Certyfikacja ISO 42001: przebieg i koszty

Certyfikacja ISO 42001 potwierdza, że organizacja prowadzi skuteczny system zarządzania AI (ang. Artificial Intelligence Management System, AIMS) zgodny z ISO/IEC 42001:2023. Akredytowana jednostka certyfikująca sprawdza w dwuetapowym audycie, czy polityki, procesy, role oraz oceny ryzyka i skutków spełniają wymagania normy. Certyfikat jest ważny trzy lata.

Ważne na wstępie: certyfikacji podlega system zarządzania, a nie pojedynczy system czy model AI. Popularne stwierdzenie „nasza AI ma certyfikat ISO 42001” to uproszczenie, które może wprowadzać w błąd. Poprawnie brzmi to tak: „AIMS organizacji X ma certyfikat zgodności z ISO/IEC 42001:2023 w zakresie Y (zgodnie z Deklaracją stosowania w wersji Z)”.

Trzy szybkie odpowiedzi:

• Przebieg: analiza luk → budowa AIMS (polityka, ocena ryzyka i skutków, środki kontroli z Załącznika A) → działanie operacyjne z dowodami → audyt wewnętrzny + przegląd zarządzania → zewnętrzny audyt etapu 1 i etapu 2 → certyfikat (3 lata).
• Czas trwania: 6-12 miesięcy przy istniejącym ISO 27001/9001, 9-18 miesięcy przy starcie od zera. Zewnętrzny etap 1: 1-3 dni, etap 2: 3-10 dni.
• Koszty: 50-150 tys. EUR w firmie średniej wielkości z regionu DACH (Niemcy, Austria, Szwajcaria), która jest podmiotem stosującym AI (500-2000 pracowników, stan na 2026 r.); największą pozycję stanowią doradztwo i budowa systemu, a nie opłaty za audyt.

Proces certyfikacji krok po kroku

ISO/IEC 42001:2023 opiera się na strukturze wysokiego poziomu z Annex SL, podobnie jak ISO 9001, ISO 14001 i ISO/IEC 27001. Certyfikację przeprowadza akredytowana jednostka certyfikująca (Certification Body, CB), działająca zgodnie z ISO/IEC 17021-1, a od 2025 r. także zgodnie ze specyficznym dla AI uzupełnieniem ISO/IEC 42006:2025. Proces dzieli się na fazę przygotowań po stronie organizacji i audyt zewnętrzny.

1. Analiza luk (readiness assessment)

Punktem wyjścia jest porównanie stanu obecnego z wymaganiami rozdziałów 4-10 normy i Załącznika A. Na tym etapie powstaje lub zostaje zaktualizowana inwentaryzacja AI (rejestr agentów/AI), wszystkie systemy AI objęte zakresem otrzymują klasyfikację ryzyka, a na koniec powstaje raport luk z poziomami istotności i osobami odpowiedzialnymi. Ten krok trwa zwykle 4-8 tygodni.

2. Budowa AIMS

Tu powstaje właściwa treść systemu. Jego rdzeniem jest polityka AI zatwierdzona przez najwyższe kierownictwo (punkt 5.2 / Załącznik A.2.2), uzupełniona o pięć do siedmiu procedur wspierających: zarządzanie ryzykiem AI, ocenę skutków AI, cykl życia AI, zarządzanie danymi na potrzeby AI, procedurę dotyczącą dostawców oraz reagowanie na incydenty AI. Równolegle wdraża się w praktyce mające zastosowanie środki kontroli z Załącznika A (9 obszarów kontroli, 38 środków kontroli). Dla operatorów agentów szczególnie istotne są A.4 (zasoby systemów AI; ich dokumentacja nadaje się na podstawę rejestru AI), A.5 (ocena skutków), A.6.2.8 (rejestrowanie zdarzeń), A.7 (pochodzenie danych) i A.10 (dostawcy). Całość zamyka Deklaracja stosowania (SoA), która każdy środek kontroli z Załącznika A oznacza jako „mający zastosowanie” lub „niemający zastosowania”, wraz z uzasadnieniem opartym na ryzyku. SoA to dokument najczęściej sprawdzany podczas audytu; jego wersja i data są podawane na certyfikacie. Na przykład certyfikat ISO 42001 firmy SAP SE wskazywał początkowo SoA w wersji 1.4 z 28 lipca 2025 r., a po aktualizacji wersję 1.5 z 10 marca 2026 r.

