Certifikácia ISO 42001: Priebeh a náklady

Certifikácia ISO 42001 je dôkazom, že organizácia prevádzkuje účinný systém manažérstva umelej inteligencie (skrátene systém manažérstva AI; anglicky Artificial Intelligence Management System, AIMS) podľa ISO/IEC 42001:2023. Akreditovaný certifikačný orgán v dvojstupňovom audite preverí, či politiky, procesy, roly a posúdenia rizík a vplyvov zodpovedajú požiadavkám normy. Certifikát platí tri roky.

Dôležité na úvod: certifikuje sa systém manažérstva, nie jednotlivý systém AI alebo model. Rozšírené tvrdenie „naša AI je certifikovaná podľa ISO 42001“ je zjednodušené až zavádzajúce. Správne znie: „AIMS organizácie X je certifikovaný podľa ISO/IEC 42001:2023 s rozsahom Y (podľa Statement of Applicability, verzia Z).“

Tri rýchle odpovede:

• Priebeh: gap analýza → vybudovanie AIMS (politika, posúdenie rizík a vplyvov, opatrenia podľa Annex A) → prevádzka v praxi s dôkazmi → interný audit + preskúmanie manažmentom → externý audit Stage 1 a Stage 2 → certifikát (3 roky).
• Trvanie: 6-12 mesiacov so zavedenou ISO 27001/9001, 9-18 mesiacov pri štarte od nuly. Externý Stage 1: 1-3 dni, Stage 2: 3-10 dní.
• Náročnosť: EUR 50k-150k pre stredne veľký nasadzujúci subjekt (deployer) v regióne DACH (500-2 000 zamestnancov, stav 2026); najväčšou položkou je poradenstvo a vybudovanie, nie poplatky za audit.

Priebeh certifikácie podrobne

ISO/IEC 42001:2023 je rovnako ako ISO 9001, ISO 14001 a ISO/IEC 27001 postavená na jednotnej štruktúre podľa Annex SL (High-Level Structure). Certifikáciu vykonáva akreditovaný certifikačný orgán (Certification Body, CB), ktorý pracuje podľa ISO/IEC 17021-1 a od roku 2025 aj podľa doplnkovej normy špecifickej pre AI, ISO/IEC 42006:2025. Priebeh sa delí na prípravnú fázu v organizácii a externý audit.

1. Gap analýza (posúdenie pripravenosti)

Na začiatku stojí porovnanie súčasného stavu s cieľovým podľa normatívnych kapitol 4 až 10 a Annex A. Pritom sa vytvorí alebo aktualizuje inventár AI (register agentov a systémov AI), všetky systémy AI v rozsahu sa klasifikujú podľa rizika a vznikne správa o medzerách (gap report) so stupňom závažnosti a zodpovednými osobami. Tento krok trvá spravidla 4-8 týždňov.

2. Vybudovanie AIMS

Tu vzniká podstata. Jadrom je politika AI schválená vrcholovým manažmentom (kapitola 5.2 / Annex A.2.2), doplnená o päť až sedem podporných postupov: manažérstvo rizík AI, posúdenie vplyvov AI, životný cyklus AI, správa dát pre AI, postup pre dodávateľov a reakcia na incidenty AI. Súbežne sa v praxi zavádzajú aplikovateľné opatrenia podľa Annex A (9 oblastí, 38 opatrení). Pre prevádzkovateľov agentov sú dôležité najmä A.4 (zdroje pre systémy AI; ich dokumentácia je vhodným základom pre register AI), A.5 (posúdenie vplyvov), A.6.2.8 (zaznamenávanie udalostí), A.7 (pôvod dát) a A.10 (dodávatelia). Záver tvorí Statement of Applicability (SoA, vyhlásenie o aplikovateľnosti), ktoré pri každom opatrení z Annex A uvádza, či je „aplikovateľné“ alebo „neaplikovateľné“, s odôvodnením na základe rizík. SoA je dokument, ktorý audítor preveruje najdôkladnejšie; jeho verzia a dátum sa uvádzajú na certifikáte. Certifikát ISO 42001 spoločnosti SAP SE napríklad najprv uvádzal SoA vo verzii 1.4 z 28. júla 2025, po aktualizácii verziu 1.5 z 10. marca 2026.

