ISO 42001.
Organizacja odpowiedzialności za AI, ryzyk i decyzji operacyjnych w systemie zarządzania oraz zrozumienie granic jego potwierdzenia.
- ISO/IEC 42001:2023
- Autor: Jonathan Bezdek
- Stan na: 22.10.2026
- Czas czytania: 6 min
Krótka odpowiedź.
ISO 42001 to międzynarodowa norma wymagań systemu zarządzania AI, w skrócie AIMS. ISO/IEC 42001:2023 jest przeznaczona dla organizacji rozwijających, udostępniających lub wykorzystujących AI. Porządkuje odpowiedzialność, ryzyka i ciągłe doskonalenie. Dobrowolna certyfikacja przez niezależną jednostkę ocenia system zarządzania w ustalonym zakresie; nie stanowi ogólnego dopuszczenia każdej aplikacji AI.
ISO 42001 i system zarządzania AI.
System zarządzania AI łączy cele organizacji z wiarygodnymi decyzjami o wykorzystaniu sztucznej inteligencji. AIMS opisuje, kto ponosi odpowiedzialność, jakich informacji wymaga decyzja i jak doświadczenia prowadzą do usprawnień. ISO/IEC 42001:2023 jest pierwszym międzynarodowym wydaniem z grudnia 2023 r.; publiczny wpis publikacyjny ISO nadal wskazuje ją jako opublikowaną.
Norma uwzględnia organizację i jej postępowanie z AI. To odróżnia AIMS od pojedynczego testu modelu, dopuszczenia produktu lub badania samego kodu źródłowego. Dobry wynik testu może wspierać decyzję; dodatkowo musi pozostać przejrzyste, kto odpowiada za użycie, na jakich warunkach i jak oceniane są zmiany.
Publiczne objaśnienie ISO dotyczące ISO 42001, sekcja 3, odróżnia wspieranie obowiązków prawnych od ich rzeczywistego spełnienia. System zarządzania tworzy do tego procesy, ale nie zastępuje analizy konkretnego otoczenia prawnego. Należy także odróżniać europejskie lub krajowe przyjęcia z innym rokiem od międzynarodowego wydania podstawowego.
Dla kogo odpowiednia jest ISO 42001.
ISO 42001 jest skierowana także do organizacji pozyskujących AI od innych dostawców. Publiczne opisy ISO i IEC wymieniają rozwój, udostępnianie i stosowanie niezależnie od wielkości lub branży. Usługodawca z zakupionymi narzędziami AI może więc zbudować AIMS bez samodzielnego trenowania modelu bazowego.
Odpowiedni zakres wynika z rzeczywistych działań. Należy ustalić na przykład rozpatrywane usługi, zespoły, lokalizacje i decyzje oraz zależności od modeli zewnętrznych. Wąski początek ułatwia organizację pracy; interfejsy i skutki poza tą granicą muszą mimo to pozostać widoczne.
Klienci mogą oczekiwać określonego zakresu certyfikacji. Należy wcześnie zapytać, czy potwierdzenie ma obejmować rozwój usługi, jej eksploatację czy użycie wewnętrzne. Sama nazwa organizacji na certyfikacie nie wyjaśnia jeszcze, jaką działalność AI rzeczywiście oceniono.
Przegląd wymagań ISO 42001.
Wymagania łączą kierownictwo i cele z pracą nad ryzykiem AI, procesami operacyjnymi i doskonaleniem. Poniższe sześć obszarów stanowi autorski przegląd oparty na publicznym objaśnieniu ISO, a nie pełne odtworzenie normy lub jej załączników.
Ustalenie zadania i odpowiedzialności.
Kierownictwo nadaje pracy nad AI kierunek i kompetencje. W praktycznym wdrożeniu jednostki merytoryczne, rozwój, zakupy i funkcje kontrolne powinny wiedzieć, jakie decyzje mogą podejmować i kiedy angażować innych. Centralny koordynator nie zastępuje merytorycznej odpowiedzialności poszczególnych uczestników.
Powiązanie celów i oczekiwań.
System zarządzania potrzebuje przejrzystego odniesienia do celów organizacji i oczekiwań zainteresowanych stron. Dla wybranego użycia należy opisać zamierzony wynik i obowiązujące granice. Dzięki temu osoby odpowiedzialne mogą później ocenić, czy zmiana nadal odpowiada zatwierdzonemu celowi.
Ocena ryzyk i skutków.
Praca nad ryzykiem AI uwzględnia także możliwe skutki dla ludzi i grup. Publiczny opis uzupełniającej ISO/IEC 42005:2025 wyjaśnia tę perspektywę w całym cyklu życia. W praktyce pomaga osobna analiza szkód operacyjnych i skutków dla osób, aby dobre wyniki wydajności nie przesłaniały istotnych negatywnych konsekwencji.
Zarządzanie danymi, dostawcami i cyklem życia.
Odpowiedzialność wykracza poza pierwsze wdrożenie. Należy dokumentować istotne dla zastosowania źródła danych, usługi zewnętrzne i ścieżki zmian tak, aby późniejsze decyzje opierały się na właściwym stanie. Aktualizacja zakupionego modelu może wymagać nowych ocen lub innych granic użycia.
Zapewnienie kompetencji i informacji.
Uczestnicy potrzebują informacji odpowiednich do zadań. Zespół zakupowy wymaga innych podstaw decyzji niż osoby oceniające wyniki AI w działalności. Należy zrozumiale zapisać odpowiedzialność, znane ograniczenia i ścieżki eskalacji oraz sprawdzić, czy informacje docierają do rzeczywistych użytkowników.
