ISO 42001 vs AI-förordningen: skillnader och hur de hänger ihop
ISO 42001 och AI-förordningen hänger ihop som ett ledningssystem och en lag. ISO/IEC 42001 är en frivillig, certifierbar standard för hur en organisation styr sin AI. AI-förordningen, förordning (EU) 2024/1689, är bindande lag med skyldigheter som beror på roll och risknivå. En certifiering bevisar inte efterlevnad, men bygger mycket av det efterlevnaden kräver.
Det viktigaste i korthet
- ISO 42001 frågar ”styr ni er AI på ett ordnat sätt?”. AI-förordningen (EU AI Act) frågar ”uppfyller just det här AI-systemet, i just den här rollen, lagens krav?”. Båda frågorna behöver ett svar.
- En certifiering enligt ISO 42001 ger ingen presumtion om överensstämmelse med AI-förordningen. Den presumtionen kommer bara från harmoniserade standarder vars referenser offentliggjorts i EU:s officiella tidning (EUT) enligt artikel 40.
- Per oktober 2026 är de harmoniserade standarder som kommissionen beställt av CEN-CENELEC fortfarande under arbete. Standarden för kvalitetsstyrning, prEN 18286, var först ut på offentlig remiss.
- ISO 42001 täcker AI-förordningens processkrav väl – riskhantering, AI-kunnighet, mänsklig kontroll, leverantörsstyrning – men dåligt de produktspecifika kraven som teknisk dokumentation, CE-märkning och registrering.
- En gemensam färdplan gör att ni slipper driva två parallella program.
ISO 42001 och AI-förordningen sida vid sida
| Aspekt | ISO/IEC 42001:2023 | AI-förordningen (EU) 2024/1689 |
|---|---|---|
| Typ | Frivillig internationell standard | Bindande EU-förordning, direkt tillämplig i Sverige och övriga medlemsstater |
| Omfattning | Organisationens ledningssystem för AI (AIMS), för all AI den utvecklar, levererar eller använder | Enskilda AI-system och AI-modeller för allmänna ändamål som släpps ut på EU-marknaden, tas i bruk eller vars utdata används i EU |
| Vad bedöms | Organisationen, inom ett avgränsat certifieringsområde | AI-systemet eller modellen, och varje aktörs roll |
| Vem | Alla organisationer, i hela världen | Leverantörer, tillhandahållare, importörer, distributörer, produkttillverkare och ombud |
| Synen på risk | Ni bestämmer själva riskkriterier och riskaptit; konsekvensbedömning för individer och samhälle | Risknivåer fastställda i lag: förbjudna metoder, hög risk, transparensrisk, minimal risk |
| Bevis | Tredjepartscertifiering av ett certifieringsorgan | Bedömning av överensstämmelse för högrisksystem (intern kontroll eller anmält organ), EU-försäkran om överensstämmelse, CE-märkning, registrering i EU-databasen |
| Typiska dokument | AI-policy, risk- och konsekvensbedömningar, uttalande om tillämplighet, revisionsprotokoll, certifikat | Teknisk dokumentation, bruksanvisning, loggar, kvalitetsstyrningssystem, övervakning efter utsläppande på marknaden, incidentrapporter, transparensinformation |
| Om ni brister | Avvikelse, i värsta fall indraget certifikat | Sanktionsavgifter upp till 35 miljoner euro eller 7 procent av den globala årsomsättningen för förbjudna metoder, upp till 15 miljoner euro eller 3 procent för de flesta andra överträdelser |
| Tillsyn i Sverige | Ackrediterade certifieringsorgan | Per oktober 2026 PTS, IMY och Finansinspektionen inom ett tillfälligt uppdrag; den permanenta strukturen är ännu inte slutligt beslutad |
Vill ni repetera själva lagen, läs vår guide till AI-förordningen. För standarden, se vad ISO 42001 är och hur certifieringen går till.
Vill ni ha expertstöd med iso 42001 vs ai-förordningen?
Våra molnarkitekter hjälper er med iso 42001 vs ai-förordningen — från strategi till implementation. Boka ett kostnadsfritt 30-minuters rådgivningssamtal utan förpliktelse.
