ISO/IEC 42001 tanúsítás: mikor éri meg egy kkv-nak?
Az ISO/IEC 42001 a világ első MI-irányítási rendszerszabványa – de nem csodaszer: az EU AI-rendelet szerinti megfelelőségi vélelmet nem ad, mert a harmonizált európai szabványok még készülnek. Tételes mérlegelés arról, mit tartalmaz a szabvány, hol tart a tanúsítási piac 2026-ban, mekkora a költség-szórás, és mely három esetben éri meg kkv-nak belevágni – primer forrásokkal, a 2026 nyári állapot szerint.
A cikk lényegeAz ISO/IEC 42001 a világ első MI-irányítási rendszerszabványa – de nem csodaszer: az EU AI-rendelet szerinti megfelelőségi vélelmet nem ad, mert a harmonizált európai szabványok még készülnek. Tételes mérlegelés arról, mit tartalmaz a szabvány, hol tart a tanúsítási piac 2026-ban, mekkora a költség-szórás, és mely három esetben éri meg kkv-nak belevágni – primer forrásokkal, a 2026 nyári állapot szerint.
Rövid válasz. Az ISO/IEC 42001:2023 a mesterségesintelligencia-irányítási rendszerek nemzetközi szabványa: a bevett irányítási szabványok szerkezetére épül, tervezés-végrehajtás-ellenőrzés-beavatkozás ciklussal és kilenc kontrollterülettel. Amit ad: rendszerezett MI-irányítást, piaci bizalmi jelzést és beszállítói láncokban egyre gyakrabban elvárt tanúsítványt. Amit nem ad: az EU AI-rendelet szerinti megfelelőségi vélelmet – a rendelethez kapcsolt harmonizált európai szabványok még kidolgozás alatt állnak, és e cikk írásakor egyetlen ilyen sincs kihirdetve az unió Hivatalos Lapjában. A tanúsítás három esetben éri meg kkv-nak: ha már működik ISO 27001 vagy 9001 rendszere; ha a vevői lánc – nagyvállalat, közbeszerzés, külpiac – elvárja; vagy ha maga fejleszt magas kockázatú rendszert. Minden más esetben a tanúsítás nélküli, dokumentált belső MI-irányítás olcsóbb és ugyanúgy védhető.
Mit tartalmaz a szabvány – és kinek készült?
Az ISO/IEC 42001 a mesterségesintelligencia-irányítási rendszer – nemzetközi rövidítéssel AIMS – követelményeit rögzíti. Szerkezete a bevett irányítási szabványok közös vázát követi: szervezeti kontextus, vezetői elkötelezettség, tervezés, támogatás, működés, teljesítményértékelés és fejlesztés, a tervezés-végrehajtás-ellenőrzés-beavatkozás ciklusban. A melléklet kilenc kontrollterületen sorolja fel a konkrét intézkedéseket – a szakirodalomban a kontrollok számát források szerint harminchat és harminckilenc közé teszik, a leggyakrabban idézett szám a harmincnyolc; a pontos számot a szabvány hivatalos, fizetős szövege rögzíti. A területek a MI-politikától és a szerepek kijelölésétől az erőforrásokon, a hatásvizsgálaton és az életciklus-kezelésen át az érintetti tájékoztatásig és a harmadik felekig terjednek. A szabvány technológia-semleges és méretfüggetlen: fejlesztőre és felhasználó szervezetre egyaránt alkalmazható – a kérdés nem az alkalmazhatóság, hanem a megtérülés.
