ISO/IEC 42001 a AI Act – jak przygotować organizację do wymagań UE?

Autor: Karolina Orłowicz, Audytor w zespole bezpieczeństwa informacji DEKRA

12 cze 2026

Norma ISO 42001 pomaga organizacjom uporządkować zarządzanie sztuczną inteligencją. Sprawdź, jak norma wspiera przygotowanie do wymagań AI Act i jakie znaczenie może mieć dla wykazania zgodności z nowymi regulacjami.

Czym jest EU AI Act i od kiedy obowiązuje?

EU AI Act to rozporządzenie UE, które nakłada konkretne wymagania na systemy AI w Unii Europejskiej i wpływa na wymagania dotyczące jakości danych, governance oraz przejrzystości w tym regionie. Rozporządzenie weszło w życie w sierpniu 2024 roku, ale jego przepisy są stosowane etapami. Zakazane praktyki AI obowiązują od 2 lutego 2025 roku, zasady dla modeli AI ogólnego przeznaczenia od 2 sierpnia 2025 roku, a większość wymagań dla systemów wysokiego ryzyka od 2 sierpnia 2026 roku. Dla części systemów wysokiego ryzyka objętych unijnym prawodawstwem harmonizacyjnym termin ten przypada na 2 sierpnia 2027 roku.

AI Act koncentruje się na obowiązkowej zgodności, ocenach zgodności oraz zasadach przetwarzania danych, a także wprowadza wymagania dotyczące przejrzystości i raportowania.

Dla wybranych systemów AI może być wymagana rejestracja w publicznej bazie danych oraz szczegółowa dokumentacja i instrukcje użytkowania. W praktyce organizacje przygotowują się na jego pełne stosowanie w kontekście systemów wysokiego ryzyka, co wymaga uporządkowanego podejścia do zarządzania AI. ISO/IEC 42001 jest natomiast standardem systemu zarządzania AI (AIMS).

Z perspektywy praktycznej: AI Act określa co musi być spełnione regulacyjnie, a ISO/IEC 42001 porządkuje jak organizacja zarządza AI, w sposób transparentny, udokumentowany i możliwy do prześledzenia.

Systemy AI wysokiego ryzyka - które organizacje są dotknięte?

EU AI Act koncentruje się szczególnie na systemach AI wysokiego ryzyka. W tym obszarze organizacje muszą zapewnić m.in.:

zarządzanie ryzykiem,
system zarządzania jakością,
monitorowanie systemów po wdrożeniu.

Nie definiuje się tego wyłącznie przez branżę, ale przez kontekst zastosowania i potencjalny wpływ systemu.

Wysokie ryzyko nie zależy wyłącznie od branży, ale przede wszystkim od zastosowania systemu AI. AI Act wskazuje m.in. takie obszary jak biometria, infrastruktura krytyczna, edukacja, zatrudnienie, dostęp do podstawowych usług prywatnych i publicznych czy egzekwowanie prawa.

W praktyce oznacza to konieczność odpowiedzi na kluczowe pytania:

jak zapewnić przejrzystość działania systemów AI?
jakie ryzyka należy identyfikować i kontrolować?
jak udokumentować zgodność z wymaganiami regulacyjnymi?

Jak certyfikacja ISO/IEC 42001 wspiera wymagania AI Act?

Norma ISO/IEC 42001 nie zastępuje EU AI Act, ale stanowi fundament organizacyjny dla jego wdrożenia.
Przykład: Organizacja z sektora finansowego wdrożyła system AI do oceny zdolności kredytowej klientów. System działał poprawnie operacyjnie, jednak w weryfikacji jego zgodności do przepisów AI ACT zidentyfikowano istotne luki:

brak pełnej dokumentacji działania modelu,
niewystarczające informacje dla użytkowników końcowych (przejrzystość),
brak formalnego procesu monitorowania po wdrożeniu.

Wdrożenie uporządkowanego podejścia opartego o normę ISO/IEC 42001 pozwala uporządkować dokumentację, wdrożyć proces zarządzania ryzykiem, przygotować organizację do oceny zgodności.

Karolina Orłowicz - Zygadło, Audytor w Zespole Certyfikacji Bezpieczeństwa Informacji DEKRA

Mapowanie kluczowych obszarów:

Wymaganie AI Act	Wsparcie poprzez certyfikację ISO 42001
Zarządzanie ryzykiem dla systemów wysokiego ryzyka	Ustrukturyzowane procesy identyfikacji, analizy, oceny i postępowania z ryzykiem
System zarządzania jakością (art. 17)	Udokumentowany system zarządzania (AIMS), integracja z ISO 9001, kontrola procesów
Monitorowanie po wdrożeniu	System monitorowania, analiza danych, działania korygujące
Dokumentacja i instrukcje	Udokumentowane procesy, rejestry, możliwość prześledzenia działań
Przejrzystość i raportowanie	Governance, przypisanie odpowiedzialności, przeglądy i monitoring

Kluczowe różnice pomiędzy ISO/IEC 42001 a EU AI Act, które organizacja powinna uwzględnić:

1. Podejście do ryzyka
AI Act koncentruje się głównie na ryzykach dla zdrowia, bezpieczeństwa i praw podstawowych obywateli. ISO/IEC 42001 obejmuje także ryzyka i szanse z perspektywy samej organizacji, w tym ryzyka biznesowe, operacyjne i finansowe..
2. Charakter regulacji vs standardu
AI Act to regulacja o charakterze „bezpieczeństwa produktu”, skupiona na systemie AI jako produkcie wprowadzanym na rynek. ISO/IEC 42001 to system zarządzania - obejmuje organizację, procesy i sposób działania.
3. Cele organizacyjne
Norma ISO 42001 uwzględnia cele organizacyjne jako część systemu zarządzania. AI Act nie buduje zgodności wokół celów biznesowych - koncentruje się na spełnieniu wymagań regulacyjnych.

Certyfikacja ISO 42001 jako element wykazania należytej staranności

Certyfikacja ISO/IEC 42001 stanowi niezależne potwierdzenie wdrożenia systemowego podejścia, że organizacja:

zarządza AI w sposób systemowy,
posiada udokumentowane procesy,
ma przypisane role i odpowiedzialności,
nadzoruje cykl życia systemów AI.

Certyfikacja nie oznacza automatycznej zgodności z EU AI Act. Może jednak stanowić silny dowód, że organizacja działa w sposób uporządkowany, kontrolowany i zgodny z zasadą należytej staranności.

Co grozi za brak zgodności z AI Act i brak systemowego zarządzania AI

Brak uporządkowanego podejścia do zarządzania AI prowadzi do istotnych ryzyk:

sankcji prawnych i grzywien,
problemów z dostępem do rynku,
awarii systemów i spadku efektywności,
koniecznością wycofania systemów AI,
naruszeń bezpieczeństwa i danych.
utraty reputacji i zaufania.

Chcesz uporządkować zarządzanie AI i przygotować organizację na wymagania regulacyjne? Poznaj proces certyfikacji ISO 42001 w DEKRA!