[{"data":1,"prerenderedAt":14},["ShallowReactive",2],{"article:da:iso-42001-ai-politikken-hvad-punkt-5-2-kraever-de-ti-afsnit-ai-forordningens-pligter-de-fejl-en-auditor-paapeger-og-en-side-der-skriver-den":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"answer":9,"body":13},"da","iso-42001-ai-politikken-hvad-punkt-5-2-kraever-de-ti-afsnit-ai-forordningens-pligter-de-fejl-en-auditor-paapeger-og-en-side-der-skriver-den","ISO 42001-AI-politikken for en softwarevirksomhed: hvad punkt 5.2 kræver, de ti afsnit, de pligter i AI-forordningen den nævner, de fejl en auditor påpeger, og en side, der skriver den","Punkt 5.2 i ISO\u002FIEC 42001 beder topledelsen om en AI-politik, der passer til det, virksomheden bruger AI til, giver rammen for AI-målene, forpligter sig til de gældende krav og til at forbedre systemet, er dokumenteret, kommunikeret og tilgængelig, og siger, hvordan den står ved siden af de andre politikker. Tre foranstaltninger i anneks A, A.2.2, A.2.3 og A.2.4, kræver politikken, dens afstemning med de andre politikker og dens gennemgang. En kort AI-politik for en softwarevirksomhed fylder ti afsnit: formål, omfang, holdning, de udelukkede anvendelser, ansvar, mål, de gældende krav, de andre politikker, kommunikation og gennemgang. Afsnittet om kravene er dér, hvor AI-forordningen træder ind: kompetencepligten i artikel 4, gennemsigtighedspligterne i artikel 50, hvor virksomheden genererer indhold, og en registreret højrisikoafgørelse pr. system, som politikken selv aldrig påstår. En gratis side skriver politikken ud fra elleve svar på seks sprog.","2026-09-13",{"who":10,"when":11,"do":12},"Topledelsen i en softwarevirksomhed, der bygger AI ind i sit produkt eller bruger andres AI i sit arbejde, og den person, der driver AI-ledelsessystemet for den; AI-politikken er det første dokument, en ISO 42001-auditor beder om, og det, enhver beslutning om at bygge, købe eller forlade sig på et AI-system henviser tilbage til.","Før konsekvensvurderingerne og fortegnelsen påbegyndes, fordi begge loves i den, og før den første interne audit, hvor punkt 5.2 kontrolleres mod godkendelsen, kommunikationssporet, målene og afstemningen med sikkerheds- og databeskyttelsespolitikkerne; derefter ved hver ledelsesevaluering, og hver gang en ny AI-kapacitet, et ændret formål eller en flyttet regulatorisk situation kræver det.","Skriv to sider i ti afsnit med virksomhedens egne ord, angiv holdningen og de udelukkede anvendelser, navngiv hvem der godkender den, og hvem der driver systemet, sæt tre til fem målbare mål, nævn de pligter i AI-forordningen, der gælder, uden at klassificere noget system i politikken, sig hvordan den står ved siden af sikkerheds- og databeskyttelsespolitikkerne, og offentliggør den, hvor hver ny medarbejder læser den; den gratis side skriver udkastet ud fra elleve svar.","\nAI-politikken er det korteste dokument i et ISO 42001-system og det, der oftest skrives forkert, fordi den nemme udgave er informationssikkerhedspolitikken med navneordene byttet ud. Den udgave læses plausibelt og besvarer den forkerte standard: et AI-ledelsessystem kræver i punkt 5.2 en politik, der passer til det, virksomheden bruger AI til, giver rammen for AI-målene, forpligter sig til de gældende krav og til at forbedre systemet, er dokumenteret, kommunikeret og tilgængelig og, i modsætning til sin 27001-fætter, siger, hvordan den står ved siden af organisationens andre politikker. Tre foranstaltninger i anneks A bærer de samme tre tanker: A.2.2 kræver politikken, A.2.3 dens afstemning med de andre politikker, A.2.4 dens gennemgang. Denne artikel læser punktet for en softwarevirksomhed, opstiller de ti afsnit, en AI-politik på to sider bærer, nævner de pligter i AI-forordningen, politikken skal omtale, og den ene klassificering, den ikke må foretage, opregner, hvad en auditor påpeger, og beskriver den [gratis side](\u002Fiso-42001\u002Fai-policy), der skriver politikken ud fra elleve svar på seks sprog.