ISO/IEC 27090, EN 18286 og IEEE 2863: de 3 nye standarder for AI-governance i 2026 i overblik

Tre standarder på tre dage: derfor er oktober 2026 vigtig for AI-governance

Mellem den 14. og 16. oktober 2026 trådte tre standarder for AI-governance i kraft på én gang: ISO/IEC 27090:2026 blev offentliggjort den 14. oktober, EN 18286:2026 blev samme dag offentliggjort i Den Europæiske Unions Tidende som den første harmoniserede standard under EU's AI-forordning, og IEEE 2863-2026 fulgte den 16. oktober. Tre organer, tre perspektiver, ét emne: Hvordan bygger og driver organisationer AI sikkert, i overensstemmelse med reglerne og ansvarligt?

For organisationer, der udvikler eller bruger AI, er alle tre værd at se nærmere på. De dækker forskellige niveauer – teknologi, regulering og organisation – og supplerer hinanden frem for at konkurrere. Denne artikel forklarer, hvad standarderne indeholder, hvem de gælder for, og hvad du bør gøre nu.

De tre standarder i overblik

ISO/IEC 27090:2026 – Cybersikkerhed for AI-systemer

ISO/IEC 27090:2026 er den første internationale standard, der udelukkende handler om sikkerhedstrusler mod AI-systemer. Den fulde titel er Cybersecurity — Artificial intelligence (AI) — Addressing security threats and compromises to AI systems. Den er udviklet af ISO/IEC JTC 1/SC 27, komitéen bag ISO/IEC 27001. ISO's standardpost

Fokus er på at beskytte AI-systemer, ikke på at bruge AI til at forsvare sig mod andre angreb. Standarden beskriver, hvilke angreb der er specifikke for modeller, træningsdata og AI-arbejdsgange, hvordan de opdages, og hvordan de imødegås i hele livscyklussen. Blandt dem er:

• Dataforgiftning: manipulerede træningsdata, der ændrer modellens adfærd
• Modeludtrækning: at trække en model ud gennem tilsyneladende legitime forespørgsler
• Undvigelsesangreb (evasion), membership inference, model inversion og direkte modelforgiftning
• Promptinjektion samt følsomme eller skadelige modeloutput

ISO/IEC 27090 dækker også tværgående emner som trusselsmodellering, red teaming, zero trust, sikkerhed i forsyningskæden, logning og overvågning samt den måde, modeller og sikringsforanstaltninger forældes på over tid. Det bærende princip er forsvar i dybden: flere beskyttelseslag, fordi nogle AI-angreb er svære at opdage. ISO's forklaring af ISO 27090

En vigtig skelnen: ISO/IEC 27090 er vejledning, ikke en certificerbar kravstandard. Den føjer AI-specifikke sikkerhedsaspekter til et eksisterende ledelsessystem for informationssikkerhed efter ISO/IEC 27001 og et ledelsessystem for AI efter ISO/IEC 42001. For sikkerhedsteams er den det naturlige udgangspunkt for at bringe AI-risici ind i eksisterende processer. Læs mere i ISO 27090 forklaret for teams, der arbejder med AI-sikkerhed og ISO 27090 og ISO 42001 forklaret.

EN 18286:2026 – Kvalitetsstyringssystemet til EU's AI-forordning

EN 18286:2026 er den første harmoniserede standard under EU's AI-forordning – og dermed den af de tre med størst juridisk vægt. CEN og CENELEC offentliggjorde Artificial intelligence – Quality management system for EU AI Act regulatory purposes i juli 2026. Den 14. oktober 2026 offentliggjorde Europa-Kommissionen standarden i Den Europæiske Unions Tidende med gennemførelsesafgørelse (EU) 2026/2274.

Offentliggørelsen er det afgørende skridt. Efter artikel 40 i AI-forordningen nyder udbydere, der anvender en harmoniseret standard offentliggjort i EU-Tidende, godt af en formodning om overensstemmelse med de krav, standarden dækker. Konkret drejer det sig om artikel 17: Udbydere af højrisiko-AI-systemer skal have et dokumenteret kvalitetsstyringssystem. Ifølge den opdaterede tidsplan gælder forpligtelsen fra den 2. december 2027 for højrisikosystemer opført i bilag III og fra den 2. august 2028 for højrisikosystemer i regulerede produkter under bilag I. Europa-Kommissionens tidslinje for AI-forordningen EN 18286 omsætter den forpligtelse til auditerbare krav, blandt andet:

• Styring af design og udvikling
• Risikostyring og datastyring
• Dokumentation og registreringer
• Overvågning efter omsætning og håndtering af hændelser

Organisationer bør have tre ting for øje. For det første: Det er fortsat frivilligt at anvende standarden; overensstemmelse kan påvises på andre måder – blot uden formodningen. For det andet: Formodningen dækker kun de krav, standarden faktisk behandler, ikke hele AI-forordningen. For det tredje: ISO/IEC 42001 er ikke en erstatning. Den internationale standard for ledelsessystemer for AI kan certificeres, men den er ikke en harmoniseret standard og giver ingen formodning om overensstemmelse. Organisationer, der allerede har et 42001-system, har et godt fundament, men skal kortlægge deres processer i forhold til EN 18286. Nemko Digital om EN 18286

Yderligere harmoniserede standarder om risikostyring, datakvalitet, gennemsigtighed, menneskeligt tilsyn og cybersikkerhed er undervejs, men endnu ikke offentliggjort. EN 18286 er i øjeblikket den eneste henvisning til AI-forordningen i EU-Tidende. Hvordan du klassificerer jeres AI-anvendelsestilfælde efter AI-forordningen, kan du læse i EU's AI-forordning: klassificér jeres anvendelsestilfælde, og planlæg evidensen.

