Kötelező-e tanúsított minőségirányítási rendszer, és elég-e az ISO/IEC 42001?
Tanúsított rendszer nem kötelező: a 17. cikk dokumentált minőségirányítási rendszert követel, nem akkreditált tanúsítványt. Az ISO/IEC 42001 hasznos váz, de nem harmonizált szabvány, így a 40. cikk szerinti megfelelőségi vélelmet nem keletkezteti, és önmagában nem fedi le a 17. cikk (1) valamennyi pontját.
A 17. cikk (1) tizenhárom elemet sorol fel írásbeli szabályzatok, eljárások és utasítások formájában: megfelelési stratégia, tervezési és fejlesztési eljárások, vizsgálati és validálási eljárások, alkalmazott szabványok, adatkezelési rendszerek, a 9. cikk szerinti kockázatkezelés, a 72. cikk szerinti piacra hozatal utáni monitoring, a 73. cikk szerinti incidensbejelentés, a hatóságokkal folytatott kommunikáció kezelése, nyilvántartási rendszerek, erőforrás-gazdálkodás és elszámoltathatósági keret.
A (2) bekezdés arányossági klauzula: a végrehajtásnak arányban kell állnia a szolgáltató szervezetének méretével. A (3) szerint az ágazati uniós jog alapján már működő minőségirányítási rendszer részét képezhetik ezek az elemek. Pénzügyi intézménynél a belső irányítási szabályoknak való megfelelés teljesíti a kötelezettséget — a kockázatkezelést, a monitoringot és az incidensbejelentést viszont külön kell rendezni.
Az ISO/IEC 42001 struktúrája jól ráilleszthető a megfelelési stratégiára, a tervezési és fejlesztési eljárásokra, a nyilvántartásra és az elszámoltathatóságra; gyengébb az adatkezelés részletezettségében, a piacra hozatal utáni monitoring tervkötelmében és az incidensbejelentési határidőkben. Jogilag a lényeg: a 42001-tanúsítvány bizonyítási segédeszköz és gap-csökkentő, de a hatóság előtt a 17. cikk (1) pontonkénti lefedettségét kell igazolni.
Összetettebb eset?
Ha a besorolás vagy a szerepkör nem egyértelmű, érdemes konkrét tényálláson végigmenni.
KapcsolatfelvételKapcsolódó kérdések
- Kell-e ISO 42001 tanúsítvány az AI Act miatt?
- Mit ér az ISO 42001 tanúsítvány a hatóság előtt?
- Milyen minőségirányítási rendszer kell magas kockázatú AI-hoz?
- Arányos-e a QMS-kötelezettség egy kkv-nál?
- Elég-e a meglévő ISO 9001 az AI Acthez?
- Auditálja-e valaki a QMS-t az AI Act alapján?
- Mi a különbség a tanúsítás és a megfelelőségértékelés között?
Tovább a tudásbázisban
- Mit követel az AI Act kockázatkezelési rendszere, és miben más, mint az ISO 42001?A 9. cikk nem szervezeti kockázatot kezel, hanem azt, amit a rendszer harmadik személyek egészségére, biztonságára és alapjogaira jelent — folyamatos, a teljes életciklusra kiterjedő, dokumentált és tesztelésre alapozott folyamatban. Az ISO 31000 és az ISO/IEC 42001 más alanyt véd, és egyik sem harmonizált szabvány, így megfelelőségi vélelmet nem keletkeztet.
- Mikor elég a belső kontroll, és mikor kell bejelentett szervezet a magas kockázatú AI-nál?A III. melléklet 2–8. pontja szerinti rendszereknél — HR, oktatás, hitelbírálat, alapvető szolgáltatások — mindig elég a VI. melléklet szerinti belső kontroll, bejelentett szervezet nélkül. A szolgáltató maga nyilatkozik. Bejelentett szervezet gyakorlatilag csak a biometrikus rendszereknél kerül szóba, és ott is csak akkor kötelező, ha harmonizált szabvány nem áll rendelkezésre vagy nem alkalmazták.
- Mi a szolgáltató kötelezettségeinek teljes listája magas kockázatú AI-rendszernél?A 16. cikk tizenkét pontban sorolja fel őket, két rétegben. A termék-réteg a 8–15. cikk: kockázatkezelés, adatkormányzás, műszaki dokumentáció, naplózás, átláthatóság, emberi felügyelet, pontosság és kiberbiztonság. A szervezeti réteg a 17–21., 43. és 47–49. cikk: minőségirányítás, dokumentumőrzés tíz évig, megfelelőségértékelés, EU-megfelelőségi nyilatkozat, CE-jelölés és regisztráció.