Ger ISO 42001-certifiering efterlevnad av AI-förordningen?
Nej. Det finns tre skäl.
- Olika saker bedöms. ISO 42001 certifierar ett ledningssystem. AI-förordningen reglerar produkter och användning. En organisation kan ha ett utmärkt ledningssystem och ändå släppa ut ett högrisksystem på marknaden utan den tekniska dokumentation eller bedömning av överensstämmelse som lagen kräver.
- Ingen presumtion om överensstämmelse. Enligt artikel 40 presumeras högrisksystem och AI-modeller för allmänna ändamål som följer harmoniserade standarder, vars referenser offentliggjorts i EUT, uppfylla de krav som standarderna täcker. ISO/IEC 42001 är inte en sådan harmoniserad standard.
- Vissa skyldigheter är rena rättsakter. Registrering i EU-databasen, CE-märkning, information enligt artikel 50, rapportering av allvarliga incidenter till myndigheter och förbuden i artikel 5 är lagkrav eller förbud, inte ledningsrutiner.
Samtidigt är ett certifierat ledningssystem ett starkt belägg för god styrning. Det hjälper med de skyldigheter i AI-förordningen som handlar om processer – riskhantering, datastyrning, mänsklig kontroll, AI-kunnighet och leverantörsstyrning – och ger revisorer och myndigheter en strukturerad dokumentation att granska. Vill ni se vilka av de processerna ni redan har kan ni göra en gratis bedömning av er AI-styrning. Den ger en mognadsbild över tio områden och skriver bland annat ert ramverk för AI governance och en mall för riskbedömning av AI, på engelska som redigerbara Word-filer.
Harmoniserade standarder: läget i oktober 2026
Kommissionen har gett de europeiska standardiseringsorganisationerna CEN och CENELEC i uppdrag att ta fram standarder som stöder kraven på AI-system med hög risk: riskhantering, datastyrning och datakvalitet, loggning, transparens, mänsklig kontroll, riktighet, robusthet, cybersäkerhet, kvalitetsstyrning och bedömning av överensstämmelse. Arbetet sker i den gemensamma tekniska kommittén CEN-CENELEC JTC 21. Enligt kommissionens sida om standardisering för AI-förordningen blev prEN 18286, standarden för kvalitetsstyrningssystem för AI-förordningens regulatoriska ändamål, den första att gå ut på offentlig remiss, den 30 oktober 2025. Fler utkast har följt, bland annat prEN 18229-3 om mänsklig kontroll, som var ute på svensk remiss hos SIS med sista dag 7 oktober 2026.
När en standard är klar sker två steg: CEN-CENELEC publicerar den, och kommissionen bedömer den och offentliggör referensen i EUT. Först offentliggörandet ger presumtion om överensstämmelse. Per oktober 2026 har vi inte hittat någon harmoniserad standard för AI-förordningen vars referens har offentliggjorts i EUT – kontrollera kommissionens sida och EUT innan ni förlitar er på en standard. Den extra tid som den digitala omnibusen gav, med skyldigheterna för högrisksystem enligt bilaga III flyttade till 2 december 2027 och för produktinbyggda system enligt bilaga I till 2 augusti 2028, hänger delvis ihop med att standarderna dröjt.
Två saker är lätta att blanda ihop. ISO/IEC 42001 har under 2026 också antagits som europeisk standard, EN ISO/IEC 42001:2026, och SIS har ersatt SS-ISO/IEC 42001:2024 med SS-EN ISO/IEC 42001:2026. Att en standard är europeisk gör den inte harmoniserad enligt AI-förordningen; det kräver att referensen offentliggörs i EUT med stöd av förordningen. Europeiska standardiserare återanvänder dessutom gärna internationellt arbete från ISO/IEC JTC 1/SC 42 där det passar EU:s krav, så arbetssätt från ISO 42001 kommer sannolikt att förbli relevanta. Se ISO 42001 som en stabil grund, inte som en ersättning för de harmoniserade standarderna.