\n\n## Hvad punktet kræver, og hvor det adskiller sig fra sikkerhedspolitikken\n\nFire af de ting, punkt 5.2 kræver, handler om indholdet og tre om håndteringen, og indholdet er dér, hvor AI-politikken skiller sig fra sikkerhedspolitikken. At passe til formålet betyder, at politikken nævner det, virksomheden faktisk bruger AI til, supporttriage eller kontraktgennemgang eller kodehjælp, og om den bygger systemerne eller bruger andres, fordi pligterne er forskellige. Rammen for målene betyder, at politikken siger, hvilke mål efter punkt 6.2 den sætter, og et AI-mål handler om tilsigtet formål, konsekvens, menneskelig gennemgang, dataenes oprindelse, hændelser og kompetence snarere end om fortrolighed og tilgængelighed. Forpligtelsen til de gældende krav er dér, hvor reguleringen træder ind, da AI-forordningen pålægger en udbyder og en idriftsætter pligter, som ingen sikkerhedspolitik nævner. Og afstemningen med de andre politikker er et afsnit for sig: et AI-system er stadig et informationssystem under sikkerhedspolitikken, dets data er stadig data under databeskyttelsespolitikken, dets udbyder er stadig en leverandør under leverandørpolitikken, og AI-politikken skal sige, hvad der sker, hvor de synes at være i strid. Håndteringen er den samme som i 27001: dokumenteret efter punkt 7.5 med en ejer, en version og en godkendelse, kommunikeret, så en ny medarbejder kan sige, hvad den kræver af ham, og tilgængelig for en kunde eller en auditor på anmodning.\n\n## De ti afsnit i en kort AI-politik\n\nFormål: hvad virksomheden bruger AI til i dag, og hvem der er ansvarlig, i ét afsnit, der nævner anvendelserne. Omfang: hvilke systemer, de byggede, købte, indlejrede eller betjente, og hvilke mennesker. Holdning: den håndfuld sætninger, der gør politikken til virksomhedens egen, at AI bruges, hvor arbejdet bliver bedre, og dens adfærd kan forklares, at hvert system har et erklæret tilsigtet formål og en navngivet ejer, at et menneske fortsat kan gennemgå og omgøre et output, der påvirker en person, at konsekvensen vurderes, før man forlader sig på systemet, og igen ved ændring, at personoplysninger kun bruges på et registreret lovligt grundlag, og at genereret indhold markeres og kontrolleres. De udelukkede anvendelser: de beslutninger, virksomheden ikke overlader til et system, skrevet ned, så beslutningen findes, hvor indlysende den end synes. Ansvar: hvem der ejer og godkender politikken, hvem der driver systemet til daglig, og at hvert system har en ejer i fortegnelsen. Mål: tre til fem målbare linjer. De gældende krav: afsnittet nedenfor. Forholdet til de andre politikker: ved siden af, ikke i stedet for, med en vej for konflikter. Kommunikation og tilgængelighed: onboarding, kompetenceforanstaltningerne og tilgængelighed på anmodning. Gennemgang: cyklussen og de tre udløsere, en væsentligt ny kapacitet, et ændret formål, en flyttet regulatorisk situation.