ISO 42001 - czy Twoja firma go potrzebuje, ile kosztuje i co zrobić za darmo

ISO/IEC 42001 to dobrowolna norma systemu zarządzania AI. Żaden przepis nie każe jej mieć, certyfikat kosztuje kilkadziesiąt tysięcy złotych rocznie, a sporą część wymagań da się spełnić za darmo - bez certyfikatu. Pytanie „czy potrzebujemy ISO 42001” rzadko rodzi się na zarządzie. Zwykle przychodzi z zewnątrz: w ankiecie bezpieczeństwa od korporacyjnego klienta pojawia się rubryka, której rok temu tam nie było. Obok wypełnionego pola ISO 27001 stoi puste ISO 42001. Nikt nie pisze „musicie to mieć”, ale kratka jest.

I to jest właściwy trop. Odpowiedź zależy od tego, kto pyta, a nie od tego, co Twoja firma robi z AI. Nie wymaga jej ani AI Act, ani ustawa o systemach sztucznej inteligencji obowiązująca od 11 sierpnia 2026. ISO 42001 jest normą dobrowolną, jak większość norm ISO.

Ciekawsze jest co innego: firma może być w pełni zgodna z ISO 42001 i nie mieć certyfikatu. Zgodność robi się samemu, certyfikat kupuje się od jednostki akredytowanej po płatnym audycie. To dwie różne rzeczy i dwa różne rachunki. Poniżej rozkładamy oba - z widełkami kosztów, tabelą decyzyjną i trzema krokami, które nie kosztują ani złotówki.

Czym jest norma ISO 42001 i czego wymaga?

ISO/IEC 42001:2023 opisuje wymagania dla systemu zarządzania sztuczną inteligencją w organizacji: jak go ustanowić, wdrożyć, utrzymywać i doskonalić. Adresatem są zarówno firmy, które systemy AI dostarczają, jak i te, które ich używają w swoich procesach. Wymagania siedzą w dwóch warstwach: klauzule od 4 do 10 (kontekst, przywództwo, planowanie, wsparcie, działanie, ocena, doskonalenie), wspólne dla wszystkich norm zarządzania, oraz Annex A z 38 kontrolami specyficznymi dla AI, pogrupowanymi w 9 obszarów - od polityki AI, przez ocenę wpływu, po cykl życia systemu i zarządzanie danymi.

Sama norma kosztuje 225 CHF u oficjalnych dystrybutorów, na przykład w IEC Webstore. To jedyna cena w całym temacie, którą można podać bez „to zależy”.

Czym ISO 42001 różni się od NIST AI RMF i od AI Act, mieści się w jednym zdaniu: AI Act to prawo, którego trzeba przestrzegać, ISO 42001 to dobrowolna norma z możliwością certyfikacji, a NIST AI RMF to darmowa rama bez certyfikacji. Pełny rozbiór różnic i odpowiedź, od którego z nich zacząć, są w tekście o zarządzaniu AI w firmie. Tutaj zajmujemy się rachunkiem i decyzją.

Czy certyfikat ISO 42001 jest obowiązkowy?

Certyfikat nie jest przepustką prawną, jest biletem do przetargu. Kupujesz go wtedy, gdy po drugiej stronie stołu siedzi ktoś, kto bez niego nie otworzy koperty: dział zakupów korporacji, komisja przetargowa, inwestor w due diligence. Żaden przepis go nie nakazuje, a co ważniejsze: certyfikat ISO 42001 nie daje domniemania zgodności z AI Act.

To rozróżnienie warto znać, zanim zadzwoni handlowiec z ofertą „ISO 42001 załatwi Wam AI Act”. Domniemanie zgodności przysługuje wyłącznie normom zharmonizowanym, opublikowanym w Dzienniku Urzędowym Unii Europejskiej - tak stanowi art. 40 rozporządzenia (UE) 2024/1689. Na dziś żadna norma dotycząca systemu zarządzania AI tego statusu nie ma.

Komisja Europejska uznała, że cele i definicje ISO/IEC 42001 nie pokrywają się w pełni z wymogiem systemu zarządzania jakością z AI Act, więc komitet CEN-CENELEC JTC 21 opracowuje osobną normę europejską prEN 18286 zamiast przyjąć ISO 42001 wprost. Według noty Cloud Security Alliance trafiła do publicznych konsultacji 30 października 2025 jako pierwsza norma zharmonizowana pod AI Act na tym etapie, a jej załącznik D mapuje wymagania na kontrole z Annex A ISO 42001. Kto ma 42001, nie zaczyna więc od zera. Ale między certyfikatem a domniemaniem zgodności ciągle stoi luka w Dzienniku Urzędowym i to w niej podejmuje się decyzję zakupową. Same obowiązki, terminy i progi kar rozebraliśmy w przewodniku po AI Act dla firm.

