Hva er ISO 42001? Standarden for styring av KI forklart

ISO 42001, formelt ISO/IEC 42001:2023, er den internasjonale standarden for styringssystem for kunstig intelligens. Den ble publisert i desember 2023 og stiller krav til hvordan en virksomhet styrer KI den utvikler, leverer eller bruker: policy, roller, risiko- og konsekvensvurdering, kontroller og forbedring. Standarden er frivillig og kan sertifiseres.

Det viktigste i korthet

• ISO/IEC 42001 er en standard for styringssystem, på samme måte som ISO/IEC 27001 er det for informasjonssikkerhet, men med KI som tema.
• Kravene står i kapittel 4–10 og følger samme struktur som 27001, 27701 og 9001. Det gjør det enkelt å bygge videre på et eksisterende styringssystem.
• Vedlegg A inneholder referansekontroller, vanligvis oppgitt som 38 kontroller fordelt på ni områder.
• Sertifisering skjer gjennom revisjon i to trinn og årlige oppfølgingsrevisjoner i en treårssyklus.
• Et sertifikat betyr ikke at dere oppfyller KI-forordningen, men det bygger mye av styringen forordningen forventer.

Hva er ISO/IEC 42001?

Standarden er utviklet av ISO og IEC i fellesutvalget for kunstig intelligens, ISO/IEC JTC 1/SC 42. Den engelske tittelen er «Information technology – Artificial intelligence – Management system», og den var den første sertifiserbare standarden for et styringssystem for KI (på engelsk AIMS, AI management system).

Et styringssystem er summen av retningslinjer, prosesser, roller og dokumentasjon en virksomhet bruker for å nå målene sine på en kontrollert måte. ISO 42001 bruker den tankegangen på KI. Standarden sier ikke hvilken modell dere skal velge eller hvor treffsikker den må være. Den krever at dere bestemmer hva ansvarlig KI betyr for dere, vurderer risiko og konsekvenser av KI-systemene, velger tiltak, måler om de virker og forbedrer dem.

Standarden gjelder alle typer virksomheter som leverer eller bruker KI, store og små, private og offentlige. Det omfatter selskaper som utvikler modeller, programvareleverandører med innebygd KI og vanlige brukerorganisasjoner, for eksempel en bank som tar i bruk en kredittmodell fra en leverandør eller en kommune som innfører Copilot. Står dere på bar bakke, kan Opsios gratis KI-styringsvurdering vise hvor dere står på ti områder og skrive et første rammeverk for KI-styring.

Slik er standarden bygd opp

ISO 42001 følger den harmoniserte strukturen som er felles for ISO-standarder for styringssystemer. Kapittel 1–3 dekker omfang, referanser og begreper. Kravene ligger i kapittel 4–10:

Det som skiller ISO 42001 tydeligst fra ISO 27001, ligger i kapittel 6: kravet om konsekvensvurdering av KI-systemer. Den skal se på mulige følger for enkeltpersoner, grupper og samfunnet, ikke bare for virksomheten. Det ligner på tankegangen bak vurderingen av konsekvenser for grunnleggende rettigheter (FRIA) i KI-forordningen og vurderingen av personvernkonsekvenser (DPIA) etter GDPR.

Vedleggene A til D

• Vedlegg A – referansekontroller. Kontrollene er gruppert i ni områder (A.2–A.10): retningslinjer for KI, intern organisering, ressurser, konsekvensvurdering, livssyklus, data, informasjon til interessenter, bruk av KI-systemer og forhold til tredjeparter og kunder. Som i ISO 27001 velger dere hvilke kontroller som gjelder, og begrunner unntak i en anvendelseserklæring.
• Vedlegg B gir veiledning til hver kontroll i vedlegg A.
• Vedlegg C lister mulige KI-relaterte mål og risikokilder, som rettferdighet, sikkerhet, personvern, åpenhet, robusthet og grad av automatisering.
• Vedlegg D handler om bruk av styringssystemet i ulike bransjer og samspill med andre standarder.

Sammendrag av standarden varierer. Det er bare selve teksten som teller ved revisjon, og den kjøper dere gjennom Standard Norge eller ISO.

Nære slektninger i standardfamilien

• ISO/IEC 22989: begreper og terminologi for KI.
• ISO/IEC 23894: veiledning om risikostyring for KI, bygd på ISO 31000.
• ISO/IEC 42005: veiledning om konsekvensvurdering av KI-systemer, publisert i 2025.
• ISO/IEC 42006: krav til organer som reviderer og sertifiserer styringssystemer for KI, publisert i juli 2025.

ISO 42001 og KI-forordningen

Det er lett å tro at et ISO 42001-sertifikat betyr at virksomheten oppfyller KI-forordningen. Slik er det ikke. Forordningen stiller konkrete produktkrav til høyrisiko-KI, som teknisk dokumentasjon, logging, samsvarsvurdering og CE-merking, og den har plikter for idriftsettere som standarden ikke dekker direkte. ISO 42001 er heller ikke en harmonisert standard under forordningen per oktober 2026.

Likevel overlapper de mye. Policy, roller, oversikt over KI-systemer, risikovurdering, leverandørstyring, opplæring og hendelseshåndtering er felles byggesteiner. En virksomhet med et velfungerende styringssystem etter ISO 42001 har et godt utgangspunkt for å dokumentere tiltak etter KI-forordningen den dagen den blir norsk rett. Status for den norske gjennomføringen står i artikkelen om KI-loven og AI Act i Norge, og regelverket som helhet i vår gjennomgang av KI-forordningen.

Hvem bør vurdere ISO 42001?

