ISO 42001.
Organizujte odpovědnost za AI, rizika a provozní rozhodnutí v systému řízení a pochopte meze jeho prokazování.
- ISO/IEC 42001:2023
- Autor: Jonathan Bezdek
- Stav k: 22. 10. 2026
- Doba čtení: 6 min
Stručná odpověď.
ISO 42001 je mezinárodní požadavková norma pro systém řízení AI, zkráceně AIMS. ISO/IEC 42001:2023 je určena organizacím, které AI vyvíjejí, poskytují nebo používají. Uspořádává odpovědnost, rizika a průběžné zlepšování. Dobrovolná certifikace nezávislým orgánem hodnotí systém řízení ve vymezeném rozsahu, nepředstavuje plošné schválení každé aplikace AI.
ISO 42001 a systém řízení AI.
Systém řízení AI spojuje organizační cíle se spolehlivými rozhodnutími o používání umělé inteligence. AIMS popisuje, kdo nese odpovědnost, jaké informace rozhodnutí vyžaduje a jak zkušenosti vedou ke zlepšením. ISO/IEC 42001:2023 je jeho prvním mezinárodním vydáním z prosince 2023; veřejný publikační záznam ISO ji nadále uvádí jako zveřejněnou.
Norma posuzuje organizaci a její nakládání s AI. Tím se AIMS liší od jednotlivého testu modelu, schválení produktu nebo kontroly samotného zdrojového kódu. Dobrý výsledek testu může podpořit rozhodnutí; navíc musí zůstat průkazné, kdo odpovídá za použití za jakých podmínek a jak se hodnotí změny.
Veřejné vysvětlení ISO k ISO 42001, oddíl 3, odděluje podporu právních povinností od jejich skutečného splnění. Systém řízení k tomu vytváří pracovní postupy, nenahrazuje však posouzení konkrétního právního rámce. Evropská nebo národní převzetí s jiným rokem je navíc třeba odlišovat od mezinárodního základního vydání.
Pro koho je ISO 42001 vhodná.
ISO 42001 je určena také organizacím, které získávají AI od jiných poskytovatelů. Veřejné popisy ISO a IEC uvádějí vývoj, poskytování a používání bez ohledu na velikost nebo odvětví. Poskytovatel služeb s nakoupenými nástroji AI proto může vybudovat AIMS, aniž by sám trénoval základní model.
Vhodný rozsah vyplývá ze skutečných činností. Vyjasněte například, které služby, týmy, lokality a rozhodnutí mají být posuzovány a jaké existují závislosti na externích modelech. Úzký začátek usnadňuje organizaci práce; rozhraní a dopady mimo tuto hranici přesto musí být patrné.
Zákazníci mohou očekávat určitý rozsah certifikace. Včas se ptejte, zda má doklad pokrývat vývoj služby, její provoz nebo interní používání. Samotný název organizace na certifikátu ještě nevysvětluje, která činnost AI byla skutečně posouzena.
Přehled požadavků ISO 42001.
Požadavky propojují vedení a cíle s prací na rizicích AI, provozními postupy a zlepšováním. Následujících šest pracovních oblastí poskytuje redakční orientaci podle veřejného vysvětlení ISO, nikoli úplnou reprodukci normy nebo jejích příloh.
Vyjasnit zadání a odpovědnost.
Vedení dává práci s AI směr a odpovědnosti. Pro praktické zavedení by odborný útvar, vývoj, nákup a kontrolní funkce měly rozpoznat, která rozhodnutí smějí přijímat a kdy zapojit ostatní. Centrální koordinátor nenahrazuje odbornou odpovědnost jednotlivých účastníků.
Propojit cíle a očekávání.
Systém řízení potřebuje dohledatelnou vazbu na cíle organizace a očekávání dotčených stran. Pro zvolené použití popište zamýšlený výsledek a platné hranice. Odpovědné osoby tak mohou později posoudit, zda změna ještě odpovídá schválenému účelu.
Posuzovat rizika a dopady.
Práce s riziky AI zkoumá také možné dopady na osoby a skupiny. Veřejný popis doplňující ISO/IEC 42005:2025 tuto perspektivu objasňuje v průběhu životního cyklu. Prakticky pomáhá oddělené posuzování provozních škod a dopadů na dotčené osoby, aby dobré výkonnostní hodnoty nezastínily relevantní nevýhody.
Řídit data, dodavatele a životní cyklus.
Odpovědnost přesahuje první zavedení. Dokumentujte relevantní zdroje dat, externí služby a cesty změn tak, aby pozdější rozhodnutí vycházela ze správného stavu. Aktualizace nakoupeného modelu může vyžadovat nová hodnocení nebo jiné hranice použití.
Zajistit kompetence a informace.
Účastníci potřebují informace odpovídající jejich úkolu. Nákupní tým potřebuje jiné podklady pro rozhodování než lidé hodnotící výstupy AI v provozu. Srozumitelně zaznamenejte odpovědnosti, známé meze a eskalační cesty a ověřte, zda se tyto informace dostávají ke skutečným uživatelům.
