ISO/IEC 27090, EN 18286 és IEEE 2863: 2026 három új MI-irányítási szabványa egy pillantással

Három szabvány három nap alatt: miért fontos 2026 októbere az MI-irányítás szempontjából

2026. október 14. és 16. között egyszerre három MI-irányítási szabvány lépett életbe: az ISO/IEC 27090:2026 október 14-én jelent meg, az EN 18286:2026-ot ugyanazon a napon tették közzé az EU Hivatalos Lapjában az EU MI-rendelete (AI Act) szerinti első harmonizált szabványként, az IEEE 2863-2026 pedig október 16-án követte őket. Három testület, három nézőpont, egy téma: hogyan fejleszthetnek és üzemeltethetnek a szervezetek MI-t biztonságosan, szabályszerűen és felelősen?

Az MI-t fejlesztő vagy használó szervezetek számára mindhárom szabvány figyelmet érdemel. Különböző szinteket fednek le – a technológiát, a szabályozást és a szervezetet –, és inkább kiegészítik, mintsem versenyeznek egymással. Ez a cikk bemutatja, mit tartalmaznak a szabványok, kikre vonatkoznak, és mi a teendő most.

A három szabvány egy pillantással

ISO/IEC 27090:2026 – Az MI-rendszerek kiberbiztonsága

Az ISO/IEC 27090:2026 az első nemzetközi szabvány, amely teljes egészében az MI-rendszereket érő biztonsági fenyegetésekkel foglalkozik. Teljes címe: Cybersecurity — Artificial intelligence (AI) — Addressing security threats and compromises to AI systems. Az ISO/IEC JTC 1/SC 27 bizottság dolgozta ki, amely az ISO/IEC 27001 mögött is áll. Az ISO szabványadatlapja

A hangsúly az MI-rendszerek védelmén van, nem azon, hogyan használható az MI más támadások elhárítására. A szabvány leírja, mely támadások jellemzőek a modellekre, a tanítóadatokra és az MI-munkafolyamatokra, hogyan lehet ezeket felismerni, és hogyan lehet ellenük védekezni a teljes életciklus során. Ide tartoznak:

• Adatmérgezés (data poisoning): manipulált tanítóadatok, amelyek megváltoztatják a modell viselkedését
• Modellkiszivárogtatás: a modell kinyerése látszólag legitim lekérdezésekkel
• Kijátszásos támadások (evasion), membership inference, modellinverzió és közvetlen modellmérgezés
• Prompt injection, valamint érzékeny vagy káros modellkimenetek

Az ISO/IEC 27090 olyan átfogó témákkal is foglalkozik, mint a fenyegetésmodellezés, a red teaming, a zero trust, az ellátási lánc biztonsága, a naplózás és a monitorozás, valamint az, hogy a modellek és a védelmi intézkedések hogyan avulnak el idővel. Vezérelve a mélységi védelem (defence in depth): több védelmi réteg, mert egyes MI-támadásokat nehéz észlelni. Az ISO magyarázata az ISO 27090-ről

Fontos különbség: az ISO/IEC 27090 útmutató, nem tanúsítható követelményszabvány. Egy meglévő, ISO/IEC 27001 szerinti IBIR-t és egy ISO/IEC 42001 szerinti MI-irányítási rendszert egészít ki MI-specifikus biztonsági szempontokkal. A biztonsági csapatok számára ez a természetes kiindulópont ahhoz, hogy az MI-kockázatokat beépítsék a meglévő folyamatokba. Bővebben: Az ISO 27090 bemutatása MI-biztonsági csapatoknak és ISO 27090 és ISO 42001 összehasonlítva.

EN 18286:2026 – Minőségirányítási rendszer az EU MI-rendeletéhez

Az EN 18286:2026 az EU MI-rendelete szerinti első harmonizált szabvány – így a három közül ennek van a legnagyobb jogi súlya. A CEN és a CENELEC 2026 júliusában adta ki az Artificial intelligence – Quality management system for EU AI Act regulatory purposes című szabványt. 2026. október 14-én az Európai Bizottság az (EU) 2026/2274 végrehajtási határozattal tette közzé az EU Hivatalos Lapjában.

