ASE Cloud Services Chatbot Interface
ISO/IEC 42001 GAP Assessment: jouw AI-readiness en AI Act-gereedheidstoets
Weet binnen 4 tot 6 weken waar je staat en welke stappen je AI Act-proof maken.
De ISO/IEC 42001 GAP Assessment van ASE toetst hoe AI-ready jouw organisatie is en hoe goed je voldoet aan de EU AI Act. Je ontvangt een rapport dat laat zien waar je vandaag staat en welke concrete stappen je moet zetten, klaar voor je auditor.
Wat is een ISO/IEC 42001 GAP Assessment?
Een GAP Assessment is een begeleide toets van 4 tot 6 weken waarin ASE de AI-governance van je organisatie vergelijkt met ISO/IEC 42001:2023 en de EU AI Act. Je weet daarna welke maatregelen ontbreken en in welke volgorde je ze oppakt. ASE is zelf gecertificeerd voor ISO/IEC 42001:2023 (certificaatnummer NL260412, geldig tot 28 april 2029), net als voor ISO/IEC 27001, ISO/IEC 27701 en ISO 9001.
Eerst zelf peilen? Doe de gratis Soevereine AI Readiness Assessment: in 10 minuten een eerste beeld, zonder verplichting.
Op een dag komt de vraag. Van een auditor, een grote klant, de raad van bestuur of de toezichthouder. Niet “gebruiken jullie AI”, maar “laat zien dat je het beheerst”. Sinds 2 augustus 2026 gelden de transparantieregels van de EU AI Act, en op 2 december 2027 volgen de eisen voor hoogrisicosystemen. De ISO/IEC 42001 GAP Assessment laat zien waar je vandaag staat en welke stappen je concreet moet zetten, in een rapport dat door je auditor komt.
Geen dik theoretisch rapport dat in een la verdwijnt. Je krijgt een concrete gap-analyse, de belangrijkste AI-risico’s voor jouw organisatie, en een roadmap met prioriteiten. Geschreven door mensen die zelf 42001-gecertificeerd zijn.
Misschien denk je: onze jurist of privacy officer houdt dit wel in de gaten. Maar de AI Act vraagt meer dan een juridische blik: het gaat om de hele AI-lifecycle, van datakwaliteit tot menselijk toezicht.
Met de ISO/IEC 42001 GAP Assessment brengen we gestructureerd in kaart hoe AI binnen een organisatie wordt gebruikt, beheerst en aangestuurd. Daarbij kijken we niet alleen naar beleid en IT-inrichting, maar nadrukkelijk ook naar de praktijk. Op basis van interviews, documentanalyse en een review van bestaande maatregelen toetsen we de huidige situatie aan de vereisten van een AI Management System. Hierbij kijken we onder andere naar governance, risicomanagement, datakwaliteit, transparantie, bewustzijn en human oversight over de volledige AI-lifecycle.
De uitkomst is een praktisch rapport met inzicht in de huidige maturity ten opzichte van ISO/IEC 42001, een concrete gap-analyse, de belangrijkste AI-risico’s en een roadmap met aanbevelingen om de gaps te dichten. Daarmee kan een organisatie gericht toewerken naar verantwoord, beheerst en compliant AI-gebruik, mede in relatie tot relevante wet- en regelgeving zoals de EU AI Act. De GAP Assessment werkt tegelijk als AI Act-gereedheidstoets, zodat je weet wat er sinds augustus 2026 al voor je geldt en ruim vóór de hoogrisicodeadline van 2 december 2027 welke van jouw AI-systemen onder welke risicocategorie vallen.
Wat moet je wanneer? De AI Act-tijdlijn
De AI Act gaat gefaseerd in. De Digital Omnibus on AI, in werking sinds 27 juli 2026, heeft de datums voor hoogrisicosystemen verschoven en de plicht tot AI-geletterdheid afgezwakt. Dit is de stand van oktober 2026:
| Sinds of vanaf | Wat geldt | Wat het GAP Assessment ermee doet |
|---|---|---|
| 2 februari 2025 | Verboden AI-praktijken (artikel 5) en AI-geletterdheid (artikel 4). Sinds juli 2026: maatregelen nemen om AI-geletterdheid te ondersteunen. | We controleren of een toepassing in een verboden categorie valt en welke maatregelen je voor AI-geletterdheid hebt. |
| 2 augustus 2025 | Regels voor AI-modellen voor algemene doeleinden | Relevant als je zelf een model aanbiedt. Meestal ben je gebruiker en geldt dit niet direct. |
| 2 augustus 2026 | Transparantieplichten (artikel 50), bijvoorbeeld dat een chatbot meldt dat hij AI is | We toetsen per toepassing of de melding er is. |
| 2 december 2026 | Markering van AI-gegenereerde content voor systemen die vóór 2 augustus 2026 op de markt waren | We nemen dit op als actiepunt met datum in de roadmap. |
| 2 december 2027 | Eisen voor hoogrisicosystemen uit bijlage III, zoals AI bij werving en selectie, onderwijs of toegang tot publieke voorzieningen | We classificeren je AI-systemen, zodat je ruim op tijd weet welke hieronder vallen. |
| 2 augustus 2028 | Eisen voor hoogrisico-AI in producten (bijlage I) | Alleen relevant als AI onderdeel is van een gereguleerd product. |
Bron: Verordening (EU) 2024/1689 en Verordening (EU) 2026/1744 (Digital Omnibus on AI); White & Case, “EU AI Omnibus enters into force, amending the AI Act” (2026).
