ISO/IEC 27090, EN 18286 i IEEE 2863: tri nove norme za upravljanje umjetnom inteligencijom u 2026. ukratko

Tri norme u tri dana: zašto je listopad 2026. važan za upravljanje umjetnom inteligencijom

Između 14. i 16. listopada 2026. istodobno su stupile na snagu tri norme za upravljanje umjetnom inteligencijom: ISO/IEC 27090:2026 objavljena je 14. listopada, EN 18286:2026 istoga je dana navedena u Službenom listu EU-a kao prva usklađena norma prema Aktu o umjetnoj inteligenciji (AI Act), a IEEE 2863-2026 uslijedila je 16. listopada. Tri tijela, tri perspektive, jedna tema: kako organizacije mogu razvijati i upotrebljavati umjetnu inteligenciju sigurno, u skladu s propisima i odgovorno?

Za organizacije koje razvijaju ili upotrebljavaju umjetnu inteligenciju vrijedi pogledati sve tri. Obuhvaćaju različite razine – tehnologiju, regulativu i organizaciju – i međusobno se više nadopunjuju nego što si konkuriraju. Ovaj članak objašnjava što norme sadrže, na koga se odnose i što treba učiniti sada.

Tri norme ukratko

ISO/IEC 27090:2026 – Kibernetička sigurnost AI sustava

ISO/IEC 27090:2026 prva je međunarodna norma u potpunosti posvećena sigurnosnim prijetnjama AI sustavima. Njezin puni naziv glasi Cybersecurity — Artificial intelligence (AI) — Addressing security threats and compromises to AI systems. Izradio ju je odbor ISO/IEC JTC 1/SC 27, koji stoji i iza norme ISO/IEC 27001. Zapis norme na stranicama ISO-a

Naglasak je na zaštiti AI sustava, a ne na upotrebi umjetne inteligencije za obranu od drugih napada. Norma opisuje koji su napadi specifični za modele, podatke za učenje i tijekove rada umjetne inteligencije, kako ih otkriti i kako im se suprotstaviti tijekom cijelog životnog ciklusa. Među njima su:

• Trovanje podataka (data poisoning): manipulirani podaci za učenje koji mijenjaju ponašanje modela
• Eksfiltracija modela: izvlačenje modela naizgled legitimnim upitima
• Napadi izbjegavanja (evasion), membership inference, inverzija modela i izravno trovanje modela
• Prompt injection te osjetljivi ili štetni izlazi modela

ISO/IEC 27090 bavi se i međusektorskim temama kao što su modeliranje prijetnji, red teaming, zero trust, sigurnost opskrbnog lanca, bilježenje i nadzor te način na koji modeli i zaštitne mjere s vremenom zastarijevaju. Njezino je vodeće načelo obrana u dubinu (defence in depth): više slojeva zaštite, jer je neke napade na umjetnu inteligenciju teško otkriti. ISO-ovo objašnjenje norme ISO 27090

Važna razlika: ISO/IEC 27090 su smjernice, a ne certifikabilna norma sa zahtjevima. Postojeći ISMS prema ISO/IEC 27001 i sustav upravljanja umjetnom inteligencijom prema ISO/IEC 42001 nadopunjuje sigurnosnim aspektima specifičnima za umjetnu inteligenciju. Sigurnosnim timovima prirodna je polazna točka za uključivanje rizika umjetne inteligencije u postojeće procese. Više pročitajte u člancima ISO 27090 objašnjen za timove za sigurnost umjetne inteligencije i ISO 27090 i ISO 42001: objašnjenje razlika.

EN 18286:2026 – Sustav upravljanja kvalitetom za Akt o umjetnoj inteligenciji

EN 18286:2026 prva je usklađena norma prema Aktu o umjetnoj inteligenciji – i stoga od ove tri ona s najvećom pravnom težinom. CEN i CENELEC objavili su normu Artificial intelligence – Quality management system for EU AI Act regulatory purposes u srpnju 2026. Europska komisija navela ju je 14. listopada 2026. u Službenom listu EU-a Provedbenom odlukom (EU) 2026/2274.

