Czy certyfikat ISO/IEC 42001 oznacza zgodność z AI Act

AI Act - ISO/IEC 42001 i system zarządzania AI

Czy certyfikat ISO/IEC 42001 oznacza zgodność z AI Act

W skrócie

O to, czy certyfikat ISO/IEC 42001 oznacza zgodność z AI Act, pytają zarządy przed certyfikacją, klienci w ankietach i zamawiający w przetargach. Sprawdzamy, co rozporządzenie mówi o normach, jaki status ma ISO/IEC 42001 po publikacji pierwszej normy zharmonizowanej i czego certyfikat nie zastąpi.

Jak to wygląda w praktyce

Dostawca oprogramowania bankowego z Wrocławia rozwija moduł AI do oceny zdolności kredytowej klientów. Firma doradcza proponuje zarządowi certyfikację ISO/IEC 42001 jako „pełną zgodność z AI Act”. Bank w ankiecie dostawcy pyta jednocześnie o certyfikat i o plan oceny zgodności systemu wysokiego ryzyka. Prezes chce wiedzieć, czy certyfikat zamyka temat AI Act i czy wystarczy go pokazać podczas kontroli KRiBSI (Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji).

Co mówią przepisy

Normy zharmonizowane, „do których odniesienia opublikowano w Dzienniku Urzędowym Unii Europejskiej”, dają domniemanie spełnienia wymogów z sekcji 2 rozdziału III (art. 8-15) i obowiązków dostawców modeli AI ogólnego przeznaczenia, w zakresie, w jakim je obejmują (art. 40 ust. 1). Domniemanie dają też wspólne specyfikacje przyjęte przez Komisję (art. 41 ust. 3) i szczególne przypadki z art. 42. Rozporządzenie nie wymienia konkretnych norm, a oznaczenie „42001” nie pada ani w AI Act, ani w ustawie o systemach sztucznej inteligencji. Decyzją wykonawczą (UE) 2026/2274 z 12 października 2026 r. Komisja Europejska opublikowała odniesienie do jednej normy: EN 18286:2026 „AI - system zarządzania jakością do celów regulacyjnych unijnego aktu w sprawie AI”. Komisja wyjaśnia, że dostawcy stosujący EN 18286 korzystają z domniemania zgodności z wymogami art. 17 objętymi normą i że to jedyna norma systemu zarządzania jakością AI z takim domniemaniem. Art. 17 nie należy do sekcji 2, więc to domniemanie opisujemy za Komisją. Normę zaprojektowano do nałożenia na istniejące normy, takie jak ISO/IEC 42001, a nie do ich zastąpienia.

ISO/IEC 42001 nie jest normą zharmonizowaną. Europejski Komitet Normalizacyjny (CEN) opublikował ją jako EN ISO/IEC 42001:2026 (18 marca 2026 r.), a Polski Komitet Normalizacyjny (PKN) jako PN-EN ISO/IEC 42001:2026-04, ale w Dzienniku Urzędowym UE nie ma do niej odniesienia. Komisja podkreśla też, że stosowanie norm jest dobrowolne, a dostawca może wykazać zgodność w inny sposób.

Zobacz też: Szkolenie Gotowość na AI ACT

Zgodność systemu wysokiego ryzyka dostawca wykazuje w procedurze z AI Act: ocena zgodności (art. 43), deklaracja zgodności UE (art. 47) i oznakowanie CE (art. 48), a system z załącznika III rejestruje w bazie UE (art. 49). Dla systemów z załącznika III pkt 2-8, w tym oceny zdolności kredytowej, ocena zgodności to kontrola wewnętrzna bez udziału jednostki notyfikowanej (art. 43 ust. 2). Certyfikaty, o których mówi art. 44 AI Act, wydaje jednostka notyfikowana w procedurze oceny zgodności z załącznika VII, a nie w ramach certyfikacji systemu zarządzania. Podmiot stosujący ma własne obowiązki z art. 26, a dostawcy i podmioty stosujące także obowiązki z art. 4, zakazy z art. 5 i, przy określonych systemach, obowiązki przejrzystości z art. 50.

W kontroli KRiBSI kontrolujący ustala stan faktyczny na podstawie zebranych dowodów (art. 53 ust. 1 ustawy). Przy wymiarze kary uwzględnia się m.in. stopień odpowiedzialności operatora z uwzględnieniem wdrożonych środków technicznych i organizacyjnych (art. 99 ust. 7 lit. g AI Act). Działający system zarządzania AI może być dowodem takich środków. Norma obejmuje m.in. ocenę ryzyka AI, ocenę wpływu systemu AI, kompetencje, audyt wewnętrzny i przegląd zarządzania.

