Hvad er ISO 42001? Standarden for ledelsessystemer til AI forklaret

ISO 42001, officielt ISO/IEC 42001:2023, er den internationale standard for et ledelsessystem for kunstig intelligens (AIMS). Den blev udgivet i december 2023 og stiller krav til, hvordan en organisation styrer den AI, den udvikler, leverer eller bruger: politik, roller, risiko- og konsekvensvurdering, kontroller og løbende forbedring. Den er frivillig og kan certificeres.

Det vigtigste kort fortalt

• ISO/IEC 42001 er en ledelsessystemstandard ligesom ISO/IEC 27001, men handler om ansvarlig udvikling og brug af AI i stedet for informationssikkerhed.
• Kravene står i afsnit 4–10 og følger ISO's fælles struktur (Harmonized Structure), så standarden kan kombineres med 27001, 27701 og 9001.
• Bilag A indeholder referencekontroller, typisk opgjort som 38 kontroller under ni mål. Bilag B er vejledning, bilag C AI-mål og risikokilder, bilag D brug på tværs af sektorer.
• Certificering sker i to auditfaser hos et certificeringsorgan, efterfulgt af årlige opfølgende audits i en treårig cyklus.
• Et ISO 42001-certifikat er ikke det samme som at overholde AI-forordningen, men det opbygger meget af den styring, forordningen forudsætter.

Hvad er ISO/IEC 42001?

Standarden er udviklet af ISO og IEC's fælles underkomité for kunstig intelligens, ISO/IEC JTC 1/SC 42, og er den første AI-ledelsessystemstandard, der kan certificeres. Den fulde engelske titel er »Information technology — Artificial intelligence — Management system«. Standarden er beskrevet på ISO's side om ISO/IEC 42001, og i Danmark kan den blandt andet købes gennem Dansk Standard.

Et ledelsessystem er de politikker, processer, roller og registreringer, en organisation bruger til at nå sine mål på en kontrolleret måde. ISO 42001 bruger den idé på AI. Den siger intet om, hvilken model I skal vælge, og sætter ingen tekniske grænser for nøjagtighed. Den kræver i stedet, at I beslutter, hvad ansvarlig AI betyder hos jer, vurderer risici og konsekvenser af jeres AI-systemer, vælger passende kontroller, måler om de virker, og forbedrer dem.

Standarden gælder alle organisationer, der leverer eller bruger AI-baserede produkter eller tjenester, uanset størrelse og sektor. Det omfatter modeludviklere, softwarehuse med AI i produkterne og organisationer, der blot bruger tredjeparts-AI som et rekrutteringsværktøj eller Microsoft Copilot. Starter I fra bunden, viser vores gratis vurdering af jeres AI governance, hvor I står på ti områder, og skriver en AI governance-ramme, der er udarbejdet med hensyn til ISO/IEC 42001.

Sådan er standarden bygget op

Afsnit 1–3 dækker anvendelsesområde, normative referencer og termer. Kravene står i afsnit 4–10:

Det AI-specifikke tyngdepunkt ligger i afsnit 6. I modsætning til ISO 27001 kræver ISO 42001 en konsekvensvurdering af AI-systemer: en vurdering af de mulige følger for enkeltpersoner, grupper og samfundet. Det er den del af standarden, der rækker ud over risikoen for organisationen selv og ser på de mennesker, der berøres. Den minder i tanken om den konsekvensanalyse, AI-forordningen kræver af visse idriftsættere, som vi beskriver i artiklen om FRIA efter artikel 27.

Bilagene

• Bilag A, referencekontroller: grupperet i ni områder (A.2–A.10): AI-politikker, intern organisering, ressourcer til AI-systemer, vurdering af konsekvenser, AI-systemets livscyklus, data til AI-systemer, information til interessenter, brug af AI-systemer samt relationer til tredjeparter og kunder. Det samlede antal angives normalt som 38. Ligesom i ISO 27001 vælger I selv, hvilke kontroller der gælder, og begrunder fravalg.
• Bilag B: vejledning til implementering af hver kontrol.
• Bilag C: mulige AI-relaterede mål og risikokilder, fx retfærdighed, sikkerhed, privatliv, gennemsigtighed, robusthed og graden af automatisering.
• Bilag D: brug af ledelsessystemet på tværs af domæner og sektorer, herunder integration med andre ledelsessystemer.

