W lipcu 2026 roku pojawiła się pierwsza norma europejska napisana wprost pod system jakości wymagany przez AI Act. Pytanie, które zadaje dziś każdy dostawca systemów AI, brzmi: czy wdrożone ISO/IEC 42001 właśnie straciło sens. Odpowiedź jest krótsza, niż się wydaje — i nie jest to odpowiedź „albo–albo”.
Jesteś dostawcą systemu AI wysokiego ryzyka?
Norma jest. Domniemania zgodności jeszcze nie ma
EN 18286:2026 została zatwierdzona przez CEN 12 lipca 2026 roku, ale nie daje jeszcze domniemania zgodności — bo nie została przywołana w Dzienniku Urzędowym Unii Europejskiej. Te dwie rzeczy dzieli różnica, którą warto zrozumieć, zanim podejmie się jakąkolwiek decyzję wdrożeniową.
Norma nosi tytuł Artificial intelligence — Quality management system for EU AI Act regulatory purposes i powstała w komitecie CEN/CLC/JTC 21 na wniosek normalizacyjny Komisji Europejskiej M/613. Jest pierwszą pozycją z programu normalizacyjnego wspierającego rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 w sprawie sztucznej inteligencji (dalej: AI Act), która przeszła całą ścieżkę do zatwierdzenia. Krajowe wdrożenie ma nastąpić najpóźniej w styczniu 2027 roku — wtedy Polski Komitet Normalizacyjny opublikuje ją jako PN-EN 18286, a normy sprzeczne zostaną wycofane.
Art. 40 ust. 1 AI Act przyznaje domniemanie zgodności wyłącznie normom zharmonizowanym, których odniesienia opublikowano w Dzienniku Urzędowym UE. Publikacja normy przez CEN i CENELEC to etap wcześniejszy. Do momentu przywołania EN 18286 jest bardzo dobrym opisem tego, jak system jakości powinien wyglądać — ale nie przenosi ciężaru dowodu.
Terminy zresztą przesunęły się w międzyczasie. Rozporządzenie (UE) 2026/1744, tak zwany Digital Omnibus, weszło w życie 27 lipca 2026 roku i przeniosło obowiązki dla systemów wysokiego ryzyka z Załącznika III na 2 grudnia 2027 roku, a dla Załącznika I na 2 sierpnia 2028 roku. Obowiązki z art. 50, dotyczące przejrzystości, pozostały bez zmian.
| Data | Co zaczyna obowiązywać |
|---|---|
| 2.02.2025 | art. 4 — kompetencje w zakresie AI |
| 2.08.2026 | art. 50 — obowiązki przejrzystości |
| 2.12.2026 | art. 50 ust. 2 — oznaczanie treści dla systemów już wprowadzonych do obrotu |
| 2.12.2027 | Załącznik III — systemy wysokiego ryzyka |
| 2.08.2028 | Załącznik I — AI w wyrobach objętych prawodawstwem harmonizacyjnym |
Status w Polsce: organ nadzoru już działa
Polska ma własną ustawę wykonawczą i działający organ — od 11 sierpnia 2026 roku. To zmienia praktykę, nawet jeśli nie zmienia treści wymagań.
Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. z 2026 r. poz. 1003) powołała Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) jako organ nadzoru rynku w rozumieniu art. 70 ust. 1 AI Act oraz jako pojedynczy punkt kontaktowy. W jej składzie znaleźli się przedstawiciele Prezesa UOKiK, KNF, KRRiT i UKE. Przy Komisji działa Społeczna Rada do spraw Sztucznej Inteligencji.
Tu potrzebne jest rozróżnienie, które w treściach o AI Act myli się najczęściej. AI Act jest rozporządzeniem, więc stosuje się bezpośrednio i nie wymaga transpozycji. Polska ustawa nie powtarza wymagań materialnych i nie może ich zmienić — ustanawia organ, tryb postępowania, piaskownice regulacyjne i sankcje krajowe. Kto szuka w niej listy obowiązków dla dostawcy, szuka w złym dokumencie. Obowiązki są w rozporządzeniu.
Kogo dotyczy EN 18286, a kogo nie dotyczy
EN 18286 adresowana jest wyłącznie do dostawcy systemu AI w rozumieniu AI Act. Podmiot stosujący system nie jest jej adresatem — i to jest pierwszy filtr, który warto zastosować, zanim zacznie się liczyć koszt wdrożenia.