Co zrobić krok po kroku

1. Rola firmy dla każdego systemu. Właściciel rejestru systemów AI ustala dla każdego systemu, czy firma jest dostawcą, czy podmiotem stosującym, i czy system może być wysokiego ryzyka (więcej w poście dostawca czy podmiot stosujący). Dokument: zestawienie systemów z rolą i kategorią.
2. Mapa obowiązków AI Act. Osoba od compliance rozpisuje obowiązki dla każdej pary system i rola: art. 4, 5 i 50, a przy wysokim ryzyku m.in. art. 8-17, 43 i 47-49 dla dostawcy albo art. 26, a w części przypadków 27, dla podmiotu stosującego. Przy każdym wierszu wpisuje datę stosowania. Art. 8-17 i 26 stosuje się od 2 grudnia 2027 r. (załącznik III) albo od 2 sierpnia 2028 r. (załącznik I), a art. 27, dotyczący tylko części systemów z załącznika III, od 2 grudnia 2027 r. Art. 43-49 należą do sekcji stosowanej formalnie od 2 sierpnia 2026 r., więc ich praktyczny początek jest niejasny i warto go oznaczyć. Dokument: mapa obowiązków z właścicielem i terminem.
3. Decyzja o certyfikacji. Zarząd zapisuje w notatce, po co firmie ISO/IEC 42001: wymagania klientów i przetargów, uporządkowanie zarządzania AI, podstawa pod przyszły system zarządzania jakością. Celem w notatce nie jest „zgodność z AI Act”, bo norma jej nie zapewnia.
4. Dostawca systemu wysokiego ryzyka. Firma dostarczająca system wysokiego ryzyka planuje system zarządzania jakością z art. 17 i ocenia, czy oprzeć go na EN 18286:2026, samodzielnie albo nałożonej na ISO/IEC 42001 lub inny system zarządzania jakością. Dokument: plan systemu zarządzania jakością z odesłaniem do wymagań art. 17 ust. 1 lit. a-m.
5. Mapowanie normy na przepisy. Przy wdrożeniu (zob. od czego zacząć wdrożenie ISO/IEC 42001) każdy wiersz mapy obowiązków dostaje procedurę albo dokument z systemu zarządzania AI i dowód wykonania. Wiersze bez odpowiednika w normie, np. ocena zgodności, deklaracja UE, rejestracja czy obowiązki informacyjne z art. 50, zostają osobnymi zadaniami.
6. Wybór jednostki certyfikującej. Osoba od compliance pyta jednostki certyfikujące o zakres certyfikatu (jednostki organizacyjne i systemy AI) i o akredytację w zakresie ISO/IEC 42001. Dodatkowe wymagania dla jednostek, które audytują i certyfikują systemy zarządzania AI, określa ISO/IEC 42006:2025.
7. Komunikacja na zewnątrz. Dział sprzedaży opisuje w ofertach, ankietach i odpowiedziach na przetargi certyfikat systemu zarządzania AI według ISO/IEC 42001, a zgodność z AI Act wykazuje mapą obowiązków i dokumentami z kroku piątego.

Jak sprawdzić, że sprawa jest załatwiona

Notatka zarządu o certyfikacji podaje cel, który norma rzeczywiście realizuje, a mapa obowiązków AI Act obejmuje każdy system i w każdym wierszu ma właściciela, termin i dowód. Kontrolującym z KRiBSI i klientom firma pokazuje certyfikat z zakresem, raport z audytu certyfikującego i mapę obowiązków z odesłaniami do procedur, a przy systemach wysokiego ryzyka także dokumentację oceny zgodności i deklarację zgodności UE.

Podstawa prawna i źródła

• art. 17, art. 40 ust. 1, art. 43, art. 44, art. 47-49 i art. 99 ust. 7 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act) w brzmieniu po zmianach z rozporządzenia (UE) 2026/1744 (źródło)
• decyzja wykonawcza Komisji (UE) 2026/2274 z dnia 12 października 2026 r. w sprawie norm zharmonizowanych dotyczących systemów AI wysokiego ryzyka (EN 18286:2026) (źródło)
• Komisja Europejska, komunikat o pierwszej normie zharmonizowanej wspierającej AI Act (źródło)
• art. 53 ustawy z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) (źródło)
• ISO/IEC 42001:2023 Information technology - Artificial intelligence - Management system (źródło)
• ISO/IEC 42006:2025, wymagania dla jednostek audytujących i certyfikujących systemy zarządzania AI (źródło)

Stan prawny na 3 listopada 2026 r.: AI Act w brzmieniu po zmianach z rozporządzenia 2026/1744 i ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Wytyczne oraz pytania i odpowiedzi Komisji Europejskiej nie są źródłem prawa, ale pokazują, jak Komisja odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na opinii indywidualnej KRiBSI.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z AI Act i ISO 42001