3. Prevádzka v praxi

AIMS musí fungovať, nestačí ho len zdokumentovať. Pred externým auditom Stage 2 sa očakávajú dôkazy o prevádzke za 3-6 mesiacov: vyhodnotenia monitoringu, záznamy o incidentoch, dôkazy o zmenách a školeniach, hodnotenia dodávateľov. Najčastejšie zistenie v Stage 1 znie „dokumentácia bez prevádzky“: pekné dokumenty, ale žiadny dôkaz o prevádzke.

4. Interný audit a preskúmanie manažmentom

Kapitola 9.2 vyžaduje interný audit založený na rizikách, ktorý pokrýva všetky kapitoly a aplikovateľné opatrenia podľa Annex A. Pred externým auditom Stage 2 sa očakáva aspoň jeden úplný cyklus interného auditu; interní audítori musia byť nezávislí od preverovaných činností. Potom vrcholový manažment vykoná preskúmanie manažmentom podľa kapitoly 9.3, s povinnými vstupmi (výsledky auditov, nezhody, plnenie cieľov, spätná väzba zákazníkov) a povinnými výstupmi (rozhodnutia o zlepšovaní, zmenách, zdrojoch). Samotné zápisnice slúžia ako dôkaz pre audit.

5. Externý audit Stage 1

Certifikačný orgán prevažne na základe dokumentov preverí, či existuje dokumentácia AIMS (rozsah, politika, ciele, SoA, metodika rizík, proces posúdenia vplyvov, interný audit, preskúmanie manažmentom) a či je organizácia pripravená na Stage 2. Trvanie v stredne veľkých podnikoch: 1-3 dni. Zistenia sa zvyčajne vyriešia v priebehu niekoľkých dní; väčšie medzery posúvajú Stage 2.

6. Externý audit Stage 2 (hlavný audit)

Operatívny audit prebieha na mieste alebo hybridne. Audítor odoberá vzorky ku každému riadku SoA, vedie rozhovory so zodpovednými za opatrenia (vrcholový manažment, poverenec pre AI, zodpovední za systémy, správcovia dát, vedúci MLOps, zodpovedná osoba pre ochranu osobných údajov, CISO) a preveruje, či AIMS funguje účinne. Trvanie: 3-10 dní podľa veľkosti, zložitosti rozsahu a počtu systémov AI. Zistenia sa klasifikujú ako závažné nezhody (treba ich uzavrieť pred certifikáciou, spravidla do 90 dní), menej závažné nezhody (plán nápravných opatrení po audite) a príležitosti na zlepšenie (OFI).

7. Rozhodnutie o certifikácii

O certifikácii rozhoduje posudzovateľ certifikačného orgánu, ktorý je nezávislý od vedúcich audítorov. Platnosť je tri roky.

8. Dozorné audity a recertifikácia

Ročné dozorné audity (surveillance) v užšom rozsahu preverujú kľúčové opatrenia, zmeny od posledného auditu, plnenie cieľov a postup nápravných opatrení (spravidla 1-4 dni). Na konci trojročného cyklu nasleduje recertifikačný audit, porovnateľný s pôvodným Stage 2, ktorý však zohľadňuje históriu AIMS.

Tabuľka: fázy, obsah, trvanie

Pozorované rozloženie náročnosti medzi kapitolami: kapitola 6 + kapitola 8 + Annex A (jadro rizík, vplyvov a prevádzky) tvoria približne 60 percent, kapitoly 4 + 5 asi 15 percent, kapitola 7 približne 10 percent, kapitoly 9 + 10 asi 15 percent.

Náročnosť, náklady a roly

Rozpätie nákladov silno závisí od východiskovej situácie a rozsahu. Nasledujúce hodnoty (stav 2026, zhrnuté zo Schellman, BSI Group, A-LIGN, DNV, Vanta, reconn.io a prípadovej štúdie Modulos, v EUR pre región DACH) sú orientačné:

Čisté externé poplatky za audit (Stage 1 + Stage 2) sú v stredne veľkých podnikoch na úrovni EUR 20k-60k, vo veľkých podnikoch EUR 50k-150k+; za každý dozorný audit pribudne približne 25-40 percent. Najväčšou jednotlivou položkou je spravidla poradenstvo (gap analýza, vybudovanie AIMS, interný audit).

