ISO 42001-certificering

ISO/IEC 42001:2023 er ledelsessystemstandarden for kunstig intelligens, og den kommer tidligt. I de 365 dage frem til den 11. august 2026 optræder den i 18 EU-udbudsbekendtgørelser på TED mod 3.408 for ISO 27001. Den ærlige grund til at certificere sig i 2026 er, at en kunde, en investor eller en indkøbsliste spørger.

Det er ikke en lovbestemt frist, og det er ikke en vej til overensstemmelse med EU's AI-forordning. Har I allerede ISO 27001, koster den anden standard en brøkdel af den første, fordi afsnit 4 til 10 er fælles, og det, I tilføjer, er 38 foranstaltninger, én ny slags vurdering og de optegnelser, der hører til. Har I endnu intet, så begynd med den standard, jeres kunder nævner.

Om det er tidligt, målt frem for gættet

TED er EU's eget udbudsportal, og dets søge-API er offentlig, så dette kan efterprøves i stedet for at påstås. I de 365 dage frem til den 11. august 2026:

Atten. Ingen taber i dag offentlige udbud af mangel på ISO 42001. Certifikattællingerne siger det samme fra den anden side: I foråret 2026 lå de offentliggjorte optællinger af ISO 42001-certifikater på verdensplan på nogle få hundrede organisationer mod cirka 96.000 ISO 27001-certifikater i ISO Survey. Akkrediteret certificering blev først mulig i andet halvår 2025, da ISO/IEC 42006 blev udgivet, standarden der fortæller certificeringsorganer, hvordan de auditerer mod 42001.

Det, tallene ikke fanger, er privat indkøb. Leverandørspørgeskemaer fra store kunder er begyndt at have et afsnit om "AI-governance", og et certifikat er det korteste svar på det. Det er reel efterspørgsel. Den kommer fra indkøb, den kommer som spørgeskema, og den er grunden til at gøre det i 2026, hvis I overhovedet gør det.

Hvad den ikke er: en vej til AI-forordningen

Det er den påstand, man skal passe på, for meget markedsføring fremsætter den.

ISO 42001 giver ikke formodning om overensstemmelse med EU's AI-forordning. De europæiske standardiseringsorganisationer CEN og Cenelec har skrevet en særskilt europæisk standard til forordningens kvalitetsstyringssystem: EN 18286.

Den 14. oktober 2026 offentliggjorde Kommissionens gennemførelsesafgørelse (EU) 2026/2274 EN 18286:2026 i EU-Tidende som den første harmoniserede standard under AI-forordningen; 42001 er ikke offentliggjort. Selv den offentliggørelse rækker kortere, end den lyder. Efter artikel 40 formodes overensstemmelse med artikel 8 til 15, for så vidt en offentliggjort standard omfatter dem. Selve kvalitetsstyringssystemet kontrolleres mod den artikel, der kræver det. Hvad EN 18286 giver en udbyder, og hvad den ikke giver. Selve højrisikoforpligtelserne blev med forordning (EU) 2026/1744 udskudt til den 2. december 2027 (systemer i bilag III) og den 2. august 2028 (indlejrede systemer i bilag I).

Det, 42001 giver jer, er det governance-stillads, som alt senere arbejde med AI-forordningen hviler på: roller, en fortegnelse over AI-systemer, konsekvensvurderinger, dataoptegnelser, en ledelsesevaluering, der omfatter AI. Vores egen læsning knytter 42001's foranstaltninger til hvert aspekt, artikel 17, stk. 1, nævner, punkt for punkt. Den holdbare sætning er "42001 gør organisationen klar"; den uholdbare er "42001 gør systemet overensstemmende".

Hvad den kræver

Afsnit 4 til 10 er Harmonized Structure, det samme skelet som ISO 27001, ISO 9001 og enhver anden aktuel ledelsessystemstandard: kontekst, lederskab, planlægning, støtte, drift, præstationsevaluering, forbedring. Har I ISO 27001, har I bygget alle syv, og optegnelserne tæller for begge standarder. En afgrænsningserklæring, en politik, mål, en risikometode, kompetenceoptegnelser, en intern audit, en ledelsesevaluering: ét sæt, to certifikater.

Tre ting er nye.

Organisationens rolle for hvert AI-system. 42001 beder jer sige, for hvert system i afgrænsningen, om I er dets udbyder, dets udvikler, dets idriftsætter eller dets bruger, fordi forpligtelserne er forskellige. En virksomhed, der anvender en leverandørs model, og en virksomhed, der træner sin egen, har forskellige erklæringer om anvendelighed, og afgrænsningen skal opregne systemerne, ikke kun forretningsenhederne.

Konsekvensvurderingen af AI-systemet, punkt 6.1.4. Det er punktet uden noget modstykke i ISO 27001 overhovedet, og det er grunden til, at en 42001-audit ikke er en 27001-audit med ekstra foranstaltninger.

Hvor 27001 spørger, hvad der kan gå galt for organisationen, spørger 42001, hvad systemet gør ved de mennesker, det berører, og ved samfundet: hvem der påvirkes, hvad det tilsigtede formål er, hvordan rimeligt forudsigelig misbrug ser ud, og hvad konsekvenserne af et forkert output er for et enkelt menneske. En auditor vil bede om vurderingen af ét navngivet system og forvente et dokument, ikke et filtreret risikoregister.

De 38 foranstaltninger i bilag A. Grupperet A.2 til A.10: AI-politik; intern organisation; ressourcer til AI-systemer (data, værktøjer, regnekraft, mennesker); konsekvensvurdering; AI-systemets livscyklus fra mål over verifikation, idriftsættelse og overvågning; data til AI-systemer (oprindelse, kvalitet, forberedelse); information til interessenter; brug af AI-systemer; og relationer til tredjeparter og kunder.

