Vad är ISO 42001? Standarden för AI-ledningssystem förklarad

ISO 42001, formellt ISO/IEC 42001:2023, är den internationella standarden för ledningssystem för artificiell intelligens (AIMS). Den publicerades i december 2023 och anger krav på hur en organisation styr den AI den utvecklar, levererar eller använder: policy, roller, risk- och konsekvensbedömning, styrning under livscykeln och ständig förbättring. Standarden är frivillig och kan certifieras.

Det viktigaste i korthet

• ISO/IEC 42001 är en ledningssystemstandard, uppbyggd som ISO/IEC 27001 för informationssäkerhet men inriktad på ansvarsfull utveckling och användning av AI.
• Kraven finns i kapitel 4–10, som följer ISO:s gemensamma struktur (Harmonized Structure). Därför går standarden att integrera med ISO 27001, 27701 och 9001.
• Bilaga A innehåller referensåtgärder som vanligen räknas som 38 åtgärder under nio mål. Bilaga B ger vägledning för införandet.
• I Sverige finns standarden hos SIS som SS-EN ISO/IEC 42001:2026, med engelsk text. Den ersatte SS-ISO/IEC 42001:2024.
• Certifiering görs av ett certifieringsorgan i en treårscykel. En certifiering innebär inte att ni uppfyller AI-förordningen, men den bygger mycket av den styrning förordningen förutsätter.

Vad är ISO/IEC 42001?

ISO/IEC 42001 har tagits fram av den gemensamma ISO- och IEC-kommittén för artificiell intelligens, ISO/IEC JTC 1/SC 42, och publicerades av ISO i december 2023 som den första certifierbara standarden för ledningssystem för AI. Den svenska titeln är ”Informationsteknik – Artificiell intelligens – Ledningssystem”.

Ett ledningssystem är de policyer, processer, roller och register som en organisation använder för att nå sina mål på ett kontrollerat sätt. ISO 42001 tillämpar den idén på AI. Standarden säger inte vilken modell ni ska välja och sätter inga tekniska gränsvärden för träffsäkerhet. Den kräver i stället att ni bestämmer vad ansvarsfull AI betyder för just er, bedömer risker och konsekvenser av era AI-system, väljer lämpliga åtgärder, mäter om de fungerar och förbättrar dem.

Standarden gäller alla organisationer som levererar eller använder AI-baserade produkter eller tjänster, oavsett storlek, bransch eller om de är privata eller offentliga. Det omfattar modellutvecklare, mjukvaruföretag som bygger in AI och organisationer som bara använder färdiga AI-tjänster, till exempel en region som inför AI-stöd i journalföringen eller ett företag som rullar ut Microsoft Copilot. Börjar ni från noll ger gratis mallar för AI-policy och AI governance en första bild av var ni står inom tio områden.

Hur är standarden uppbyggd?

ISO 42001 följer samma struktur som andra ISO-standarder för ledningssystem. Kapitel 1–3 omfattar omfattning, normativa hänvisningar och termer. Kraven finns i kapitel 4–10:

Det AI-specifika finns framför allt i kapitel 6. Till skillnad från ISO 27001 kräver ISO 42001 en konsekvensbedömning av AI-system: en bedömning av vilka följder AI-systemen kan få för enskilda personer, grupper och samhället. Där går standarden längre än en riskbedömning ur organisationens perspektiv och tittar på de människor som påverkas. En praktisk utgångspunkt är en mall för riskbedömning av AI som täcker både verksamhetens risker och påverkan på människor.

Bilagorna

• Bilaga A – referensmål och referensåtgärder. Åtgärderna är indelade i nio områden, A.2–A.10: policyer för AI, intern organisation, resurser för AI-system, bedömning av AI-systemens konsekvenser, AI-systemens livscykel, data för AI-system, information till intressenter, användning av AI-system samt relationer med tredje part och kunder. Antalet åtgärder anges vanligen till 38. Som i ISO 27001 väljer ni vilka åtgärder som är tillämpliga och motiverar undantag i ett uttalande om tillämplighet.
• Bilaga B – vägledning för införande av varje åtgärd i bilaga A.
• Bilaga C – möjliga organisatoriska mål och riskkällor kopplade till AI, till exempel rättvisa, säkerhet, integritet, transparens, robusthet och graden av automatisering.
• Bilaga D – användning av ledningssystemet inom olika områden och branscher, bland annat integrering med andra ledningssystemstandarder.

Kontrollera alltid den exakta lydelsen, bilagornas status och antalet åtgärder i den köpta standarden. Sammanfattningar skiljer sig åt, och vid en revision är det bara standardtexten som gäller.

