ISO 42001.
Organiser AI-ansvar, risici og driftsbeslutninger i et ledelsessystem, og forstå dokumentationens grænser.
- ISO/IEC 42001:2023
- Af Jonathan Bezdek
- Status: 22.10.2026
- Læsetid: 7 min.
Kort svar.
ISO 42001 er den internationale kravstandard for et AI-ledelsessystem, forkortet AIMS. ISO/IEC 42001:2023 henvender sig til organisationer, der udvikler, leverer eller anvender AI. Den organiserer ansvar, risici og løbende forbedring. Frivillig certificering ved et uafhængigt organ vurderer ledelsessystemet inden for det fastlagte anvendelsesområde og giver ikke generel godkendelse af alle AI-applikationer.
ISO 42001 og AI-ledelsessystemet.
Et AI-ledelsessystem forbinder organisatoriske mål med pålidelige beslutninger om brug af kunstig intelligens. AIMS beskriver, hvem der har ansvar, hvilke oplysninger en beslutning kræver, og hvordan erfaringer fører til forbedringer. ISO/IEC 42001:2023 er den første internationale udgave fra december 2023; ISO’s offentlige publikationspost angiver den fortsat som offentliggjort.
Standarden ser på organisationen og dens håndtering af AI. Det adskiller et AIMS fra en enkelt modeltest, en produktgodkendelse eller en undersøgelse alene af kildekoden. Et godt testresultat kan understøtte en beslutning; desuden skal det fortsat kunne følges, hvem der har ansvar for anvendelsen under hvilke betingelser, og hvordan ændringer vurderes.
ISO’s offentlige forklaring af ISO 42001, afsnit 3, adskiller understøttelsen af juridiske pligter fra den faktiske opfyldelse. Et ledelsessystem skaber arbejdsgange til dette, men erstatter ikke en undersøgelse af den konkrete retsramme. Europæiske eller nationale indførelser med et andet årstal skal desuden skelnes fra den internationale grundudgave.
Hvem ISO 42001 egner sig til.
ISO 42001 henvender sig også til organisationer, der køber AI fra andre udbydere. De offentlige ISO- og IEC-beskrivelser nævner udvikling, levering og anvendelse uanset størrelse og branche. En tjenesteudbyder med indkøbte AI-værktøjer kan derfor opbygge et AIMS uden selv at træne en grundmodel.
Det passende anvendelsesområde følger af de faktiske aktiviteter. Afklar eksempelvis, hvilke tjenester, teams, lokationer og beslutninger der skal betragtes, og hvilke afhængigheder af eksterne modeller der findes. En afgrænset start letter organiseringen af arbejdet; grænseflader og følger uden for denne grænse skal stadig være synlige.
Kunder kan forvente et bestemt certificeringsomfang. Spørg tidligt, om dokumentationen skal dække udvikling af en tjeneste, dens drift eller intern anvendelse. Organisationens navn på et certifikat alene forklarer endnu ikke, hvilken AI-aktivitet der faktisk blev vurderet.
Overblik over ISO 42001-kravene.
Kravene forbinder ledelse og mål med AI-relateret risikoarbejde, driftsprocedurer og forbedring. Følgende seks arbejdsområder er redaktionel orientering ud fra ISO’s offentlige forklaring og ikke en fuldstændig gengivelse af standarden eller dens bilag.
Afklar opgave og ansvar.
Ledelsen giver AI-arbejdet retning og ansvar. Til den praktiske implementering bør fagområde, udvikling, indkøb og kontrolfunktioner kunne se, hvilke beslutninger de må træffe, og hvornår andre skal inddrages. En central koordinator erstatter ikke de enkelte parters faglige ansvar.
Forbind mål og forventninger.
Ledelsessystemet kræver en sporbar forbindelse til organisationens mål og berørte parters forventninger. Beskriv for den valgte anvendelse det tilsigtede resultat og de gældende grænser. Dermed kan de ansvarlige senere vurdere, om en ændring fortsat passer til det godkendte formål.
Vurder risici og konsekvenser.
AI-risikoarbejde betragter også mulige følger for mennesker og grupper. Den offentlige beskrivelse af den supplerende ISO/IEC 42005:2025 tydeliggør dette perspektiv gennem livscyklussen. I praksis hjælper det at adskille driftsskader og konsekvenser for berørte personer, så gode præstationsværdier ikke skjuler relevante ulemper.
Styr data, leverandører og livscyklus.
Ansvaret rækker ud over den første indførelse. Dokumenter de datakilder, eksterne tjenester og ændringsveje, der er relevante for anvendelsen, så senere beslutninger bygger på den rigtige status. En opdatering af en indkøbt model kan kræve nye evalueringer eller andre anvendelsesgrænser.
Stil kompetencer og information til rådighed.
Deltagerne har brug for oplysninger, der passer til deres opgave. Et indkøbsteam har brug for andre beslutningsgrundlag end personer, der vurderer AI-output i driften. Dokumenter ansvar, kendte grænser og eskalationsveje forståeligt, og undersøg, om oplysningerne når frem ved den faktiske brug.
Vurder og forbedr.