Hodnotit a zlepšovat.
AIMS zůstává spolehlivý jen tehdy, pokud zkušenosti a zjištěné odchylky vedou k ověřitelným rozhodnutím. Zkoumejte proto provoz a účinnost svých postupů. U každého zlepšení by mělo být patrné, kdo za ně odpovídá, jaký výsledek se očekává a na co naváže pozdější hodnocení.
Vybudování systému řízení AI.
Vymezit případy použití.
Jako praktický první krok zachyťte konkrétní službu AI s účelem, zapojenými osobami a důležitými závislostmi, místo pouhého seznamu názvů nakoupených modelů.
Stanovit rozhodovací práva.
Určete odpovědné osoby pro používání, technické změny a hodnocení a dohodněte, která rozhodnutí přijímají vedení, odborné útvary a kontrolní funkce společně.
Prozkoumat rizika a následky.
Podle skutečného kontextu použití posuďte možné nežádoucí účinky a dotčené skupiny a určete, jaké další informace chybějí pro spolehlivé rozhodnutí.
Provozovat postupy a důkazy.
Zaveďte vhodná opatření a propojte schválení, testy, informace dodavatelů a provozní pozorování s příslušnou hodnocenou službou a verzí.
Interně hodnotit.
Ověřte zavedení s dostatečným odstupem od vlastní práce a zaznamenejte, které odchylky, otevřená rozhodnutí a zlepšení budou zpracovány před dalším schválením.
Pokračovat v provozu a prokazování.
Naplánujte pravidelná nová hodnocení a případně nezávislou certifikaci a reagujte na změny modelů, úkolů nebo dopadů i mezi plánovanými termíny.
Co dokládá certifikace ISO 42001.
Certifikace ISO 42001 potvrzuje posouzenou shodu AIMS v jeho uvedeném rozsahu. Podle veřejného vysvětlení ISO, oddílu 7, je dobrovolná a provádějí ji nezávislé certifikační orgány. ISO normu vyvíjí, sama však certifikáty nevydává.
Odborná způsobilost posuzujícího orgánu je samostatnou otázkou. ISO/IEC 42006:2025 podle veřejného popisu ISO doplňuje požadavky na orgány provádějící audity a certifikaci systémů řízení AI. Při výběru ověřte vhodný rozsah činností a stav akreditace, jak doporučuje stránka ISO o certifikaci.
Předložený doklad musí odpovídat aktuálnímu rozhodnutí. Zkontrolujte rozsah, vydávající orgán, stav a uvedené údaje o platnosti. Provozní záznamy a technická hodnocení zůstávají nutné pro posouzení konkrétních aplikací AI; certifikát AIMS jim neposkytuje plošné bezpečnostní nebo právní schválení.
ISO 42001 a další rámce.
ISO 27001 organizuje bezpečnost informací a může poskytnout stávající postupy pro práci s AI. NIST AI RMF podporuje zkoumání rizik AI podle kontextu, zatímco EU AI Act stanoví vlastní zákonné role a povinnosti. ISO 9001 nabízí další kontext systému řízení pro společné postupy řízení procesů a zlepšování; příslušný odborný předmět hodnocení zůstává zachován.
V Secani.
Secani obsahuje redakční pracovní katalog ISO/IEC 42001:2023. Profilové údaje zachycují mimo jiné roli poskytovatele nebo uživatele, externí modely, osobní údaje v AI a možné dopady. Odůvodněná rozhodnutí o aplikovatelnosti pomáhají vztáhnout práci k popsanému kontextu. Katalog je pracovní pomůckou a nenahrazuje řádný přístup k normě, odborné posouzení ani nezávislou certifikaci.
Další krok.
Vyberte případ použití AI a shromážděte účel, odpovědnou osobu, podstatné závislosti a dosavadní schválení. Poté ověřte, zda jiná osoba dokáže rozpoznat, na jakém základě bylo použití povoleno a kdy se má rozhodnutí znovu posoudit. Vznikne tak konkrétní začátek systému řízení.
Časté dotazy.
Ano. Obecná působnost zahrnuje také organizace používající produkty nebo služby AI jiných poskytovatelů. Rozhodující je vlastní činnost a stanovený rozsah systému řízení.
Ne. Certifikace hodnotí systém řízení AI v jeho rozsahu. Bezpečnost a vhodnost konkrétních aplikací nadále vyžaduje odpovídající technická a odborná hodnocení.
Ne. AIMS může podpořit organizaci důkazů, nenahrazuje však právní posouzení rolí a použitelnosti. Zákonem předepsané postupy posuzování je třeba dodržovat samostatně.
Ne. Certifikace je dobrovolným samostatným rozhodnutím. Organizace může budovat a zlepšovat odpovědnost za AI a provozní postupy již před externím hodnocením.
Organizujte odpovědnost za AI dohledatelně.
Proberte se Secani, jak propojit kontext, rozhodnutí a důkazy.
Tato stránka obecně vysvětluje normu. Rozhodující je aktuální stav normy a požadavky příslušného hodnoticího a právního rámce.