ISO 42001 или SOC 2: какая сертификация в области ИИ вам действительно нужна?
Обновлено: 23 октября 2026 г.
Главное
- SOC 2 — не сертификация, а отчёт с заключением лицензированной аудиторской фирмы по стандартам AICPA. ISO/IEC 42001 приводит к сертификату аккредитованного органа по сертификации.
- SOC 2 отвечает на вопрос, можно ли доверить поставщику данные и системы. ISO/IEC 42001 — на вопрос, ответственно ли компания управляет своим ИИ.
- В SOC 2 нет критериев по данным для обучения, предвзятости моделей, объяснимости или воздействию ИИ на людей.
- Ни один из них не даёт презумпции соответствия по EU AI Act.
- Компании, которая продаёт ИИ-продукт крупным компаниям, рано или поздно, вероятно, понадобятся оба.
Рано или поздно каждая компания, которая создаёт или продаёт ИИ, получает от крупного клиента или инвестора одно и то же письмо: «У вас есть сертификат ISO 42001? А SOC 2?» Тогда основатели спрашивают нас, что из этого им нужно, часто надеясь услышать «только одно». Честный ответ зависит от того, кто спрашивает и зачем. Издалека эти два документа похожи, но отвечают на совершенно разные вопросы.
Сначала небольшая поправка: SOC 2 — не сертификация
Это распространённая ошибка, и она даже есть в заголовке этой статьи, потому что именно так это ищет большинство людей. SOC 2 — это отчёт с заключением (attestation report), который выдаёт лицензированная аудиторская фирма — независимый аудитор — по стандартам Американского института сертифицированных общественных бухгалтеров (AICPA). Сертификата на стене не будет. Вместо него вы получаете отчёт, который описывает ваши контроли и содержит мнение аудитора о них.
Типов два. Отчёт Type 1 проверяет, хорошо ли спроектированы ваши контроли на одну дату. Отчёт Type 2 также проверяет, действительно ли они работали в течение периода, обычно от трёх до двенадцати месяцев. Крупные клиенты почти всегда хотят Type 2, потому что он показывает, как вы работаете на практике, а не только на бумаге.
Что на самом деле проверяет SOC 2
SOC 2 построен на пяти критериях Trust Services Criteria: безопасность, доступность, целостность обработки, конфиденциальность и приватность. Обязательна только безопасность, остальные четыре выбираются в зависимости от того, что вы обещаете клиентам. Проще говоря, SOC 2 отвечает на один вопрос: можно ли доверить этому поставщику мои данные и мои системы?
Именно поэтому SOC 2 — не стандарт для ИИ. Он создавался для любой сервисной организации, работающей с данными клиентов: облачного провайдера, платформы расчёта зарплаты или SaaS-сервиса. В нём нет критериев по данным для обучения, предвзятости моделей, объяснимости или воздействию ИИ на людей. У ИИ-компании может быть безупречный отчёт SOC 2 и при этом никакого понимания того, как её модель принимает решения.
Что проверяет ISO 42001
ISO/IEC 42001, опубликованный в декабре 2023 года, — первый международный стандарт системы менеджмента ИИ. Он устанавливает требования к тому, как организация, которая разрабатывает, предоставляет или использует ИИ, должна создавать, вести и постоянно улучшать управление ИИ. Его Приложение A содержит 38 мер в девяти областях — от политики в области ИИ и оценки воздействия до качества данных, жизненного цикла ИИ-системы и отношений со сторонними поставщиками.
В отличие от SOC 2, ISO 42001 приводит к сертификату. Его выдаёт аккредитованный орган по сертификации, и с 2025 года у таких органов есть собственный стандарт ISO/IEC 42006, который устанавливает правила аудита систем менеджмента ИИ. Как и другие сертификаты систем менеджмента ISO, он обычно действует три года с надзорными аудитами в промежутке. Проще говоря, ISO 42001 отвечает на другой вопрос: ответственно ли эта компания управляет своим ИИ?
Сравнение
Ни один из них не обеспечивает соответствие EU AI Act
Это самый важный момент, и его чаще всего понимают неправильно. По AI Act «презумпцию соответствия» — то есть признание того, что следование стандарту означает выполнение требований закона, — дают только гармонизированные европейские стандарты, опубликованные в Официальном журнале ЕС. ISO 42001 к ним не относится. Даже его европейская версия, принятая в марте 2026 года, такой презумпции не даёт. Гармонизированные стандарты для AI Act ещё разрабатываются, и стандарт по менеджменту качества — это отдельный европейский стандарт, а не ISO 42001. SOC 2 в ЕС вообще не имеет юридической силы.
Это не делает ISO 42001 бесполезным для AI Act. Многие его меры — оценка рисков, управление данными, работа с поставщиками — пересекаются с требованиями Регламента. Это хорошая основа. Но сам по себе сертификат не доказывает соответствие, и его не стоит так представлять.
Так что же вам нужно?
- Вы продаёте ПО или облачные услуги корпоративным клиентам, особенно в США. Начните с SOC 2 Type 2. Он часто является условием подписания договора, используете вы ИИ или нет.
- Вы создаёте или внедряете ИИ, и вашим клиентам, партнёрам или регуляторам важно, как вы им управляете. Уместнее ISO 42001, особенно если вы работаете на международном рынке или готовитесь к EU AI Act.
- Вы продаёте ИИ-продукт крупным компаниям. Рано или поздно вам, вероятно, понадобятся оба: SOC 2 — чтобы показать, что данные клиентов в безопасности, и ISO 42001 — чтобы показать, что ваш ИИ под контролем.
Если у вас уже есть ISO/IEC 27001 по информационной безопасности, добавить ISO 42001 обычно проще, потому что у обоих стандартов одинаковая структура системы менеджмента.
Что мы рекомендуем
- Спросите клиентов и партнёров, что именно им нужно. Многие запросы на «сертификацию ИИ» оказываются стандартной анкетой по безопасности.
- Выберите документ, который отвечает на вопрос вашего рынка: безопасность данных (SOC 2) или управление ИИ (ISO 42001).
- Не представляйте ни один из них как доказательство соответствия EU AI Act.
- Если планируете оба, создайте один комплект политик и контролей и используйте его для обоих аудитов.
Итог
SOC 2 говорит клиентам, что их данные у вас в безопасности. ISO 42001 говорит им, что ваш ИИ управляется ответственно. Ни один из них не заменяет соблюдение закона, но оба могут открыть двери к клиентам, которые без них не стали бы с вами разговаривать. Если вы не уверены, что нужно вашему бизнесу или как это соотносится с EU AI Act и местными правилами, AMLzone поможет выбрать правильный путь и подготовиться к нему.
Источники
1. ISO, ISO/IEC 42001:2023 Information technology — Artificial intelligence — Management system. https://www.iso.org/standard/42001
2. Standards Council of Canada, “Transition to ISO/IEC 42006:2025”, August 2025. https://scc-ccn.ca/accreditation/bulletins/transition-isoiec-420062025-bodies-providing-audit-and-certification
3. Regulation (EU) 2024/1689 (AI Act), Art. 40. https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng
06.11.2026
