ISO 42001: co to jest norma ISO/IEC 42001 i jak się certyfikować

ISO 42001, a formalnie ISO/IEC 42001:2023, to międzynarodowa norma systemu zarządzania sztuczną inteligencją (AIMS). Określa, jak organizacja ma zarządzać AI, którą rozwija, dostarcza lub stosuje: politykę, role, ocenę ryzyka i skutków, kontrolę cyklu życia systemów i ciągłe doskonalenie. Norma jest dobrowolna, a zgodność z nią potwierdza certyfikat akredytowanej jednostki.

Najważniejsze informacje

• ISO/IEC 42001 to norma systemu zarządzania, zbudowana podobnie jak ISO/IEC 27001, ale poświęcona odpowiedzialnemu rozwojowi i stosowaniu AI.
• Wymagania zawierają rozdziały 4–10 zgodne ze wspólną strukturą norm ISO (Harmonised Structure), więc normę łatwo połączyć z ISO 27001, 27701 i 9001.
• Załącznik A zawiera zabezpieczenia referencyjne, zwykle liczone jako 38 zabezpieczeń w dziewięciu obszarach.
• Certyfikacja obejmuje audyt pierwszego i drugiego etapu, a potem coroczne audyty nadzoru w trzyletnim cyklu.
• Certyfikat ISO 42001 nie oznacza zgodności z AI Act, ale buduje dużą część zarządzania, którego rozporządzenie oczekuje.

Norma ISO 42001 – co to jest i skąd się wzięła?

Normę opracował wspólny podkomitet ISO i IEC do spraw sztucznej inteligencji, ISO/IEC JTC 1/SC 42. ISO opublikowała ją w grudniu 2023 r. jako pierwszą certyfikowalną normę systemu zarządzania AI. Pełny tytuł angielski brzmi „Information technology — Artificial intelligence — Management system”. Opis i możliwość zakupu tekstu są na stronie ISO poświęconej ISO/IEC 42001.

System zarządzania to zestaw polityk, procesów, ról i zapisów, dzięki którym organizacja w kontrolowany sposób osiąga swoje cele. ISO 42001 przenosi to podejście na AI. Norma nie wskazuje, jakiego modelu użyć, i nie ustala technicznych progów dokładności. Wymaga natomiast, by organizacja sama określiła, co oznacza dla niej odpowiedzialna AI, oceniła ryzyka i skutki swoich systemów, wdrożyła adekwatne zabezpieczenia, mierzyła ich skuteczność i je poprawiała.

Normę może stosować każda organizacja, która dostarcza lub wykorzystuje produkty i usługi oparte na AI, niezależnie od wielkości i branży. Dotyczy to twórców modeli, software house’ów wbudowujących AI w swoje produkty, ale też firm, które tylko wdrażają gotowe rozwiązania, jak narzędzie do preselekcji CV albo Microsoft 365 Copilot. Organizacja, która zaczyna od zera, może najpierw sprawdzić swój punkt wyjścia: bezpłatna ocena AI governance pokazuje dojrzałość w dziesięciu obszarach i tworzy z odpowiedzi m.in. ramy zarządzania AI.

Struktura normy ISO/IEC 42001

ISO 42001 korzysta ze wspólnej struktury norm systemów zarządzania. Rozdziały 1–3 dotyczą zakresu, powołań normatywnych i terminologii. Wymagania znajdują się w rozdziałach 4–10:

Najwięcej elementów specyficznych dla AI ma rozdział 6. W odróżnieniu od ISO 27001 norma wymaga oceny skutków systemu AI, czyli analizy możliwych konsekwencji dla osób, grup i społeczeństwa. Ta część wykracza poza ryzyko dla samej organizacji i dotyczy ludzi, na których system wpływa. Pod tym względem przypomina ocenę skutków dla praw podstawowych z art. 27 AI Act, opisaną w artykule o FRIA.

Załączniki normy

• Załącznik A – cele zabezpieczeń i zabezpieczenia referencyjne, w obszarach od A.2 do A.10: polityki dotyczące AI, organizacja wewnętrzna, zasoby systemów AI, ocena skutków, cykl życia systemu AI, dane dla systemów AI, informacje dla stron zainteresowanych, korzystanie z systemów AI oraz relacje z dostawcami i klientami. Jak w ISO 27001, organizacja wybiera zabezpieczenia i uzasadnia wyłączenia w deklaracji stosowania.
• Załącznik B – wskazówki wdrożeniowe do każdego zabezpieczenia z załącznika A.
• Załącznik C – potencjalne cele organizacyjne i źródła ryzyka, m.in. sprawiedliwość, bezpieczeństwo, prywatność, przejrzystość, odporność i poziom automatyzacji.
• Załącznik D – stosowanie systemu zarządzania AI w różnych branżach i integracja z innymi normami.