Tre grupper har mest å hente. Programvare- og SaaS-leverandører med KI får stadig spørsmål om ansvarlig KI i anbud, og et sertifikat kan korte ned leverandørskjemaene. Virksomheter som allerede er sertifisert etter ISO 27001 eller 27701 kan utvide styringssystemet med relativt lite ekstraarbeid fordi strukturen er den samme. Regulerte virksomheter som bruker KI i stor skala, som banker, forsikringsselskaper, helseforetak og offentlige etater, får et revisjonsbart rammeverk mens reglene innføres.

Mindre virksomheter som bare bruker noen få ferdige KI-verktøy, får ofte mer ut av å innføre kjernen først: en KI-policy, et KI-register over verktøyene som brukes, risikovurdering og leverandørkontroll. Deretter kan de vurdere om sertifisering er verdt kostnaden.

Slik foregår sertifiseringen

Sertifiseringen gjøres av et uavhengig sertifiseringsorgan. Se etter et organ som er akkreditert for ISO 42001, enten av Norsk akkreditering eller av et annet nasjonalt akkrediteringsorgan som er med i de internasjonale avtalene om gjensidig anerkjennelse. Akkrediterte organer vurderes mot ISO/IEC 17021-1 og ISO/IEC 42006. Sertifikater fra uakkrediterte organer finnes, men veier mindre i anskaffelser.

1. Omfang. Bestem hvilke enheter, KI-systemer og roller som skal med. Et smalt og tydelig omfang er enklere å sertifisere.
2. Gapanalyse. Sammenlign dagens praksis med kapittel 4–10 og vedlegg A. Fremgangsmåten likner gapanalysen mot KI-forordningen.
3. Innføring. Skriv KI-policy, fordel roller, gjennomfør risiko- og konsekvensvurderinger, velg kontroller, lær opp de ansatte og begynn å produsere dokumentasjon.
4. Internrevisjon og ledelsens gjennomgåelse. Begge må faktisk ha skjedd før sertifiseringsrevisjonen.
5. Trinn 1-revisjon. Revisor går gjennom dokumentasjon, omfang og modenhet.
6. Trinn 2-revisjon. Revisor tester om systemet virker gjennom intervjuer, stikkprøver og dokumentasjon. Avvik må lukkes før sertifikatet utstedes.
7. Oppfølgingsrevisjoner årlig i år to og tre, og deretter resertifisering.

Det finnes ingen standardpris eller standard tidsbruk. Omfang, antall KI-systemer, rollen deres og om dere har et eksisterende styringssystem, avgjør innsatsen. Virksomheter med ISO 27001 på plass kommer som regel raskest i mål.

Ofte stilte spørsmål

Hva er ISO 42001?

ISO/IEC 42001:2023 er den internasjonale standarden for styringssystem for kunstig intelligens. Den beskriver hvordan en virksomhet etablerer, driver og forbedrer styringen av KI den utvikler eller bruker, med krav til ledelse, risikovurdering, konsekvensvurdering, kontroller og oppfølging. Standarden er frivillig og kan sertifiseres av et akkreditert organ.

Er ISO 42001 påkrevd etter KI-forordningen?

Nei. KI-forordningen krever ikke ISO 42001, og standarden er ikke harmonisert under forordningen per oktober 2026. Mange av elementene overlapper likevel, som policy, risikovurdering, opplæring og leverandørstyring. Et styringssystem etter ISO 42001 gjør det derfor enklere å dokumentere tiltak etter forordningen.

Hva er forskjellen på ISO 27001 og ISO 42001?

ISO 27001 handler om informasjonssikkerhet, mens ISO 42001 handler om ansvarlig utvikling og bruk av KI. Strukturen er den samme, men ISO 42001 krever i tillegg konsekvensvurdering av KI-systemer for mennesker og samfunn og har egne kontroller for data, livssyklus og bruk av KI. Mange bygger 42001 oppå et eksisterende 27001-system.

Hvor lang tid tar en ISO 42001-sertifisering?

Det avhenger av omfang, antall KI-systemer og hvor moden styringen er fra før. Virksomheter med ISO 27001 kan gjenbruke dokumentstyring, internrevisjon og risikometodikk. Uten et eksisterende styringssystem må grunnarbeidet som KI-oversikt og policy gjøres først. Vær skeptisk til faste tidsanslag fra noen som ikke kjenner omfanget.

Hvem kan sertifisere etter ISO 42001 i Norge?

Sertifisering gjøres av uavhengige sertifiseringsorganer. Velg et organ som er akkreditert for ISO/IEC 42001 av Norsk akkreditering eller av et annet akkrediteringsorgan med internasjonal gjensidig anerkjennelse. Spør etter akkrediteringsbeviset og omfanget av akkrediteringen før dere inngår avtale.

Begynn med grunnmuren

Før dere velger sertifiseringsorgan, trenger dere de grunnleggende dokumentene som både ISO 42001 og KI-forordningen bygger på. Med Opsios gratis vurdering av KI-styring og modenhet svarer dere på spørsmål i fjorten steg, omtrent 40 minutter, og får skrevet fire dokumenter ut fra svarene: retningslinjer for bruk av KI, et rammeverk for KI-styring utformet med hensyn til ISO/IEC 42001, en sjekkliste for KI-leverandører og en mal for risikovurdering. Det er ingen sertifisering. Spørsmålene er på norsk, og dokumentene leveres på engelsk som redigerbare Word-filer. Gratis og uten forpliktelser.

Denne artikkelen er generell informasjon og ikke juridisk rådgivning. Kontroller den konsoliderte teksten til forordning (EU) 2024/1689 slik den er endret ved forordning (EU) 2026/1744, og følg med på regjeringen.no for status for KI-loven og EØS-innlemmelsen. Opplysningene gjelder per oktober 2026.