Dostawca ma certyfikat ISO/IEC 42001. Co to znaczy, a czego nie znaczy

ISO/IEC 42001:2023 to norma o systemie zarządzania sztuczną inteligencją. Certyfikat mówi, że organizacja ma ustalone zasady, role, ocenę ryzyka i nadzór nad tym, jak tworzy lub wykorzystuje AI, a audytor sprawdził, że je stosuje. Jako audytor wiodący tej normy cenię ją, bo porządkuje odpowiedzialność. Trzeba jednak wiedzieć, czego certyfikat nie obejmuje

Certyfikat to nie ocena zgodności z AI Act

AI Act ocenia każdy system wysokiego ryzyka osobno. Domniemanie zgodności dają normy zharmonizowane, których odniesienia opublikowano w Dzienniku Urzędowym UE (art. 40). ISO/IEC 42001 do nich nie należy. Europejskie normy do AI Act przygotowuje komitet CEN-CENELEC JTC 21 i są opóźnione. Ankieta publiczna projektu normy o systemie zarządzania jakością dostawców, prEN 18286, zakończyła się 22 stycznia 2026 roku, a CEN-CENELEC chce udostępnić normy do końca 2026 roku

Art. 17 AI Act wymaga od dostawcy systemu wysokiego ryzyka między innymi strategii zgodności regulacyjnej, procedur zgłaszania poważnych incydentów (art. 73) i monitorowania systemu po wprowadzeniu do obrotu (art. 72). ISO/IEC 42001 nie formułuje tych wymogów w taki sposób, dlatego certyfikat ich nie zastępuje

O co zapytać dostawcę

Najpierw o zakres certyfikatu. Może obejmować jedną lokalizację albo jeden proces, a nie produkt, który Państwo kupują. Potem o jednostkę certyfikującą. W lipcu 2025 roku opublikowano normę ISO/IEC 42006, która określa wymagania dla jednostek audytujących i certyfikujących systemy zarządzania AI. Warto sprawdzić, czy jednostka działa w akredytacji i czy akredytacja obejmuje ISO/IEC 42001. Wreszcie o dokumenty dla konkretnego systemu: dokumentację techniczną, instrukcję, opis nadzoru człowieka i rejestry zdarzeń

Wniosek

Certyfikat ISO/IEC 42001 warto docenić jako dowód dojrzałości organizacji. Nie powinien jednak zastępować wymagań wobec samego systemu

Aleksandra Albera

Prawniczka specjalizująca się w prawie nowych technologii: AI Act, systemy zarządzania AI według ISO/IEC 42001, cyberbezpieczeństwo i ochrona danych. Audytor wiodący ISO/IEC 42001. Czuwa nad prawną stroną zamówień, umów i dokumentacji AI