Norma została napisana jako system jakości dla celów regulacyjnych, w tej samej logice, w której EN ISO 13485 obsługuje wyroby medyczne. Jakość jest w niej zdefiniowana jako spełnienie wymagań regulacyjnych, a zamiast pojęcia niezgodności norma posługuje się pojęciem niespełnienia wymagań regulacyjnych. To nie jest różnica słownikowa — to inna oś całego systemu, w której punktem odniesienia nie jest oczekiwanie klienta, tylko przepis.
Praktycznie oznacza to, że firma integrująca cudzy model w swoim procesie rekrutacyjnym albo scoringowym nie buduje systemu według EN 18286. Buduje go firma, która ten model wprowadza do obrotu pod własną nazwą. Rozdzielenie tych ról jest pierwszym zadaniem dokumentacyjnym i zaskakująco często bywa błędnie rozstrzygnięte — zwłaszcza tam, gdzie organizacja modyfikuje nabyty system albo firmuje go własną marką.
ISO/IEC 42001 działa inaczej: adresuje organizację niezależnie od jej roli w łańcuchu. To pierwsza z różnic, które przesądzają o tym, że te normy się nie zastępują.
Dwie normy, dwa różne pytania
ISO/IEC 42001 odpowiada na pytanie „jak zarządzać sztuczną inteligencją w organizacji”. EN 18286 odpowiada na pytanie „jak udowodnić organowi nadzoru rynku, że spełniono art. 17 AI Act”. To są różne pytania i żadna z tych norm nie odpowiada na oba.
Test, który każdy może wykonać w trzydzieści sekund
Najprostszy dowód na to, że mówimy o dwóch różnych kategoriach dokumentów, leży w spisie treści.
EN 18286:2026 zawiera Załącznik ZA. To standardowy element normy zharmonizowanej: tabela wskazująca, które przepisy aktu prawnego norma pokrywa i pod jakimi warunkami. EN ISO/IEC 42001:2026 — europejska adaptacja ISO/IEC 42001:2023, opublikowana w marcu 2026 roku — Załącznika ZA nie zawiera i zawierać nie może, ponieważ nie powstała na wniosek normalizacyjny Komisji i nie uczestniczy w procesie harmonizacji.
Ta obserwacja jest sprawdzalna w podglądzie publicznym obu norm, bez ich zakupu. Warto ją znać, bo w komunikacji rynkowej zdarza się sugerowanie, że certyfikat ISO/IEC 42001 „potwierdza zgodność z AI Act”. Nie potwierdza i nigdy nie miał potwierdzać.
Co EN 18286 pokrywa, a czego nie pokrywa
Zakres domniemania jest węższy, niż sugeruje tytuł normy. Załącznik ZA obejmuje art. 11 ust. 1 zdanie pierwsze oraz art. 17 ust. 1 lit. a–m AI Act. Poza zakresem pozostają wprost art. 17 ust. 2, ust. 3 i ust. 4.
Dwa warunki dodatkowe zasługują na uwagę audytora. Domniemanie dla art. 11 ust. 1 działa tylko wtedy, gdy dokumentacja techniczna zawiera wszystkie elementy Załącznika IV. Domniemanie dla art. 17 ust. 1 lit. g jest uzależnione od stosowania systemu zarządzania ryzykiem zgodnego z art. 9 — czyli w praktyce od normy EN 18228, która jest jeszcze w przygotowaniu. Sama EN 18286 tego elementu nie domyka.
Norma zawiera też zastrzeżenie, którego nie należy pomijać przy planowaniu wdrożenia: jej stosowanie nie zapewnia spełnienia wszystkich wymagań rozporządzenia, a wymagania prawne trzeba badać i stosować pojedynczo. Norma jest narzędziem dowodowym, nie listą kontrolną zastępującą lekturę przepisu.
Gdzie ISO/IEC 42001 pozostaje niezastąpiona
Wszędzie tam, gdzie pytanie nie brzmi „czy przejdziemy kontrolę”, tylko „czy panujemy nad tym, co robimy z AI”.
