ISO 27090 og ISO 42001 forklaret
Jonathan BezdekCTO
5 Min. læsetid
ISO 27090 vejleder sikkerhedsarbejdet med AI. ISO 42001 stiller krav til et ledelsessystem for kunstig intelligens, et såkaldt AIMS. Organisationer kan bruge dem sammen for at forbinde sikkerhedspraksis med den bredere AI-governance. Kilder: ISO's publiceringsoplysninger for ISO 27090, ISO's publiceringsoplysninger for ISO 42001.
ISO 27090 og ISO 42001 i overblik
| Sammenligning | ISO 27090 | ISO 42001 |
|---|---|---|
| Hovedformål | Beskytte AI-systemer mod sikkerhedstrusler | Organisere ansvarlig udvikling og brug af AI |
| Type standard | Sikkerhedsvejledning | Krav til et ledelsessystem for AI |
| Praktisk spørgsmål | Hvordan kan dette AI-system blive kompromitteret? | Hvordan styrer vi AI ensartet i hele organisationen? |
| Hovedfokus | Trusler mod AI-data, modeller og arbejdsgange | AI-politikker, ansvar, risici, mål og forbedring |
| Eksempler på emner | Dataforgiftning, modeltyveri og lignende angreb | Sikkerhed, driftssikkerhed, gennemsigtighed, bias og andre AI-risici |
| Certificering | Vejledning; giver ingen vej til certificering af et AIMS | Frivillig certificering af organisationens AIMS |
| Hvem kan bruge den | Organisationer, der udvikler eller bruger AI | Organisationer, der udvikler, leverer eller bruger AI |
| Aktuel udgave | ISO/IEC 27090:2026 | ISO/IEC 42001:2023 |
| Første udgivelse | 14. oktober 2026 | 18. december 2023 |
Kilder: ISO's publiceringsoplysninger for ISO 27090, ISO's publiceringsoplysninger for ISO 42001 og ISO's forklaring af ISO 42001.
Deres anvendelsesområder overlapper. ISO 42001 omfatter AI-sikkerhed blandt bredere organisatoriske emner. ISO 27090 behandler også governance i forbindelse med AI-sikkerhed. Deres forskellige formål forklarer, hvordan de kan supplere hinanden. Kilder: ISO's forklaring af ISO 42001, ISO's forklaring af ISO 27090.
Certificering efter ISO 27090 og ISO 42001
Ved certificering efter ISO 42001 vurderes det, om organisationens ledelsessystem for AI opfylder standardens krav. Certificeringen udføres af uafhængige certificeringsorganer; ISO certificerer ikke selv organisationer. De enkelte AI-applikationer skal stadig have en sikkerhedsvurdering. Kilde: ISO's forklaring af ISO 42001.
Når du bestiller arbejde efter ISO 27090, skal du definere den sikkerhedsgennemgang, du har brug for: hvilke systemer, hvilke angrebsscenarier og hvilken evidens der skal understøtte resultaterne. Det giver vurderingen et konkret omfang og et brugbart resultat.
Hvilken standard bør du bruge
Vælg ud fra det problem, du skal løse. Tabellen er en praktisk beslutningsguide.
| Din situation | Hvor du bør fokusere | Anbefalet næste skridt |
|---|---|---|
| Brugen af AI har ingen klare ejere eller regler | ISO 42001 | Fastlæg ansvar, politik og en gennemgangsproces |
| En model eller applikation står over for specifikke angrebsrisici | ISO 27090 | Analysér angrebsscenarier, og vælg sikkerhedsforanstaltninger, der skal testes |
| En kunde beder om certificering af ledelsessystemet for AI | ISO 42001 | Definér certificeringens omfang, og vurdér parathed |
| AI-governance findes, men sikkerhedsevidensen er svag | Tilføj vejledningen fra ISO 27090 | Forbind sikkerhedsrisici med kontroller og testresultater |
| I lancerer en AI-tjeneste og opbygger governance | Brug begge sammen | Koordinér ledelsesansvar og sikkerhedsarbejde i ét samlet program |
Et akut sikkerhedsproblem i en applikation kræver øjeblikkelig opmærksomhed. Et bredere governanceprogram kan udvikles sideløbende med arbejdet med at håndtere den eksponering.
