ISO/IEC 42001 a ISO/IEC 27001 - jak połączyć system zarządzania AI z SZBI

AI Act - ISO/IEC 42001 i system zarządzania AI

ISO/IEC 42001 a ISO/IEC 27001 - jak połączyć system zarządzania AI z SZBI

W skrócie

Firmy z certyfikatem ISO/IEC 27001, które wdrażają ISO/IEC 42001, pytają, ile pracy da się wykorzystać ponownie. Wskazujemy, co łączy obie normy, co w ISO/IEC 42001 jest nowe i jak w kilku krokach rozbudować istniejący SZBI o system zarządzania AI, z jednym rejestrem ryzyk, jednym przeglądem zarządzania i wspólnym audytem.

Jak to wygląda w praktyce

Poznański operator centrum danych od kilku lat ma certyfikowany SZBI według ISO/IEC 27001. Zespół wdrożył asystenta AI w dziale wsparcia klienta i buduje model przewidujący awarie sprzętu, a klient z sektora finansowego zapytał o certyfikat ISO/IEC 42001. Pełnomocnik SZBI pyta, czy da się rozbudować istniejący system zamiast tworzyć drugi, które dokumenty wykorzystać ponownie, co trzeba napisać od nowa i czy audyt certyfikujący może być wspólny.

Co mówią przepisy

ISO/IEC 42001:2023 stosuje wspólną strukturę norm systemów zarządzania (w oryginale harmonized structure): identyczne numery i tytuły rozdziałów, wspólny tekst oraz wspólne terminy i podstawowe definicje. Wprowadzenie normy wyjaśnia, że takie podejście ułatwia wdrożenie i spójność z innymi normami systemów zarządzania, np. dotyczącymi jakości, bezpieczeństwa i prywatności, a rozszerzenie istniejących struktur zarządzania o system zarządzania AI jest strategiczną decyzją organizacji. Załącznik D ma punkt o integracji systemu zarządzania AI z innymi normami systemów zarządzania (D.2). Rozdziały wspólnej struktury w ISO/IEC 42001 to: kontekst i zakres (4), przywództwo i polityka (5), planowanie z oceną ryzyka (6) oraz wsparcie z kompetencjami i udokumentowanymi informacjami (7). Dalej są działania operacyjne (8), ocena wyników z audytem wewnętrznym i przeglądem zarządzania (9) oraz doskonalenie z działaniami korygującymi (10). Jeżeli SZBI opiera się na normie o tej samej strukturze, różnice między systemami leżą w treści, a nie w szkielecie.

Zobacz też: Szkolenie Gotowość na AI ACT

ISO/IEC 27001:2022 (wydanie 3, z poprawką Amd 1:2024) określa wymagania dla systemu zarządzania bezpieczeństwem informacji, który zarządza ryzykiem dla poufności, integralności i dostępności danych. Według wprowadzenia do ISO/IEC 42001 organizacja ma skupić stosowanie wymagań na cechach właściwych dla AI, np. zdolności do ciągłego uczenia się albo braku przejrzystości i wyjaśnialności, które mogą wymagać innych zabezpieczeń. Elementami właściwymi dla AI są ocena wpływu systemu AI na osoby, grupy i społeczeństwo (6.1.4 i 8.4) oraz obszary zabezpieczeń z załączników A i B dotyczące systemów AI. Są to: ocena wpływu systemów AI (B.5), cykl życia systemu AI (B.6), dane dla AI, w tym ich jakość i pochodzenie (B.7), informacje dla zainteresowanych stron (B.8), wykorzystanie systemów AI (B.9) oraz relacje z dostawcami i klientami (B.10).

W katalogu Polskiego Komitetu Normalizacyjnego (PKN) ISO/IEC 27001 ma polską wersję PN-EN ISO/IEC 27001:2023-08, a ISO/IEC 42001 jest dostępna tylko po angielsku jako PN-EN ISO/IEC 42001:2026-04. Żadna z tych norm nie daje domniemania zgodności z AI Act (rozporządzenie (UE) 2024/1689, akt w sprawie sztucznej inteligencji), co wyjaśniamy w poście czy certyfikat ISO/IEC 42001 oznacza zgodność z AI Act. Jeżeli firma podlega ustawie o krajowym systemie cyberbezpieczeństwa (KSC), obowiązki z tej ustawy omawiamy w osobnym zbiorze problemów NIS2 i KSC na naszym blogu.

