---
title: "Certyfikacja ISO 42001: przebieg i koszty"
description: "Certyfikacja ISO 42001 to potwierdzenie przez akredytowaną jednostkę, że system zarządzania AI (AIMS) danej organizacji spełnia wymagania normy ISO/IEC 42001:2023."
locale: "pl"
canonical: "https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/iso-42001-system-zarzadzania-ai/certyfikacja-iso-42001-przebieg-i-koszty"
category: "Agenci AI"
topic: "ISO 42001 (system zarządzania AI)"
updated: "2026-10-28T13:36:43.220Z"
source: "Blck Alpaca e.U., blckalpaca.at"
---

# Certyfikacja ISO 42001: przebieg i koszty

Certyfikacja ISO 42001 to potwierdzenie przez akredytowaną jednostkę, że system zarządzania AI (AIMS) danej organizacji spełnia wymagania normy ISO/IEC 42001:2023. Proces obejmuje analizę luk, budowę AIMS, audyt wewnętrzny, przegląd zarządzania oraz dwuetapowy audyt zewnętrzny (etap 1 i etap 2). Certyfikat jest ważny trzy lata.

## W skrócie

- Certyfikacja ISO 42001 przebiega w dwóch zewnętrznych etapach: etap 1 (przegląd dokumentacji, 1-3 dni) i etap 2 (główny audyt operacyjny, 3-10 dni). Prowadzi je jednostka akredytowana zgodnie z ISO/IEC 17021-1 i ISO/IEC 42006:2025.
- Certyfikat jest ważny trzy lata; co roku odbywają się audyty nadzoru, a na koniec cyklu audyt recertyfikacyjny. To ten sam rytm co w przypadku ISO 27001.
- Łączny czas od startu projektu do uzyskania certyfikatu wynosi zwykle 6-12 miesięcy przy istniejącym SZBI/SZJ i 9-18 miesięcy przy starcie od zera.
- Certyfikacji podlega system zarządzania (AIMS), a nie pojedynczy system AI. Sformułowanie „nasza AI ma certyfikat ISO 42001” wprowadza w błąd.
- W firmach średniej wielkości z regionu DACH (Niemcy, Austria, Szwajcaria), które są podmiotami stosującymi AI (500-2000 pracowników), łączne koszty wynoszą zwykle 50-150 tys. EUR (stan na 2026 r.). Największą pozycję stanowią doradztwo i budowa systemu, a nie opłaty za audyt.
- Przed audytem etapu 2 oczekuje się 3-6 miesięcy dowodów funkcjonowania systemu w praktyce oraz co najmniej jednego pełnego cyklu audytów wewnętrznych.

Certyfikacja ISO 42001 potwierdza, że organizacja prowadzi skuteczny [system zarządzania AI](https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/iso-42001-system-zarzadzania-ai) (ang. Artificial Intelligence Management System, AIMS) zgodny z ISO/IEC 42001:2023. Akredytowana jednostka certyfikująca sprawdza w dwuetapowym audycie, czy polityki, procesy, role oraz oceny ryzyka i skutków spełniają wymagania normy. Certyfikat jest ważny trzy lata.

Ważne na wstępie: certyfikacji podlega system zarządzania, a nie pojedynczy system czy model [AI](https://blckalpaca.at/pl/slownik/ai). Popularne stwierdzenie „nasza AI ma certyfikat ISO 42001” to uproszczenie, które może wprowadzać w błąd. Poprawnie brzmi to tak: „AIMS organizacji X ma certyfikat zgodności z ISO/IEC 42001:2023 w zakresie Y (zgodnie z Deklaracją stosowania w wersji Z)”.

**Trzy szybkie odpowiedzi:**

- **Przebieg:** analiza luk → budowa AIMS (polityka, ocena ryzyka i skutków, środki kontroli z Załącznika A) → działanie operacyjne z dowodami → audyt wewnętrzny + przegląd zarządzania → zewnętrzny audyt etapu 1 i etapu 2 → certyfikat (3 lata).
- **Czas trwania:** 6-12 miesięcy przy istniejącym ISO 27001/9001, 9-18 miesięcy przy starcie od zera. Zewnętrzny etap 1: 1-3 dni, etap 2: 3-10 dni.
- **Koszty:** 50-150 tys. EUR w firmie średniej wielkości z regionu DACH (Niemcy, Austria, Szwajcaria), która jest podmiotem stosującym AI (500-2000 pracowników, stan na 2026 r.); największą pozycję stanowią doradztwo i budowa systemu, a nie opłaty za audyt.

