„Van ISO 42001-ünk, akkor megfelelünk az AI Actnek?” – Miért nem helyettesíti egymást az ISO/IEC 42001 és az EN 18286
Az előző cikkünkben bemutattuk az EN 18286:2026-ot, az első olyan európai szabványt, amely kifejezetten az AI Act végrehajtására készült. A megjelenése óta a leggyakoribb kérdés, amit ügyfelektől kapunk, így hangzik: „nálunk már van ISO/IEC 42001-es tanúsítvány – akkor ezzel megvagyunk?” A rövid válasz: nem. A hosszabb válasz viszont sokkal érdekesebb, mert megmutatja, hogyan érdemes a kettőt egymásra építeni.
Két szabvány, két különböző kérdésre válaszol
A zavart az okozza, hogy a két dokumentum kívülről nagyon hasonlít egymásra: mindkettő irányítási rendszer (management system) szabvány, mindkettő a 4–10. fejezetes ISO-vázra épül, mindkettőben van kockázatkezelés, dokumentáció és vezetőségi átvizsgálás. A kérdés viszont, amire válaszolnak, alapvetően más:
| ISO/IEC 42001:2023 | EN 18286:2026 | |
|---|---|---|
| Mire válaszol | „Felelősen irányítja-e a szervezet az AI-t?” | „Hogyan támogatja a szabvány az AI Act szerinti QMS-követelmények teljesítését?” |
| Tárgya | A szervezet AI-irányítási rendszere (AIMS) | Az AI Act szabályozási célú minőségirányítási rendszere (QMS) |
| Jogalap | Nincs – önkéntes nemzetközi szabvány | Az AI Act 17. cikke, a Bizottság szabványosítási megbízása alapján |
| Tanúsítható? | Igen. Az ISO/IEC 42001 szerinti AIMS harmadik fél által tanúsítható; a tanúsítvány azonban önmagában nem igazolja az AI Act-megfelelést. | Az EN 18286 elsődlegesen az AI Act szerinti QMS-követelmények teljesítését támogatja, nem önálló „AI Act-tanúsítvány”. Piaci audit- vagy verifikációs szolgáltatások ettől függetlenül megjelenhetnek. |
| Földrajzi hatókör | Globális | EU-piac |
| Megfelelőségi vélelem | Jelenleg nincs. A 40. cikk szerinti vélelem csak a Bizottság megbízása alapján készült és az OJEU-ban hivatkozott szabványhoz kapcsolódik – az EN ISO/IEC 42001:2026 európai átvétele önmagában ezt nem hozza meg. | Jelenleg nincs. Egy későbbi OJEU-hivatkozás esetén a megfelelőségi vélelem csak az AI Act 40. cikkében meghatározott követelményekre, és csak a hivatkozás illetve a szabvány által lefedett terjedelemben állhat fenn. |
Egy mondatban: az ISO/IEC 42001 a szervezet AI-irányítási rendszerére ad tanúsítható keretet; az AI Act ezzel párhuzamosan a magas kockázatú AI-rendszerekhez rendszer-szintű követelményeket és szolgáltatói kötelezettségeket kapcsol. Egy ISO/IEC 42001-tanúsítvány ezért önmagában nem bizonyítja például egy toborzási AI-rendszer 9–15. cikk szerinti megfelelését.
Mi az ISO/IEC 42001 szabvány pontosan?
A 2023 decemberében megjelent ISO/IEC 42001 a világ első AI-irányítási rendszer (AI Management System, AIMS) szabványa. Felépítése ismerős annak, aki dolgozott már ISO 27001-gyel: 4–10. fejezet a rendszer felállításáról, működtetéséről és fejlesztéséről, plusz egy „A” melléklet 38 kontrollal, amelyekből a szervezet – a saját kockázatai alapján – kiválasztja az alkalmazandókat (Statement of Applicability). A kontrollok olyan területeket fednek le, mint az AI-politika, a belső szerepek, az AI-hatásvizsgálat, az életciklus-menedzsment, az adatkezelés, az érdekelt felek tájékoztatása és a harmadik felekkel való kapcsolat.
Az európai szabványügyi szervezetek 2026. március 18-án EN ISO/IEC 42001:2026 néven európai szabványként is átvették. Ez fontos fejlemény, de az európai átvétel önmagában nem kapcsol hozzá az AI Act 40. cikke szerinti megfelelőségi vélelmet. Ehhez az szükséges, hogy harmonizált szabványként vagy annak részeként az Európai Unió Hivatalos Lapjában hivatkozzák; a vélelem pedig csak a 40. cikkben meghatározott követelményekre és a szabvány által lefedett terjedelemben áll fenn.
