ISO 42001: cała praca, po kolei

• zdecyduj i udokumentujwybory, polityki i zapisy, które podpisuje osoba z uprawnieniami
• zbuduj i skonfigurujsystemy, ustawienia i procedury, które urealniają wybór
• udowodnij i utrzymujsprawdzenia, logi i zapisy, które pokazują, że to działa

Ustal, kto potrzebuje certyfikatu, co zaakceptowałby w zamian i jakie prace nad AI ma objąć.

1. 1.1

   zapytaj, kto wymaga certyfikatu

   Zapytaj klientów i przetargi, które o to poprosiły, czy wymagają certyfikatu, czy zaakceptują pisemny opis zarządzania AI lub Twoje odpowiedzi w ankiecie. Zapisz każdą odpowiedź z datą. Żaden przepis UE opisany na tej stronie nie wymaga certyfikatu.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   krótka lista klientów i przetargów, o co prosił każdy i co każdy by zaakceptował

   dowód, który zostaje

   lista ze źródłem każdej odpowiedzi

   strona pracy

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 1.2

   określ zakres na piśmie

   Zdecyduj, której części firmy i które systemy AI obejmuje system zarządzania, i zapisz, co jest poza nim. System spoza zakresu nie jest objęty, więc certyfikat dla zespołu produktowego nic nie mówi o AI, której używa dział kadr.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   opis zakresu, który wymienia, co jest w nim i co poza nim

   dowód, który zostaje

   opis zatwierdzony przez zarząd

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 1.3

   wskaż, kto odpowiada za ai

   Wskaż jednego odpowiedzialnego za AI na poziomie zarządu i jednego lidera operacyjnego, i daj im czas oraz pozycję w budżecie. Ustal dla każdego systemu swoją rolę: dostawca (provider), podmiot stosujący (deployer) albo oba, bo AI Act traktuje je inaczej.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   decyzja wskazująca odpowiedzialnego, lidera operacyjnego i rolę dla każdego systemu

   dowód, który zostaje

   protokół z tej decyzji

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Wypisz używaną AI, porównaj swoją praktykę z normą i zamień różnice w plan.

1. 2.1

   wypisz każdy system ai i daj mu właściciela

   Wypisz każdy system AI, który budujesz, sprzedajesz lub używasz, także narzędzia, których nikt nie zatwierdził, z właścicielem każdego. Ta sama lista jest pierwszym krokiem pracy nad AI Act, więc zbuduj ją raz i aktualizuj.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   inwentarz AI z właścicielem i celem każdego systemu

   dowód, który zostaje

   inwentarz z datą ostatniego przeglądu

   strona pracyzabezpieczenie: ai-inventory

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 2.2

   kup licencjonowaną kopię normy i porównaj ją z praktyką

   Kup normę u wydawcy lub w krajowej jednostce normalizacyjnej i przejdź przez nią z osobami, które prowadzą prace nad AI. Zaznacz, co już robisz, co robisz częściowo i czego brakuje, w ramach zakresu. Ten plan nie odczytał klauzul, więc każdy numer bierz z własnej kopii.

   • właściciel szef IT
   • udowodnij i utrzymuj

   co powstaje

   lista luk z ustaleniem, właścicielem i dowodem, który już masz

   dowód, który zostaje

   lista luk z datą, podpisana przez lidera operacyjnego

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 2.3

   ułóż luki w jeden plan prac

   Ułóż luki w kolejności zależności, przypisz każdej właściciela i datę oraz zdecyduj, co na razie akceptujesz. Plan zatwierdza zarząd, żeby praca miała za sobą autorytet.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   uporządkowany plan prac z właścicielami i datami

   dowód, który zostaje

   plan zatwierdzony przez zarząd

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Napisz politykę AI, oceń ryzyko i skutki dla każdego systemu i ustal zasady zatwierdzania nowej AI.

1. 3.1

   napisz politykę ai i zasady dla nowych narzędzi

   Napisz krótką politykę AI, którą podpisze zarząd, oraz zasadę zatwierdzania nowego narzędzia AI lub nowego zastosowania istniejącego: kto prosi, kto decyduje i co sprawdza najpierw. Zrób ją na tyle prostą, żeby ludzie z niej korzystali, zamiast ją obchodzić.