Den præcise ordlyd, bilagenes status og eventuelle tillæg står kun i den købte standard. Opsummeringer varierer, og ved en audit tæller kun teksten.

Beslægtede standarder

• ISO/IEC 22989: begreber og terminologi for AI.
• ISO/IEC 23894: vejledning i AI-risikostyring, bygget på ISO 31000.
• ISO/IEC 42005: vejledning i konsekvensvurdering af AI-systemer, udgivet i 2025.
• ISO/IEC 42006: krav til organer, der auditerer og certificerer AI-ledelsessystemer, udgivet i juli 2025. Den lægger AI-specifikke kompetence- og auditkrav oven på ISO/IEC 17021-1.

Hvem er ISO 42001 relevant for?

Tre typer organisationer går typisk først i gang:

• Softwarehuse og SaaS-leverandører med AI i produktet, som af store kunder og i offentlige udbud bliver bedt om at dokumentere ansvarlig AI. Et certifikat forkorter leverandørspørgeskemaerne.
• Organisationer, der allerede er certificeret efter ISO 27001 eller 27701, og som kan udvide deres eksisterende ledelsessystem med begrænset ekstra arbejde, fordi strukturen er den samme.
• Regulerede organisationer, der bruger AI i stor skala, fx banker, pensionsselskaber, forsikring, sundhed og offentlige myndigheder, der ønsker en ramme, som kan efterprøves, mens AI-forordningens pligter faser ind.

Mindre organisationer med få standardværktøjer får ofte mere ud af at indføre de grundlæggende elementer først, en AI-politik, et register, risikovurdering og leverandørkontrol, før de beslutter, om en formel certificering er pengene værd.

Certificeringsforløbet

Certificering foretages af et uafhængigt certificeringsorgan. Vælg et organ, der er akkrediteret til ISO/IEC 42001 af et nationalt akkrediteringsorgan med international anerkendelse. I Danmark er det DANAK. Akkrediterede organer vurderes efter ISO/IEC 17021-1 og ISO/IEC 42006. Der findes uakkrediterede certifikater, men de vejer mindre i udbud.

1. Omfang. Fastlæg, hvilke enheder, AI-systemer og roller der er med. Et klart og afgrænset omfang er lettere at certificere og at forsvare.
2. Gap-analyse. Sammenlign nuværende praksis med afsnit 4–10 og bilag A. Mange starter med en bredere gap-analyse efter AI-forordningen, så standarden og lovkravene planlægges sammen.
3. Implementering. Skriv AI-politikken, fordel roller, gennemfør risiko- og konsekvensvurderinger, vælg kontroller, skriv anvendelseserklæringen, oplær medarbejderne og begynd at registrere.
4. Intern audit og ledelsens evaluering. Begge er obligatoriske før certificering og skal reelt have fundet sted.
5. Fase 1-audit. Auditor gennemgår dokumentation, omfang og parathed og peger på forhold, der kan stoppe fase 2.
6. Fase 2-audit. Auditor tester, om systemet er indført og virker, gennem interviews, registreringer og stikprøver. Afvigelser skal rettes, før certifikatet udstedes.
7. Opfølgende audits normalt hvert år i år to og tre, og en gencertificering, før det treårige certifikat udløber.

Hvor stor er indsatsen?

Der findes ingen standardpris eller -varighed, og den, der giver et tal uden at kende jeres omfang, gætter. De vigtigste faktorer:

• Eksisterende ledelsessystemer: Er I certificeret efter ISO 27001, har I allerede dokumentstyring, intern audit, ledelsens evaluering og en risikometode.
• Antal AI-systemer i omfanget: Hvert system kræver risiko- og konsekvensvurdering og kontroller i livscyklussen.
• Jeres rolle: Udviklere og udbydere skal dokumentere langt flere livscyklus- og datakontroller end organisationer, der kun bruger andres AI.
• Medarbejdere og lokationer: Certificeringsorganer beregner auditdage delvist ud fra antal personer og adresser i omfanget.
• Modenhed: Har I intet AI-register eller ingen AI-politik, kommer grundarbejdet først. Se hvordan I bygger et AI-register.

