ISO 27090 och ISO 42001 förklarade
Jonathan BezdekCTO
5 Min. läsning
ISO 27090 vägleder säkerhetsarbetet kring AI. ISO 42001 ställer krav på ett ledningssystem för artificiell intelligens, ett så kallat AIMS. Organisationer kan använda dem tillsammans för att koppla samman säkerhetsarbetet med den bredare AI-styrningen. Källor: ISO:s publiceringsuppgifter för ISO 27090, ISO:s publiceringsuppgifter för ISO 42001.
ISO 27090 och ISO 42001 i korthet
| Jämförelse | ISO 27090 | ISO 42001 |
|---|---|---|
| Huvudsyfte | Skydda AI-system mot säkerhetshot | Organisera ansvarsfull utveckling och användning av AI |
| Typ av standard | Säkerhetsvägledning | Krav på ett ledningssystem för AI |
| Praktisk fråga | Hur kan det här AI-systemet komprometteras? | Hur styr vi AI på ett enhetligt sätt i hela organisationen? |
| Huvudfokus | Hot mot AI-data, modeller och arbetsflöden | AI-policyer, ansvar, risker, mål och förbättring |
| Exempel på frågor | Dataförgiftning, modellstöld och liknande attacker | Säkerhet, driftsäkerhet, transparens, partiskhet och andra AI-risker |
| Certifiering | Vägledning; ger ingen väg till certifiering av ett AIMS | Frivillig certifiering av organisationens AIMS |
| Vem kan använda den | Organisationer som utvecklar eller använder AI | Organisationer som utvecklar, tillhandahåller eller använder AI |
| Aktuell utgåva | ISO/IEC 27090:2026 | ISO/IEC 42001:2023 |
| Först publicerad | 14 oktober 2026 | 18 december 2023 |
Källor: ISO:s publiceringsuppgifter för ISO 27090, ISO:s publiceringsuppgifter för ISO 42001 och ISO:s förklaring av ISO 42001.
Deras tillämpningsområden överlappar. ISO 42001 tar upp AI-säkerhet bland bredare organisatoriska frågor. ISO 27090 behandlar också styrning i samband med AI-säkerhet. Deras olika syften förklarar hur de kan komplettera varandra. Källor: ISO:s förklaring av ISO 42001, ISO:s förklaring av ISO 27090.
Certifiering enligt ISO 27090 och ISO 42001
Vid certifiering enligt ISO 42001 bedöms om organisationens ledningssystem för AI uppfyller standardens krav. Certifieringen utförs av oberoende certifieringsorgan; ISO certifierar inte själv några organisationer. Enskilda AI-tillämpningar behöver fortfarande en säkerhetsbedömning. Källa: ISO:s förklaring av ISO 42001.
När du beställer arbete enligt ISO 27090 ska du definiera vilken säkerhetsgranskning du behöver: vilka system, vilka attackscenarier och vilket underlag som ska stödja resultaten. Det ger bedömningen en konkret omfattning och ett användbart resultat.
Vilken standard bör du använda
Välj utifrån det problem du behöver lösa. Tabellen är ett praktiskt beslutsstöd.
| Din situation | Var du bör fokusera | Rekommenderat nästa steg |
|---|---|---|
| AI-användningen saknar tydliga ägare eller regler | ISO 42001 | Fastställ ansvar, policy och en granskningsprocess |
| En modell eller tillämpning står inför specifika attackrisker | ISO 27090 | Analysera attackscenarier och välj skyddsåtgärder att testa |
| En kund begär certifiering av ledningssystemet för AI | ISO 42001 | Definiera certifieringens omfattning och bedöm hur redo ni är |
| AI-styrning finns, men säkerhetsunderlaget är svagt | Lägg till vägledningen i ISO 27090 | Koppla säkerhetsrisker till kontroller och testresultat |
| Ni lanserar en AI-tjänst och bygger upp styrningen | Använd båda tillsammans | Samordna ledningsansvar och säkerhetsarbete i ett gemensamt program |
Ett akut säkerhetsproblem i en tillämpning kräver omedelbar uppmärksamhet. Ett bredare styrningsprogram kan utvecklas parallellt med arbetet att åtgärda den exponeringen.
