ISO 42001 — стандарт управления ИИ: требования для компаний, внедряющих AI

В декабре 2023 года Международная организация по стандартизации совместно с МЭК опубликовала документ, которого отрасль ждала несколько лет. ISO/IEC 42001:2023 стал первым в мире стандартом систем менеджмента, специально разработанным для организаций, которые создают, внедряют или используют технологии искусственного интеллекта. За полтора года с момента выхода к нему сертифицировались около 30 компаний по всему миру — среди них IBM, Amazon Web Services, Anthropic и KPMG. Это цифра небольшая, но динамика ускоряется: EU AI Act начал действие в 2025 году, и компании, работающие на европейском рынке, ищут инструменты доказательства добросовестности.

Что представляет собой ISO/IEC 42001:2023

Полное официальное название — ISO/IEC 42001:2023 «Information technology — Artificial intelligence — Management systems». В России стандарт принят как ГОСТ Р ИСО/МЭК 42001-2024 приказом Росстандарта № 1549-ст от 28 октября 2024 года и введён в действие с 1 января 2025 года в полной идентичности международной версии (IDT).

Документ описывает требования к системе менеджмента ИИ — AI Management System (AIMS). По сути, это операционная рамка: как организация управляет жизненным циклом AI-систем, выявляет и снижает риски алгоритмической предвзятости, обеспечивает прозрачность моделей и несёт ответственность перед заинтересованными сторонами. Стандарт следует универсальной высокоуровневой структуре (HLS / Annex SL), которую также используют ISO 27001 и ISO 9001, — это существенно упрощает интеграцию при наличии действующих систем менеджмента.

Структура стандарта: обязательные разделы и 39 средств контроля

Обязательные требования сосредоточены в разделах 4–10. Приложение A (нормативное) содержит 39 средств контроля, сгруппированных в 9 тематических блоков.

Annex A охватывает политики в области ИИ, ресурсы для AI-систем, оценку воздействия, полный жизненный цикл от проектирования до вывода из эксплуатации, управление данными, информирование заинтересованных сторон и работу с третьими сторонами. Annex B — практическое руководство по реализации каждого из 39 контролей. Annex C описывает возможные цели организации и источники рисков ИИ. Annex D посвящён интеграции AIMS с другими стандартами ISO и отраслевой адаптации.

ISO 42001, ISO 27001 и ISO 9001: в чём разница

Частый вопрос на практике: нужен ли ISO 42001, если у компании уже есть сертификат по информационной безопасности или качеству? Короткий ответ — да, если вы разрабатываете или используете AI-системы. Стандарты не конкурируют, а дополняют друг друга.

Практическое следствие: организации, уже имеющие действующий ISO 27001, экономят 30–50% затрат на подготовку к сертификации по ISO 42001 — документация, процедуры внутреннего аудита и управление рисками уже частично сформированы. Структура HLS у всех трёх стандартов одинакова, что делает интегрированное внедрение логичным шагом.

Кому нужна сертификация в 2025–2026 году

Стандарт разработан для любой организации, которая разрабатывает, развёртывает или использует AI-системы в своей деятельности. На практике это:

Законодательно обязательной сертификация ISO 42001 не является ни в одной стране по состоянию на 2026 год. Однако крупные международные заказчики начали включать наличие AIMS-сертификата в требования тендерной документации и запросов RFP. Инвесторы на стадии due diligence спрашивают об этом напрямую. Страховщики в сегменте киберрисков учитывают сертификацию при расчёте тарифов.

Этапы и стоимость сертификации

Сертификат действует 3 года с ежегодными надзорными аудитами (≈30–40% от первоначального аудиторского бюджета). Организации с действующим ISO 27001 укладываются в нижнюю границу диапазона и сроков.

Кто уже сертифицирован: реальные примеры компаний

К середине 2025 года в мире насчитывалось около 30 организаций с действующим сертификатом ISO 42001. Первой в мире в 2024 году стала KPMG Australia. Среди последующих — несколько показательных случаев.

Anthropic (разработчик Claude) получила сертификат в январе 2025 года — для компании, строящей бизнес на доверии корпоративных клиентов к AI, это был прямой ответ на запросы рынка. Amazon Web Services сертифицировалась в ноябре 2024-го: в облачной инфраструктуре с тысячами клиентов подтверждение управления AI-рисками стало конкурентным преимуществом при корпоративных тендерах. IBM прошла сертификацию по моделям Granite 4.0 в сентябре 2025 года через аудиторскую компанию Schellman — стала первым разработчиком open-source AI-моделей с таким сертификатом. Changi Airport Group (Сингапур) получила сертификат в феврале 2025 года через SGS — пример применения стандарта в критической инфраструктуре, где AI используется в управлении потоками пассажиров и безопасности.

ISO 42001 и EU AI Act: как соотносятся

EU AI Act не называет ISO 42001 гармонизированным стандартом, однако на практике стандарт закрывает значительную часть требований Регламента. Для компаний, поставляющих высокорисковые AI-системы на европейский рынок, это важно: с августа 2025 года вступили в силу обязательства для поставщиков GPAI-моделей, а с августа 2026-го Европейская комиссия получит полномочия по правоприменению для систем высокого риска.

Штрафы EU AI Act за нарушение требований к высокорисковым системам достигают €20 млн или 4% мирового годового оборота. Наличие действующего сертификата ISO 42001 при разбирательстве служит документальным свидетельством системного подхода к управлению рисками ИИ.

Вопросы и ответы

Нужен ли ISO 42001, если мы используем AI только внутри компании — например, для HR-аналитики?

Да, стандарт применим не только для разработчиков AI-продуктов, но и для организаций-пользователей. Автоматизированные системы отбора персонала, кредитного скоринга, управления рисками — все они создают юридически значимые последствия для третьих лиц. Именно такие применения находятся в зоне повышенного внимания регуляторов. Внедрение AIMS снижает риск претензий и даёт структуру для управления ответственностью.

Мы уже сертифицированы по ISO 27001 — насколько сложно добавить ISO 42001?

Значительно проще, чем начинать с нуля. Структура HLS одинакова, внутренний аудит, управленческий анализ, политика и процедуры корректирующих действий уже функционируют. Реальная дополнительная работа сосредоточена в специфических для ИИ элементах: AI Impact Assessment, реестр AI-систем, управление данными обучения и тестирования, контроль предвзятости моделей. По рыночным оценкам, экономия времени и бюджета составляет 30–50% по сравнению с изолированным внедрением.

Какие аккредитованные сертификационные органы работают с ISO 42001?

Международно признанные органы — BSI (British Standards Institution), SGS, DNV, Bureau Veritas, Schellman, A-LIGN. В России сертификацию по ГОСТ Р ИСО/МЭК 42001-2024 проводят органы, аккредитованные Росаккредитацией. При выборе органа важно убедиться, что его аккредитация распространяется именно на стандарты систем менеджмента ИИ — это относительно новая область компетенций.

ISO 42001 защищает от штрафов EU AI Act?

Не автоматически — стандарт не является гармонизированным в смысле EU AI Act и не создаёт презумпцию соответствия. Однако документированная AIMS существенно упрощает демонстрацию соответствия регулятору: большинство требований Регламента находят прямое отражение в процессах и записях AIMS. При расследовании инцидента наличие сертификата служит доказательством добросовестности и системного управления рисками.