   • właściciel zarząd
   • zbuduj i skonfiguruj

   co powstaje

   podpisana polityka AI i zasada zatwierdzania

   dowód, który zostaje

   polityka z wersją i zatwierdzeniem oraz rejestr zatwierdzeń

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 3.2

   oceń ryzyko i skutki każdego systemu

   Dla każdego systemu zapisz, co może pójść źle dla firmy i dla osób, na które system wpływa, zdecyduj, które ryzyka ograniczysz, zaakceptujesz lub przekażesz komuś innemu, i zapisz, kto co zaakceptował. ISO wymienia obok 42001 normę ISO/IEC 42005:2025, w pakiecie o wpływie. Jej treści nie czytano.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   zapis ryzyka i skutków dla każdego systemu z decyzją o postępowaniu dla każdego ryzyka

   dowód, który zostaje

   zapisy i zatwierdzenie zaakceptowanych ryzyk

   strona pracyzabezpieczenie: risk-register

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 3.3

   wprowadź zabezpieczenia i zapisz je

   Zbuduj lub popraw zabezpieczenia, których wymagają lista luk i zapisy ryzyka, i zapisz dla każdego, co robi i kto je prowadzi. Tam, gdzie AI Act dotyczy systemu, sprawdź, którym jego obowiązkom służy też to zabezpieczenie.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   zabezpieczenia działające w zakresie, z jednostronicowym opisem każdego

   dowód, który zostaje

   opisy i zapisy, które pokazują każde z nich w działaniu

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

4. 3.4

   obejmij zakresem dostawców i ludzi

   Podziel dostawców modeli, danych i usług opartych na AI według tego, do czego mają dostęp, zapytaj krytycznych, jak zarządzają AI, i wpisz warunki do umowy. Przeszkol osoby objęte zakresem w polityce i zachowaj zapis.

   • właściciel zakupy
   • zbuduj i skonfiguruj

   co powstaje

   rejestr dostawców z warunkami umów i zapis szkolenia

   dowód, który zostaje

   rejestr, otrzymane odpowiedzi i lista obecności

   strona pracyzabezpieczenie: supplier-management

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Sprawdź, że zasady działają tak, jak je opisano, i przedstaw wyniki zarządowi.

1. 4.1

   przeprowadź audyt systemu od środka

   Niech ktoś, kto tego systemu nie budował, sprawdzi, że zasady działają, dla systemów objętych zakresem i względem normy. Zaplanuj audyt, prowadź notatki i napisz raport z ustaleniami.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   plan i raport z audytu wewnętrznego z ustaleniami

   dowód, który zostaje

   raport z datą i nazwiskiem audytora

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 4.2

   napraw ustalenia i zapisz naprawę

   Dla każdego ustalenia zdecyduj o poprawce, właścicielu i terminie, i zapisz, kiedy ją wykonano. Usuń przyczynę, nie tylko objaw, żeby problem nie wrócił za rok.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   lista działań korygujących z właścicielami i terminami

   dowód, który zostaje

   lista, w której każda pozycja jest zamknięta lub ma datę

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 4.3

   przeprowadź przegląd zarządzania

   Raz w roku przedstaw zarządowi wynik audytu, obraz ryzyka i otwarte luki, i zapisz, co się zmienia. Dane wejściowe, które wymienia norma, sprawdź w swojej kopii.

   • właściciel zarząd
   • udowodnij i utrzymuj

   co powstaje

   zapis przeglądu zarządzania z decyzjami i działaniami

   dowód, który zostaje

   zapis i protokół

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Wybierz jednostkę certyfikującą, przejdź jej audyt i zajmij się tym, co znajdzie.

1. 5.1

   wybierz jednostkę certyfikującą i sprawdź jej akredytację

   ISO nie certyfikuje. Zapytaj każdego kandydata, jaką akredytację ma dla 42001 i od jakiej jednostki akredytującej, a odpowiedź sprawdź u tej jednostki. ISO/IEC 42006:2025 określa wymagania wobec jednostek, które audytują i certyfikują systemy zarządzania AI, więc zapytaj, jak jednostka je spełnia.