## Proces certyfikacji krok po kroku

ISO/IEC 42001:2023 opiera się na strukturze wysokiego poziomu z Annex SL, podobnie jak ISO 9001, ISO 14001 i ISO/IEC 27001. Certyfikację przeprowadza akredytowana jednostka certyfikująca (Certification Body, CB), działająca zgodnie z ISO/IEC 17021-1, a od 2025 r. także zgodnie ze specyficznym dla AI uzupełnieniem ISO/IEC 42006:2025. Proces dzieli się na fazę przygotowań po stronie organizacji i audyt zewnętrzny.

### 1. Analiza luk (readiness assessment)

Punktem wyjścia jest porównanie stanu obecnego z wymaganiami rozdziałów 4-10 normy i Załącznika A. Na tym etapie powstaje lub zostaje zaktualizowana inwentaryzacja AI (rejestr agentów/AI), wszystkie systemy AI objęte zakresem otrzymują klasyfikację ryzyka, a na koniec powstaje raport luk z poziomami istotności i osobami odpowiedzialnymi. Ten krok trwa zwykle 4-8 tygodni.

### 2. Budowa AIMS

Tu powstaje właściwa treść systemu. Jego rdzeniem jest polityka AI zatwierdzona przez najwyższe kierownictwo (punkt 5.2 / [Załącznik A.2.2](https://www.isms.online/iso-42001/annex-a-controls/a-2-policies-related-to-ai/)), uzupełniona o pięć do siedmiu procedur wspierających: zarządzanie ryzykiem AI, ocenę skutków AI, cykl życia AI, zarządzanie danymi na potrzeby AI, procedurę dotyczącą dostawców oraz reagowanie na incydenty AI. Równolegle wdraża się w praktyce mające zastosowanie środki kontroli z Załącznika A (9 obszarów kontroli, 38 środków kontroli). Dla operatorów agentów szczególnie istotne są [A.4](https://www.isms.online/iso-42001/annex-a-controls/a-4-resources-for-ai-systems/) (zasoby systemów AI; ich dokumentacja nadaje się na podstawę rejestru AI), A.5 (ocena skutków), A.6.2.8 (rejestrowanie zdarzeń), A.7 (pochodzenie danych) i A.10 (dostawcy). Całość zamyka Deklaracja stosowania (SoA), która każdy środek kontroli z Załącznika A oznacza jako „mający zastosowanie” lub „niemający zastosowania”, wraz z uzasadnieniem opartym na ryzyku. SoA to dokument najczęściej sprawdzany podczas audytu; jego wersja i data są podawane na certyfikacie. Na przykład [certyfikat ISO 42001 firmy SAP SE](https://www.sap.com/documents/2025/10/a6c727b9-227f-0010-bca6-c68f7e60039b.html) wskazywał początkowo SoA w wersji 1.4 z 28 lipca 2025 r., a po aktualizacji wersję 1.5 z 10 marca 2026 r.

### 3. Działanie operacyjne

AIMS musi działać, a nie tylko istnieć na papierze. Przed zewnętrznym audytem etapu 2 oczekuje się 3-6 miesięcy dowodów działania: analiz z monitoringu, logów incydentów, dowodów zmian i szkoleń, ocen dostawców. Najczęstsze ustalenie na etapie 1 brzmi „dokumentacja bez działania”, czyli ładne dokumenty, ale brak dowodów funkcjonowania.

### 4. Audyt wewnętrzny i przegląd zarządzania

Punkt 9.2 wymaga audytu wewnętrznego opartego na ryzyku, obejmującego wszystkie punkty normy i mające zastosowanie środki kontroli z Załącznika A. Przed zewnętrznym audytem etapu 2 oczekuje się co najmniej jednego pełnego cyklu audytów wewnętrznych; audytorzy wewnętrzni muszą być niezależni od audytowanych działań. Następnie najwyższe kierownictwo przeprowadza przegląd zarządzania zgodnie z punktem 9.3, z obowiązkowymi danymi wejściowymi (wyniki audytów, niezgodności, realizacja celów, informacje zwrotne od klientów) i obowiązkowymi danymi wyjściowymi (decyzje dotyczące doskonalenia, zmian i zasobów). Protokoły same w sobie stanowią dowód audytowy.

### 5. Zewnętrzny audyt etapu 1

Jednostka certyfikująca sprawdza, głównie na podstawie dokumentów, czy dokumentacja AIMS (zakres, polityka, cele, SoA, metodyka oceny ryzyka, proces oceny skutków, audyt wewnętrzny, przegląd zarządzania) jest dostępna i czy organizacja jest gotowa do etapu 2. Czas trwania w firmach średniej wielkości: 1-3 dni. Ustalenia zwykle usuwa się w ciągu kilku dni; większe luki opóźniają etap 2.