SIS roll i Sverige
SIS, Svenska institutet för standarder, är Sveriges medlem i ISO och CEN (motsvarande roll för IEC och CENELEC har SEK Svensk Elstandard). För svenska organisationer betyder det tre saker:
- Standarden köps via SIS. ISO 42001 finns hos SIS som SS-EN ISO/IEC 42001:2026.
- Ni kan påverka. SIS kommitté för artificiell intelligens, SIS/TK 421, samlar experter från näringsliv, myndigheter och akademi och deltar i det europeiska och internationella arbetet. Intresserade kan anmäla sig via SIS.
- Ni kan läsa och kommentera utkast. Förslag till europeiska och internationella AI-standarder läggs ut på SIS remisstjänst kommentera.sis.se, där vem som helst kan lämna synpunkter innan standarderna fastställs.
Mer om SIS arbete finns på SIS sida om AI-standarder. Observera att SIS inte certifierar organisationer; certifiering mot ISO 42001 görs av certifieringsorgan.
Mappning: AI-förordningen mot ISO 42001 (vägledande)
Tabellen nedan är en vägledande mappning som stöd för planeringen. Den är ingen officiell jämförelsetabell, täckningen är partiell i de flesta rader och ni bör kontrollera den mot den fullständiga texten i båda dokumenten. ”Bilaga A” avser kontrollmålen A.2–A.10 i ISO 42001.
| Krav i AI-förordningen | Vem | Närmaste del av ISO 42001 | Täckning |
|---|---|---|---|
| Art. 4 AI-kunnighet (i ändrad lydelse: vidta åtgärder för att främja den) | Leverantörer och tillhandahållare | Avsnitt 7.2 kompetens, 7.3 medvetenhet; A.4 resurser (personal) | God |
| Art. 5 förbjudna AI-metoder | Alla aktörer | Avsnitt 6.1 riskbedömning; A.2 AI-policy; A.5 konsekvensbedömning | Delvis; kontrollen mot lagens lista måste göras uttryckligen |
| Art. 9 riskhanteringssystem | Leverantörer av högrisksystem | Avsnitt 6.1.2, 6.1.3, 8.2, 8.3; A.6 livscykel | God för processen; lagen kräver mer om testning och förutsebar felanvändning |
| Art. 10 data och dataförvaltning | Leverantörer av högrisksystem | A.7 data för AI-system | Delvis; lagen anger egna kvalitets- och snedvridningskrav |
| Art. 11 och bilaga IV teknisk dokumentation | Leverantörer av högrisksystem | Avsnitt 7.5 dokumenterad information; A.6 livscykeldokumentation | Svag; innehållet i bilaga IV är föreskrivet |
| Art. 12 loggning | Leverantörer av högrisksystem | A.6 livscykel (händelseloggar) | Delvis |
| Art. 13 transparens och bruksanvisning | Leverantörer av högrisksystem | A.8 information till intressenter | Delvis; innehållet är föreskrivet |
| Art. 14 mänsklig kontroll | Leverantörer (utformning), tillhandahållare (art. 26) | A.9 användning av AI-system; A.6 livscykel | Delvis |
| Art. 15 riktighet, robusthet och cybersäkerhet | Leverantörer av högrisksystem | A.6 verifiering och validering; kontroller enligt ISO 27001 | Delvis |
| Art. 17 kvalitetsstyrningssystem | Leverantörer av högrisksystem | Avsnitt 4–10 som helhet | God strukturellt; prEN 18286 riktar sig specifikt mot denna artikel |
| Art. 26 tillhandahållarens skyldigheter | Tillhandahållare av högrisksystem | A.9 användning av AI-system; A.10 relationer med tredje part; avsnitt 9.1 övervakning | God för processen |
| Art. 27 konsekvensbedömning avseende grundläggande rättigheter | Vissa tillhandahållare | Avsnitt 6.1.4 konsekvensbedömning av AI-system; A.5 | God grund; innehåll och anmälan är föreskrivna |
| Art. 43, 47–49 bedömning av överensstämmelse, EU-försäkran, CE-märkning, registrering | Leverantörer av högrisksystem | Ingen | Täcks inte |