ISO 42001 og ISO 27001 sammenlignet

De to supplerer hinanden. AI-sikkerhed, fx prompt injection, modellers forsyningskæde og datalæk, hviler stadig på informationssikkerhedskontroller. Mange kører ét integreret ledelsessystem med fælles processer og separate anvendelseserklæringer. Til orientering: Opsios aktiviteter i Indien er certificeret efter ISO/IEC 27001 og ISO/IEC 27701. Opsio er ikke certificeret efter ISO/IEC 42001.

ISO 42001 og AI-forordningen

AI-forordningen er bindende lov med pligter, der afhænger af risikoniveau og rolle, fx et risikostyringssystem og et kvalitetsstyringssystem for udbydere af højrisiko-AI. ISO 42001 er et frivilligt ledelsessystem for hele organisationen. Et certifikat giver ikke formodning om overensstemmelse med forordningen. Det gør kun harmoniserede standarder, hvis referencer er offentliggjort i EU-Tidende efter artikel 40 i forordning (EU) 2024/1689, og dem er CEN-CENELEC pr. oktober 2026 stadig ved at udarbejde. Alligevel giver et AI-ledelsessystem jer den styring, de risikoprocesser og den dokumentation, I får brug for, især når højrisikokravene gælder fra 2. december 2027.

Ofte stillede spørgsmål om ISO 42001

Hvad er ISO 42001 med enkle ord?

Det er en international standard, der beskriver, hvordan man styrer AI ansvarligt som en fast proces. I fastsætter en AI-politik, fordeler ansvar, vurderer risici og konsekvenser for hvert AI-system, indfører kontroller, tjekker at de virker, og forbedrer løbende. En uafhængig auditor kan certificere, at ledelsessystemet lever op til standarden.

Er ISO 42001-certificering et krav?

Nej. ISO/IEC 42001 er frivillig. Nogle kunder og ordregivere efterspørger den, og den kan styrke jeres forberedelse, men ingen EU-lov kræver certificering. AI-forordningen har sine egne bindende krav, som afhænger af, om I er udbyder eller idriftsætter, og af systemets risikoniveau.

Hvor lang tid tager en ISO 42001-certificering?

Det afhænger af omfang, antal AI-systemer, jeres rolle, og om I allerede har et ISO 27001-ledelsessystem. Der skal være tid til at indføre processerne og skabe registreringer, gennemføre intern audit og ledelsens evaluering og derefter bestå fase 1 og fase 2. Bed certificeringsorganer om et estimat af auditdage ud fra jeres omfang.

Betyder ISO 42001, at vi overholder AI-forordningen?

Nej. Certificeringen viser, at jeres ledelsessystem lever op til standarden. AI-forordningen stiller konkrete lovkrav, fx teknisk dokumentation, overensstemmelsesvurdering og registrering for udbydere af højrisiko-AI og oplysningspligt efter artikel 50. ISO 42001 understøtter mange af dem, men hvert krav skal stadig kortlægges og opfyldes.

Kan vi kombinere ISO 42001 med ISO 27001?

Ja. Begge bruger den fælles struktur, så politikker, dokumentstyring, intern audit og ledelsens evaluering kan deles i ét integreret ledelsessystem. I vedligeholder separate risikovurderinger og anvendelseserklæringer for hver standards kontroller.

Begynd med et fundament for AI governance

Uanset om I går efter certificering, er første skridt at vide, hvor I står. Opsios gratis AI Governance & Readiness Assessment tager cirka 40 minutter fordelt på 14 trin og scorer jeres modenhed på ti områder. Når I sender, skrives fire dokumenter ud fra jeres svar: en AI governance-ramme, en AI-politik for medarbejdere, en tjekliste til vurdering af AI-leverandører og en skabelon til AI-risikovurdering. Spørgsmålene er på dansk, dokumenterne leveres på engelsk som redigerbare Word-filer. Gratis og uden forpligtelser. Vil I have hjælp til selve implementeringen, så se vores rådgivning om AI governance.

Denne artikel er generel information og ikke juridisk rådgivning. Kontrollér den konsoliderede tekst af forordning (EU) 2024/1689 som ændret ved forordning (EU) 2026/1744 samt den publicerede tekst af ISO/IEC 42001. Oplysningerne er pr. oktober 2026.