "AI Act ready"-stempels zonder onderliggende methodiek of verifieerbare uitgever. Toezichthouders, klanten en rechters hechten geen waarde aan marketing — wel aan verifieerbare bewijslast.