Hoe voer je een ISO 42001 gap-analyse uit?
Een gap-analyse tegen ISO/IEC 42001 volgt bij ons zes stappen. Reken op 4 tot 6 weken doorlooptijd en 40 tot 60 uur werk aan onze kant.
- Scope en intake (week 1). We bepalen welke AI-toepassingen, afdelingen en leveranciers meedoen en wie je contactpersonen zijn.
- AI-inventaris en risicoclassificatie (week 1 tot 2). We brengen in kaart welke AI-systemen je gebruikt of aanbiedt, welke rol je daarbij hebt (aanbieder of gebruiksverantwoordelijke) en in welke risicocategorie van de AI Act elk systeem valt.
- Documentanalyse (week 2). We lezen je beleid, verwerkingsregister, DPIA’s, contracten met AI-leveranciers en, als je dat hebt, je ISO/IEC 27001-documentatie.
- Interviews (week 2 tot 3). We spreken vier tot acht sleutelpersonen, van directie tot de mensen die dagelijks met AI werken. Zo toetsen we de praktijk, niet alleen het papier.
- Toetsing per norm-eis (week 3 tot 4). We scoren elke eis uit hoofdstuk 4 tot en met 10 van ISO/IEC 42001 en de beheersmaatregelen uit bijlage A.
- Rapport, roadmap en presentatie (week 4 tot 6). Je krijgt de gap-analyse en de roadmap met prioriteiten, en we presenteren de uitkomsten aan je directie of raad van bestuur.
Wat krijg je opgeleverd?
| Oplevering | Voor wie | Waarvoor |
|---|---|---|
| Maturityscore per domein, gemeten tegen ISO/IEC 42001 | Directie, CISO | Weten waar je staat |
| Gap-analyse per norm-eis en beheersmaatregel | Compliance officer, interne of externe auditor | Weten wat ontbreekt |
| AI-inventaris met risicoclassificatie onder de AI Act | Privacy officer, functionaris gegevensbescherming | Weten welke verplichtingen per systeem gelden |
| Overzicht van de belangrijkste AI-risico’s | Risicomanager | Prioriteren |
| Roadmap met prioriteiten en quick wins | Projectleider | Beginnen met wat het meeste oplevert |
| Managementpresentatie | Directie of raad van bestuur | Besluiten en budget vrijmaken |
Wat kost een GAP Assessment?
Een volledig GAP Assessment kost 40 tot 60 uur werk aan onze kant. Tegen ons openbare tarief van € 175 per uur is dat € 7.000 tot € 10.500 exclusief btw. Na de intake krijg je een vaste prijs, zodat je vooraf weet waar je aan toe bent.
Na het GAP Assessment kun je de roadmap zelf uitvoeren of ons laten begeleiden via AI Consulting Services, tegen een openbaar tarief van € 175 per consultant per uur, zonder abonnement. Moeten medewerkers leren verantwoord met AI te werken, dan sluit het AI Adoptie-programma direct op de roadmap aan.
Hoe zo’n roadmap er in de praktijk uitziet, zie je aan onze eigen toepassingen: de IRIS AI Chatbot meldt vanaf het eerste bericht dat hij AI is (artikel 50), en de AI Workspace Assistent werkt met rolgebaseerde toegang op je eigen documenten, binnen de EU.
Weet jij hoe AI binnen jouw organisatie wordt gebruikt, beheerst en aangestuurd?
Met de ISO/IEC 42001 GAP Assessment krijg je de inzichten en roadmap om AI verantwoord, beheerst en compliant in te zetten.
DOWNLOAD HIER ONZE ONE-PAGER VOOR DE GAP ASSESSMENT
Met onze GAP Assessment breng je in kaart waar jouw organisatie staat op het gebied van AI en krijg je een concrete roadmap naar verantwoord, beheerst en compliant AI-gebruik.
Neem contact opHoe AI-ready is jouw organisatie? Doe eerst de gratis Soevereine AI Readiness Assessment: 5 tot 10 minuten, zes domeinen, direct je score.
Start het assessmentIn het kort
Het probleem: De AI Act stelt concrete eisen en je weet niet precies waar je organisatie staat.
Het resultaat: Na het GAP Assessment heb je een score per domein, de grootste gaten en een roadmap met prioriteiten, gemeten tegen ISO/IEC 42001.
De eerste stap: Doe eerst het gratis AI Readiness Assessment, of plan direct een gesprek.