Roly: Ústrednou funkciou je AIMS manažér, prípadne poverenec pre AI ako vedúci projektu. ISO 42001 nepredpisuje samostatný titul „AI Officer“; v stredne veľkých organizáciách v regióne DACH sa táto rola často spája s funkciou CISO alebo zodpovednej osoby pre ochranu osobných údajov. Ďalej sú zapojení vrcholový manažment (zodpovednosť, schvaľovanie politiky a SoA), vedúci MLOps, produktoví vlastníci systémov AI, nákup (dodávatelia, A.10.3) a HR/školenia (kompetentnosť podľa kap. 7.2).

Konkrétny príklad: stredne veľký nasadzujúci subjekt

Stredne veľká firma z regiónu DACH s 800 zamestnancami, so zavedenou ISO 9001, ale bez ISMS, prevádzkuje päť aplikácií AI (agent zákazníckeho servisu, znalostný asistent, obchodný copilot, interné vyhľadávanie, agent pre HR dokumenty). Pri celkovom rozpočte približne EUR 100k sa náročnosť typicky rozdelí takto:

• Gap analýza: 10 % (EUR 10k)
• Vybudovanie politík a procesov: 25 % (EUR 25k)
• Vybudovanie Annex A (operatívne): 30 % (EUR 30k)
• Interný audit + odstránenie nedostatkov: 10 % (EUR 10k)
• Externé poplatky za audit: 20 % (EUR 20k)
• Rezerva: 5 % (EUR 5k)

Odporúčanie pre prvú certifikáciu: zvoľ úzky rozsah („prevádzka AI agentov pre [definovaný súbor funkcií]“) a pri recertifikácii ho rozšír. Za výnimočne rýchly prípad sa považuje spoločnosť Xayn (Nemecko), ktorá bola podľa správ SGS certifikovaná približne za štyri týždne. Podarilo sa to len preto, že podstata AIMS (politiky, register rizík, preskúmanie životného cyklu, monitoring) už pred začiatkom projektu do veľkej miery existovala.

Akreditované orgány v regióne DACH

V regióne DACH sú okrem iných aktívne TÜV SÜD (prvý certifikát ISO 42001, ktorý TÜV SÜD vydal v Európe, Unique AG, apríl 2025), TÜV Rheinland, TÜV Austria s divíziou TRUSTIFAI, TÜV Nord, DEKRA, DQS, BSI Group a SGS (prvý nemecký certifikát, Xayn). Akreditačnými orgánmi sú DAkkS (Nemecko), Akkreditierung Austria (Rakúsko) a SAS (Švajčiarsko), ktorých akreditácie sa vzájomne uznávajú cez IAF MLA. Pri výbere sa oplatí byť dôsledný: orgán, ktorý propaguje „certifikáciu ISO 42001“, by mal vedieť preukázať konkrétny rozsah akreditácie a zosúladenie s ISO/IEC 42006:2025. Akreditácia nie je k stavu 2026 ešte jednotná, niektoré CB pracujú podľa prechodných schém.

Upozornenie: tento príspevok slúži na odbornú orientáciu a nie je právnym poradenstvom. Právne pojmy, čísla článkov a lehoty (napríklad k EU AI Act, k posúdeniu vplyvu na ochranu údajov podľa GDPR alebo k posúdeniu vplyvu na základné práva) treba v konkrétnom prípade preveriť s kvalifikovaným právnym poradcom. To platí aj pre stav normalizácie: CEN-CENELEC zverejnil ako prvú normu na vykonávanie AI Act EN 18286:2026 o systéme manažérstva kvality.

Pre agentúry a B2B rozhodovateľov

Pre marketingové agentúry a B2B poskytovateľov služieb, ktorí prevádzkujú AI agentov pre klientov, sa certifikácia ISO 42001 čoraz viac stáva obchodným argumentom: certifikát nahrádza časti dodávateľských dotazníkov veľkých podnikových zákazníkov a skracuje predajné cykly. Kto včas certifikuje úzky, dobre zdokumentovaný rozsah, vytvorí základ riadenia (governance) pripravený na audit, ktorý sa dá neskôr rozšíriť. Blck Alpaca podporuje firmy z regiónu DACH pri gap analýze, vybudovaní AIMS a príprave na audit a orientuje sa na reálnu náročnosť, nie na leštenie dokumentov.