Upravo je to navođenje presudan korak. Prema članku 40. Akta o umjetnoj inteligenciji dobavljači koji primjenjuju usklađenu normu objavljenu u Službenom listu ostvaruju pretpostavku sukladnosti sa zahtjevima koje ta norma obuhvaća. Konkretno, riječ je o članku 17.: dobavljači visokorizičnih AI sustava moraju imati dokumentiran sustav upravljanja kvalitetom. Prema ažuriranom vremenskom okviru ta se obveza primjenjuje od 2. prosinca 2027. na visokorizične sustave navedene u Prilogu III. i od 2. kolovoza 2028. na visokorizične sustave u reguliranim proizvodima iz Priloga I. Vremenski okvir Akta o umjetnoj inteligenciji Europske komisije EN 18286 tu obvezu pretvara u zahtjeve koji se mogu auditirati, među ostalim:

• Kontrole projektiranja i razvoja
• Upravljanje rizicima i upravljanje podacima
• Dokumentacija i zapisi
• Praćenje nakon stavljanja na tržište i postupanje s incidentima

Organizacije bi trebale imati na umu tri stvari. Prvo: primjena norme ostaje dobrovoljna; sukladnost se može dokazati i na druge načine – samo bez pretpostavke sukladnosti. Drugo: pretpostavka sukladnosti odnosi se samo na zahtjeve koje norma doista obuhvaća, a ne na cijeli Akt o umjetnoj inteligenciji. Treće: ISO/IEC 42001 nije zamjena. Međunarodna norma za sustave upravljanja umjetnom inteligencijom jest certifikabilna, ali nije usklađena norma i ne stvara pretpostavku sukladnosti. Organizacije koje već imaju sustav prema normi 42001 imaju dobru osnovu, ali svoje procese moraju preslikati na EN 18286. Nemko Digital o normi EN 18286

Daljnje usklađene norme za upravljanje rizicima, kvalitetu podataka, transparentnost, ljudski nadzor i kibernetičku sigurnost u izradi su, ali još nisu navedene. EN 18286 trenutačno je jedina referenca na Akt o umjetnoj inteligenciji u Službenom listu. Kako klasificirati svoje slučajeve upotrebe umjetne inteligencije prema Aktu, pročitajte u članku Akt o umjetnoj inteligenciji: klasificirajte slučajeve upotrebe i planirajte dokaze.

IEEE 2863-2026 – Organizacijsko upravljanje umjetnom inteligencijom

IEEE 2863-2026 počinje razinu više: pitanjem kako organizacija kao cjelina može odgovorno upravljati umjetnom inteligencijom. IEEE Recommended Practice for Organizational Governance of Artificial Intelligence objavila je IEEE Standards Association 16. listopada 2026. – nakon više od šest godina razvoja (početak projekta u veljači 2020., odobrenje odbora u lipnju 2026.). Stranica norme na IEEE SA

Norma je namijenjena upravljačkom tijelu organizacije – upravi, upravnom odboru ili nadzornom odboru – i ima tri gradivna elementa:

1. Načela upravljanja kojima bi tijelo trebalo dati prednost
2. Procese koji ta načela provode u praksi
3. Studije slučaja konkretnih primjena umjetne inteligencije koje pokazuju kako procesi ostvaruju načela – uključujući kako razriješiti sukobe među načelima

Ključne teme koje IEEE navodi sežu od odgovornosti, transparentnosti, objašnjivosti i ljudskog nadzora preko privatnosti, sigurnosti i nediskriminacije do održivosti i dobrobiti. Na strani procesa obuhvaćaju audit, red teaming, odgovor na incidente, nadzor životnog ciklusa, upravljanje lancem vrijednosti, izgradnju kompetencija i uključivanje dionika.