   • właściciel zakupy
   • zdecyduj i udokumentuj

   co powstaje

   wybrana jednostka certyfikująca i zakres jej akredytacji

   dowód, który zostaje

   odpowiedzi na piśmie i sprawdzenie akredytacji

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 5.2

   przygotuj dowody i ludzi

   Zbierz politykę, inwentarz, zapisy ryzyka i skutków, raport z audytu i zapis przeglądu w jednym miejscu, ułożone według pytań normy. Przygotuj osoby, z którymi audytor porozmawia.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   folder dowodów i lista osób do rozmów

   dowód, który zostaje

   folder, w którym każda pozycja ma datę

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 5.3

   przejdź audyt i odpowiedz na ustalenia

   Daj audytorowi dostęp, odpowiadaj na pytania i notuj każde ustalenie. Dla każdego uzgodnij poprawkę z jednostką certyfikującą i wykonaj ją w terminie, który ona wyznaczy.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   raport z audytu, odpowiedzi na ustalenia i poprawki

   dowód, który zostaje

   raport, odpowiedzi i zapisy zamknięcia

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

4. 5.4

   przeczytaj certyfikat i powiedz, co obejmuje

   Sprawdź zakres, daty i wystawcę wpisane na certyfikacie i używaj ich tak, jak je zapisano, gdy odpowiadasz klientowi lub przetargowi. Powiedz wprost, co certyfikat obejmuje i czego nie, i nie przedstawiaj go jako zgodności z AI Act, RODO ani z przepisem sektorowym.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   krótkie oświadczenie, co obejmuje certyfikat, dla sprzedaży i działu prawnego

   dowód, który zostaje

   certyfikat i oświadczenie

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Utrzymuj inwentarz zgodny ze stanem faktycznym, powtarzaj audyt i przegląd oraz przechodź kontrole, które jednostka certyfikująca prowadzi po wydaniu certyfikatu.

1. 6.1

   zapytaj, co następuje po certyfikacie

   Zapytaj jednostkę certyfikującą, co sprawdza po wydaniu certyfikatu, jak często i co się dzieje, gdy ustalenia pozostają otwarte. Wpisz te terminy do tego samego kalendarza co własny audyt i przegląd.

   • właściciel zakupy
   • zdecyduj i udokumentuj

   co powstaje

   kalendarz kontroli jednostki i własnych terminów wewnętrznych

   dowód, który zostaje

   odpowiedź na piśmie i kalendarz

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 6.2

   aktualizuj inwentarz i zatwierdzenia

   Przeglądaj inwentarz w stałym rytmie, dopisuj to, co zespoły zaczęły używać, i usuwaj to, co przestały. Sprawdzaj terminy AI Act, które dotyczą Twoich systemów, bo już się przesuwały.

   • właściciel szef IT
   • udowodnij i utrzymuj

   co powstaje

   przejrzany inwentarz i lista terminów, które mają zastosowanie

   dowód, który zostaje

   inwentarz z datą przeglądu i lista z datą

   strona pracyzabezpieczenie: ai-inventory

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 6.3

   powtórz audyt wewnętrzny i przegląd

   Przeprowadź audyt wewnętrzny i przegląd zarządzania ponownie, w stałym rytmie, ze świeżymi dowodami. Powtórz pracę nad ryzykiem i skutkami, gdy zmieni się system, zastosowanie lub zakres.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   roczny audyt wewnętrzny i przegląd zarządzania

   dowód, który zostaje

   raporty i protokoły z datą

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Te same kroki, pogrupowane według osoby, która musi działać.

Każde zabezpieczenie ma własną stronę: czym jest, na co patrzeć przy wyborze, gdzie się psuje i jaki dowód zostawia.

• Rozporządzenie (UE) 2024/1689 (AI Act), tekst pierwotny (EUR-Lex)
• Rozporządzenie (UE) 2026/1744 (Digital Omnibus w sprawie AI), zmieniające AI Act (EUR-Lex)