| Art. 50 transparens för chatbotar, deepfakes och genererat innehåll | Leverantörer och tillhandahållare | A.8 information till intressenter | Delvis; de rättsliga kraven är specifika |
| Art. 72 övervakning efter utsläppande på marknaden; art. 73 allvarliga incidenter | Leverantörer av högrisksystem | Avsnitt 9.1 övervakning; avsnitt 10 förbättring; A.8 kommunikation om incidenter | Delvis; rapporteringsfristerna till myndigheter är lagstadgade |
| Art. 53–55 skyldigheter för AI-modeller för allmänna ändamål | GPAI-leverantörer | A.6, A.7 och A.8 delvis | Svag; upphovsrättspolicy, sammanfattning av träningsdata och systemriskkrav är specifika |
Mönstret är tydligt: ISO 42001 är starkast där AI-förordningen kräver processer och svagast där lagen föreskriver dokument, rättsakter eller rapportering till myndigheter. Kraven på högrisksystem går vi igenom mer i detalj i AI-system med hög risk: krav och skyldigheter. AI-kunnigheten är ofta den enklaste vinsten för en organisation som redan arbetar enligt ISO-standarder; läs mer om vilken AI-utbildning personalen behöver enligt artikel 4.
En färdplan för båda
De flesta organisationer behöver inte välja. Bygg ett program med två resultat. En rimlig ordning:
- Inventera och klassificera. Lista varje AI-system och användningsfall, er roll för varje och risknivån enligt AI-förordningen. Varken lagen eller standarden kräver en förteckning i exakt den formen, men båda bygger på den.
- Gap-analys mot båda. Bedöm nuläget mot AI-förordningens skyldigheter för era roller och mot avsnitt 4–10 och bilaga A i ISO 42001. En gap-analys mot AI-förordningen kan ha ISO-kolumnerna med från första dagen.
- Grundläggande styrning. AI-policy, roller, regler för medarbetarnas AI-användning, en metod för risk- och konsekvensbedömning och leverantörsbedömning. Det uppfyller avsnitt 5 och 6 i ISO 42001 och ger stommen för artiklarna 4, 9, 26 och 27.
- Lagkraven som redan gäller först. Det som redan gäller går före certifieringen: förbuden i artikel 5 (sedan 2 februari 2025, med nya förbud från 2 december 2026), åtgärder för AI-kunnighet enligt artikel 4, transparens enligt artikel 50 (sedan 2 augusti 2026) och GPAI-skyldigheterna om ni själva är modelleverantör.
- Spår för hög risk. Levererar eller använder ni system enligt bilaga III, planera mot 2 december 2027: teknisk dokumentation, loggning, mänsklig kontroll, bedömning av överensstämmelse och registrering för leverantörer; mänsklig kontroll, övervakning, loggsparande och konsekvensbedömning avseende grundläggande rättigheter där det krävs för tillhandahållare.
- Drift och underlag. Låt internrevisioner och ledningens genomgångar omfatta både ledningssystemet och kontrollerna för AI-förordningen. Ha ett gemensamt arkiv för underlag.
- Certifiera när det lönar sig. Sikta på ISO 42001-certifiering när kunder efterfrågar den eller när en extern revision hjälper disciplinen. Följ när harmoniserade standarder offentliggörs och anpassa er efter dem.
Vad ska ni börja med?
Omfattas ni av skyldigheter i AI-förordningen som redan gäller, börja där; lagens datum väntar inte på en certifiering. Är ni ett svenskt SaaS-bolag vars storkunder kräver certifiering i upphandlingar, använd ISO 42001 som ram och bygg in AI-förordningens kontroller i den. Är ni främst tillhandahållare av andras AI, till exempel en kommun som rullar ut Microsoft 365 Copilot eller en bank som använder en kundtjänstchatbot, inför de grundläggande styrningsrutinerna och ta ställning till certifiering senare. I samtliga fall överlappar arbetet kraftigt, så utforma det en gång.
