ISO/IEC 42001 mélyfúrás: mit igazol valójában egy AI-irányítási rendszer tanúsítása?

Ez az összefoglaló AI-asszisztált szintézissel készült több forrás alapján, és publikálás előtt emberi szerkesztői ellenőrzésen esett át. Szerkesztői felelős: Kozák Péter Antal. A téma felvetése: Németh Antal. Hogyan készülnek a cikkeink?

Az elmúlt hetekben (ld. a 09-07-i szabvány-idővonalunkat és a 09-08-i EN 18286-cikket) többször érintettük, hogy az ISO/IEC 42001 hol helyezkedik el az AI-megfelelőségi eszköztárban — arra azonban eddig nem tértünk ki, hogy valójában mit vizsgál egy ilyen tanúsítás, és mit vár el egy auditor a szervezettől. Ez a cikk erre fókuszál: mi az ISO/IEC 42001, kire vonatkozik, hogyan épül fel, és mikor éri meg egy magyar KKV-nak egyáltalán gondolkodnia rajta.

Mi az ISO/IEC 42001 — és mi nem az?

Az ISO/IEC 42001:2023 ("Information technology — Artificial intelligence — Management system") a világ első nemzetközi AI-irányítási rendszer szabványa, amelyet az ISO/IEC JTC 1/SC 42 bizottság adott ki 2023. december 18-án. Fontos, hogy ez irányításirendszer-szabvány (management system standard) — ugyanazt a közös, harmonizált ISO-szerkezetet (4–10. fejezet) követi, mint például az ISO 9001 (minőségirányítás) vagy az ISO/IEC 27001 (információbiztonság-irányítás) —, nem terméktanúsítás: nem egy konkrét AI-modellt, algoritmust vagy szoftvert minősít, hanem magát az irányítási rendszert.

Egy érvényes ISO/IEC 42001-tanúsítvány azt igazolja, hogy a tanúsítvány hatókörében működő AI Management System (AIMS) — vagyis a szervezet AI-fejlesztésre, -beszerzésre és -használatra vonatkozó irányítási rendszere — megfelelt az auditált követelményeknek. Azt nem igazolja, hogy egy adott AI-rendszer megfelel egy konkrét szabályozási követelménynek.

Kire vonatkozik, és milyen bizonyítékot vár?

A szabvány alkalmazási köre szándékosan tág: mérettől és ágazattól függetlenül bármely szervezet alkalmazhatja, amely AI-rendszert fejleszt, nyújt vagy használ — ez kifejezetten kiterjed a puszta felhasználó szervezetekre is, nemcsak a fejlesztőkre vagy szolgáltatókra.

A szabvány gerincét a 4–10. fejezet adja, amely az ISO irányításirendszer-szabványainak közös, harmonizált szerkezetét követi: szervezeti környezet, vezetés, tervezés, támogatás, működés, teljesítményértékelés, fejlesztés — a Plan-Do-Check-Act ciklus mentén. Az Annex A ehhez 38, kifejezetten AI-specifikus referenciakontrollt ad meg kilenc kontrollterületen (A.2–A.10: AI-politikák, belső szervezet, AI-rendszerek erőforrásai, AI-hatások értékelése, AI-rendszer életciklusa, AI-adatok, érintettek tájékoztatása, AI-rendszerek használata, harmadik felek).

Az Annex A nem egy kötelező pipálólista: a szervezet a saját kockázatértékeléséből indul ki, és egy Statement of Applicability (alkalmazhatósági nyilatkozat, SoA) dokumentumban indokolja, mely kontrollokat vonja be és melyeket zárja ki.