Som ved 27001 afgør I, hvilke der gælder, og begrunder dem, der ikke gør, i en erklæring om anvendelighed, og bilag B giver implementeringsvejledning til hver. Dataforanstaltningerne i A.7 er dem, virksomheder undervurderer: En auditor vil se, hvor trænings- og evalueringsdata kom fra, hvordan deres kvalitet blev vurderet, og hvordan de blev forberedt, med datoer.

Hvad den koster, og hvorfor det offentliggjorte spænd er ubrugeligt

Én søgeresultatside for "ISO 42001 certification cost" viste tal fra 7.000 $ til 650.000 $. Begge kan være sande for nogen. Ingen af dem siger noget om jeres virksomhed. Omkostningen har tre dele, og kun én af dem er fastsat af en regel.

Certificeringsorganets auditgebyr. Efter ISO/IEC 42006 fastsætter organet audittiden ud fra antallet af AI-systemer i afgrænsningen, deres kompleksitet og organisationens størrelse og fakturerer derefter en dagspris. Organerne offentliggør ikke priser; regn med samme størrelsesorden som ISO 27001-auditordage, der i Europa ligger groft på 1.200 € til 2.000 € om dagen.

Hvis samme organ allerede har jeres 27001-certifikat, så bed om en integreret audit: De fælles afsnit auditeres én gang, og det 42001-specifikke arbejde lægges oveni, altså dage lagt til frem for dage fordoblet.

Jeres interne tid. For en virksomhed, der allerede driver et ISMS, er det konsekvensvurderingerne, fortegnelsen over AI-systemer, dataoptegnelserne og de 38 beslutninger om foranstaltninger. Uger af én persons tid, ikke måneder af et teams. For en virksomhed, der starter fra ingenting, er det først at bygge ledelsessystemet, hvilket er ISO 27001-projektet under et andet navn.

Hjælp, hvis I køber den. En konsulent sælger dømmekraft om afgrænsning og om konsekvensvurderingerne, som er der, hvor en første 42001-audit går galt. Skabeloner er ikke den knappe del.

Så det ærlige regnestykke for en virksomhed med 40 personer, et ISO 27001-certifikat og to AI-systemer i afgrænsningen er et lille antal ekstra auditordage plus nogle få ugers internt arbejde. For samme virksomhed uden ledelsessystem er det ISO 27001-projektet plus det.

Hvis I allerede har ISO 27001

Læg den anden standard på den førstes rygrad. Udvid afgrænsningserklæringen med listen over AI-systemer. Tilføj rollebestemmelsen til kontekstoptegnelsen. Tilføj "konsekvenser for enkeltpersoner og for samfundet" til risikokriterierne, for 42001 kræver det, og 27001 gør ikke. Gennemfør konsekvensvurderingen for hvert system i afgrænsningen og opbevar den som sit eget dokument. Tag stilling til de 38 foranstaltninger. Så dækker den interne audit og ledelsesevalueringen begge standarder i én cyklus, og overvågningsauditterne følges ad.

Fejlen, der skal undgås, er et andet, adskilt sæt optegnelser for ét system. Virksomheder, der gør 27001 med ét værktøj og 42001 med et regneark, ender med at beskrive samme adgangsstyring, samme leverandør og samme hændelse to gange, og en auditor, der ser de to versioner være uenige, har en afvigelse.

Vores dækning af ISO 42001 punkt for punkt siger for hvert punkt, hvad produktet holder, og hvor posterne blev lukket, i samme format som 27001-registret. Læs det, før I beslutter noget.

Hvis I endnu intet har

Begynd med den standard, jeres kunder spørger efter. Ud fra tallene ovenfor er det for næsten enhver virksomhed i Europa i 2026 ISO 27001. Byg den, så AI-standarden kan lægges til senere: Før AI-systemer i aktivfortegnelsen fra begyndelsen, og skriv risikokriterierne med enkeltpersoner og samfund som en kolonne, selv om den står tom i et år.

Certificér kun 42001 først, hvis den kunde, der spørger, også er den, der betaler. Nogle er: En AI-leverandør, hvis største kundes indkøb kræver et certifikat for AI-governance, står præcis der, og for dem er 42001 først rationelt. Alle andre køber en option på 2028, og optioner er billigere, jo mindre man bruger på dem.

Kilder

• TED-tællinger: scripts/ted-by-country.mjs mod TED Search API, 365 dage frem til den 11. august 2026; se ISO 27001 eller SOC 2 i Europa.
• ISO/IEC 42001:2023, afsnit 4 til 10, 6.1.4, bilag A (38 foranstaltninger, A.2 til A.10), bilag B.
• ISO/IEC 42006:2025, krav til organer, der auditerer og certificerer ledelsessystemer for AI.
• CEN-CENELEC JTC 21 og EN 18286:2026, offentliggjort ved Kommissionens gennemførelsesafgørelse (EU) 2026/2274 af 12. oktober 2026 (EUT L, 2026/2274, 14.10.2026), læst på CELLAR den 17. oktober 2026; forordning (EU) 2026/1744 (i kraft den 27. juli 2026), der udskyder højrisikoforpligtelserne i bilag III til den 2. december 2027 og bilag I til den 2. august 2028. Sammenfatninger fra Hunton, White & Case og Mayer Brown, juli 2026; teksten i EU-Tidende citeres direkte før offentliggørelse.
• Certifikattællinger: ISO Survey (ISO 27001, ~96.000 certifikater); ISO 42001-optællinger pr. april 2026 fra branchetællinger samlet i vores regulatoriske research. Læs 42001-tallet som en størrelsesorden.
• Auditorernes dagspriser: Hvor mange auditordage tager ISO 27001.