Multe companii care folosesc deja AI în procese reale au aceeași întrebare: „cu ce începem guvernanța, ca să nu ne prindă nepregătiți obligațiile legale?" Răspunsul scurt: cu un sistem de management al AI. ISO/IEC 42001 este standardul internațional care definește un astfel de sistem, iar obligațiile din EU AI Act pentru sistemele cu risc ridicat se sprijină, în mare parte, pe exact componentele pe care standardul le cere. Acest articol explică ce este standardul, cum se mapează pe AI Act și — la fel de important — ce nu rezolvă.
Ce este ISO/IEC 42001
ISO/IEC 42001:2023 este primul standard internațional pentru un sistem de management al inteligenței artificiale (AI Management System — AIMS). Nu certifică un model sau un produs, ci felul în care organizația guvernează AI-ul: politici, roluri, evaluarea riscurilor și a impactului, managementul datelor și al ciclului de viață, documentație și îmbunătățire continuă.
Standardul folosește structura armonizată comună standardelor moderne de management — aceeași pe care o au ISO 27001 (securitatea informației) și ISO 9001 (calitate): contextul organizației (clauza 4), leadership (5), planificare (6), suport (7), operare (8), evaluarea performanței (9) și îmbunătățire (10). Pentru organizațiile deja certificate pe 27001, asta înseamnă că fundația — politici, audit intern, tratarea riscurilor — există deja și poate fi extinsă, nu reconstruită.
De ce contează acum: obligațiile din EU AI Act
EU AI Act (Regulamentul 2024/1689) este lege, nu standard voluntar. Pentru sistemele cu risc ridicat, regulamentul impune, prin articolele 9–17, exact tipul de disciplină organizațională pe care ISO 42001 o structurează:
- managementul riscului pe tot ciclul de viață (Art. 9);
- guvernanța datelor — calitate, relevanță, bias (Art. 10);
- documentația tehnică și păstrarea înregistrărilor (Art. 11–12);
- transparența față de utilizatori (Art. 13);
- supravegherea umană (Art. 14);
- un sistem de management al calității (Art. 17).
Despre termene: obligațiile pentru sistemele high-risk din Anexa III au fost stabilite pentru 2 august 2026. În mai 2026 s-a ajuns la un acord provizoriu de amânare până în decembrie 2027; până la adoptarea formală, termenul original rămâne însă în vigoare. Lectura practică: fereastra de pregătire s-a lărgit, dar guvernanța nu se construiește în ultimul trimestru — colectarea documentației, definirea rolurilor și disciplina datelor cer luni, nu săptămâni.
Onest spus: certificarea ISO 42001 nu echivalează cu conformitatea la AI Act. Evaluarea de conformitate, înregistrarea în baza de date UE și regulile pentru modelele de uz general sunt obligații legale distincte, în afara oricărui standard voluntar. Standardul construiește fundația de guvernanță pe care aceste obligații se pot sprijini — atât și nimic mai mult.
Anexa A: cele 38 de controale, pe categorii
Nucleul practic al standardului este Anexa A — un set de controale specifice AI, organizate pe nouă obiective. Organizația alege și justifică controalele aplicabile în funcție de riscuri, printr-o declarație de aplicabilitate, ca la ISO 27001:
| Categorie | Ce acoperă |
|---|---|
| A.2 — Politici AI | Politica AI a organizației și alinierea ei cu celelalte politici existente |
| A.3 — Organizare internă | Roluri și responsabilități clare, canal de raportare a îngrijorărilor |
| A.4 — Resurse | Inventarul resurselor: date, unelte, sisteme, competențe umane |
| A.5 — Evaluarea impactului | Impactul sistemelor AI asupra persoanelor, grupurilor și societății |
| A.6 — Ciclul de viață | Cerințe, proiectare, verificare, punere în funcțiune, operare, monitorizare |
| A.7 — Date | Calitatea, proveniența și pregătirea datelor pentru sistemele AI |
| A.8 — Informare | Transparență: ce comunici utilizatorilor și părților interesate, raportarea incidentelor |
| A.9 — Utilizare responsabilă | Obiective de utilizare responsabilă, utilizarea conform destinației |
| A.10 — Terți | Furnizori, parteneri și clienți: alocarea responsabilităților pe lanț |
Două observații din practică. Întâi, evaluarea impactului (A.5) este pivotul: standardul este construit pe risc, iar fără o evaluare de impact făcută serios nu poți decide ce controale se aplică și cu ce profunzime. Apoi, categoria A.7 (date) este de regulă cea mai subestimată — calitatea și proveniența datelor sunt condiția ca orice alt control să însemne ceva, și tot ele sunt cerința centrală a Art. 10 din AI Act.
Cum arată implementarea, în mare
- Inventarul sistemelor AI — ce folosești, unde, cu ce date și cu ce rol decizional; fără inventar nu există domeniu de aplicare.
- Analiza decalajului — ce ai deja (mai ales dacă ești certificat 27001) față de cerințele clauzelor 4–10 și controalele Anexei A.
- Politica AI, rolurile și evaluarea impactului — fundamentul de guvernanță; aici se decide cine răspunde și pentru ce.
- Controalele operaționale — ciclul de viață, datele, transparența, terții, aplicate proporțional cu riscul.
- Audit intern și îmbunătățire — sistemul funcționează doar dacă se măsoară și se corectează; abia apoi are sens discuția despre certificare.
Certificarea în sine este opțională și vine la final, nu la început. Valoarea reală a standardului nu stă în certificat, ci în faptul că transformă „folosim AI responsabil" dintr-o declarație de intenție într-un sistem cu roluri, dovezi și disciplină — exact ce vor cere și legea, și clienții.