A kapcsolat szándékos – de nem egyenértékűség
Az EN 18286 D melléklete kifejezetten tartalmaz megfeleltetést az ISO/IEC 42001-hez (ahogy a C melléklet az ISO 9001-hez). A szabványalkotók tehát tudatosan építettek hidat a két világ közé, hogy aki már működtet AIMS-t, ne a nulláról induljon.
Két dolgot viszont érdemes tudni erről a hídról:
- A C és D melléklet, valamint a ZA melléklet is informatív. A ZA melléklet azért különösen fontos, mert megmutatja, mely AI Act-követelmények lefedését célozza a szabvány; a megfelelőségi vélelem joghatása azonban nem a melléklet „normatív” jellegéből, hanem az AI Act 40. cikkéből és az esetleges OJEU-hivatkozásból következik.
- A közös 4–10-es szerkezet miatt jelentős módszertani és dokumentációs újrahasznosítás lehetséges, de a két szabvány követelményei nem azonosak. A D melléklet megfeleltetése navigációs segítség, nem egyenértékűségi nyilatkozat: azt, hogy egy meglévő ISO/IEC 42001-kontroll vagy bizonyíték mennyiben használható fel az EN 18286 szerint, kontrollonként kell értékelni.
Röviden: egy működő ISO/IEC 42001 rendszer komoly kiindulópont lehet, de nem jelent automatikus bizonyítékátvitelt az EN 18286 vagy az AI Act felé.
Öt terület, amelyet az ISO/IEC 42001-tanúsítvány mellett is külön ellenőrizni kell
Az alábbi pontok nem mind „termékkövetelmények”, és nem mindegyik vonatkozik minden szereplőre ugyanúgy. A lényeg az, hogy az ISO/IEC 42001 szerinti AIMS megléte nem helyettesíti az AI Act konkrét, szerep- és rendszerfüggő követelményeinek vizsgálatát.
- Rendszerspecifikus megfelelőségi bizonyítékok. Az AI Act 17. cikke dokumentált QMS-politikákat, eljárásokat és utasításokat követel; a magas kockázatú rendszerekre vonatkozó bizonyítékokat ehhez és a többi alkalmazandó követelményhez kell illeszteni. Az ISO/IEC 42001 megléte ezt nem teszi automatikussá.
- Változáskezelés folyamatosan tanuló rendszerekre. Az AI Act külön kezeli az előre meghatározott és a megfelelőségértékeléskor figyelembe vett változásokat; ezt a műszaki dokumentációban és a változáskezelésben is le kell követni.
- Incidensbejelentési határidők. Az AI Act 73. cikke jogszabályi bejelentési határidőket ír elő; egy ISO/IEC 42001 szerinti általános incidenskezelési folyamat ezeket nem helyettesíti.
- AI-specifikus ellátási lánc. A beszállítók, modellek, adatok és komponensek kezelése során az AI Actből és az EN 18286-ból eredő információs, dokumentációs és kontrolligényeket külön kell leképezni.
- Alapjogi hatásvizsgálat – ahol alkalmazandó. A 27. cikk szerinti FRIA elsősorban meghatározott magas kockázatú rendszerek egyes alkalmazóit terheli, ezért nem általános szolgáltatói QMS-követelmény. Az ISO/IEC 42001 tanúsítvány ettől még nem váltja ki a FRIA-t azoknál, akikre az valóban vonatkozik.
A jogi különbség fontos, de nem úgy, hogy a „bizonyítási teher megfordul”. Az OJEU-ban hivatkozott harmonizált szabványnak való megfelelés az AI Act 40. cikke szerinti, a lefedett követelményekre korlátozott megfelelőségi vélelmet alapozhat meg. Ettől a szolgáltató dokumentációs, együttműködési és hatóság előtti igazolási kötelezettségei nem szűnnek meg.
Akkor kidobhatjuk a 42001-et? Semmiképp
Épp ellenkezőleg. Az ISO/IEC 42001 több olyan önálló értéket adhat, amely az EN 18286 mellett is hasznos:
- Tanúsítható irányítási rendszer. A harmadik fél általi ISO/IEC 42001-tanúsítás külső biztosítékot adhat az AIMS működéséről, de nem egyenlő az AI Act-megfelelőség tanúsításával.