Mit nem ad: a harmonizált szabványok kérdése
A leggyakoribb félreértés a tanúsítvány jogi erejét érinti. Az EU AI-rendelet 40. cikke szerint a harmonizált európai szabványok követése megfelelőségi vélelmet keletkeztet – ám harmonizált szabvánnyá egy dokumentum csak akkor válik, ha az uniós szabványügyi szervezetek a Bizottság felkérésére kidolgozzák, és hivatkozását kihirdetik az unió Hivatalos Lapjában. Az ISO/IEC 42001 nem ilyen: nemzetközi szabvány, amelynek követése önkéntes vállalás, jogi vélelem nélkül. A rendelethez kapcsolt európai szabványcsomagot a CEN-CENELEC illetékes műszaki bizottsága dolgozza ki: a minőségirányítási szabvány a jóváhagyási, a kockázatkezelési és az adatkormányzási szabványtervezetek a véleményezési szakaszban jártak az elérhető legfrissebb, 2026. júniusi állapot szerint, a kihirdetést az év végére célozva – e cikk írásakor kihirdetett harmonizált MI-szabvány nincs. A gyakorlati következtetés kettős: a 42001-tanúsítvány ma piaci és irányítási érték, nem jogi bizonyíték; és aki most építi a rendszerét, annak érdemes úgy építkeznie, hogy a későbbi európai szabványokra való átállás ne újrakezdés legyen.
Hol tart a tanúsítási piac 2026-ban?
A tanúsítás hitelességének kulcsa az akkreditáció: annak igazolása, hogy maga a tanúsító szervezet is megfelel a követelményeknek. Ennek szabványa, az ISO/IEC 42006 2025-ben jelent meg, és az akkreditáló testületek ez alapján kezdték minősíteni a tanúsítókat – az iparági beszámolók szerint az első nagy nemzetközi tanúsítók 2024 vége és 2026 eleje között szerezték meg akkreditációjukat, és a folyamat több országban zajlik. Magyar akkreditált 42001-tanúsító létéről megbízható, friss forrást nem találtunk – a hazai tanúsítási igény jellemzően nemzetközi tanúsítókon keresztül szolgálható ki. A költségek szórása nagy: a nyilvános tanácsadói becslések kis szervezetre néhány ezer dollártól több tízezer dollárig terjednek, éves felügyeleti auditokkal kiegészülve – egységes, hiteles árlista nincs, forintosított magyar benchmark pedig nem áll rendelkezésre, ezért számot felelősen nem közlünk. A tanulság: ajánlatot mindig többet kérjen, és a hatókört – hány MI-rendszer, hány telephely – előre pontosítsa, mert az ár ezen múlik a leginkább.
Mit tudunk biztosan, és mit nem?
| Állítás | Állapot | Megbízhatóság |
|---|---|---|
| Az ISO/IEC 42001:2023 az első MI-irányítási rendszerszabvány, PDCA-szerkezettel | ISO-forrás | igazolt |
| Nem ad megfelelőségi vélelmet az EU AI-rendelethez | a 40. cikk csak harmonizált szabványhoz köti a vélelmet – több független elemzés | igazolt |
| Kihirdetett harmonizált MI-szabvány e cikk írásakor nincs | 2026. júniusi állapotú források – az azóta eltelt hetekben változhatott | közepes |
| Az ISO/IEC 42006 tanúsítói szabvány 2025-ben megjelent | ISO/IEC primer forrás | igazolt |
| A kontrollok pontos száma és a tanúsítási költség | források közt szóródik – a hivatalos szövegből, illetve ajánlatokból tisztázandó | közepes |
| Magyar akkreditált 42001-tanúsító | léte nem igazolható megbízható forrásból | közepes |
A három eset, amikor megéri – és amikor nem
Van már ISO-rendszere
A 27001 vagy 9001 keretei – dokumentumkezelés, auditrend, vezetőségi átvizsgálás – újrahasznosíthatók; a bővítés lényegesen olcsóbb, mint az alapozás.
A lánc elvárja
Nagyvállalati beszállítói minősítés, közbeszerzés vagy külpiaci vevő kéri a tanúsítványt – ilyenkor a tanúsítás piacra lépési jegy, a megtérülés kérdése okafogyott.
Magas kockázatú fejlesztő
Aki maga fejleszt magas kockázatú rendszert, annak a 17. cikk minőségirányítást ír elő – a szabvány ehhez kész vázat ad, a későbbi európai szabványokra is felkészítve.
Egyik sem áll fenn
Ha csak használ MI-t, nincs láncnyomás és nincs ISO-alap: a tanúsítás nélküli, dokumentált belső irányítás – akár a NIST kockázatkezelési keretére építve – olcsóbb és ugyanúgy védhető.