Na audycie liczy się wyłącznie tekst normy, a nie jej streszczenia, dlatego przy wdrożeniu warto pracować na zakupionym egzemplarzu i sprawdzić aktualne zmiany.

Normy powiązane z ISO 42001

• ISO/IEC 22989 – pojęcia i terminologia AI.
• ISO/IEC 23894 – wytyczne do zarządzania ryzykiem AI, oparte na ISO 31000.
• ISO/IEC 42005 – wytyczne do oceny skutków systemów AI, opublikowane w 2025 r.
• ISO/IEC 42006 – wymagania dla jednostek audytujących i certyfikujących systemy zarządzania AI, opublikowane w lipcu 2025 r., uzupełniające ISO/IEC 17021-1.

Dla kogo jest ISO 42001?

Najczęściej po certyfikat sięgają trzy grupy. Pierwsza to dostawcy produktów AI i firmy SaaS, od których klienci korporacyjni i zamawiający w przetargach oczekują dowodu odpowiedzialnego podejścia do AI. Certyfikat skraca ankiety bezpieczeństwa. Druga to organizacje z certyfikatem ISO 27001 lub 27701, które mogą rozszerzyć istniejący system przy umiarkowanym nakładzie, bo struktura rozdziałów jest taka sama. Trzecia to podmioty regulowane wdrażające AI na dużą skalę: banki, ubezpieczyciele, szpitale i administracja publiczna, które chcą mieć audytowalne ramy zarządzania w okresie wchodzenia w życie AI Act.

Mniejsze firmy korzystające z kilku gotowych narzędzi zwykle więcej zyskają, jeśli najpierw wdrożą podstawy: politykę AI, rejestr systemów, ocenę ryzyka i weryfikację dostawców. Decyzję o formalnej certyfikacji można podjąć później. Jak zbudować rejestr, opisuje tekst o shadow AI i rejestrze systemów AI.

Certyfikacja ISO 42001 krok po kroku

Certyfikat wydaje niezależna jednostka certyfikująca. Warto wybrać jednostkę akredytowaną w zakresie ISO 42001 przez krajową jednostkę akredytującą, która jest stroną międzynarodowych porozumień o wzajemnym uznawaniu. W Polsce akredytacji udziela Polskie Centrum Akredytacji; z certyfikatów jednostek akredytowanych za granicą także można korzystać. Certyfikaty bez akredytacji mają mniejszą wartość w zamówieniach.

1. Zakres. Określenie jednostek organizacyjnych, systemów AI i ról objętych systemem. Wąski i jasny zakres łatwiej certyfikować i obronić.
2. Analiza luk. Porównanie obecnej praktyki z rozdziałami 4–10 i załącznikiem A.
3. Wdrożenie. Polityka AI, role, oceny ryzyka i skutków, wybór zabezpieczeń, deklaracja stosowania, szkolenia i pierwsze zapisy.
4. Audyt wewnętrzny i przegląd zarządzania. Oba muszą się faktycznie odbyć przed certyfikacją.
5. Audyt etapu 1. Audytor sprawdza dokumentację, zakres i gotowość.
6. Audyt etapu 2. Audytor bada w wywiadach, zapisach i próbkach, czy system działa. Niezgodności trzeba usunąć przed wydaniem certyfikatu.
7. Audyty nadzoru i recertyfikacja. Zwykle co roku w drugim i trzecim roku, a przed upływem trzech lat audyt recertyfikacyjny.

Nie ma standardowej ceny ani czasu trwania. Nakład zależy od istniejących systemów zarządzania, liczby systemów AI w zakresie, roli organizacji (twórca czy użytkownik), liczby pracowników i lokalizacji oraz dojrzałości obecnego zarządzania AI. Organizacje z działającym ISO 27001 zwykle idą szybciej, bo wykorzystują istniejące procedury dokumentów, audytów i przeglądów.

Szkolenie ISO 42001: kogo i z czego przeszkolić?

Norma wymaga w rozdziale 7, by osoby wpływające na system zarządzania AI miały odpowiednie kompetencje i świadomość polityki AI. W praktyce sprawdzają się trzy poziomy szkoleń. Zespół wdrożeniowy potrzebuje znajomości wymagań normy i załącznika A (często w formie kursu dla pełnomocnika lub audytora wewnętrznego). Właściciele systemów AI – z ocen ryzyka i skutków. Wszyscy pracownicy korzystający z AI – z zasad z polityki AI. Ten ostatni poziom pokrywa się z obowiązkiem z art. 4 AI Act, opisanym w artykule o AI literacy i szkoleniach AI dla pracowników.