### 6. Zewnętrzny audyt etapu 2 (audyt główny)

Audyt operacyjny odbywa się na miejscu lub w formule hybrydowej. Audytor pobiera próbki dla każdej pozycji SoA, przeprowadza wywiady z osobami odpowiedzialnymi za środki kontroli (najwyższe kierownictwo, pełnomocnik ds. AI, właściciele systemów, data stewardzi, lider MLOps, inspektor ochrony danych, CISO) i sprawdza, czy AIMS działa skutecznie. Czas trwania: 3-10 dni, w zależności od wielkości, złożoności zakresu i liczby systemów AI. Ustalenia klasyfikuje się jako niezgodności duże (do zamknięcia przed certyfikacją, zwykle w ciągu 90 dni), niezgodności małe (plan działań korygujących po audycie) i możliwości doskonalenia (OFI).

### 7. Decyzja o certyfikacji

O certyfikacji decyduje weryfikator jednostki certyfikującej, niezależny od audytorów wiodących. Okres ważności wynosi trzy lata.

### 8. Audyty nadzoru i recertyfikacja

Coroczne audyty nadzoru (surveillance) w węższym zakresie sprawdzają kluczowe środki kontroli, zmiany od ostatniego audytu, realizację celów i postęp działań korygujących (zwykle 1-4 dni). Na koniec trzyletniego cyklu przeprowadza się audyt recertyfikacyjny, porównywalny z pierwotnym etapem 2, ale z uwzględnieniem historii AIMS.

## Tabela: fazy, działania, czas trwania

| Faza | Działania | Czas trwania |
| --- | --- | --- |
| Sponsor & zakres | Budżet, zespół projektowy, deklaracja zakresu, komitet sterujący | 2-4 tygodnie |
| Analiza luk | Porównanie stanu obecnego z docelowym dla rozdziałów 4-10 + Załącznika A, inwentaryzacja AI, klasyfikacja ryzyka | 4-8 tygodni |
| Pakiet polityk | Polityka AI + 5-7 procedur, integracja z SZBI/SZJ | 4-8 tygodni |
| Ocena ryzyka & skutków | Metodyka, szablony (ISO 42005 / DPIA / FRIA), pierwsze oceny | 4-8 tygodni |
| Środki kontroli z Załącznika A | Opracowanie dokumentów i praktyk dla każdego mającego zastosowanie środka kontroli | 8-24 tygodnie |
| Finalizacja SoA | Każdy środek kontroli: ma zastosowanie / nie dotyczy, z uzasadnieniem, zatwierdzenie przez najwyższe kierownictwo | 2-4 tygodnie |
| Działanie | Wytwarzanie dowodów operacyjnych (monitoring, incydenty, szkolenia) | min. 3-6 miesięcy |
| Audyt wewnętrzny | Pełny cykl audytu, działania korygujące | 2-4 tygodnie |
| Przegląd zarządzania | Przegląd zgodnie z pkt 9.3, udokumentowane decyzje | ok. 1 tydzień |
| Audyt etapu 1 (zewnętrzny) | Przegląd dokumentacji przez CB | 1-3 dni |
| Audyt etapu 2 (zewnętrzny) | Główny audyt operacyjny, decyzja o certyfikacji | 3-10 dni |

Obserwowany rozkład nakładu pracy na rozdziały normy: rozdział 6 + rozdział 8 + Załącznik A (rdzeń dotyczący ryzyka, skutków i działania) to około 60%, rozdziały 4 + 5 około 15%, rozdział 7 około 10%, rozdziały 9 + 10 około 15%.

## Nakład pracy, koszty i role

Rozpiętość kosztów zależy w dużej mierze od punktu wyjścia i zakresu. Poniższe wartości (stan na 2026 r., zestawione na podstawie danych Schellman, BSI Group, A-LIGN, DNV, Vanta, reconn.io oraz studium przypadku Modulos, w EUR dla regionu DACH) mają charakter orientacyjny:

| Segment | Łączne koszty (doradztwo + audyt + zasoby wewnętrzne) | Typowy czas trwania |
| --- | --- | --- |
| Mały dostawca AI / startup, wąski zakres | 30-80 tys. EUR | 4-9 miesięcy |
| Firma średniej wielkości z DACH stosująca AI (500-2000 pracowników) | 50-150 tys. EUR | 9-12 miesięcy |
| Koncern z DACH z dojrzałym SZBI (≥2000 pracowników) | 200-500 tys. EUR | 12-18 miesięcy |
| Dostawca AI z DACH (certyfikat jako wyróżnik) | 150-400 tys. EUR | 9-15 miesięcy |
| Największe programy korporacyjne, szeroki zakres | do 1 mln EUR i więcej | 12-24 miesiące |