Veelgestelde vragen
Waarom zou ik nu met een GAP Assessment beginnen?
De EU AI Act stelt sinds 2 augustus 2026 steeds concretere eisen aan organisaties die AI gebruiken of ontwikkelen, en de verplichtingen voor hoogrisicosystemen volgen op 2 december 2027 en 2 augustus 2028. Met een GAP Assessment werk je onderbouwd toe naar verantwoord en compliant AI-gebruik, al voordat toezichthouders of klanten erom vragen.
Is een gap-analyse verplicht onder de AI Act?
Nee. De AI Act schrijft geen gap-analyse voor. Wel moet je per AI-systeem weten welke verplichtingen gelden, zoals de verboden praktijken, de transparantieplicht of de eisen voor hoog risico, en dat kunnen aantonen. Een gap-analyse tegen ISO/IEC 42001 is een gestructureerde manier om dat te doen. Voor aanbieders van hoogrisicosystemen sluit een AI-managementsysteem bovendien aan op de eisen voor risicobeheer en kwaliteitsbeheer (artikel 9 en 17).
Wat is de ISO/IEC 42001 GAP Assessment?
Een praktische volwassenheidsanalyse die je huidige AI-gereedheid toetst aan de vereisten van ISO/IEC 42001, inclusief risico-inventarisatie en een concrete roadmap richting compliant AI-gebruik.
Wat levert een GAP Assessment concreet op?
Een praktisch rapport met je huidige volwassenheid ten opzichte van ISO/IEC 42001, een concrete gap-analyse, de belangrijkste AI-risico’s voor je organisatie en een roadmap met prioriteiten en aanbevelingen.
Hoe gaan jullie te werk bij het assessment?
We toetsen je huidige praktijk aan de vereisten van een AI-managementsysteem (AIMS) volgens ISO/IEC 42001, via interviews met sleutelpersonen, documentanalyse en een review van bestaande maatregelen, beoordeeld over de volledige AI-levenscyclus.
Waar kijken jullie precies naar?
Onder andere AI-governance, risicomanagement, datakwaliteit, transparantie, bewustwording en menselijk toezicht (human oversight).
Moeten we al ISO 42001-gecertificeerd zijn om te beginnen?
Nee. Het is juist een volwassenheidsanalyse die laat zien waar je vandaag staat en welke stappen nodig zijn. Je hoeft nog niets op orde te hebben om te beginnen.
Hoe verschilt ISO 42001 van ISO 27001?
ISO/IEC 27001 gaat over informatiebeveiliging: de vertrouwelijkheid, integriteit en beschikbaarheid van informatie. ISO/IEC 42001 gaat over het verantwoord ontwikkelen en gebruiken van AI: de risico’s en impact van AI-systemen, datakwaliteit, transparantie en menselijk toezicht. Beide normen hebben dezelfde hoofdstructuur (hoofdstuk 4 tot en met 10). Heb je al een ISMS, dan kun je dus veel hergebruiken. ASE is voor beide normen gecertificeerd.
Wie voert het assessment uit?
Het assessment voeren we zelf uit met onze eigen specialisten, vanuit de praktijkervaring van ons eigen viervoudig ISO-gecertificeerde AI-platform. Je krijgt geen theoretisch rapport, maar een direct toepasbare blauwdruk.
Begeleiden jullie ook na het GAP Assessment?
Ja. Het assessment leidt tot een concrete roadmap. We kunnen je begeleiden bij de prioritering en uitvoering, of je de documentatie meegeven om dit intern of met een andere partij op te pakken.
Hoeveel tijd kost dit ons intern?
Een volledig assessment kost gemiddeld 40 tot 60 uur, afhankelijk van je omvang en complexiteit. Het grootste deel doen wij: van jouw mensen vragen we vooral tijd voor de interviews en het aanleveren van bestaande documenten. Zo blijft de belasting van je team beperkt.
Over de auteurs
Alain van Zwol
Oprichter van ASE Cloud Services
Alain van Zwol is oprichter van ASE Cloud Services en werkt dagelijks aan Europese, AVG-conforme cloud- en AI-oplossingen. Vanuit ASE begeleidt hij organisaties bij de overstap naar een soevereine werkplek zonder afhankelijkheid van Amerikaanse techreuzen. Meer over Alain en het team lees je op de over-ons pagina.
Sebastiaan Hoogeveen
Medeoprichter van ASE Cloud Services
Sebastiaan Hoogeveen is medeoprichter van ASE Cloud Services en combineert zijn achtergrond als werktuigbouwkundig ingenieur met een verdieping in AI engineering. Zijn ervaring met C++ uit zijn studietijd vormt een sterke technische basis in zijn werk als AI engineer. Rustig, punctueel en beheerst houdt hij graag het overzicht, en als teamplayer en verbinder vertaalt hij complexe techniek naar praktische AI-oplossingen. Meer over Sebastiaan en het team lees je op de over-ons pagina.