Vanliga frågor
Kräver AI-förordningen ISO 42001?
Nej. AI-förordningen kräver ingen ISO-certifiering. Den har egna rättsliga skyldigheter och ger presumtion om överensstämmelse för högrisksystem som följer harmoniserade europeiska standarder vars referenser offentliggjorts i EUT. ISO/IEC 42001 är frivillig, men stöder många av de processer som förordningen förutsätter, till exempel riskhantering, mänsklig kontroll och AI-kunnighet.
Blir ISO 42001 en harmoniserad standard enligt AI-förordningen?
Inte i sin nuvarande form, per oktober 2026. Kommissionen har beställt europeiska standarder anpassade till förordningens krav, och de tas fram i CEN-CENELEC JTC 21. En del bygger på internationellt arbete, men standarden för kvalitetsstyrning enligt AI-förordningen är ett eget dokument, prEN 18286. Att ISO 42001 antagits som EN ISO/IEC 42001:2026 ändrar inte det.
Vad är skillnaden mellan ISO 42001-certifiering och bedömning av överensstämmelse?
Certifieringen är en frivillig revision av organisationens ledningssystem för AI, utförd av ett certifieringsorgan. Bedömningen av överensstämmelse är ett rättsligt förfarande för ett visst högrisksystem innan det släpps ut på marknaden, genom intern kontroll eller ett anmält organ, följt av EU-försäkran om överensstämmelse, CE-märkning och registrering.
Lönar det sig för en tillhandahållare att införa ISO 42001?
Det kan det göra, eftersom standarden gäller organisationer som använder AI och inte bara de som utvecklar den. För tillhandahållare är AI-policyn, risk- och konsekvensbedömningen, leverantörsstyrningen och övervakningen mest värdefulla. Om en formell certifiering är värd revisionskostnaden beror på kundernas krav och hur omfattande er AI-användning är.
Vem i Sverige ger ut ISO 42001?
SIS, Svenska institutet för standarder, säljer standarden, per oktober 2026 som SS-EN ISO/IEC 42001:2026. SIS certifierar inte organisationer; det gör certifieringsorgan. Via kommittén SIS/TK 421 och remisstjänsten kommentera.sis.se kan svenska organisationer påverka de europeiska standarder som tas fram för AI-förordningen.
Bygg grunden för båda på 40 minuter
Oavsett om ni siktar på certifiering, efterlevnad av AI-förordningen eller båda är de första leveranserna desamma. Hämta gratis mallar för AI-policy och AI governance genom Opsios bedömning: fjorton steg, cirka 40 minuter, frågor på svenska. Ni får en mognadsbild över tio områden, och när ni skickar in skrivs fyra styrdokument utifrån era svar – AI-policy för medarbetare, ramverk för AI governance, checklista för AI-leverantörer och mall för riskbedömning av AI. Dokumenten levereras på engelska som Word-filer ni kan redigera. Gratis och utan förpliktelser. Behöver ni stöd med hela programmet, se AI-säkerhet och compliance.
Den här artikeln är allmän information, inte juridisk rådgivning. Kontrollera den konsoliderade texten till förordning (EU) 2024/1689 i dess lydelse enligt förordning (EU) 2026/1744 (EUR-Lex). Uppgifterna om standarder gäller per oktober 2026.
Om författaren
Group COO & CISO
Fredrik är koncernens COO och CISO på Opsio. Han fokuserar på operationell excellens, styrning och informationssäkerhet och arbetar nära leverans- och ledningsteamen för att samordna teknik, risk och affärsresultat i komplexa IT-miljöer. Han leder Opsios säkerhetspraktik, inklusive SOC-tjänster, penetrationstester och compliance-ramverk.
Redaktionella riktlinjer: Artikeln är skriven av en certifierad praktiker och granskad av vårt ingenjörsteam. Vi uppdaterar den när tekniken eller regelverket den handlar om förändras; datumen ovan visar den senaste uppdateringen. Opsio är redaktionellt oberoende — vi rekommenderar lösningar utifrån tekniska meriter, inte kommersiella relationer.