Finns ISO 42001 på svenska?

Svenska institutet för standarder (SIS) har fastställt standarden som svensk standard. Den första svenska utgåvan, SS-ISO/IEC 42001:2024, har ersatts av SS-EN ISO/IEC 42001:2026, som fastställdes 18 mars 2026 och är identisk med ISO/IEC 42001:2023. Enligt SIS är båda utgåvorna på engelska – det är alltså titeln, inte standardtexten, som är svensk. Standarden köps från SIS eller ISO.

Närliggande standarder

ISO 42001 ingår i en större familj av AI-standarder från SC 42. De som oftast används tillsammans med den:

• ISO/IEC 22989: begrepp och terminologi för AI.
• ISO/IEC 23894: vägledning för riskhantering av AI, baserad på ISO 31000.
• ISO/IEC 42005: vägledning för konsekvensbedömning av AI-system, publicerad 2025.
• ISO/IEC 42006: krav på organ som reviderar och certifierar ledningssystem för AI, publicerad i juli 2025. Den lägger till AI-specifika krav på kompetens och revision utöver ISO/IEC 17021-1.

Vem är ISO 42001 till för?

• AI-bolag och SaaS-leverantörer som får frågor från större kunder om hur de arbetar med ansvarsfull AI. Ett certifikat kan korta ned leverantörsenkäterna.
• Organisationer som redan är certifierade enligt ISO 27001. Många svenska företag, inte minst inom IT, finans och offentlig sektor, har redan ett ledningssystem för informationssäkerhet. Eftersom strukturen är densamma kan det byggas ut med AI-delen utan att allt börjar om.
• Reglerade verksamheter som använder AI i stor skala, till exempel banker, försäkringsbolag, regioner och kommuner, som vill ha ett granskningsbart ramverk medan kraven i AI-förordningen fasas in.

Mindre organisationer som bara använder några färdiga AI-verktyg får ofta mer ut av att först införa grunderna – AI-policy, AI-register, riskbedömning och leverantörskontroll – innan de bestämmer sig för om en formell certifiering är värd insatsen. Ett etablerat ramverk för AI-styrning i företag är en bra start.

Så går certifieringen till

Certifieringen görs av ett oberoende certifieringsorgan. Välj helst ett organ som är ackrediterat för ISO/IEC 42001 av ett nationellt ackrediteringsorgan som ingår i de internationella avtalen om ömsesidigt erkännande. I Sverige är Swedac det nationella ackrediteringsorganet; certifikat från organ som ackrediterats av ett annat europeiskt ackrediteringsorgan inom samma avtal om ömsesidigt erkännande har motsvarande ställning. Per oktober 2026 erbjuder vissa certifieringsorgan i Sverige ISO 42001-certifiering utan ackreditering medan de ansöker om den, så fråga uttryckligen efter ackrediteringen och kontrollera den i ackrediteringsorganets register. Ackrediterade organ bedöms mot ISO/IEC 17021-1 och ISO/IEC 42006.

1. Omfattning. Bestäm vilka delar av organisationen, vilka AI-system och vilka roller som ingår. En smal och tydlig omfattning är lättare att certifiera och att försvara.
2. Gap-analys. Jämför nuvarande arbetssätt med kapitel 4–10 och bilaga A.
3. Införande. Skriv AI-policyn, fördela roller, gör risk- och konsekvensbedömningar, välj åtgärder, skriv uttalandet om tillämplighet, utbilda personalen och börja skapa register.
4. Internrevision och ledningens genomgång. Båda måste ha genomförts på riktigt innan certifieringen.
5. Steg 1-revision. Revisorn granskar dokumentation, omfattning och beredskap och pekar ut brister som kan stoppa steg 2.
6. Steg 2-revision. Revisorn prövar genom intervjuer, register och stickprov att systemet är infört och fungerar. Avvikelser måste åtgärdas innan certifikatet utfärdas.
7. Uppföljande revisioner. Normalt årligen under år två och tre.
8. Omcertifiering. En ny revision innan det treåriga certifikatet löper ut.

Det finns inget standardpris eller standardtid. Insatsen beror på omfattning, antal AI-system, er roll (en utvecklare har betydligt fler livscykel- och dataåtgärder att visa upp än en organisation som bara använder färdig AI), antal anställda och platser samt hur mogen er AI-styrning redan är. Be certifieringsorgan om en uppskattning av antalet revisionsdagar utifrån er omfattning.