Så använder du ISO 27090 och ISO 42001 tillsammans
Ett företag som inför en AI-assistent för kundsupport kan till exempel samordna sitt arbete så här. Det är exempel på möjliga val vid införandet.
| Aktivitet | Hur ISO 42001 kan strukturera arbetet | Hur ISO 27090 kan vägleda säkerhetsarbetet |
|---|---|---|
| Planera tjänsten | Utse en ägare och kom överens om syftet | Identifiera känsliga tillgångar och attackvägar |
| Granska leverantörer | Dokumentera ansvar och granskningskriterier | Undersök exponering via modeller, data och beroenden |
| Godkänna release | Dokumentera riskbeslut och ansvarig godkännare | Testa relevanta attacker och tillämpningens skyddsåtgärder |
| Hantera förändringar | Granska resultat och besluta om förbättringar | Bedöm säkerheten på nytt när modeller, data eller integrationer ändras |
Håll en enda post per AI-system med länkar till dess ägare, risker, kontroller, tester och beslut. Återanvänd underlag där det är relevant och dokumentera vilka bedömningskriterier det stöder.
Ett säkerhetstest kan till exempel visa om en begränsad åtgärd blockerades. Den tillhörande granskningsposten kan visa vem som bedömde resultatet och beslutade om systemet var redo för release. Båda posterna är användbara, och de besvarar olika frågor.
Hur ISO 42001 förhåller sig till NIST AI RMF och EU:s AI-förordning beskrivs i ISO 42001, NIST AI RMF och AI-förordningen: koppla samman rollerna.
Vanliga frågor
Ersätter ISO 27090 ISO 42001?
Nej. De har olika syften: vägledning för AI-säkerhet och krav på ett ledningssystem för AI.
Kan organisationer som använder AI från tredje part tillämpa dem?
Ja. Båda standarderna riktar sig till organisationer som använder AI.
Bevisar en certifiering enligt ISO 42001 att varje AI-tillämpning är säker?
Nej. Den bedömer ledningssystemet för AI. Tillämpningarnas säkerhet behöver fortfarande utvärderas.
Källor: ISO:s förklaring av ISO 27090 och ISO:s förklaring av ISO 42001.
Koppla samman AI-styrning med säkerhetsunderlag
Börja med det resultat du behöver: tydligare ansvar för AI, starkare säkerhet i tillämpningarna eller en kombination av båda. Utse en ägare för arbetet och bestäm vilket underlag som ska visa att det går framåt.
Secani kopplar samman krav, risker, kontroller, underlag, ägare och granskningsbeslut i en och samma arbetsyta. Prata med Secani om hur du organiserar ditt arbete med AI-styrning och säkerhet.
Bygg granskningsbara compliance-arbetsflöden
Secani kopplar samman omfattningar, bevis, uppgifter och AI-agenter i en gemensam arbetsyta.
Relaterade artiklar
Alla artiklarAI-styrning
ISO 27090 förklarad för team som arbetar med AI-säkerhet
En praktisk guide till den nya standarden för AI-cybersäkerhet, de attacker den behandlar och det underlag som säkerhetsteam kan använda.
AI-styrning
ISO 42001, NIST AI RMF och AI-förordningen: koppla samman rollerna
Använd ledningssystem för AI och riskramverk för att organisera styrningen och bedöm samtidigt AI-förordningens rättsliga krav separat.
AI-styrning
EU:s AI-förordning: klassificera era användningsfall och planera underlagen
Ett aktuellt, rollbaserat arbetssätt för att förbereda sig inför AI-förordningen, inklusive kommissionens uppdaterade tidplan, bedömning av hög risk och ansvarsfull styrning.