ISO 42001 a ISO 27001

Normy się uzupełniają. Bezpieczeństwo AI, w tym ataki typu prompt injection, łańcuch dostaw modeli i wycieki danych, nadal opiera się na zabezpieczeniach bezpieczeństwa informacji. Wiele organizacji prowadzi jeden zintegrowany system ze wspólnymi procesami i osobnymi deklaracjami stosowania. Dla jasności: działalność Opsio w Indiach ma certyfikaty ISO/IEC 27001 i ISO/IEC 27701; Opsio nie posiada certyfikatu ISO/IEC 42001.

ISO 42001 a AI Act

AI Act to wiążące prawo, którego obowiązki zależą od roli i poziomu ryzyka, na przykład system zarządzania ryzykiem i system zarządzania jakością dla dostawców systemów AI wysokiego ryzyka. ISO 42001 to dobrowolny system zarządzania dla całej organizacji. Certyfikat nie daje domniemania zgodności z rozporządzeniem. Takie domniemanie dają wyłącznie normy zharmonizowane opublikowane w Dzienniku Urzędowym UE na podstawie art. 40 rozporządzenia (UE) 2024/1689, a CEN-CENELEC wciąż je opracowuje (stan na październik 2026 r.). Mimo to system zarządzania AI daje procesy, role i zapisy, których rozporządzenie wymaga. Jak połączyć oba porządki w jednym planie, pokazuje wpis o analizie luk w zgodności z AI Act, a ogólne tło – przewodnik po AI Act.

Najczęściej zadawane pytania

Co to jest ISO 42001 w prostych słowach?

To międzynarodowa norma opisująca, jak zarządzać AI jako uporządkowanym procesem. Organizacja ustala politykę AI, przypisuje odpowiedzialności, ocenia ryzyka i skutki każdego systemu, wdraża zabezpieczenia, sprawdza ich działanie i stale je poprawia. Niezależny audytor może potwierdzić certyfikatem, że system zarządzania spełnia wymagania normy ISO/IEC 42001.

Czy certyfikat ISO 42001 jest obowiązkowy?

Nie. Norma jest dobrowolna i żadne przepisy unijne ani polskie nie wymagają certyfikacji. Coraz częściej pytają o nią jednak klienci i zamawiający w przetargach. AI Act ma własne wiążące wymagania, które zależą od tego, czy firma jest dostawcą czy podmiotem stosującym, oraz od poziomu ryzyka danego systemu AI.

Ile trwa wdrożenie i certyfikacja ISO 42001?

To zależy od zakresu, liczby systemów AI, roli organizacji i tego, czy działa już system ISO 27001. Trzeba mieć czas na wdrożenie procesów i wytworzenie zapisów, audyt wewnętrzny i przegląd zarządzania, a potem audyty etapu 1 i 2. Jednostki certyfikujące szacują liczbę dni audytowych na podstawie zakresu, więc warto poprosić kilka z nich o wycenę.

Czy certyfikat ISO 42001 oznacza zgodność z AI Act?

Nie. Certyfikat potwierdza, że system zarządzania AI spełnia normę. AI Act nakłada konkretne obowiązki prawne, takie jak dokumentacja techniczna, ocena zgodności i rejestracja dla dostawców systemów wysokiego ryzyka czy obowiązki przejrzystości z art. 50. ISO 42001 wspiera wiele z nich, ale każdy obowiązek trzeba osobno zmapować i spełnić.

Czy jest polska wersja normy ISO/IEC 42001?

Normy ISO kupuje się w ISO albo w krajowych jednostkach normalizacyjnych, w Polsce w Polskim Komitecie Normalizacyjnym. Dostępność tłumaczenia na język polski warto sprawdzić bezpośrednio w katalogu PKN. Na audycie decyduje tekst normy w wersji, na którą powołuje się certyfikat.

Fundamenty systemu zarządzania AI na start

Polityka AI, jasny podział ról, ocena ryzyka i weryfikacja dostawców to elementy, od których zaczyna się zarówno wdrożenie ISO 42001, jak i przygotowanie do AI Act. Odbierz za darmo politykę AI i dokumenty AI governance napisane na podstawie odpowiedzi: 14 kroków, ok. 40 minut, pytania po polsku. Cztery dokumenty (ramy zarządzania AI, polityka korzystania z AI, checklista weryfikacji dostawców AI i wzór oceny ryzyka AI) otrzymuje się po angielsku jako edytowalne pliki Word, razem z oceną dojrzałości w dziesięciu obszarach. To nie jest certyfikacja, ale solidny punkt wyjścia.

Ten artykuł ma charakter ogólnoinformacyjny i nie stanowi porady prawnej ani porady certyfikacyjnej. Stan na październik 2026 r. Przed podjęciem decyzji należy sprawdzić aktualny tekst normy ISO/IEC 42001 oraz skonsolidowany tekst rozporządzenia (UE) 2024/1689 w brzmieniu zmienionym rozporządzeniem (UE) 2026/1744.