Kiedy klient albo przetarg naprawdę wymaga certyfikatu?

Certyfikat kupuje się dla cudzego działu zakupów, nie dla własnego bezpieczeństwa - bezpieczeństwo da się mieć taniej i szybciej. Dlatego pytanie nie brzmi „czy nam się przyda”, tylko „kto konkretnie tego żąda i czy ma to na piśmie”. Pięć typowych sytuacji prowadzi w pięć różnych stron.

Żadna z tych sytuacji nie prowadzi automatycznie do „musisz się certyfikować”. Certyfikat na wszelki wypadek to najdroższy wariant z możliwych, bo płacisz co roku za dowód, którego nikt nie ogląda.

Ile kosztuje certyfikacja ISO 42001?

Pieniądze w ISO 42001 nie idą na certyfikat, tylko na porządek, który trzeba zrobić przed certyfikatem. Sam audyt to mniejsza część rachunku. Największą pozycją jest zwykle przygotowanie: analiza luk i zbudowanie brakujących kontroli. Zestawienia firm audytorskich podają dla organizacji do 20 osób poniższe widełki, w dolarach, bo rynek certyfikacyjny wycenia w tej walucie.

Cały pierwszy rok dla firmy do 20 osób zamyka się w przedziale 20 000-70 000 USD. Inne zestawienia podają dla firm 50-200 osób 85 000-150 000 USD - różnica siedzi w zakresie i liczbie procesów, nie w cenniku, i pokazuje, jak szeroko rozjeżdżają się szacunki na tak młodym rynku.

Certyfikat nie jest zakupem jednorazowym. To abonament, nie dyplom: dwa audyty nadzoru i recertyfikacja rozkładają koszt na trzyletni cykl, który potem zaczyna się od nowa.

Polski czytelnik napotka tu ścianę. Jednostki działające w Polsce nie publikują cenników ISO 42001 w złotówkach - każda wycena wymaga kontaktu i zależy od zakresu, liczby procesów i lokalizacji. Brak jawnych cen sam w sobie mówi coś o dojrzałości rynku. Gdy cennik się pojawi, będzie to znaczyło, że popyt przestał być projektowy.

Czy istnieje darmowa certyfikacja ISO 42001?

Darmowej certyfikacji nie ma i z definicji być nie może, bo certyfikat wystawia niezależna jednostka po płatnym audycie. Darmowe jest wszystko, co dzieje się przed audytem: samooceny, listy kontrolne gotowości i ramy zarządzania ryzykiem. Samoocena kosztuje zero i mówi, gdzie jesteś. Certyfikat kosztuje kilkadziesiąt tysięcy i mówi to samo cudzym głosem - płacisz za podpis strony trzeciej.

Dwa źródła warto znać. Pierwsze to NIST AI Risk Management Framework, darmowy dokument opublikowany 26 stycznia 2023, dobrowolny, oparty na czterech funkcjach: Govern, Map, Measure, Manage. Nie ma do niego certyfikacji i to jest jego zaleta - nikt nie każe płacić za potwierdzenie, że go stosujesz. Drugie to listy kontrolne gotowości, które jednostki certyfikujące rozdają bezpłatnie za adres e-mail. To lejek sprzedażowy audytora, nie prezent. Materiał bywa dobry, warto go wziąć i pamiętać, po co powstał.

Co zrobisz za zero złotych w tym tygodniu?

Trzy dokumenty pokrywają sporą część Annex A i nie wymagają żadnej faktury: rejestr, ryzyko, reguła. Rejestr mówi, czym firma się posługuje. Ryzyko mówi, co pójdzie nie tak. Reguła mówi, kto co może zrobić. Każdy audytor i każda ankieta klienta zaczyna dokładnie od tych trzech pytań.

Trzeciego kroku nie trzeba pisać od zera. Wzór polityki AI leży na naszej stronie i nic nie kosztuje, a po co ten dokument firmie, wyjaśniamy w osobnym tekście o polityce AI.

Rejestr i klasyfikacja ryzyka mają jeszcze jedno życie po audycie. To dokładnie ten materiał, który potem staje się pamięcią firmy: jednym źródłem wiedzy o tym, czym firma się posługuje i na jakich zasadach. Przejście z „mamy arkusz” do „mamy pamięć” dzieje się samo, gdy arkusz zacznie być używany.

Jak wygląda droga do certyfikatu i ile firm go ma?