\n\n## De pligter i AI-forordningen, politikken nævner, og det ene, den ikke må sige\n\nAfsnittet om kravene er kort og konkret. Pligten til AI-kompetence i artikel 4 binder enhver udbyder og idriftsætter, så politikken forpligter virksomheden til at give alle, der betjener eller forlader sig på et system, den viden, rollen kræver, og henviser til det [kompetenceregister](\u002Fai-act\u002Fai-literacy), der viser det. Hvor virksomheden bygger systemer, forpligter den sig til udbyderens pligter, som de gælder for hvert systems klassificering, og til de tilsagn, den giver de kunder, der idriftsætter dem; hvor den bruger andres systemer, til idriftsætterens pligter og til brugsanvisningen fra den udbyder, den forlader sig på. Hvor den genererer tekst, billeder eller kode, gælder gennemsigtighedspligterne i artikel 50 for det, den bygger eller bruger. Hvor den behandler personoplysninger, gælder databeskyttelsesretten, konsekvensanalysen inklusive, hvor behandlingen sandsynligvis indebærer en høj risiko. Og for hvert system forpligter politikken til en registreret afgørelse af, om det er højrisiko efter AI-forordningen, truffet på det systems fakta og opbevaret sammen med dets post i fortegnelsen. Det, politikken ikke må gøre, er at træffe den afgørelse selv: en sætning som \"vores systemer er ikke højrisiko\" er en juridisk konklusion om fakta, politikken ikke kender, og en auditor læser den præcis sådan. [Højrisikoafgørelsen](\u002Fai-act\u002Fhigh-risk) er en side for sig, pr. system, og [konsekvensanalysen for grundlæggende rettigheder](\u002Fai-act\u002Ffundamental-rights-impact-assessment) følger, hvor svaret er ja.\n\n## De fejl, en auditor påpeger\n\nSikkerhedspolitikken med navneordene byttet ud, som ingen holdning har til AI, ingen udelukkede anvendelser og ingen fortegnelse. \"Ansvarlig AI\" som tillægsord, uden et mål, der kan måles, og uden noget i ledelsens evaluering, der måler det. En klassificering i politikken, højrisiko eller ej, påstået for alle systemer på én gang. Ingen vej for en person, der påvirkes af et output, til et menneske, der kan omgøre det, i en virksomhed, hvis systemer påvirker mennesker. Tavshed om generativ AI i en virksomhed, hvor alle bruger den. Ingen sætning om, hvordan politikken står ved siden af sikkerheds-, databeskyttelses- og leverandørpolitikkerne, så den første konflikt afgøres af den, der bemærker den. Og de sædvanlige tre: ingen godkendelse, intet kommunikationsspor, ingen gennemgang siden den første version. Hver er en afvigelse ved den første audit, og hver undgås ved at skrive de ti afsnit og datere dem.\n\n## Hvad I skal gøre med det\n\nBesvar de elleve spørgsmål på den [gratis side](\u002Fiso-42001\u002Fai-policy): hvad virksomheden bruger AI til, om den bygger systemer, bruger andres eller begge dele, om output påvirker beslutninger om mennesker, om systemerne behandler personoplysninger, om den bruger generativ AI, de anvendelser, den udelukker, hvem der driver systemet, hvem der godkender politikken, gennemgangscyklussen og de mål, den vil måle. Siden skriver de ti afsnit med enkle ord, nævner de pligter i AI-forordningen, svarene kalder på, og den afgørelse, hvert system stadig har brug for, og siger, hvordan politikken står ved siden af de andre. Redigér den, til den lyder som virksomheden, lad godkenderen underskrive og datere den, offentliggør den, hvor hver ny medarbejder læser den, og begynd på den fortegnelse og de konsekvensvurderinger, den lover. StandardOS skriver AI-politikken og politikkerne for konsekvensvurdering, datastyring og leverandører under den ud fra de samme svar, versioneret, og gør fortegnelsen, vurderingerne og kompetenceregistreringerne til rækker og datoer; [foranstaltningerne i anneks A](\u002Fiso-42001\u002Fcontrols) siger med StandardOS' ord, hvad hver af de tre politikforanstaltninger kræver.\n",1789383963602]