Ez a közzététel a döntő lépés. Az MI-rendelet 40. cikke szerint azokra a szolgáltatókra, amelyek a Hivatalos Lapban közzétett harmonizált szabványt alkalmaznak, megfelelőségi vélelem vonatkozik a szabvány által lefedett követelmények tekintetében. Konkrétan a 17. cikkről van szó: a nagy kockázatú MI-rendszerek szolgáltatóinak dokumentált minőségirányítási rendszert kell működtetniük. A frissített ütemterv szerint ez a kötelezettség a III. mellékletben felsorolt nagy kockázatú rendszerekre 2027. december 2-től, az I. melléklet szerinti szabályozott termékekben lévő nagy kockázatú rendszerekre pedig 2028. augusztus 2-tól alkalmazandó. Az Európai Bizottság ütemterve az MI-rendeletről Az EN 18286 ezt a kötelezettséget auditálható követelményekké alakítja, többek között:

• Tervezési és fejlesztési kontrollok
• Kockázatkezelés és adatkezelés
• Dokumentáció és nyilvántartások
• Forgalomba hozatal utáni nyomon követés és incidenskezelés

A szervezeteknek három dolgot érdemes szem előtt tartaniuk. Először: a szabvány alkalmazása önkéntes marad; a megfelelés más módon is igazolható – csak megfelelőségi vélelem nélkül. Másodszor: a vélelem csak azokra a követelményekre terjed ki, amelyekkel a szabvány ténylegesen foglalkozik, nem a teljes MI-rendeletre. Harmadszor: az ISO/IEC 42001 nem helyettesíti. Az MI-irányítási rendszerekre vonatkozó nemzetközi szabvány ugyan tanúsítható, de nem harmonizált szabvány, és nem keletkeztet megfelelőségi vélelmet. Azok a szervezetek, amelyek már 42001 szerinti rendszert működtetnek, jó alapokkal rendelkeznek, de folyamataikat le kell képezniük az EN 18286-ra. A Nemko Digital az EN 18286-ról

A kockázatkezelésre, az adatminőségre, az átláthatóságra, az emberi felügyeletre és a kiberbiztonságra vonatkozó további harmonizált szabványok készülnek, de még nem tették közzé őket. Jelenleg az EN 18286 az MI-rendelet egyetlen hivatkozása a Hivatalos Lapban. Arról, hogyan sorolhatja be MI-felhasználási eseteit az MI-rendelet szerint, itt olvashat: Az EU MI-rendelete: sorolja be a felhasználási eseteket, és tervezze meg a bizonyítékokat.

IEEE 2863-2026 – Szervezeti MI-irányítás

Az IEEE 2863-2026 egy szinttel feljebb kezdődik: azzal a kérdéssel, hogyan irányíthatja egy szervezet egészként felelősen az MI-t. Az IEEE Recommended Practice for Organizational Governance of Artificial Intelligence című dokumentumot az IEEE Standards Association 2026. október 16-án adta ki – több mint hatéves fejlesztés után (a projekt 2020 februárjában indult, a testületi jóváhagyás 2026 júniusában történt). Az IEEE SA szabványoldala

A szabvány a szervezet irányító testületének szól – a felsővezetésnek, az igazgatóságnak vagy a felügyelőbizottságnak –, és három építőelemből áll:

1. Irányítási elvek, amelyeket a testületnek előtérbe kell helyeznie
2. Folyamatok, amelyek ezeket az elveket a gyakorlatba ültetik
3. Esettanulmányok konkrét MI-alkalmazásokról, amelyek megmutatják, hogyan valósítják meg a folyamatok az elveket – beleértve azt is, hogyan oldhatók fel az elvek közötti ellentmondások

Az IEEE által megnevezett kulcstémák az elszámoltathatóságtól, az átláthatóságtól, a megmagyarázhatóságtól és az emberi felügyelettől a magánszféra védelmén, a biztonságon és a megkülönböztetésmentességen át a fenntarthatóságig és a jóllétig terjednek. A folyamatok oldalán ide tartozik az auditálás, a red teaming, az incidensreagálás, az életciklus felügyelete, az értéklánc kezelése, a kompetenciafejlesztés és az érintettek bevonása.