Ocena i doskonalenie.
AIMS pozostaje wiarygodny tylko wtedy, gdy doświadczenia i wykryte niezgodności prowadzą do weryfikowalnych decyzji. Należy więc badać działanie i skuteczność procesów. Dla każdego usprawnienia powinno być widoczne, kto odpowiada, jakiego wyniku oczekuje się i na czym będzie oparta późniejsza ocena.
Budowa systemu zarządzania AI.
Wyodrębnienie zastosowań.
Na początek należy opisać konkretną usługę AI wraz z celem, uczestnikami i ważnymi zależnościami, zamiast wymieniać jedynie nazwy zakupionych modeli.
Ustalenie uprawnień decyzyjnych.
Należy wskazać osoby odpowiedzialne za użycie, zmiany techniczne i ocenę oraz uzgodnić decyzje podejmowane wspólnie przez kierownictwo, jednostki merytoryczne i funkcje kontrolne.
Analiza ryzyk i konsekwencji.
Na podstawie rzeczywistego kontekstu użycia należy ocenić możliwe niepożądane skutki i grupy, których dotyczą, oraz określić brakujące informacje do wiarygodnej decyzji.
Prowadzenie procesów i dowodów.
Należy wdrożyć odpowiednie środki i powiązać zatwierdzenia, testy, informacje dostawców i obserwacje operacyjne z ocenianą usługą i wersją.
Ocena wewnętrzna.
Należy sprawdzić wdrożenie z wystarczającym dystansem do własnej pracy i zapisać niezgodności, otwarte decyzje i usprawnienia do opracowania przed kolejnym zatwierdzeniem.
Kontynuacja działania i potwierdzania.
Należy zaplanować regularne ponowne oceny i ewentualnie niezależną certyfikację oraz reagować na zmiany modeli, zadań lub skutków także między planowanymi terminami.
Co wykazuje certyfikacja ISO 42001.
Certyfikacja ISO 42001 potwierdza ocenioną zgodność AIMS we wskazanym zakresie. Zgodnie z publicznym objaśnieniem ISO, sekcja 7, jest dobrowolna i prowadzona przez niezależne jednostki certyfikujące. ISO opracowuje normę, ale samo nie wydaje certyfikatów.
Kompetencje jednostki oceniającej są osobną kwestią. Zgodnie z publicznym opisem ISO norma ISO/IEC 42006:2025 uzupełnia wymagania wobec jednostek audytujących i certyfikujących systemy zarządzania AI. Przy wyborze należy sprawdzić odpowiedni zakres działalności i status akredytacji, jak zaleca strona ISO o certyfikacji.
Przedstawiony dowód musi odpowiadać bieżącej decyzji. Należy sprawdzić zakres, wystawcę, status i wskazane informacje o ważności. Zapisy operacyjne i oceny techniczne pozostają potrzebne do oceny konkretnych zastosowań AI; certyfikat AIMS nie nadaje im ogólnego dopuszczenia pod względem bezpieczeństwa lub prawa.
ISO 42001 a inne ramy i standardy.
ISO 27001 organizuje bezpieczeństwo informacji i może dostarczać istniejących procesów dla pracy nad AI. NIST AI RMF wspiera kontekstową analizę ryzyk AI, a akt w sprawie AI ustanawia własne role i obowiązki prawne. ISO 9001 oferuje kolejny kontekst systemu zarządzania dla wspólnych procesów sterowania i doskonalenia; właściwy przedmiot oceny merytorycznej pozostaje odrębny.
W Secani.
Secani zawiera autorski katalog roboczy dotyczący ISO/IEC 42001:2023. Dane profilu obejmują między innymi rolę dostawcy lub użytkownika, modele zewnętrzne, dane osobowe AI i możliwe skutki. Uzasadnione decyzje o stosowaniu pomagają odnosić pracę do opisanego kontekstu. Katalog stanowi pomoc i nie zastępuje legalnego dostępu do normy, oceny merytorycznej ani niezależnej certyfikacji.
Następny krok.
Należy wybrać zastosowanie AI i zebrać cel, osobę odpowiedzialną, istotne zależności i dotychczasowe zatwierdzenie. Następnie sprawdzić, czy inna osoba może zrozumieć podstawę dopuszczenia użycia i termin ponownej oceny decyzji. Daje to konkretny punkt wyjścia do systemu zarządzania.
Najczęstsze pytania.
Tak. Ogólny zakres obejmuje także organizacje korzystające z produktów lub usług AI innych dostawców. Decydują własna działalność i ustalony zakres systemu zarządzania.
Nie. Certyfikacja ocenia system zarządzania AI w jego zakresie. Bezpieczeństwo i przydatność konkretnych zastosowań nadal wymagają odpowiednich ocen technicznych i merytorycznych.
Nie. AIMS może wspierać organizację dowodów, ale nie zastępuje prawnej analizy ról i stosowania. Ustawowo wymagane procedury oceny należy nadal uwzględniać osobno.
Nie. Certyfikacja jest dobrowolną, odrębną decyzją. Organizacja może budować i doskonalić odpowiedzialność za AI oraz procesy operacyjne jeszcze przed oceną zewnętrzną.
Przejrzysta organizacja odpowiedzialności za AI.
Porozmawiaj z Secani o łączeniu kontekstu, decyzji i dowodów.
Strona ogólnie objaśnia normę. Rozstrzygające są aktualna wersja normy i wymagania właściwego otoczenia prawnego oraz systemu oceny.