Certyfikację zdobywa się w czterech ruchach, z których trzy robisz sam, a ostatni tylko z jednostką akredytowaną. Najpierw wyznaczasz zakres i inwentaryzujesz systemy AI. Potem budujesz system zarządzania: polityki, ocenę ryzyka i wpływu, dowody. Następnie audyt wewnętrzny i przegląd zarządzania. Na końcu audyt jednostki w dwóch etapach - najpierw dokumentacja, potem wdrożenie.

Skala rynku jest dziś mała. Oficjalna statystyka ISO Survey jeszcze nie raportuje ISO 42001, bo akredytowana certyfikacja ruszyła w 2024 roku. Komunikaty certyfikowanych firm z kwietnia 2026 mówią o „pierwszych 350 organizacjach" na świecie na świecie. Dla porównania: certyfikatów ISO 27001 są dziesiątki tysięcy. ISO 42001 jest więc dziś sygnałem wyprzedzającym, nie standardem rynkowym.

Kto już go ma, potwierdza tezę o bilecie do przetargu. Anthropic ogłosił certyfikację 13 stycznia 2025. Microsoft objął nią Azure AI Foundry Models i Security Copilot w lipcu 2025, a w maju 2026 ogłosił recertyfikację Microsoft 365 Copilot z szerszym zakresem. AWS certyfikuje Bedrock, Q Business, Textract i Transcribe. Wszystkie trzy firmy sprzedają AI innym firmom jako infrastrukturę - dla nich certyfikat jest elementem umowy, nie ozdobą.

Jedna praktyczna rzecz na koniec, o której rzadko się pisze: sprawdź akredytację jednostki, zanim podpiszesz umowę. W Polsce rejestr akredytowanych jednostek certyfikujących systemy zarządzania prowadzi Polskie Centrum Akredytacji. Certyfikat od jednostki bez akredytacji na tę konkretną normę jest wart tyle, co własne oświadczenie, a kosztuje jak certyfikat.

Najczęstsze pytania

Czy ISO 42001 jest obowiązkowe w Polsce?

Nie. Żaden przepis nie nakazuje posiadania tej normy ani certyfikatu. Obowiązkowe są wymogi AI Act i RODO, a ISO 42001 jest jednym z narzędzi, którymi firma może wykazać, że nad AI panuje.

Czy certyfikat ISO 42001 oznacza zgodność z AI Act?

Nie. Domniemanie zgodności przysługuje tylko normom zharmonizowanym opublikowanym w Dzienniku Urzędowym UE (art. 40 AI Act), a żadna norma dotycząca systemu zarządzania AI nie ma jeszcze tego statusu. Certyfikat porządkuje dokumentację i przyspiesza pracę, ale zgodność z AI Act ocenia się osobno.

Ile kosztuje certyfikat ISO 42001 dla firmy do 20 osób?

Sam audyt certyfikujący to 5 000-20 000 USD, a przygotowanie kolejne 13 000-50 000 USD. Cały pierwszy rok dla firmy do 20 osób mieści się w przedziale 20 000-70 000 USD. Do tego dochodzą audyty nadzoru około 2 500 USD rocznie, a po trzech latach cykl zaczyna się od nowa.

Czy istnieje darmowa certyfikacja ISO 42001?

Nie istnieje i nie może istnieć, bo certyfikat wystawia niezależna jednostka po płatnym audycie. Darmowe są narzędzia przed audytem: samooceny, listy kontrolne gotowości od jednostek certyfikujących oraz NIST AI Risk Management Framework.

Ile firm ma certyfikat ISO 42001?

ISO Survey jeszcze nie raportuje tej normy, bo akredytowana certyfikacja ruszyła dopiero w 2024 roku. Komunikaty certyfikowanych firm z kwietnia 2026 mówią o pierwszych 350 organizacjach na świecie - to szacunek rynkowy, nie oficjalna liczba ISO.

Mamy ISO 27001, czy warto dołożyć ISO 42001?

Warto rozważyć, bo obie normy dzielą wspólną strukturę Annex SL i system zarządzania AI dokłada się do istniejącego taniej niż buduje od zera. Decyzję o samej certyfikacji odłóż do momentu, w którym pierwszy klient wpisze ją do umowy albo ankiety.

Czym różni się zgodność od certyfikatu?

Zgodność oznacza, że firma spełnia wymagania normy i ma na to dowody u siebie. Certyfikat oznacza, że potwierdziła to niezależna jednostka akredytowana po audycie. Zgodność robisz sam i za darmo, certyfikat kupujesz dla kogoś, kto żąda dowodu z zewnątrz.