Hivatalos: az ISO/IEC 42001 önmagában nem elég az AI Act 17. cikkéhez — megjelent az EN 18286

Mi történt

Az Európai Bizottság 2026. március 10-én frissített hivatalos állásfoglalásában egyértelművé tette, hogy bár az ISO/IEC 42001:2023 segít egy AI-irányítási rendszer felépítésében, a szabvány céljai és fogalmai nem igazodnak az EU AI Act által megkövetelt minőségirányítási rendszerhez. A Bizottság szó szerint úgy fogalmaz: az ISO/IEC 42001 céljai és fogalomkészlete "nem igazodnak az AI Act által megkövetelt minőségirányítási rendszerhez" ("goals and definitions are not aligned with the quality management system that is required under the AI Act") — ezért kérte fel a CEN-t és a CENELEC-et egy külön, kifejezetten erre a célra készülő szabvány kidolgozására.

Ez a szabvány, az EN 18286 "Artificial Intelligence — Quality Management System for EU AI Act Regulatory Purposes", a CEN-CENELEC hivatalos szabványkatalógusa szerint 2026. július 12-én kapott jóváhagyást (Date of Ratification). A CEN-CENELEC egyik korábbi hírlevele még "2026 júniusát" említette, de ezt a szabványkatalógus konkrét, elsődleges bejegyzése pontosítja: a jóváhagyás (DOR) 2026. július 12-én történt, a végleges szöveg pedig 2026. július 22-től érhető el (Date of Availability). Ezzel ez lett az első, kifejezetten az AI Act végrehajtásának támogatására elkészült harmonizált európai szabvány. Az EN 18286 az AI Act 17. cikke (Minőségirányítási rendszer) szerinti, a magas kockázatú AI-rendszerek szolgáltatóira vonatkozó konkrét követelményeket és útmutatást adja meg.

Fontos gyakorlati részlet: a szabvány önmagában még nem ad megfelelőségi vélelmet. A Bizottság tájékoztatása szerint a harmonizált szabvány hivatkozásának a Hivatalos Lapban (OJEU) történő közzététele csak ezután, egy külön felülvizsgálati folyamat után várható; a CEN-CENELEC jelzése szerint erre még 2026 folyamán sor kerülhet — a jelen cikk lezárásáig ez nyilvánosan nem volt megerősítve.

Miért számít

Az elmúlt években sok szervezet és tanácsadó úgy kommunikálta az ISO/IEC 42001-tanúsítást, mintha az automatikusan lefedné az AI Act megfelelőségi elvárásait is. A Bizottság mostani, hivatalosan is megerősített állásfoglalása ennek egyértelműen ellentmond: a két rendszer célja és fogalomkészlete eltér, a 42001-tanúsítvány önmagában nem helyettesíti az AI Act 17. cikke szerinti minőségirányítási rendszert.

Ez különösen releváns azoknak a magyar és uniós vállalatoknak, amelyek magas kockázatú AI-rendszert szolgáltatnak: az AI Act 17. cikke szerinti minőségirányítási kötelezettség az általános alkalmazási határidő, 2026. augusztus 2. óta már ténylegesen hatályos, és sokan a megfelelőségi felkészülésüket ISO/IEC 42001 alapon kezdték meg vagy tervezték.

Auditori szemmel

Három konkrét következménye van ennek egy AI auditor számára. Először: az ISO/IEC 42001-tanúsítás továbbra is értékes szervezeti alap — irányítási struktúrát, kockázatkezelést, dokumentált bizonyítékláncot ad —, de nem tekinthető és nem értékesíthető olyan eszközként, amely önmagában igazolja az AI Act 17. cikkének való megfelelést. Ez a különbségtétel most már nem csak szakmai értelmezés, hanem a Bizottság saját, hivatalos állásfoglalása.

Másodszor: amint az EN 18286 hivatkozása megjelenik az Unió Hivatalos Lapjában, a magas kockázatú AI-rendszert szolgáltató ügyfeleknél külön, célzott gap-elemzést kell végezni az EN 18286 konkrét követelményeihez képest — nem elég az, hogy a szervezet már rendelkezik ISO/IEC 42001-tanúsítvánnyal.

Harmadszor: amíg az OJEU-hivatkozás nincs meg, addig a harmonizált szabványon keresztüli megfelelőségi vélelem sem érhető el — ez egy átmeneti, de az augusztus 2-i általános alkalmazhatósági határidő bekövetkezte miatt már a gyakorlatban is jelentőségű rés, amire érdemes időben felhívni az ügyfelek figyelmét.