ISO 42001

Ta strona jest tłumaczeniem wersji angielskiej, bez warstwy krajowej. Nie otwarto w źródle komunikatu polskiej jednostki akredytującej o akredytacji dla ISO/IEC 42001, więc nie ma go tutaj. Sprawdź to bezpośrednio u jednostki akredytującej.

Klienci i przetargi pytają o certyfikat ISO 42001. AI Act i Twoi klienci pytają, czy wiesz, gdzie w firmie używa się AI i kto za to odpowiada. Norma jest sposobem, by ta odpowiedź pozostawała prawdziwa w czasie: system zarządzania z zakresem, właścicielami, zasadami, kontrolami i rocznym przeglądem. Katalog ISO opisuje ją jako wymagania dotyczące ustanowienia, wdrożenia, utrzymania i ciągłego doskonalenia systemu zarządzania AI w organizacjach, które dostarczają lub używają produktów albo usług opartych na AI.

To norma o systemie zarządzania, więc pyta, jak prowadzisz prace nad AI. Nie testuje modelu i nie zatwierdza produktu. ISO nazywa ją pierwszą normą tego rodzaju dla AI.

Nie dla prawa. Żaden przepis UE opisany na tej stronie nie wymaga certyfikatu. Sprawdź w prawie krajowym i przepisach sektorowych, czy coś tego wymaga.

Możliwie dla sprzedaży. Klienci i przetargi publiczne mogą o to pytać dostawców. Powody, które podaje ISO, to ramy zarządzania ryzykiem i szansami związanymi z AI, sposób pokazania odpowiedzialnego użycia AI oraz identyfikowalność, przejrzystość i niezawodność. To twierdzenia ISO, więc zapytaj własnych klientów, czego potrzebują. Zanim zobowiążesz się na rok, ustal, którzy klienci zaakceptowaliby mniej: pisemny opis zarządzania AI albo Twoje odpowiedzi na ankietę.

Strona Komisji o normalizacji mówi, co tu ma znaczenie. Europejskie normy zharmonizowane dla AI Act opracowują europejskie organizacje normalizacyjne, które wolą normy międzynarodowe, o ile pasują do wymagań prawa. ISO/IEC 42001:2023 pomaga stworzyć system zarządzania AI, ale jej cele i definicje nie są zgodne z systemem zarządzania jakością wymaganym przez AI Act, dlatego Komisja zleciła opracowanie nowej normy dla tego systemu.

Tyle mówi źródło w tej sprawie. Na potrzeby tej strony nie znaleziono źródła, które czyniłoby 42001 normą zharmonizowaną na gruncie AI Act, więc nie zakładaj, że certyfikat daje domniemanie zgodności. Zapytaj prawnika, jakie normy AI Act uznaje obecnie dla Twojego zastosowania.

ISO mówi, że nie certyfikuje ani nie ocenia zgodności. Certyfikat wydaje zewnętrzna jednostka certyfikująca, co jest oceną zgodności przez stronę trzecią. ISO/IEC 42006:2025, opublikowana w lipcu 2025 r., określa wymagania wobec jednostek, które audytują i certyfikują systemy zarządzania AI. Tego, czy dana jednostka ma akredytację dla 42001 i od kogo, nie odczytano na liście samej jednostki akredytującej. Zanim wybierzesz jednostkę, poproś ją o zakres akredytacji i sprawdź go u jednostki akredytującej.

Certyfikat pokazuje, że jednostka certyfikująca sprawdziła Twój system zarządzania AI, w zakresie, który zdefiniowałeś, względem normy. Tak ISO rozumie certyfikację: pisemne zapewnienie, że system spełnia określone wymagania.

Nie pokazuje, że każdy używany przez Ciebie system AI jest dokładny, sprawiedliwy lub zgodny z prawem. Nie pokazuje zgodności z AI Act, z RODO ani z przepisami sektorowymi. System spoza zakresu nie jest objęty, więc certyfikat dla zespołu produktowego nic nie mówi o AI, której używa dział kadr. Gdy organ lub klient pyta o coś spoza zakresu, certyfikat nie odpowiada na to pytanie.

Żaden z nich nie jest klauzulą normy w zakresie odczytanym na potrzeby tej strony. To rozsądna kolejność pracy.

1. Zakres. Zdecyduj, której części firmy i których systemów AI dotyczy system zarządzania, i zapisz, co jest poza nim.
2. Inwentarz. Wypisz każdy system AI, który budujesz, sprzedajesz lub używasz, także te, których nikt nie zatwierdził, z właścicielem każdego. Inwentarz jest też pierwszym krokiem pracy nad AI Act.
3. Role. Wskaż, kto odpowiada za AI na poziomie zarządu i kto jest właścicielem każdego systemu.
4. Ocena ryzyka i skutków. Dla każdego systemu zapisz, co może pójść źle dla firmy i dla osób, na które system wpływa. ISO wymienia też obok 42001 normę ISO/IEC 42005:2025, w pakiecie o wpływie. Jej treści nie czytano.
5. Polityki. Napisz krótką politykę AI i zasady zatwierdzania nowego narzędzia lub zastosowania.
6. Audyt wewnętrzny. Sprawdź raz, z kimś, kto tego nie budował, czy zasady działają, i zachowaj zapis.
7. Przegląd zarządzania. Raz w roku przedstaw wyniki zarządowi i zapisz, co się zmienia.

Norma jest płatna. Katalog ISO podawał wydanie angielskie w cenie 225 CHF w dniu 2 listopada 2026 r. Ta strona korzysta wyłącznie ze źródeł publicznych: stron katalogu ISO, strony ISO o ocenie zgodności i FAQ Komisji. Numerów klauzul, list zabezpieczeń i załączników ISO/IEC 42001 nie czytano i żaden nie jest przytoczony. Sprawdź je w licencjonowanej kopii, zanim określisz zakres lub odpowiesz klientowi.