Recommended Practice-ként az IEEE 2863 ajánlásokat fogalmaz meg, nem tanúsítható követelményeket. Értéke abban rejlik, hogy hidat képez az elvont etikai elvek és a vezetői szintű konkrét döntéshozatali folyamatok között. Azt is leírja, hogyan kezelik a szervezetek a külső irányítási eszközöket: a szabályozást, a szakmai szabványokat, a magatartási kódexeket és a felelős MI-vel kapcsolatos társadalmi elvárásokat.

Hogyan illeszkedik egymáshoz a három szabvány

A három szabvány három olyan szinttel foglalkozik, amelyek a gyakorlatban átfedik egymást:

Természetes közös alap az ISO/IEC 42001. Az MI-irányítási rendszer adja azt a struktúrát, amelybe az irányítási elvek (IEEE 2863), a minőségirányítási rendszerre vonatkozó szabályozási követelmények (EN 18286) és a biztonsági intézkedések (ISO/IEC 27090) beilleszthetők. Az EN 18286 szerkezetileg igazodik az ISO/IEC 42001-hez, de nem váltja fel; az ISO/IEC 27090 irányítási keretként hivatkozik a 42001-re; az IEEE 2863 pedig a felette álló irányítási szintet írja le. Aki a három szabványt külön kezeli, ugyanazokat a folyamatokat háromszor építi fel – aki egyetlen rendszer rétegeiként tekint rájuk, munkát takarít meg, és elkerüli az ellentmondásokat.

Mit tegyenek most a szervezetek

A prioritások attól függnek, milyen szerepet tölt be az MI-értékláncban:

• Nagy kockázatú MI szolgáltatói az EU-ban: szerezze be az EN 18286-ot, és végezzen hiányelemzést a meglévő minőségirányítási rendszerével szemben. Ha már az ISO 9001, az ISO 13485 vagy az ISO/IEC 42001 szerint dolgozik, beépítheti az MI-rendelet elemeit, de a leképezést dokumentálnia kell.
• Biztonsági csapatok: vegyék leltárba az MI-rendszereket – a harmadik felektől beszerzetteket is. Tisztázzák, honnan származnak az adatok és a modellek, terjesszék ki a fenyegetésmodellezést az MI-specifikus támadásokra, és ellenőrizzék, hogyan észlelnék és kezelnék a modell gyanús viselkedését. Az ISO/IEC 27090 ehhez adja az ellenőrzőlistát.
• Felsővezetés és felügyelőbizottságok: használják az IEEE 2863-at egy MI-irányítási megbízatás kereteként – rögzítsék az elveket, osszák ki a felelősségeket, határozzák meg a jelentési vonalakat, és a kompromisszumokról kifejezetten döntsenek.
• Mindenki: kövesse figyelemmel a további harmonizált szabványokat. Az EN 18286 csak a kezdet; a kockázatkezelésre, a kiberbiztonságra és a naplózásra vonatkozó szabványok következnek.

Az ISO/IEC 27090 és az EN 18286 fizetős – az ISO/IEC 27090 az ISO Store-ban, az EN 18286 a nemzeti szabványügyi testületeknél (Németországban a DIN Media-nál) érhető el. Az IEEE 2863 ingyenesen elérhető az IEEE GET Program keretében, illetve megvásárolható vagy előfizetéssel elérhető az IEEE SA-nál.

Összegzés

2026 októbere az MI-irányításban az elvektől az auditálható szabványok felé történő elmozdulást jelzi. Az ISO/IEC 27090 kézzelfoghatóvá teszi az MI-biztonságot, az EN 18286 megadja az EU MI-rendeletének első, megfelelőségi vélelemmel járó harmonizált szabványát, az IEEE 2863 pedig vezetői szinten rögzíti az MI-irányítást. Aki mindhármat ismeri, a biztonságot, a megfelelést és az elszámoltathatóságot egyetlen rendszerként kezelheti – három különálló projekt helyett.

Források

• ISO/IEC 27090:2026 – katalógusbejegyzés és ISO/IEC 27090 explained (ISO)
• (EU) 2026/2274 végrehajtási határozat (EUR-Lex)
• EN 18286: EU AI Act Cites New Harmonized QMS Standard (Nemko Digital, 2026. október 16.)
• IEEE 2863-2026 – szabványoldal (IEEE SA)