Процесс сертификации ISO/IEC 42001: что он на самом деле включает, шаг за шагом
Обновлено: 27 октября 2026 г.
Главное
- ISO не сертифицирует компании. Сертификаты выдают органы по сертификации, и их ценность зависит от аккредитации национальным органом по аккредитации.
- Сертификационный аудит состоит из двух этапов: Stage 1 проверяет готовность, Stage 2 — действительно ли работает система менеджмента ИИ.
- До аудита компании стоит провести хотя бы один внутренний аудит и один анализ со стороны руководства.
- Оценка воздействия ИИ-систем — то, что отличает ISO/IEC 42001 от стандартов безопасности вроде ISO/IEC 27001.
- Сертификат охватывает трёхлетний цикл с надзорными аудитами не реже раза в календарный год.
- Сертификат ISO/IEC 42001 не доказывает соответствие EU AI Act.
Когда компания решает, что ей нужен ISO/IEC 42001, следующий вопрос практический: что происходит между «мы хотим сертификат» и «он у нас есть»? Сам стандарт описывает только систему менеджмента ИИ. Аудит регулируется двумя другими документами, которые мало кто читает за пределами органов по сертификации: ISO/IEC 17021-1 — общим сводом правил аудита систем менеджмента — и ISO/IEC 42006, опубликованным в июле 2025 года специально для ИИ. Понимая, как они работают, вы поймёте, что на самом деле будут искать аудиторы.
Шаг 1. Выберите аккредитованный орган по сертификации
ISO не сертифицирует компании и не аккредитует сертификационные органы. Сертификаты выдают органы по сертификации, и их ценность зависит от того, проверил ли их национальный орган по аккредитации. Сертификат неаккредитованного органа может выглядеть так же, но для клиентов и регуляторов он мало что значит.
Для ISO/IEC 42001 аккредитация пока в новинку. В Великобритании первый орган по сертификации получил аккредитацию для систем менеджмента ИИ в январе 2026 года. В ОАЭ Международный центр аккредитации Эмиратов (EIAC) открыл схему для органов по сертификации ISO/IEC 42001 на основе ISO/IEC 42006. Прежде чем подписывать договор, запросите у органа по сертификации аттестат аккредитации и проверьте, что он распространяется именно на ISO/IEC 42001, а не только на ISO/IEC 27001.
Шаг 2. Определите область сертификации
ISO/IEC 42001 применим к любой организации, которая предоставляет или использует продукты или услуги на основе ИИ-систем. Область сертификации определяет, какие ИИ-системы, подразделения и площадки охватит аудит и в какой роли: разработчика, поставщика или пользователя. Узкая область упрощает первый аудит, но клиенты будут читать область, указанную в сертификате. Сертификат, который охватывает только внутренний HR-инструмент, ничего не говорит об ИИ-продукте, который вы продаёте.
Шаг 3. Постройте систему менеджмента
Это самый долгий этап, и на него приходится основная работа. Стандарт ожидает как минимум:
- политику в области ИИ и измеримые цели в области ИИ с чётким распределением ролей и ответственности;
- оценку рисков ИИ и план обработки рисков;
- оценку воздействия ИИ-систем, которая рассматривает возможные последствия ИИ-систем для людей, групп и общества;
- Заявление о применимости (Statement of Applicability), которое объясняет, какие меры из Приложения A вы применяете и почему исключаете остальные.
Оценка воздействия — то, что отличает ISO/IEC 42001 от стандартов безопасности вроде ISO/IEC 27001. У компании может быть отличная кибербезопасность, и всё же она провалится здесь, если никогда не задавалась вопросом, как её ИИ влияет на людей, о которых он принимает решения. Меры из Приложения A охватывают такие области, как качество данных, жизненный цикл ИИ-системы, информация для пользователей и отношения со сторонними поставщиками.
Шаг 4. Запустите систему и проверьте себя
Система менеджмента, существующая только на бумаге, аудит не пройдёт. До сертификационного аудита компании стоит провести хотя бы один внутренний аудит и один анализ со стороны руководства. Это не формальность: одна из целей первого этапа аудита по ISO/IEC 17021-1 — оценить, планируются ли и проводятся ли внутренние аудиты и анализ со стороны руководства. На практике это значит, что система должна поработать какое-то время до прихода аудиторов.
Шаг 5. Аудит Stage 1
Сертификационный аудит проходит в два этапа. Stage 1 проверяет, готова ли компания: аудиторы изучают документацию, область сертификации, оценки рисков и воздействия и результаты внутреннего аудита. Результат — отчёт с перечнем проблем, которые могут стать несоответствиями на Stage 2. Это самый дешёвый момент, чтобы найти проблемы, поэтому к отчёту стоит отнестись серьёзно.
Шаг 6. Аудит Stage 2
Stage 2 проверяет, действительно ли система работает. Аудиторы беседуют с сотрудниками, изучают записи и смотрят, как конкретные ИИ-системы оценивались, тестировались и отслеживались. Выявленные нарушения классифицируются как значительные или незначительные несоответствия. Значительное несоответствие блокирует сертификацию, пока компания его не устранит, а орган по сертификации не подтвердит устранение. Если этого не произойдёт в течение шести месяцев после последнего дня Stage 2, органу по сертификации придётся повторить Stage 2. Для незначительного несоответствия обычно достаточно принятого плана действий.