ISO 42001 jämfört med ISO 27001

Standarderna kompletterar varandra. AI-säkerhet, till exempel skydd mot promptinjektion, risker i modellernas leveranskedja och dataläckage, vilar fortfarande på informationssäkerhetsåtgärder. Många organisationer driver ett integrerat ledningssystem med gemensamma processer och separata uttalanden om tillämplighet. Opsio är inte certifierat enligt ISO/IEC 42001.

ISO 42001 och AI-förordningen

AI-förordningen (EU AI Act) är bindande lag med skyldigheter som beror på risknivå och roll, till exempel system för riskhantering och kvalitetsledning för leverantörer av AI-system med hög risk. ISO 42001 är ett frivilligt ledningssystem för hela organisationen. En certifiering ger ingen presumtion om överensstämmelse med förordningen. Den presumtionen ges bara av harmoniserade standarder vars referenser publiceras i EU:s officiella tidning enligt artikel 40 i förordning (EU) 2024/1689, och de håller per oktober 2026 fortfarande på att tas fram av CEN-CENELEC. Ett ledningssystem enligt ISO 42001 ger ändå mycket av den styrning, de riskprocesser och de register som förordningen förutsätter.

En jämförelse krav för krav finns i artikeln ISO 42001 och AI-förordningen, och en gap-analys mot AI-förordningen visar hur standardarbete och regelefterlevnad kan planeras tillsammans.

Vanliga frågor

Vad är ISO 42001 enkelt förklarat?

Det är en internationell standard som beskriver hur man styr AI som en ordnad process. Ni fastställer en AI-policy, fördelar ansvar, bedömer risker och konsekvenser för varje AI-system, inför åtgärder, kontrollerar att de fungerar och förbättrar dem löpande. Ett oberoende certifieringsorgan kan intyga att ledningssystemet uppfyller standarden.

Måste vi certifiera oss enligt ISO 42001?

Nej. ISO/IEC 42001 är frivillig. Vissa kunder efterfrågar den vid upphandling, och den kan stödja förberedelserna för AI-förordningen, men ingen EU-lag kräver certifiering. AI-förordningen har egna bindande krav som beror på om ni är leverantör eller tillhandahållare och på systemets risknivå.

Vem kan certifiera ISO 42001 i Sverige?

Oberoende certifieringsorgan. Välj helst ett som är ackrediterat för ISO/IEC 42001, i Sverige av Swedac eller av ett annat europeiskt ackrediteringsorgan som omfattas av det ömsesidiga erkännandet. Per oktober 2026 erbjuder en del organ certifiering utan ackreditering, så fråga efter ackrediteringen och kontrollera den i registret.

Innebär en ISO 42001-certifiering att vi följer AI-förordningen?

Nej. Certifieringen visar att ert ledningssystem för AI uppfyller standarden. AI-förordningen ställer specifika rättsliga krav, till exempel teknisk dokumentation, bedömning av överensstämmelse och registrering för leverantörer av högrisk-AI samt transparensskyldigheter enligt artikel 50. ISO 42001 stödjer många av dem, men varje krav måste fortfarande kartläggas och uppfyllas.

Kan vi kombinera ISO 42001 med ISO 27001?

Ja. Båda följer ISO:s gemensamma struktur, så policyer, dokumentstyrning, internrevision och ledningens genomgång kan delas i ett integrerat ledningssystem. Ni har separata riskbedömningar och uttalanden om tillämplighet för respektive standards åtgärder. För organisationer som redan är certifierade enligt ISO 27001 är det oftast den snabbaste vägen.

Börja med en nulägesbild av er AI-styrning

Oavsett om ni siktar på certifiering är första steget att veta var ni står. Få er AI-policy skriven utifrån era svar i Opsios kostnadsfria bedömning: fjorton steg med frågor på svenska, cirka 40 minuter och en mognadsbild över tio områden. När ni skickar in skrivs fyra styrdokument: ett ramverk för AI governance, en AI-policy för medarbetare, en checklista för AI-leverantörer och en mall för riskbedömning av AI. Dokumenten levereras på engelska som Word-filer ni kan redigera. Gratis och utan förpliktelser. Behöver ni hjälp att bygga vidare finns Opsios rådgivning inom AI governance.

Den här artikeln är allmän information, inte juridisk rådgivning. Kontrollera den konsoliderade texten till förordning (EU) 2024/1689 i dess lydelse enligt förordning (EU) 2026/1744, och den publicerade texten till ISO/IEC 42001. Tidskänsliga uppgifter gäller per oktober 2026.