Wdrożenie ISO/IEC 42001 - od czego zacząć system zarządzania AI

AI Act - ISO/IEC 42001 i system zarządzania AI

Wdrożenie ISO/IEC 42001 - od czego zacząć system zarządzania AI

W skrócie

Wdrożenie ISO/IEC 42001 zaczyna się zwykle od pytania, od którego rozdziału normy ruszyć i jakie dokumenty pokazać zarządowi na początku. Przedstawiamy strukturę normy, kolejność pierwszych etapów z dokumentem na wyjściu każdego z nich i normy pomocnicze, które ułatwiają ocenę ryzyka i ocenę wpływu systemów AI.

Jak to wygląda w praktyce

Twórca platformy e-learningowej z Gliwic dodał do niej moduły AI, a duzi klienci zaczęli pytać, jak firma nimi zarządza. Zarząd zdecydował o systemie zarządzania AI według ISO/IEC 42001 i wyznaczył pełnomocnika. Pełnomocnik ma normę w wersji angielskiej, kilka szablonów z internetu i pytanie zarządu: od czego zacząć, kogo zaangażować i jakie dokumenty mają powstać, zanim firma zaprosi audytora.

Co mówią przepisy

ISO/IEC 42001:2023 (wydanie 1, opublikowane w grudniu 2023 r.) określa wymagania dotyczące ustanowienia, wdrożenia, utrzymania i ciągłego doskonalenia systemu zarządzania AI w organizacji, która dostarcza lub wykorzystuje produkty albo usługi oparte na systemach AI, niezależnie od jej wielkości. W PKN norma jest dostępna jako PN-EN ISO/IEC 42001:2026-04 wyłącznie w wersji angielskiej, z polskim tytułem „Technika informatyczna - Sztuczna inteligencja - System zarządzania”. Nie jest normą zharmonizowaną z AI Act i nie daje domniemania zgodności z tym rozporządzeniem, co rozwijamy w poście czy certyfikat ISO/IEC 42001 oznacza zgodność z AI Act.

Norma stosuje wspólną strukturę norm systemów zarządzania. Rozdział 4 to kontekst organizacji i zakres systemu, 5 przywództwo z polityką AI (5.2) i rolami (5.3), a 6 planowanie z oceną ryzyka AI (6.1.2), postępowaniem z ryzykiem (6.1.3) i oceną wpływu systemu AI (6.1.4). Rozdział 7 obejmuje wsparcie, w tym kompetencje (7.2) i udokumentowane informacje (7.5), 8 działania operacyjne, 9 ocenę wyników z audytem wewnętrznym (9.2) i przeglądem zarządzania (9.3), a 10 doskonalenie. Załącznik A zawiera cele zabezpieczeń i zabezpieczenia, załącznik B wytyczne do ich wdrożenia w dziewięciu obszarach, od polityk AI przez cykl życia systemu i dane dla AI po relacje z dostawcami i klientami. Załącznik C opisuje potencjalne cele organizacji i źródła ryzyka związane z AI, a załącznik D stosowanie systemu w różnych sektorach.

Zobacz też: Szkolenie Gotowość na AI ACT

Wprowadzenie normy zaznacza, że kolejność wymagań nie oznacza kolejności wdrażania i że organizacja może łączyć ogólnie przyjęte ramy, inne normy międzynarodowe i własne doświadczenie. Dwie normy pomocnicze ułatwiają ocenę ryzyka i ocenę wpływu: ISO/IEC 23894:2023 o zarządzaniu ryzykiem związanym z AI (w PKN także w wersji polskiej jako PN-EN ISO/IEC 23894:2024-07) i ISO/IEC 42005:2025 o ocenie wpływu systemów AI na osoby, grupy i społeczeństwo. Certyfikacja jest osobną decyzją firmy, a dodatkowe wymagania dla jednostek, które audytują i certyfikują systemy zarządzania AI, określa ISO/IEC 42006:2025.