3. Działanie operacyjne

AIMS musi działać, a nie tylko istnieć na papierze. Przed zewnętrznym audytem etapu 2 oczekuje się 3-6 miesięcy dowodów działania: analiz z monitoringu, logów incydentów, dowodów zmian i szkoleń, ocen dostawców. Najczęstsze ustalenie na etapie 1 brzmi „dokumentacja bez działania”, czyli ładne dokumenty, ale brak dowodów funkcjonowania.

4. Audyt wewnętrzny i przegląd zarządzania

Punkt 9.2 wymaga audytu wewnętrznego opartego na ryzyku, obejmującego wszystkie punkty normy i mające zastosowanie środki kontroli z Załącznika A. Przed zewnętrznym audytem etapu 2 oczekuje się co najmniej jednego pełnego cyklu audytów wewnętrznych; audytorzy wewnętrzni muszą być niezależni od audytowanych działań. Następnie najwyższe kierownictwo przeprowadza przegląd zarządzania zgodnie z punktem 9.3, z obowiązkowymi danymi wejściowymi (wyniki audytów, niezgodności, realizacja celów, informacje zwrotne od klientów) i obowiązkowymi danymi wyjściowymi (decyzje dotyczące doskonalenia, zmian i zasobów). Protokoły same w sobie stanowią dowód audytowy.

5. Zewnętrzny audyt etapu 1

Jednostka certyfikująca sprawdza, głównie na podstawie dokumentów, czy dokumentacja AIMS (zakres, polityka, cele, SoA, metodyka oceny ryzyka, proces oceny skutków, audyt wewnętrzny, przegląd zarządzania) jest dostępna i czy organizacja jest gotowa do etapu 2. Czas trwania w firmach średniej wielkości: 1-3 dni. Ustalenia zwykle usuwa się w ciągu kilku dni; większe luki opóźniają etap 2.

6. Zewnętrzny audyt etapu 2 (audyt główny)

Audyt operacyjny odbywa się na miejscu lub w formule hybrydowej. Audytor pobiera próbki dla każdej pozycji SoA, przeprowadza wywiady z osobami odpowiedzialnymi za środki kontroli (najwyższe kierownictwo, pełnomocnik ds. AI, właściciele systemów, data stewardzi, lider MLOps, inspektor ochrony danych, CISO) i sprawdza, czy AIMS działa skutecznie. Czas trwania: 3-10 dni, w zależności od wielkości, złożoności zakresu i liczby systemów AI. Ustalenia klasyfikuje się jako niezgodności duże (do zamknięcia przed certyfikacją, zwykle w ciągu 90 dni), niezgodności małe (plan działań korygujących po audycie) i możliwości doskonalenia (OFI).

7. Decyzja o certyfikacji

O certyfikacji decyduje weryfikator jednostki certyfikującej, niezależny od audytorów wiodących. Okres ważności wynosi trzy lata.

8. Audyty nadzoru i recertyfikacja

Coroczne audyty nadzoru (surveillance) w węższym zakresie sprawdzają kluczowe środki kontroli, zmiany od ostatniego audytu, realizację celów i postęp działań korygujących (zwykle 1-4 dni). Na koniec trzyletniego cyklu przeprowadza się audyt recertyfikacyjny, porównywalny z pierwotnym etapem 2, ale z uwzględnieniem historii AIMS.

Tabela: fazy, działania, czas trwania

Obserwowany rozkład nakładu pracy na rozdziały normy: rozdział 6 + rozdział 8 + Załącznik A (rdzeń dotyczący ryzyka, skutków i działania) to około 60%, rozdziały 4 + 5 około 15%, rozdział 7 około 10%, rozdziały 9 + 10 około 15%.

Nakład pracy, koszty i role

Rozpiętość kosztów zależy w dużej mierze od punktu wyjścia i zakresu. Poniższe wartości (stan na 2026 r., zestawione na podstawie danych Schellman, BSI Group, A-LIGN, DNV, Vanta, reconn.io oraz studium przypadku Modulos, w EUR dla regionu DACH) mają charakter orientacyjny:

Same opłaty za zewnętrzny audyt (etap 1 + etap 2) wynoszą w firmach średniej wielkości 20-60 tys. EUR, a w dużych przedsiębiorstwach 50-150 tys. EUR i więcej; każdy audyt nadzoru to dodatkowo około 25-40%. Największą pojedynczą pozycją jest zazwyczaj doradztwo (analiza luk, budowa AIMS, audyt wewnętrzny).