A tanúsítási folyamat

Az ISO maga nem tanúsít — ezt független, akkreditált tanúsító szervezetek végzik, kétlépcsős auditfolyamat szerint: a Stage 1 dokumentumvizsgálat, amely áttekinti az AI-politikát, az irányítási rendszer hatókörét, az AI-kockázat- és hatásvizsgálatot, valamint a Statement of Applicability-t; a Stage 2 pedig a tényleges működést és eredményességet vizsgálja, bizonyítékok áttekintése, mintavétel és interjúk alapján. A tanúsítvány három évig érvényes: a 2. és 3. évben felügyeleti auditokkal, a 3 éves ciklus lejárta előtt pedig teljes körű újratanúsítási audittal, amely újabb hároméves ciklust indít.

július 7-én jelent meg az ISO/IEC 42006:2025, amely az ISO/IEC 17021-1-et egészíti ki kifejezetten AI-specifikus követelményekkel az AIMS-t auditáló és tanúsító testületek számára. Ez a dokumentum határozza meg, milyen kompetenciát és szigort kell egy tanúsító auditcsapatnak felmutatnia AI-rendszert fejlesztő, üzemeltető vagy nyújtó szervezetek megítéléséhez.

Miért számít EU/magyar kontextusban

Az ISO/IEC 42001 önkéntes és nemzetközi — nem uniós vagy magyar jogszabály —, mégis közvetlenül összefonódik az EU AI Act-tal. Ez a kapcsolat azonban korlátozott: az Európai Bizottság 2026. márciusi állásfoglalása szerint az ISO/IEC 42001 céljai és fogalomkészlete "nem igazodnak az AI Act által megkövetelt minőségirányítási rendszerhez" ("goals and definitions are not aligned with the quality management system that is required under the AI Act") — vagyis a szabvány nem fedi le automatikusan az AI Act 17. cikke szerinti minőségirányítási rendszer követelményeit. Éppen ezért készült el nyáron az EN 18286, amelyről a 09-08-i cikkünkben írtunk részletesen — itt csak annyit érdemes rögzíteni, hogy az ISO/IEC 42001-tanúsítvány önmagában nem helyettesíti az AI Act szerinti minőségirányítási kötelezettséget, és nem ad automatikus megfelelőségi vélelmet sem — ezt kizárólag az Európai Unió Hivatalos Lapjában közzétett, harmonizált szabványra való hivatkozás alapozhatja meg.

Magyar szervezeteknek ez azért fontos, mert az AI Act általános alkalmazási határideje (2026. augusztus 2.) már elmúlt.

Mit jelent ez auditori szemmel

A fentiekből egy magyar KKV számára két gyakorlati következtetés adódik. Az egyik: egy ISO/IEC 42001-alapú irányítási rendszer felépítése hasznos kiindulópont, de a magas kockázatú AI-szolgáltatói szerepnél önmagában nem elég — ehhez külön kell figyelni az EN 18286 fejleményeit. A másik: mivel a tanúsítás magát az irányítási rendszert vizsgálja, nem az egyes AI-modelleket, egy tanúsító kiválasztásakor érdemes rákérdezni, hogy a testület már az ISO/IEC 42006 szerint dolgozik-e.

Ennek fényében a racionális sorrend egy magyar KKV-nak nem a tanúsítvány megvásárlásával kezdődik. Először egy "42001-alapú, de nem tanúsításvezérelt" minimumrendszert érdemes kiépíteni: AI-nyilvántartás, használati szabályzat, felelősségi rend, kockázati osztályozás, beszállítói ellenőrzés, hatásvizsgálati sablon a közepes és magas kockázatú esetekhez, valamint alapmérés. A tanúsítás akkor válik ésszerű döntéssé, ha azt konkrét vevői elvárás, közbeszerzés, nemzetközi piacra lépés, magas kockázatú AI-tevékenység vagy egyértelmű bizalmi megkülönböztetés indokolja — nem pedig önmagában a marketingérték.

Az auditor szemszögéből a legnagyobb kockázat a "papíron érett, gyakorlatban bizonytalan" rendszer: a szabvány nem határoz meg konkrét pontossági vagy torzítási küszöböt, ezeket a szervezetnek saját kontextusa alapján kell meghatároznia, és tényleges méréssel, monitorozással kell alátámasztania. Egy audit során éppen ezért nem elég a dokumentáció meglétét ellenőrizni: végig kell követni a láncot az AI-nyilvántartástól a kockázat- és hatásvizsgálaton, a választott kontrollon és a működési bizonyítékon át a mérésig és a vezetői döntésig. Ha ez a lánc bárhol megszakad, az irányítási rendszer formálisan rendezettnek tűnhet, miközben a tényleges AI-kockázat kezeletlen marad.