Et AIMS forbliver kun holdbart, når erfaringer og konstaterede afvigelser fører til kontrollerbare beslutninger. Undersøg derfor driften og effektiviteten af Deres procedurer. For hver forbedring bør det fremgå, hvem der er ansvarlig, hvilket resultat der forventes, og hvad den senere vurdering skal bygge på.
Opbyg et AI-ledelsessystem.
Afgræns anvendelsestilfælde.
Registrer som praktisk begyndelse en konkret AI-tjeneste med formål, deltagere og vigtige afhængigheder frem for kun at opregne navnene på indkøbte modeller.
Fastlæg beslutningsrettigheder.
Udpeg ansvarlige for anvendelse, tekniske ændringer og vurdering, og aftal, hvilke beslutninger ledelse, fagområder og kontrolfunktioner træffer samlet.
Undersøg risici og følger.
Vurder ud fra den faktiske anvendelseskontekst mulige fejlvirkninger og berørte grupper, og fastlæg, hvilke yderligere oplysninger der mangler for en holdbar beslutning.
Anvend procedurer og dokumentation.
Gennemfør passende foranstaltninger, og forbind godkendelser, test, leverandøroplysninger og driftsobservationer med den vurderede tjeneste og version.
Vurder internt.
Kontroller implementeringen med tilstrækkelig afstand til eget arbejde, og dokumenter, hvilke afvigelser, åbne beslutninger og forbedringer der behandles før næste godkendelse.
Fortsæt drift og dokumentation.
Planlæg regelmæssige revurderinger og eventuelt uafhængig certificering, og reager også mellem planlagte datoer på ændrede modeller, opgaver eller konsekvenser.
Hvad ISO 42001-certificeringen dokumenterer.
En ISO 42001-certificering bekræfter den vurderede overensstemmelse af AIMS’et inden for det angivne anvendelsesområde. Ifølge ISO’s offentlige forklaring, afsnit 7, er den frivillig og udføres af uafhængige certificeringsorganer. ISO udvikler standarden, men udsteder ikke selv certifikater.
Det vurderende organs kompetence er et selvstændigt spørgsmål. Ifølge ISO’s offentlige beskrivelse supplerer ISO/IEC 42006:2025 kravene til organer, der auditerer og certificerer AI-ledelsessystemer. Undersøg ved valget det passende aktivitetsomfang og akkrediteringsstatus, som ISO’s certificeringsside anbefaler.
Fremlagt dokumentation skal passe til den aktuelle beslutning. Kontroller anvendelsesområde, udsteder, status og de angivne gyldighedsoplysninger. Driftsregistreringer og tekniske evalueringer er fortsat nødvendige for at vurdere konkrete AI-applikationer; de får ikke generel sikkerhedsmæssig eller juridisk godkendelse gennem et AIMS-certifikat.
ISO 42001 og andre rammeværker.
ISO 27001 organiserer informationssikkerhed og kan stille eksisterende procedurer til rådighed for AI-arbejdet. NIST AI RMF understøtter kontekstbaseret undersøgelse af AI-risici, mens EU AI Act fastlægger egne lovbestemte roller og pligter. ISO 9001 giver en yderligere ledelsessystemkontekst til fælles procedurer for processtyring og forbedring; det enkelte faglige vurderingsobjekt bevares.
I Secani.
Secani indeholder et redaktionelt arbejdskatalog til ISO/IEC 42001:2023. Profiloplysninger registrerer blandt andet udbyder- eller brugerrolle, eksterne modeller, personoplysninger i AI-data og mulige konsekvenser. Begrundede anvendelighedsbeslutninger hjælper med at knytte arbejdet til den beskrevne kontekst. Kataloget er et hjælpemiddel og erstatter hverken lovlig adgang til standarden, faglig vurdering eller uafhængig certificering.
Næste skridt.
Vælg et AI-anvendelsestilfælde, og saml formål, ansvarlig person, væsentlige afhængigheder og hidtidig godkendelse. Undersøg derefter, om en anden person kan se, på hvilket grundlag anvendelsen blev tilladt, og hvornår beslutningen skal revurderes. Det giver en konkret begyndelse på ledelsessystemet.
Ofte stillede spørgsmål.
Ja. Det generelle anvendelsesområde omfatter også organisationer, der bruger AI-produkter eller AI-tjenester fra andre udbydere. Egen aktivitet og ledelsessystemets fastlagte anvendelsesområde er afgørende.
Nej. Certificeringen vurderer AI-ledelsessystemet inden for dets anvendelsesområde. Konkrete applikationers sikkerhed og egnethed kræver fortsat passende tekniske og faglige vurderinger.
Nej. AIMS’et kan understøtte organiseringen af dokumentation, men erstatter ikke en juridisk undersøgelse af roller og anvendelighed. Lovpligtige vurderingsprocedurer skal fortsat overholdes særskilt.
Nej. Certificering er en frivillig, selvstændig beslutning. En organisation kan opbygge og forbedre sit AI-ansvar og sine driftsprocedurer allerede før en ekstern vurdering.
Organiser AI-ansvar sporbart.
Tal med Secani om, hvordan De forbinder kontekst, beslutninger og dokumentation.
Denne side forklarer standarden generelt. Den aktuelle standardversion og kravene i den enkelte vurderings- og retsramme er afgørende.