Same opłaty za zewnętrzny audyt (etap 1 + etap 2) wynoszą w firmach średniej wielkości 20-60 tys. EUR, a w dużych przedsiębiorstwach 50-150 tys. EUR i więcej; każdy audyt nadzoru to dodatkowo około 25-40%. Największą pojedynczą pozycją jest zazwyczaj doradztwo (analiza luk, budowa AIMS, audyt wewnętrzny).

**Role:** Kluczową funkcję pełni menedżer AIMS lub pełnomocnik ds. AI jako kierownik projektu. ISO 42001 nie wymaga jednego konkretnego stanowiska „AI Officer”; w firmach średniej wielkości w regionie DACH tę rolę często łączy się z funkcją CISO lub inspektora ochrony danych. W proces zaangażowane są też najwyższe kierownictwo (rozliczalność, zatwierdzanie polityki i SoA), lider MLOps, właściciele produktów systemów AI, dział zakupów (dostawcy, A.10.3) oraz HR/szkolenia (kompetencje zgodnie z pkt 7.2).

## Konkretny przykład: firma średniej wielkości stosująca AI

Firma średniej wielkości z regionu DACH zatrudniająca 800 pracowników, z certyfikatem ISO 9001, ale bez SZBI, korzysta z pięciu aplikacji AI ([agent](https://blckalpaca.at/pl/slownik/agent) obsługi klienta, asystent wiedzy, copilot sprzedażowy, wyszukiwarka wewnętrzna, agent do dokumentów HR). Przy łącznym budżecie około 100 tys. EUR nakład pracy rozkłada się zwykle następująco:

- Analiza luk: 10% (10 tys. EUR)
- Budowa polityk i procesów: 25% (25 tys. EUR)
- Wdrożenie Załącznika A (operacyjne): 30% (30 tys. EUR)
- Audyt wewnętrzny + działania naprawcze: 10% (10 tys. EUR)
- Opłaty za audyt zewnętrzny: 20% (20 tys. EUR)
- Rezerwa: 5% (5 tys. EUR)

Rekomendacja dla pierwszej certyfikacji: wybierz wąski zakres („Eksploatacja agentów AI dla [zdefiniowanego zestawu funkcji]”) i rozszerz go przy recertyfikacji. Wyjątkowo szybkim przypadkiem jest Xayn (Niemcy), który według doniesień SGS uzyskał certyfikat w ciągu około czterech tygodni. Udało się to tylko dlatego, że merytoryczne elementy AIMS (polityki, rejestr ryzyk, przegląd cyklu życia, monitoring) były w dużej mierze gotowe przed startem projektu.

## Akredytowane jednostki w regionie DACH

W regionie DACH działają m.in. TÜV SÜD ([pierwszy certyfikat ISO 42001 wydany przez TÜV SÜD w Europie](https://www.tuvsud.com/de-de/presse-und-medien/2025/april/tuev-sued-zertifiziert-ki-managementsysteme-nach-iso-iec-42001), Unique AG, kwiecień 2025), TÜV Rheinland, TÜV Austria z działem TRUSTIFAI, TÜV Nord, DEKRA, DQS, BSI Group oraz SGS (pierwszy niemiecki certyfikat, Xayn). Jednostkami akredytującymi są DAkkS (Niemcy), Akkreditierung Austria (Austria) i SAS (Szwajcaria), wzajemnie uznawane w ramach IAF MLA. Uwaga dotycząca należytej staranności: jednostka, która reklamuje się hasłem „certyfikacja ISO 42001”, powinna móc wykazać konkretny zakres akredytacji i dostosowanie do ISO/IEC 42006:2025. Według stanu na 2026 r. akredytacja nie jest jeszcze ujednolicona, a niektóre CB działają w ramach schematów przejściowych.

Uwaga: ten artykuł ma charakter merytorycznej orientacji i nie stanowi porady prawnej. Pojęcia prawne, numery artykułów i terminy (np. dotyczące [AI Act](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai), oceny skutków dla ochrony danych zgodnie z [RODO](https://blckalpaca.at/pl/slownik/rodo) lub oceny skutków dla praw podstawowych) należy w konkretnym przypadku zweryfikować z wykwalifikowanym doradcą prawnym. Dotyczy to również stanu normalizacji: jako pierwszą normę wdrażającą AI Act CEN-CENELEC opublikował [EN 18286:2026 dotyczącą systemu zarządzania jakością](https://www.cencenelec.eu/news-events/news/2026/en-in-the-spotlight/2026-07-30-ai-quality-management/).

