ISO/IEC 42001 – ledningssystem för ansvarsfull AI

AI används i allt fler verksamheter, både som stöd i interna processer och som en del av produkter och tjänster. Samtidigt ökar kraven på kontroll, riskhantering, regelefterlevnad och förtroende. En certifiering enligt ISO/IEC 42001 visar att organisationen arbetar systematiskt med styrning av AI och har etablerade processer för att hantera risker och möjligheter kopplade till AI-system. 

I dagsläget erbjuder Svensk Certifiering certifiering enligt ISO/IEC 42001 som en icke ackrediterad certifiering. Vi arbetar samtidigt med att genomföra ackreditering i Sverige mot Swedac. 

Fördelar med ISO/IEC 42001-certifiering 

Att bli certifierad enligt ISO 27001 innebär flera affärsmässiga och operativa fördelar:

1. Stärkt förtroende hos kunder och intressenter 
   Visa att organisationen arbetar systematiskt med ansvarsfull och kontrollerad användning av AI.  
2. Bättre kontroll över AI-risker 
   Identifiera och hantera risker kopplade till exempelvis informationssäkerhet, datakvalitet, transparens, bias, mänsklig översyn och regelefterlevnad.  
3. Tydligare ansvar och styrning 
   Skapa struktur för roller, ansvar, beslutsvägar och uppföljning av AI-system.  
4. Stöd för regelefterlevnad 
   Underlätta arbetet med att möta krav från lagstiftning, kunder och andra intressenter, exempelvis kopplat till EU:s AI-förordning, dataskydd och informationssäkerhet.  
5. Effektivare interna processer 
   Skapa gemensamma arbetssätt för utveckling, inköp, användning, granskning och avveckling av AI-lösningar.  
6. Konkurrensfördel i upphandlingar 
   En certifiering kan bli ett tydligt sätt att visa mognad, ansvarstagande och kontroll i frågor som rör AI.  

Så fungerar certifieringsprocessen

En certifiering enligt ISO/IEC 42001 sker normalt i flera steg:

1. Inledande dialog och offert 
   Vi går igenom organisationens verksamhet, omfattning, AI-användning och eventuella befintliga ledningssystem. 
2. Fastställande av omfattning 
   Det definieras vilka delar av verksamheten, vilka processer och vilka AI-system som ska omfattas av certifieringen.  
3. Steg 1-revision 
   Revisorn granskar om ledningssystemet är tillräckligt etablerat och förberett inför certifieringsrevisionen. Fokus ligger bland annat på omfattning, policy, riskhantering, dokumentation och grundläggande styrning.  
4. Steg 2-revision 
   Revisorn bedömer hur ledningssystemet fungerar i praktiken. Det kan omfatta intervjuer, granskning av processer, riskbedömningar, kontroller, uppföljning och exempel på hur AI-system hanteras.  
5. Certifieringsbeslut 
   Efter genomförd revision och eventuell hantering av avvikelser fattas beslut om certifiering.  
6. Uppföljande revisioner 
   Certifieringen följs upp genom återkommande revisioner för att säkerställa att ledningssystemet fortsätter att fungera och förbättras över tid.  

Icke ackrediterad certifiering och arbete mot Swedac 

ISO/IEC 42001 är fortfarande en relativt ny standard. I dagsläget erbjuder Svensk Certifiering certifiering enligt ISO/IEC 42001 som en icke ackrediterad certifiering. 

Det innebär att certifieringen genomförs enligt en strukturerad certifieringsprocess, men att den för närvarande inte omfattas av Svensk Certifierings ackreditering. 

Svensk Certifiering arbetar med att genomföra ackreditering i Sverige mot Swedac. Målet är att kunna erbjuda ackrediterad certifiering enligt ISO/IEC 42001 när förutsättningarna är på plats. 

För kunder innebär detta att certifieringen redan nu kan användas som ett sätt att visa struktur, ansvarstagande och mognad i arbetet med AI, samtidigt som det är viktigt att vara tydlig med att certifieringen i nuläget är icke ackrediterad.

ISO/IEC 42001 och EU:s AI-förordning 

ISO/IEC 42001 är inte samma sak som juridisk efterlevnad av EU:s AI-förordning, men standarden kan ge ett viktigt stöd i organisationens arbete med styrning, riskhantering och kontroll av AI. 

Genom att införa ett ledningssystem för AI kan organisationen skapa bättre förutsättningar för att: 

• Identifiera vilka AI-system som används  

• Bedöma risker och konsekvenser  

• Dokumentera ansvar och beslut  

• Säkerställa mänsklig översyn där det behövs  

• Följa upp leverantörer och AI-lösningar  

• Hantera incidenter, avvikelser och förbättringar  

För organisationer som omfattas av krav i AI-förordningen kan ISO/IEC 42001 därför vara ett praktiskt stöd, men den ersätter inte behovet av juridisk bedömning av vilka krav som gäller för den egna verksamheten.

ISO/IEC 42001 och ISO 27001 

ISO/IEC 42001 har flera beröringspunkter med ISO 27001. Många AI-risker är nära kopplade till informationssäkerhet, exempelvis skydd av data, åtkomststyrning, loggning, leverantörsstyrning och incidenthantering. 

Organisationer som redan är certifierade enligt ISO 27001 har ofta en bra grund att bygga vidare på. ISO/IEC 42001 kompletterar informationssäkerhetsarbetet genom att tydligare fokusera på AI-specifika frågor, såsom transparens, datakvalitet, modellstyrning, mänsklig översyn och ansvarsfull användning. 

För organisationer som redan har ett etablerat ledningssystem kan ISO/IEC 42001 ofta integreras i befintliga processer för riskhantering, intern revision, ledningens genomgång och förbättringsarbete.

Är ISO/IEC 42001 rätt för er organisation? 

SO/IEC 42001 passar organisationer som vill ta ett strukturerat grepp om AI och visa att AI används, utvecklas eller tillhandahålls på ett ansvarsfullt sätt. 

Standarden är särskilt relevant om ni: 

• Använder AI i verksamhetskritiska processer  

• Utvecklar eller säljer AI-baserade tjänster  

• Använder AI för analys, beslutsstöd eller automatisering  

• Hanterar kunddata, personuppgifter eller annan känslig information med AI  

• Vill stärka kundernas förtroende  

• Vill förbereda organisationen för ökade krav på AI-styrning  

Behöver ni hjälp med ISO/IEC 42001? 

Svensk Certifiering hjälper er att komma vidare med ISO/IEC 42001 genom certifiering, vägledning kring processen och tydlig dialog om vad som krävs för att bygga upp ett fungerande ledningssystem för AI. 

Kontakta oss om ni vill veta mer om ISO/IEC 42001, hur en certifiering går till eller hur standarden kan integreras med era befintliga ledningssystem.