Co zrobić krok po kroku

1. Zakres i kontekst. Pełnomocnik z zarządem ustala, które spółki, produkty i procesy obejmuje system i jaką rolę firma pełni wobec systemów AI (dostawca, podmiot stosujący albo obie). Ustala też wymagania zewnętrzne do uwzględnienia (rozdział 4 normy): AI Act, a u dostawcy systemu wysokiego ryzyka także system zarządzania jakością z art. 17, RODO (rozporządzenie (UE) 2016/679) i umowy z klientami. Dokument: opis kontekstu i zakresu zatwierdzony przez zarząd.
2. Spis systemów AI. Bez listy systemów nie da się ustalić zakresu ani ocenić ryzyka. Zespół korzysta z rejestru systemów AI w firmie albo tworzy go od zera, z rolą firmy, przeznaczeniem i danymi każdego systemu. Dokument: rejestr systemów AI objętych zakresem.
3. Polityka AI i role. Zarząd zatwierdza politykę AI (5.2), która wyznacza kierunek i cele, oraz przypisuje role i uprawnienia (5.3), w tym właścicieli systemów AI. Politykę normy łatwo połączyć z zasadami dla pracowników opisanymi w poście o polityce korzystania z AI w firmie. Dokument: polityka AI i macierz ról.
4. Metodyka oceny ryzyka. Zespół ustala, jak oceniać ryzyko związane z AI i jak z nim postępować (6.1.2 i 6.1.3), korzystając z wytycznych ISO/IEC 23894 i źródeł ryzyka z załącznika C. Dokument: metodyka oceny ryzyka AI oraz rejestr ryzyk z planem postępowania.
5. Ocena wpływu systemów AI. Dla każdego systemu w zakresie zespół ocenia możliwy wpływ na osoby, grupy i społeczeństwo (6.1.4), korzystając z wytycznych ISO/IEC 42005. Dokument: oceny wpływu z datą i właścicielem, aktualizowane przy zmianie systemu.
6. Zabezpieczenia z załącznika A. Na podstawie oceny ryzyka i oceny wpływu zespół przechodzi przez zabezpieczenia z załącznika A i przy każdym zapisuje decyzję o zastosowaniu, uzasadnienie i właściciela. Dokument: zestawienie zabezpieczeń z decyzjami i planem wdrożenia.
7. Kompetencje, audyt i przegląd. Kadry planują kompetencje dla ról (7.2) i łączą je z działaniami z art. 4 AI Act. Po pierwszym okresie działania systemu audytor wewnętrzny sprawdza go według programu audytu (9.2), a zarząd przeprowadza przegląd zarządzania (9.3). Dokumenty: program i raport z audytu, protokół z przeglądu, plan działań korygujących (10.2).

Jak sprawdzić, że sprawa jest załatwiona

Pierwszy etap jest zamknięty, gdy zarząd zatwierdził zakres, politykę AI i macierz ról, każdy system w zakresie ma ocenę ryzyka i ocenę wpływu, a zestawienie zabezpieczeń z załącznika A ma decyzję i właściciela przy każdej pozycji. System działa, gdy firma ma za sobą co najmniej jeden pełny cykl: audyt wewnętrzny z raportem, przegląd zarządzania z protokołem i działania korygujące zamknięte albo zaplanowane z terminem. Te same dokumenty z datami i zatwierdzeniami pokażesz jednostce certyfikującej i klientom w ankietach dostawcy. Podczas kontroli KRiBSI (Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji) mogą posłużyć jako dowód wdrożonych środków organizacyjnych.

Podstawa prawna i źródła

• ISO/IEC 42001:2023 Information technology - Artificial intelligence - Management system (spis treści i części informacyjne) (źródło)
• PN-EN ISO/IEC 42001:2026-04, wersja angielska, katalog Polskiego Komitetu Normalizacyjnego (źródło)
• ISO/IEC 23894:2023 Information technology - Artificial intelligence - Guidance on risk management (źródło)
• ISO/IEC 42005:2025 Information technology - Artificial intelligence (AI) - AI system impact assessment (źródło)
• ISO/IEC 42006:2025, wymagania dla jednostek audytujących i certyfikujących systemy zarządzania AI (źródło)
• art. 4, art. 17 i art. 40 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act) w brzmieniu po zmianach z rozporządzenia (UE) 2026/1744 (źródło)

Stan prawny na 3 listopada 2026 r.: AI Act w brzmieniu po zmianach z rozporządzenia 2026/1744 i ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Wytyczne oraz pytania i odpowiedzi Komisji Europejskiej nie są źródłem prawa, ale pokazują, jak Komisja odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na opinii indywidualnej KRiBSI.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z AI Act i ISO 42001