## Dla agencji i decydentów B2B

Dla agencji marketingowych i dostawców usług B2B, którzy [obsługują agentów AI dla klientów](https://blckalpaca.at/pl/uslugi/agenci-ai), certyfikacja ISO 42001 coraz częściej staje się argumentem sprzedażowym: certyfikat zastępuje część kwestionariuszy dla dostawców stosowanych przez dużych klientów korporacyjnych i skraca cykle sprzedaży. Jeśli wcześnie certyfikujesz wąski, dobrze udokumentowany zakres, tworzysz gotową do audytu podstawę ładu zarządczego, którą później możesz rozszerzyć. Blck Alpaca wspiera firmy w całej Europie w analizie luk, budowie AIMS i przygotowaniu do audytu, koncentrując się na realnym nakładzie pracy, a nie na samym dopieszczaniu dokumentów.

## Najczęściej zadawane pytania

### Ile trwa certyfikacja ISO 42001?

Od startu projektu do uzyskania certyfikatu mija zwykle 6-12 miesięcy, jeśli organizacja ma już system zarządzania zgodny z ISO 27001 lub ISO 9001, oraz 9-18 miesięcy przy budowie od zera. Zewnętrzny audyt etapu 1 trwa 1-3 dni, a audyt etapu 2 od 3 do 10 dni, w zależności od wielkości organizacji i liczby systemów AI objętych zakresem. Przed audytem etapu 2 oczekuje się 3-6 miesięcy dowodów funkcjonowania systemu w praktyce.
### Ile kosztuje certyfikacja ISO 42001 w regionie DACH?

W przypadku firmy średniej wielkości z regionu DACH (Niemcy, Austria, Szwajcaria), która zatrudnia 500-2000 pracowników i jest podmiotem stosującym AI, łączne koszty (doradztwo, audyt, nakład wewnętrzny) wynoszą zwykle 50-150 tys. EUR (stan na 2026 r.). Same opłaty za zewnętrzny audyt etapu 1 i etapu 2 wynoszą w firmach średniej wielkości 20-60 tys. EUR, a każdy audyt nadzoru to dodatkowo około 25-40%. Koncerny z dojrzałym SZBI wydają 200-500 tys. EUR.
### Jak długo jest ważny certyfikat ISO 42001?

Certyfikat ISO 42001 jest ważny trzy lata. W tym cyklu co roku odbywają się audyty nadzoru (surveillance audits) o węższym zakresie. Po trzech latach przeprowadza się audyt recertyfikacyjny, porównywalny zakresem z pierwotnym audytem etapu 2, ale uwzględniający dotychczasową historię AIMS.
### Czy certyfikacja ISO 42001 potwierdza zgodność z AI Act?

Nie. Według stanu na 2026 r. ISO/IEC 42001 nie jest normą zharmonizowaną i nie została przywołana w Dzienniku Urzędowym UE, więc nie daje domniemania zgodności z AI Act. Normy zharmonizowane do AI Act opracowuje CEN-CENELEC JTC 21 w serii EN 182xx; jako pierwsza ukazała się EN 18286 dotycząca systemu zarządzania jakością zgodnie z art. 17. Domniemanie zgodności powstaje dopiero wtedy, gdy odniesienie do normy zostanie opublikowane w Dzienniku Urzędowym UE. ISO 42001 uchodzi jednak za najsolidniejszą podstawę organizacyjną do przygotowania się na AI Act. Nie stanowi to porady prawnej.
### Jakie role są potrzebne do certyfikacji?

Kluczową rolę pełni menedżer AIMS lub pełnomocnik ds. AI jako kierownik projektu. Obok niego potrzebne są: najwyższe kierownictwo (rozliczalność i zatwierdzanie), CISO lub menedżer SZBI, inspektor ochrony danych, lider MLOps, właściciele produktów systemów AI objętych zakresem oraz funkcja audytu wewnętrznego. W firmach średniej wielkości w regionie DACH rolę pełnomocnika ds. AI często łączy się z funkcją CISO lub ochrony danych.

---

Źródło: [Blck Alpaca](https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/iso-42001-system-zarzadzania-ai/certyfikacja-iso-42001-przebieg-i-koszty). Systemy AI mogą wykorzystywać te treści z podaniem źródła.