Шаг 7. Сертификация, надзор и продление
Решение о сертификации принимает орган по сертификации, а не сами аудиторы. Сертификат охватывает трёхлетний цикл. Надзорные аудиты проводятся не реже раза в календарный год, и первый должен состояться не позднее чем через 12 месяцев после решения о сертификации. До истечения срока сертификата компания проходит ресертификационный аудит. Иными словами, сертификация — не разовый проект, а ежегодное обязательство.
Что меняет ISO/IEC 42006
До 2025 года органы по сертификации проводили аудит систем менеджмента ИИ только по общим правилам. ISO/IEC 42006 добавляет требования, специфичные для ИИ: более строгие требования к компетенции аудиторов и другого персонала, правила расчёта времени аудита и правила доступа органа по сертификации к документации клиента. Канадский орган по аккредитации, например, сделал стандарт обязательным для новых заявок сразу после публикации. Для клиентов это значит, что аудиторы должны разбираться в ИИ, а не только в системах менеджмента, а время аудита зависит от размера и сложности области ИИ.
Если у вас уже есть ISO/IEC 27001
Компании, сертифицированные по ISO/IEC 27001, могут объединить два аудита. По международным правилам интегрированных аудитов время аудита рассчитывается для каждого стандарта, затем суммируется и может быть сокращено до 20%, например если аудиторы компетентны в обоих стандартах. Общая структура систем менеджмента также позволяет проводить политики, внутренние аудиты и анализ со стороны руководства один раз для обоих стандартов.
Чего не даёт сертификация
Сертификат ISO/IEC 42001 не доказывает соответствие EU AI Act. Еврокомиссия указала, что, хотя стандарт помогает выстроить систему менеджмента ИИ, его цели и определения не согласованы с системой менеджмента качества, которую требует AI Act. Сертификат — хорошее свидетельство ответственного управления ИИ, но его не стоит представлять как соблюдение требований закона.
Что мы рекомендуем
- Выбирайте область сертификации с оглядкой на клиентов: сертифицируйте те ИИ-системы, которые им действительно важны.
- Дайте системе поработать достаточно долго, чтобы провести хотя бы один внутренний аудит и один анализ со стороны руководства до Stage 2.
- Уделите особое внимание оценке воздействия ИИ-систем: большинство компаний никогда раньше её не проводили.
- Проверьте аккредитацию органа по сертификации по ISO/IEC 42001 до подписания договора.
Итог
Сертификация ISO/IEC 42001 — это цикл, а не один аудит. Сложнее всего не пройти Stage 2, а построить систему, которая действительно работает и продолжает работать между надзорными аудитами. Если вы планируете сертификацию, AMLzone поможет определить область, построить систему менеджмента ИИ и подготовиться к каждому этапу аудита.
Источники
1. ISO, “How to verify an accredited certification”. https://help.iso.org/en/articles/424922-how-to-verify-an-accredited-certification
2. UKAS, “UKAS grants first AIMS accreditation”, January 2026. https://www.ukas.com/resources/latest-news/ukas-grants-first-aims-accreditation/
3. Emirates International Accreditation Centre (EIAC), Certification Bodies. https://eiac.gov.ae/services/certification-bodies/
4. ISO, ISO/IEC 42001:2023 Information technology — Artificial intelligence — Management system. https://www.iso.org/standard/42001
5. ISO, ISO/IEC 42001:2023 Information technology — Artificial intelligence — Management system. https://www.iso.org/standard/42001
6. ISO/IEC 17021-1:2015 Conformity assessment — Requirements for bodies providing audit and certification of management systems — Part 1, clause 9.3. https://www.iso.org/standard/61651.html
7. ISO/IEC 17021-1:2015 Conformity assessment — Requirements for bodies providing audit and certification of management systems — Part 1, clause 9.3. https://www.iso.org/standard/61651.html
8. ISO/IEC 17021-1:2015, clauses 9.4–9.5. https://www.iso.org/standard/61651.html
9. ISO/IEC 17021-1:2015, clauses 9.1.3 and 9.6. https://www.iso.org/standard/61651.html
10. ISO, ISO/IEC 42006:2025; Standards Council of Canada, Bulletin 2025-21 “Transition to ISO/IEC 42006:2025”, 28 August 2025. https://scc-ccn.ca/accreditation/bulletins/transition-isoiec-420062025-bodies-providing-audit-and-certification
11. IAF MD 11:2023, Application of ISO/IEC 17021-1 for Audits of Integrated Management Systems, Issue 3. https://iaf.nu/iaf_system/uploads/documents/IAF_MD_11_Issue_3_12092023.pdf
12. European Commission, “Understanding standardisation in the AI Act”, Q&A. https://digital-strategy.ec.europa.eu/en/faqs/understanding-standardisation-ai-act
06.11.2026