IEEE 2863-2026 – Organisatorisk AI-governance

IEEE 2863-2026 starter et niveau højere: med spørgsmålet om, hvordan en organisation som helhed styrer AI ansvarligt. IEEE Recommended Practice for Organizational Governance of Artificial Intelligence blev offentliggjort af IEEE Standards Association den 16. oktober 2026 – efter mere end seks års udvikling (projektstart februar 2020, godkendelse i bestyrelsen juni 2026). IEEE SA's standardside

Standarden henvender sig til organisationens øverste ledelsesorgan – direktionen, bestyrelsen eller tilsynsorganet – og har tre byggesten:

1. Governanceprincipper, som organet bør prioritere
2. Processer, der omsætter principperne til praksis
3. Casestudier af konkrete AI-anvendelser, der viser, hvordan processerne realiserer principperne – herunder hvordan konflikter mellem principper løses

De centrale emner, IEEE nævner, spænder fra ansvarlighed, gennemsigtighed, forklarlighed og menneskeligt tilsyn over privatliv, sikkerhed og ikke-diskrimination til bæredygtighed og trivsel. På processiden omfatter de blandt andet audit, red teaming, hændelsesrespons, tilsyn i hele livscyklussen, styring af værdikæden, kompetenceopbygning og inddragelse af interessenter.

Som Recommended Practice giver IEEE 2863 anbefalinger, ikke certificerbare krav. Dens værdi ligger i at bygge bro mellem abstrakte etiske principper og konkrete beslutningsprocesser på ledelsesniveau. Den beskriver også, hvordan organisationer forholder sig til eksterne governanceinstrumenter: regulering, faglige standarder, adfærdskodekser og offentlighedens forventninger til ansvarlig AI.

Sådan hænger de tre standarder sammen

De tre standarder adresserer tre niveauer, der i praksis overlapper:

ISO/IEC 42001 er et naturligt fælles fundament. Ledelsessystemet for AI giver den struktur, som governanceprincipper (IEEE 2863), regulatoriske krav til kvalitetsstyringssystemet (EN 18286) og sikkerhedsforanstaltninger (ISO/IEC 27090) kan placeres i. EN 18286 er strukturelt afstemt med ISO/IEC 42001 uden at erstatte den; ISO/IEC 27090 henviser til 42001 som ledelsesramme; IEEE 2863 beskriver governanceniveauet ovenover. Behandler du de tre standarder hver for sig, bygger du de samme processer tre gange – behandler du dem som lag i ét system, sparer du arbejde og undgår modsigelser.

Hvad organisationer bør gøre nu

Prioriteterne afhænger af din rolle i AI-værdikæden:

• Udbydere af højrisiko-AI i EU: anskaf EN 18286, og gennemfør en gap-analyse af jeres eksisterende kvalitetsstyringssystem. Arbejder I allerede efter ISO 9001, ISO 13485 eller ISO/IEC 42001, kan I integrere elementerne fra AI-forordningen, men I skal dokumentere mappingen.
• Sikkerhedsteams: kortlæg AI-systemerne – også dem, der er købt hos tredjeparter. Afklar, hvor data og modeller kommer fra, udvid trusselsmodelleringen til AI-specifikke angreb, og tjek, hvordan mistænkelig modeladfærd ville blive opdaget og håndteret. ISO/IEC 27090 leverer tjeklisten.
• Direktioner og bestyrelser: brug IEEE 2863 som ramme for et mandat for AI-governance – fastlæg principper, fordel ansvar, definér rapporteringslinjer, og træf afvejninger eksplicit.
• Alle: hold øje med flere harmoniserede standarder. EN 18286 er begyndelsen; standarder for risikostyring, cybersikkerhed og logning følger.

ISO/IEC 27090 og EN 18286 er betalingsdokumenter – ISO/IEC 27090 via ISO Store, EN 18286 via de nationale standardiseringsorganer (i Tyskland DIN Media). IEEE 2863 er gratis tilgængelig via IEEE GET Program og kan også købes eller tilgås via abonnement hos IEEE SA.

Konklusion

Oktober 2026 markerer skiftet i AI-governance fra principper til auditerbare standarder. ISO/IEC 27090 gør AI-sikkerhed konkret, EN 18286 giver EU's AI-forordning dens første harmoniserede standard med formodning om overensstemmelse, og IEEE 2863 forankrer AI-governance på ledelsesniveau. Kender du alle tre, kan du behandle sikkerhed, compliance og ansvarlighed som ét system – i stedet for tre separate projekter.

Kilder

• ISO/IEC 27090:2026 – katalogpost og ISO/IEC 27090 explained (ISO)
• Gennemførelsesafgørelse (EU) 2026/2274 (EUR-Lex)
• EN 18286: EU AI Act Cites New Harmonized QMS Standard (Nemko Digital, 16. oktober 2026)
• IEEE 2863-2026 – standardside (IEEE SA)