Kulcs-megállapítások
- 01
A 42001 rendszerezett MI-irányítást és piaci bizalmat ad – jogi megfelelőségi vélelmet nem.
- 02
A harmonizált európai szabványok készülnek; kihirdetett még nincs – aki most épít, átjárhatóra építsen.
- 03
Az akkreditált tanúsítási piac 2025–2026-ban állt fel; magyar akkreditált tanúsító léte nem igazolt.
- 04
A költség-szórás nagy és a hatókörön múlik – több ajánlat és pontos hatókör-meghatározás nélkül ne döntsön.
- 05
A három megtérülési eset: meglévő ISO-alap, láncnyomás, magas kockázatú fejlesztés – ezeken kívül a belső irányítás a racionális út.
- 06
A tanúsítvány nem pótolja a működést: a folyamatba épített megfelelés az alap, a tanúsítás legfeljebb a pecsét rajta.
Gyakori kérdések
Mi a különbség az ISO 42001 és az EU AI-rendelet követelményei között?
A kettő műfaja más. A rendelet jogszabály: kockázati kategóriákhoz kötött, kötelező követelményekkel és bírságokkal. A szabvány önkéntes irányítási keret: azt rendszerezi, hogyan szervezze meg egy szervezet az MI-vel kapcsolatos döntéseit, szerepeit és folyamatait. Tartalmi átfedés van – kockázatkezelés, dokumentálás, emberi felügyelet, érintetti tájékoztatás –, ezért a szabvány szerinti működés a rendeleti megfelelést érdemben támogatja. De a megfeleltetés nem automatikus: a rendelet konkrét kötelezettségeit – a besorolástól a naplómegőrzésig – tételesen kell teljesíteni, és ezt a tanúsítvány önmagában nem igazolja. A jó sorrend: előbb a rendeleti alapok – leltár, besorolás, felelős –, aztán a rendszerszintű keret.
Ha nincs jogi vélelem, mit ér a tanúsítvány a hatóság előtt?
Közvetett, de valós értéket. A bírságkiszabásnál a hatóság a jogsértés jellege mellett a megtett intézkedéseket és az együttműködést is mérlegeli – egy akkreditált, független fél által rendszeresen auditált irányítási rendszer erős jele a gondos eljárásnak. Emellett a tanúsított rendszer melléktermékei – a kockázatnyilvántartás, az auditjegyzőkönyvek, a vezetőségi átvizsgálások – pontosan azok a kelt dokumentumok, amelyeket egy vizsgálat első körben kér. A vélelem hiánya tehát nem értéktelenséget jelent, hanem azt, hogy a tanúsítvány nem helyettesíti a tételes rendeleti megfelelést – kiegészíti és hitelesíti azt.
Mennyi idő egy bevezetés kkv-méretben?
A nyilvános tanácsadói tapasztalatok szerint a bevezetés jellemzően több hónapos folyamat: az eltérés-elemzéstől a dokumentáció és a kontrollok kiépítésén át a belső auditig és a tanúsító kétszakaszos auditjáig. Az időtartamot három tényező mozgatja: a meglévő irányítási alap – működő 27001 mellett a munka érdemben rövidül –, az MI-rendszerek száma és kockázata, valamint a belső erőforrás. Pontos, hiteles átfutási benchmark nem áll rendelkezésre, ezért konkrét hónapszámot nem ígérünk – a tervezésnél a több ajánlatkérés és a tanúsítói előminősítő beszélgetés ad reális képet. Egy biztos: a 2027. decemberi rendeleti határidőre készülőknek a döntést nem érdemes 2027-re hagyniuk, mert a tanúsítói kapacitás is véges.
Elég-e a NIST keretrendszere a szabvány helyett?
