Certyfikat ISO/IEC 42001 sam w sobie nie potwierdza, że konkretny system AI spełnia wymogi unijnego AI Act. Obejmuje system zarządzania sztuczną inteligencją w organizacji i w określonym zakresie. Osobno trzeba ustalić, jakie obowiązki dotyczą danego systemu oraz jego klasyfikacji jako systemu wysokiego ryzyka.
Co obejmuje certyfikat ISO/IEC 42001
ISO/IEC 42001:2023 to dobrowolna norma, według której organizacja może certyfikować swój system zarządzania AI (AIMS). Certyfikat dotyczy tego systemu w określonym zakresie. Nie jest zatwierdzeniem ani oceną zgodności konkretnego modelu czy produktu AI. Tak rozróżnienie przedstawia FinTech Global, które wskazuje też, że sama norma nie daje domniemania zgodności z art. 40 AI Act.
W praktyce AIMS porządkuje sposób zarządzania AI w organizacji. FinTech Global opisuje wymagania audytowalne w punktach 4–10 normy oraz 38 zabezpieczeń w załączniku A, pogrupowanych według dziewięciu celów. Organizacja zapisuje w deklaracji stosowania, które zabezpieczenia przyjęła, a które wyłączyła, wraz z uzasadnieniem.
Ten sam opis wskazuje na ocenę wpływu systemu AI: ma ona uwzględniać skutki dla osób, grup i społeczeństwa, a organizacja powinna do niej wracać w zaplanowanych odstępach oraz po istotnych zmianach. Są to elementy zarządzania ryzykiem i wpływem, nie zastępstwo oceny obowiązków prawnych konkretnego systemu.
Jakich systemów dotyczą terminy z 2027 i 2028 roku
Rozporządzenie (UE) 2026/1744 przypisuje dwie daty stosowania przepisów z rozdziału III, sekcji 1–3 do odrębnych ścieżek klasyfikacji systemów wysokiego ryzyka. Daty i zakres określają tekst rozporządzenia w EUR-Lex oraz art. 113 AI Act w serwisie Komisji Europejskiej.
| Klasyfikacja systemu wysokiego ryzyka | Podstawa prawna | Objęte przepisy | Stosowanie od |
| System sklasyfikowany na podstawie art. 6 ust. 2 i załącznika III | Art. 6 ust. 2, załącznik III | Rozdział III, sekcje 1–3 | 2 grudnia 2027 r. |
| System sklasyfikowany na podstawie art. 6 ust. 1 i załącznika I | Art. 6 ust. 1, załącznik I | Rozdział III, sekcje 1–3 | 2 sierpnia 2028 r. |
Terminy zależą więc od ścieżki klasyfikacji, a nie od posiadania certyfikatu ISO. Nie wyznaczają też jednej daty dla wszystkich obowiązków AI Act. Art. 113 przewiduje odrębne terminy, w tym 2 sierpnia 2026 r. dla ogólnego stosowania rozporządzenia oraz 2 lutego 2025 r. dla przepisów o kompetencjach w zakresie AI.
W czym pomaga AIMS, a co trzeba ocenić osobno
Zarządzanie ryzykiem, ład danych i nadzór człowieka to obszary, które według FinTech Global częściowo pokrywają się z tematami regulowanymi przez AI Act. Zbudowany system zarządzania może zatem dać organizacji procesy i dokumentację przydatne w pracy nad zgodnością. Nie zastępuje jednak oceny wymagań odnoszących się do konkretnego systemu i roli, jaką organizacja pełni wobec niego.
FinTech Global wymienia wśród odrębnych procedur między innymi ocenę zgodności, oznakowanie CE, rejestrację w unijnej bazie danych, dokumentację techniczną z załącznika IV oraz obowiązki dotyczące terminów zgłaszania poważnych incydentów. Certyfikat systemu zarządzania nie wykonuje tych czynności za organizację.
Traktuj certyfikat jako potwierdzenie uporządkowanego zarządzania AI w określonym zakresie, a nie jako automatyczne potwierdzenie zgodności każdego systemu używanego przez organizację.