Kao Recommended Practice, IEEE 2863 daje preporuke, a ne certifikabilne zahtjeve. Njezina je vrijednost u povezivanju apstraktnih etičkih načela s konkretnim procesima odlučivanja na razini uprave. Opisuje i kako se organizacije nose s vanjskim instrumentima upravljanja: regulativom, strukovnim normama, kodeksima ponašanja i javnim očekivanjima u pogledu odgovorne umjetne inteligencije.

Kako se tri norme uklapaju

Tri norme bave se trima razinama koje se u praksi preklapaju:

Prirodna zajednička osnova je ISO/IEC 42001. Sustav upravljanja umjetnom inteligencijom daje strukturu u koju se mogu smjestiti načela upravljanja (IEEE 2863), regulatorni zahtjevi za sustav upravljanja kvalitetom (EN 18286) i sigurnosne mjere (ISO/IEC 27090). EN 18286 strukturno je usklađena s ISO/IEC 42001, ali je ne zamjenjuje; ISO/IEC 27090 upućuje na 42001 kao okvir upravljanja; IEEE 2863 opisuje razinu upravljanja iznad toga. Tko se trima normama bavi zasebno, iste procese gradi tri puta – tko ih shvaća kao slojeve jednog sustava, štedi trud i izbjegava proturječja.

Što organizacije trebaju učiniti sada

Prioriteti ovise o vašoj ulozi u lancu vrijednosti umjetne inteligencije:

• Dobavljači visokorizične umjetne inteligencije u EU-u: nabavite EN 18286 i provedite analizu nedostataka u odnosu na postojeći sustav upravljanja kvalitetom. Ako već radite prema ISO 9001, ISO 13485 ili ISO/IEC 42001, elemente Akta o umjetnoj inteligenciji možete integrirati, ali preslikavanje morate dokumentirati.
• Sigurnosni timovi: popišite AI sustave – uključujući one nabavljene od trećih strana. Razjasnite odakle potječu podaci i modeli, proširite modeliranje prijetnji na napade specifične za umjetnu inteligenciju i provjerite kako bi se sumnjivo ponašanje modela otkrilo i obradilo. ISO/IEC 27090 pruža kontrolni popis.
• Uprave i nadzorni odbori: upotrijebite IEEE 2863 kao okvir za mandat za upravljanje umjetnom inteligencijom – utvrdite načela, dodijelite odgovornosti, definirajte linije izvješćivanja i o kompromisima odlučujte izričito.
• Svi: pratite daljnje usklađene norme. EN 18286 je početak; slijede norme za upravljanje rizicima, kibernetičku sigurnost i bilježenje.

ISO/IEC 27090 i EN 18286 se plaćaju – ISO/IEC 27090 u trgovini ISO Store, EN 18286 kod nacionalnih normirnih tijela (u Njemačkoj kod DIN Media). IEEE 2863 dostupna je besplatno putem programa IEEE GET Program, a može se i kupiti ili joj se može pristupiti pretplatom kod IEEE SA.

Zaključak

Listopad 2026. označava pomak u upravljanju umjetnom inteligencijom od načela prema normama koje se mogu auditirati. ISO/IEC 27090 konkretizira sigurnost umjetne inteligencije, EN 18286 daje Aktu o umjetnoj inteligenciji prvu usklađenu normu s pretpostavkom sukladnosti, a IEEE 2863 učvršćuje upravljanje umjetnom inteligencijom na razini uprave. Tko poznaje sve tri, može sigurnost, usklađenost i odgovornost tretirati kao jedan sustav – umjesto kao tri odvojena projekta.

Izvori

• ISO/IEC 27090:2026 – zapis u katalogu i ISO/IEC 27090 explained (ISO)
• Provedbena odluka (EU) 2026/2274 (EUR-Lex)
• EN 18286: EU AI Act Cites New Harmonized QMS Standard (Nemko Digital, 16. listopada 2026.)
• IEEE 2863-2026 – stranica norme (IEEE SA)