Ha a cél a belső rend és a rendeleti felkészülés – és nincs láncnyomás a tanúsítványra –, akkor igen, jó alternatíva. A NIST MI-kockázatkezelési keretrendszere ingyenes, nyilvános, és négy funkció köré szervezi a munkát: irányítás, feltérképezés, mérés és kezelés. Tanúsítás nem tartozik hozzá, tehát piaci pecsétet nem ad – cserébe nincs audit-költség, és a keret rugalmasan méretezhető. A két világ nem is zárja ki egymást: a NIST-alapú belső rendszer később 42001-tanúsításra érlelhető, ha a piaci igény megjelenik. A döntési kérdés tehát nem az, melyik keret a jobb, hanem az, hogy kell-e Önnek harmadik fél pecsétje – ha nem, a dokumentált működés a lényeg, a keret másodlagos.
Hogyan válasszunk tanúsítót?
Három szempont rendezi a mezőnyt. Az első az akkreditáció: kérdezzen rá, hogy a tanúsító az ISO/IEC 42006 szerinti akkreditációval rendelkezik-e és melyik akkreditáló testülettől – a szabvány friss, a piacon akkreditáció nélküli szereplők is hirdetnek. A második a hatókör-értelmezés: a jó tanúsító az előminősítő beszélgetésben pontosan lehatárolja, mely MI-rendszerek és telephelyek tartoznak a tanúsítás alá – ez határozza meg az árat és a munkát. A harmadik az iparági tapasztalat: kérjen referenciát hasonló méretű és profilú szervezetről. És egy gyakorlati tanács: az ajánlatok ne csak a tanúsítási díjat mutassák, hanem az éves felügyeleti auditok és az újratanúsítás költségét is – a tanúsítvány hároméves ciklusban él, a költsége is ciklusban értendő.
Mi változik, ha megjelennek a harmonizált európai szabványok?
Két dolog. Jogi oldalon megnyílik a megfelelőségi vélelem útja: aki a kihirdetett harmonizált szabványt követi, annak a lefedett követelmények teljesítését vélelmezik – ez a bizonyítási terhet érdemben könnyíti. Piaci oldalon pedig várhatóan átrendeződik az elvárás: a beszállítói láncokban a harmonizált szabvány szerinti működés válhat alapkövetelménnyé, a 42001 pedig a nemzetközi, unión kívüli piacok nyelve marad. A felkészülés módja ma is egyszerű: az irányítási rendszerét úgy dokumentálja, hogy a követelmények forrása – rendeleti cikk, szabványpont – tételesen visszakereshető legyen; így az átállás megfeleltetési munka lesz, nem újraépítés. A szabványcsomag kihirdetéséről a Tudástár frissítést közöl majd – az elemzéseinket a jelentős fordulóknál aktualizáljuk.
Kereszthálózat: a Tudástár kapcsolódó elemzései
Folyamatba épített megfelelés: rutin, nem kampány
Élő
Tudástár #48Kockázati besorolás a gyakorlatban
Élő
Tudástár #52Adatkormányzás kkv-méretben
Élő
Tudástár #55A felelős kijelölése: a legolcsóbb intézkedés
Élő
Tudástár #56Bírságkockázat: hol van a valódi tét a kkv-nál
Élő
Tudástár #45Az EU AI-rendelet 2026 nyarán – az augusztus 2-i határidő
Élő
Források és hivatkozási alap
- ISO/IEC 42001:2023 – MI-irányítási rendszerszabvány – szerkezet, PDCA, kilenc kontrollterület (iso.org) (2023)
- ISO/IEC 42006:2025 – A tanúsító szervezetek követelményei – az akkreditáció alapja (iso.org, IEC webstore) (2025)
- CEN-CENELEC JTC21 – A harmonizált európai MI-szabványok kidolgozásának állapota – 2026. júniusi források; kihirdetett szabvány e cikk írásakor nincs (cencenelec.eu, független követők) (2026)
- EU AI-rendelet, 40. cikk – A megfelelőségi vélelem harmonizált szabványhoz kötése – független jogi elemzések egybehangzóan (2024–2026)
- NIST AI RMF – Ingyenes kockázatkezelési keretrendszer – irányítás, feltérképezés, mérés, kezelés (nist.gov) (2023–2026)
A felnőttképzés, az informatika és a mesterséges intelligencia metszetében dolgozik – a gyakorlati tapasztalatot köti össze a friss kutatással. Gyöngyös, Baranya és a Dél-Dunántúl.