Co zrobić krok po kroku

1. Decyzja o zakresie. Zarząd decyduje, czy system zarządzania AI obejmie te same jednostki i lokalizacje co SZBI, i wskazuje jednego pełnomocnika dla obu systemów albo dwóch współpracujących. Dokument: uchwała z zakresem systemu zarządzania AI i podziałem ról.
2. Analiza luk rozdział po rozdziale. Pełnomocnik zestawia wymagania z rozdziałów 4-10 ISO/IEC 42001 z procedurami SZBI i przy każdym wymaganiu zaznacza: procedura istnieje i wystarczy ją rozszerzyć, wymaga zmiany albo trzeba ją napisać. Dokument: matryca powiązań z właścicielem i terminem dla każdej luki.
3. Wspólne procedury. Pełnomocnik rozszerza zakres istniejących procedur nadzoru nad dokumentacją, audytu wewnętrznego, działań korygujących i przeglądu zarządzania tak, by każda obejmowała oba systemy, zamiast pisać drugą, równoległą. Kontekst i lista zainteresowanych stron obejmują też osoby, na które wpływają systemy AI, a polityka AI (5.2) może być osobnym dokumentem powiązanym z polityką bezpieczeństwa informacji. Dokument: zaktualizowane procedury wspólne.
4. Rejestr ryzyk z kategorią AI. Właściciel metodyki oceny ryzyka rozszerza ją o ryzyka związane z AI, np. ze źródeł opisanych w załączniku C ISO/IEC 42001, i wpisuje je jako osobną kategorię tego samego rejestru ryzyk. Dokument: zaktualizowana metodyka i rejestr ryzyk.
5. Procedura oceny wpływu. Ocena wpływu systemu AI na osoby, grupy i społeczeństwo (6.1.4) wymaga osobnej procedury, bo dotyczy skutków działania systemu dla ludzi, a nie bezpieczeństwa informacji. Pomocą są wytyczne ISO/IEC 42005. Dokument: procedura i oceny wpływu dla systemów z rejestru systemów AI w firmie.
6. Zabezpieczenia z załącznika A. Zespół porównuje zabezpieczenia ISO/IEC 42001 z zabezpieczeniami SZBI. Sprawdza, które obszary, np. relacje z dostawcami (B.10) czy rejestrowanie zdarzeń przez system AI (B.6.2.8), da się połączyć z istniejącymi procedurami, a które, jak cykl życia systemu AI, dane dla AI i ocena wpływu, wymagają nowych. Kolejne etapy opisujemy w poście od czego zacząć wdrożenie ISO/IEC 42001.
7. Jeden przegląd i wspólny audyt. Przegląd zarządzania ma wspólny protokół z osobnymi punktami dla AI. Polskie Centrum Akredytacji stosuje przy akredytacji jednostek certyfikujących systemy zarządzania dokument obowiązkowy o auditach zintegrowanych systemów zarządzania (Global ACI-TECH-3-008, dawniej IAF MD 11), a dodatkowe wymagania dla certyfikacji systemów zarządzania AI określa ISO/IEC 42006:2025. Zapytaj swoją jednostkę o wspólny audyt i o akredytację w zakresie ISO/IEC 42001.

Jak sprawdzić, że sprawa jest załatwiona

Integracja jest zrobiona, gdy matryca powiązań pokazuje dla każdego wymagania ISO/IEC 42001 procedurę albo dokument i właściciela, rejestr ryzyk ma kategorię AI z ocenionymi ryzykami, a każdy system AI w zakresie ma ocenę wpływu. Dowodem, że działa jeden system, a nie dwa, są wspólny program audytu wewnętrznego obejmujący wymagania obu norm, protokół przeglądu zarządzania z punktami dla AI i działania korygujące prowadzone w jednym rejestrze. Na audyt certyfikujący przygotuj matrycę powiązań, zaktualizowane procedury i zestawienie zabezpieczeń z załącznika A z decyzjami.

Podstawa prawna i źródła

• ISO/IEC 42001:2023 Information technology - Artificial intelligence - Management system (wprowadzenie, spis treści, załączniki A-D) (źródło)
• ISO/IEC 27001:2022 Information security, cybersecurity and privacy protection - Information security management systems - Requirements (źródło)
• ISO/IEC 42005:2025 Information technology - Artificial intelligence (AI) - AI system impact assessment (źródło)
• ISO/IEC 42006:2025, wymagania dla jednostek audytujących i certyfikujących systemy zarządzania AI (źródło)
• PN-EN ISO/IEC 42001:2026-04, wersja angielska, katalog Polskiego Komitetu Normalizacyjnego (źródło)
• Polskie Centrum Akredytacji, jednostki certyfikujące systemy zarządzania (program DACS-01, dokumenty obowiązkowe) (źródło)

Stan prawny na 3 listopada 2026 r.: AI Act w brzmieniu po zmianach z rozporządzenia 2026/1744 i ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Wytyczne oraz pytania i odpowiedzi Komisji Europejskiej nie są źródłem prawa, ale pokazują, jak Komisja odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na opinii indywidualnej KRiBSI.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z AI Act i ISO 42001