- Nemzetközi használhatóság. Nemzetközi ISO/IEC szabványként az ISO/IEC 42001 több piacon és beszállítói kapcsolatban is közös governance-nyelvet adhat; ez nem jelenti azt, hogy minden joghatóság szabályozási követelményeit kiváltja.
- Szervezeti alap. A felsővezetői felelősség, szerepek, kompetenciák, AI-politika és kockázatkezelési kultúra olyan szervezeti képességeket ad, amelyekre az AI Act szerinti megfelelési folyamatok is építhetők.
A helyes kép tehát nem „vagy-vagy”, hanem rétegzés: az ISO/IEC 42001 szervezeti AIMS-keretet ad, az EN 18286 pedig az AI Act szabályozási célú QMS-követelményeinek gyakorlati megvalósítását támogatja. Emellett továbbra is külön kezelni kell az egyes magas kockázatú AI-rendszerekre vonatkozó technikai és eljárási követelményeket.
Melyik kell nektek? – gyors döntési segédlet
| Helyzet | Mit érdemes tenni |
|---|---|
| Csak alkalmazó (deployer), nem magas kockázatú AI | ISO/IEC 42001 opcionális. A 4. cikk szerinti AI-írástudási kötelezettség a szolgáltatókra és alkalmazókra vonatkozik; az 50. cikk szerinti átláthatósági kötelezettségek pedig csak az ott meghatározott rendszerekre és felhasználási helyzetekre alkalmazandók. |
| Magas kockázatú AI szolgáltatója az EU-ban | A 17. cikk szerinti megfelelő QMS kötelező, de az EN 18286 alkalmazása önkéntes megfelelési út. Az ISO/IEC 42001 hasznos kiegészítés lehet, de önmagában nem váltja ki az AI Act-kötelezettségeket. |
| EU-n kívüli, globális szolgáltató | Az ISO/IEC 42001 globális governance-keretként lehet hasznos; ha a szolgáltató az EU AI Act hatálya alá esik, az EN 18286 szerinti QMS-megközelítés is releváns lehet. Hogy ténylegesen mindkettő indokolt-e, az üzleti és szabályozási hatókörtől függ. |
| Modell-, adat- vagy komponensbeszállító | Az ISO/IEC 42001-tanúsítvány beszállítói átvilágításoknál hasznos jelzés lehet, de nem általános „belépő” minden tenderhez. Az EN 18286-alapú követelmények megjelenése pedig a megrendelői és szerződéses elvárásoktól függ. |
A 2027. december 2-i alkalmazási határidő a 6. cikk (2) bekezdése és a III. melléklet alapján magas kockázatúnak minősülő rendszerekre vonatkozik. Egy ISO/IEC 42001-tanúsítvány jó rajthelyet adhat, de önmagában nem viszi át a szervezetet az AI Act megfelelési célvonalán.
Nézzük meg együtt, hol tartotok valójában
A Harveys csapata pontosan ezt a kérdést járja körbe nap mint nap: mi az, ami a meglévő rendszeretekből újrahasznosítható, és mi az, amit a nulláról kell felépíteni.
A gyakorlati teendőket a sorozat következő része veszi végig: EN 18286 felkészülés 5 lépésben. Ha pedig magával a szabvánnyal kezdenéd, itt van az első rész: EN 18286:2026.
Kezdjük el a felkészülést – közösen
A Harveys csapata AI Act megfelelőségi felkészítésre, tanácsadásra és folyamatos szakmai támogatásra specializálódott.
Nézzük meg együtt, mi használható újra a meglévő rendszerből. Egy rövid felmérésben azonosítható, hogy a meglévő ISO/IEC 42001, ISO 9001, ISO 27001 és GDPR-folyamatokból mi vihető tovább, és hol szükséges új, AI-specifikus kontroll vagy bizonyíték.
Ez a cikk tájékoztató jellegű, és nem minősül jogi tanácsadásnak. A konkrét megfelelőségi kötelezettségek meghatározásához a rendszer és a szervezet egyedi vizsgálata, adott esetben jogi képviselő bevonása szükséges.
Próbáld ki az AI Act kockázati besorolót
Tudd meg 5 perc alatt, milyen kockázati kategóriába esik az AI rendszered — ingyenes, 100% privát, részletes PDF eredménnyel.