Sådan bruger du ISO 27090 og ISO 42001 sammen
En virksomhed, der indfører en AI-assistent til kundesupport, kunne for eksempel koordinere arbejdet sådan. Det er eksempler på mulige valg i implementeringen.
| Aktivitet | Sådan kan ISO 42001 strukturere arbejdet | Sådan kan ISO 27090 vejlede sikkerhedsarbejdet |
|---|---|---|
| Planlæg tjenesten | Udpeg en ejer, og bliv enige om formålet | Identificér følsomme aktiver og angrebsveje |
| Gennemgå leverandører | Dokumentér ansvar og gennemgangskriterier | Undersøg eksponering via modeller, data og afhængigheder |
| Godkend release | Dokumentér risikobeslutninger og den ansvarlige godkender | Test relevante angreb og applikationens sikkerhedsforanstaltninger |
| Håndtér ændringer | Gennemgå resultater, og beslut forbedringer | Vurdér sikkerheden igen, når modeller, data eller integrationer ændres |
Hav én registrering pr. AI-system med links til dets ejere, risici, kontroller, tests og beslutninger. Genbrug evidens, hvor den er relevant, og registrér, hvilke vurderingskriterier den understøtter.
En sikkerhedstest kan for eksempel vise, om en begrænset handling blev blokeret. Den tilhørende gennemgangsregistrering kan vise, hvem der vurderede resultatet og besluttede, om systemet var klar til release. Begge registreringer er nyttige, og de besvarer forskellige spørgsmål.
Hvordan ISO 42001 hænger sammen med NIST AI RMF og EU's AI-forordning, kan du læse i ISO 42001, NIST AI RMF og AI-forordningen: forbind rollerne.
Ofte stillede spørgsmål
Erstatter ISO 27090 ISO 42001?
Nej. De tjener forskellige formål: vejledning i AI-sikkerhed og krav til et ledelsessystem for AI.
Kan organisationer, der bruger AI fra tredjeparter, anvende dem?
Ja. Begge standarder henvender sig til organisationer, der bruger AI.
Beviser en certificering efter ISO 42001, at alle AI-applikationer er sikre?
Nej. Den vurderer ledelsessystemet for AI. Applikationernes sikkerhed skal stadig evalueres.
Kilder: ISO's forklaring af ISO 27090 og ISO's forklaring af ISO 42001.
Forbind AI-governance med sikkerhedsevidens
Start med det resultat, du har brug for: klarere ansvar for AI, stærkere applikationssikkerhed eller en kombination af de to. Giv arbejdet en ejer, og beslut, hvilken evidens der skal vise fremskridtet.
Secani forbinder krav, risici, kontroller, evidens, ejere og gennemgangsbeslutninger i ét arbejdsområde. Tal med Secani om, hvordan du organiserer dit arbejde med AI-governance og sikkerhed.
Byg compliance-workflows, der kan auditeres
Secani forbinder scopes, dokumentation, opgaver og AI-agenter i ét fælles arbejdsområde.
Relaterede artikler
Alle artiklerAI-governance
ISO 27090 forklaret for teams, der arbejder med AI-sikkerhed
En praktisk guide til den nye standard for AI-cybersikkerhed, de angreb den behandler, og den evidens sikkerhedsteams kan bruge.
AI-governance
ISO 42001, NIST AI RMF og AI-forordningen: forbind rollerne
Brug ledelsessystemer for AI og risikoframeworks til at organisere governance, og vurdér samtidig AI-forordningens lovkrav separat.
AI-governance
EU's AI-forordning: klassificér jeres anvendelsestilfælde, og planlæg evidensen
En aktuel, rollebaseret tilgang til parathed over for AI-forordningen, herunder Kommissionens opdaterede tidsplan, vurdering af højrisiko og ansvarlig governance.