Role: Kluczową funkcję pełni menedżer AIMS lub pełnomocnik ds. AI jako kierownik projektu. ISO 42001 nie wymaga jednego konkretnego stanowiska „AI Officer”; w firmach średniej wielkości w regionie DACH tę rolę często łączy się z funkcją CISO lub inspektora ochrony danych. W proces zaangażowane są też najwyższe kierownictwo (rozliczalność, zatwierdzanie polityki i SoA), lider MLOps, właściciele produktów systemów AI, dział zakupów (dostawcy, A.10.3) oraz HR/szkolenia (kompetencje zgodnie z pkt 7.2).

Konkretny przykład: firma średniej wielkości stosująca AI

Firma średniej wielkości z regionu DACH zatrudniająca 800 pracowników, z certyfikatem ISO 9001, ale bez SZBI, korzysta z pięciu aplikacji AI (agent obsługi klienta, asystent wiedzy, copilot sprzedażowy, wyszukiwarka wewnętrzna, agent do dokumentów HR). Przy łącznym budżecie około 100 tys. EUR nakład pracy rozkłada się zwykle następująco:

• Analiza luk: 10% (10 tys. EUR)
• Budowa polityk i procesów: 25% (25 tys. EUR)
• Wdrożenie Załącznika A (operacyjne): 30% (30 tys. EUR)
• Audyt wewnętrzny + działania naprawcze: 10% (10 tys. EUR)
• Opłaty za audyt zewnętrzny: 20% (20 tys. EUR)
• Rezerwa: 5% (5 tys. EUR)

Rekomendacja dla pierwszej certyfikacji: wybierz wąski zakres („Eksploatacja agentów AI dla [zdefiniowanego zestawu funkcji]”) i rozszerz go przy recertyfikacji. Wyjątkowo szybkim przypadkiem jest Xayn (Niemcy), który według doniesień SGS uzyskał certyfikat w ciągu około czterech tygodni. Udało się to tylko dlatego, że merytoryczne elementy AIMS (polityki, rejestr ryzyk, przegląd cyklu życia, monitoring) były w dużej mierze gotowe przed startem projektu.

Akredytowane jednostki w regionie DACH

W regionie DACH działają m.in. TÜV SÜD (pierwszy certyfikat ISO 42001 wydany przez TÜV SÜD w Europie, Unique AG, kwiecień 2025), TÜV Rheinland, TÜV Austria z działem TRUSTIFAI, TÜV Nord, DEKRA, DQS, BSI Group oraz SGS (pierwszy niemiecki certyfikat, Xayn). Jednostkami akredytującymi są DAkkS (Niemcy), Akkreditierung Austria (Austria) i SAS (Szwajcaria), wzajemnie uznawane w ramach IAF MLA. Uwaga dotycząca należytej staranności: jednostka, która reklamuje się hasłem „certyfikacja ISO 42001”, powinna móc wykazać konkretny zakres akredytacji i dostosowanie do ISO/IEC 42006:2025. Według stanu na 2026 r. akredytacja nie jest jeszcze ujednolicona, a niektóre CB działają w ramach schematów przejściowych.

Uwaga: ten artykuł ma charakter merytorycznej orientacji i nie stanowi porady prawnej. Pojęcia prawne, numery artykułów i terminy (np. dotyczące AI Act, oceny skutków dla ochrony danych zgodnie z RODO lub oceny skutków dla praw podstawowych) należy w konkretnym przypadku zweryfikować z wykwalifikowanym doradcą prawnym. Dotyczy to również stanu normalizacji: jako pierwszą normę wdrażającą AI Act CEN-CENELEC opublikował EN 18286:2026 dotyczącą systemu zarządzania jakością.

Dla agencji i decydentów B2B

Dla agencji marketingowych i dostawców usług B2B, którzy obsługują agentów AI dla klientów, certyfikacja ISO 42001 coraz częściej staje się argumentem sprzedażowym: certyfikat zastępuje część kwestionariuszy dla dostawców stosowanych przez dużych klientów korporacyjnych i skraca cykle sprzedaży. Jeśli wcześnie certyfikujesz wąski, dobrze udokumentowany zakres, tworzysz gotową do audytu podstawę ładu zarządczego, którą później możesz rozszerzyć. Blck Alpaca wspiera firmy w całej Europie w analizie luk, budowie AIMS i przygotowaniu do audytu, koncentrując się na realnym nakładzie pracy, a nie na samym dopieszczaniu dokumentów.