ISO/IEC 42001 obejmuje cele organizacyjne, ocenę wpływu, zarządzanie cyklem życia i nadzór nad dostawcami — także w organizacjach, które nie są dostawcami w rozumieniu AI Act i których EN 18286 w ogóle nie dotyczy. Jest też jedynym z tych dwóch dokumentów, wobec którego istnieje działający schemat certyfikacji systemu zarządzania. EN 18286 nie jest schematem certyfikacyjnym i nie należy jej tak traktować.
Obie normy dają się prowadzić równolegle. Sama EN 18286 zawiera załącznik z tabelą korespondencji do EN ISO/IEC 42001:2026 — twórcy normy założyli współistnienie, nie zastąpienie. Zestawienie klauzula po klauzuli wymaga jednak osobnego opracowania: EN 18286 zawiera elementy, dla których w ISO/IEC 42001 nie ma odpowiednika, i to właśnie one decydują o zakresie prac wdrożeniowych.
| Przepis AI Act | Status w Załączniku ZA |
|---|---|
| art. 11 ust. 1 zd. 1 | objęty — pod warunkiem kompletności Załącznika IV |
| art. 17 ust. 1 lit. a–m | objęty |
| art. 17 ust. 1 lit. g | objęty warunkowo — wymaga systemu zarządzania ryzykiem zgodnego z art. 9 |
| art. 17 ust. 2 | nieobjęty |
| art. 17 ust. 3 | nieobjęty |
| art. 17 ust. 4 | nieobjęty |
Granica, której nie wolno zacierać
Żaden certyfikat systemu zarządzania nie jest oceną zgodności wyrobu. To zdanie powinno znaleźć się w każdej rozmowie handlowej o AI Act.
Certyfikacja ISO/IEC 42001 potwierdza, że system zarządzania sztuczną inteligencją został ustanowiony, wdrożony i jest utrzymywany. Nie jest procedurą oceny zgodności w rozumieniu art. 43 AI Act, nie zastępuje deklaracji zgodności UE, nie zastępuje oznakowania CE i nie zwalnia z rejestracji systemu w bazie danych UE. Dla większości systemów z Załącznika III ocena zgodności opiera się na kontroli wewnętrznej według Załącznika VI, a nie na udziale jednostki notyfikowanej — co oznacza, że odpowiedzialność dowodowa zostaje po stronie dostawcy niezależnie od posiadanych certyfikatów.
Certyfikat systemowy ma inną wartość: jest niezależnym potwierdzeniem dojrzałości procesów, argumentem w postępowaniu nadzorczym i przewagą w łańcuchu dostaw. Nie jest tarczą prawną i sprzedawanie go jako tarczy szkodzi zarówno klientowi, jak i rynkowi certyfikacji.
Co zrobić w tym kwartale
Pięć działań, które można wykonać przed publikacją listy norm zharmonizowanych i które nie stracą wartości niezależnie od tego, kiedy ta lista się ukaże.
Ustalić i udokumentować rolę. Dostawca czy podmiot stosujący, dla każdego systemu AI z osobna. Modyfikacja nabytego systemu lub firmowanie go własną marką może przenieść organizację do roli dostawcy. Rozstrzygnięcie zapisane w dokumentacji jest pierwszą rzeczą, o którą zapyta audytor.
Zbudować mapę wymagań zasadniczych. Siedem obszarów z art. 9–15 AI Act, a przy każdym decyzja, czym zamierza się dowodzić zgodności: normą zharmonizowaną, wspólną specyfikacją, inną normą czy własną specyfikacją techniczną. EN 18286 wymaga takiej decyzji wprost i wymaga jej udokumentowania.
Zestawić istniejący system z art. 17. Organizacje z wdrożonym ISO/IEC 42001 mają zbudowaną większą część fundamentu, ale nie całość. Wynikiem tego zestawienia ma być lista luk, nie deklaracja zgodności.
Sprawdzić dokumentację pod kątem dostępności. EN 18286 wymaga, aby dokumentacja była utrzymywana w jednym z języków urzędowych UE i pozostawała do dyspozycji organów. To wymaganie operacyjne, które w praktyce oznacza rewizję sposobu wersjonowania i archiwizacji.
Ustawić monitoring trzech zdarzeń. Przywołanie EN 18286 w Dzienniku Urzędowym UE, publikacja PN-EN 18286 przez PKN oraz publikacja EN 18228. Każde z nich zmienia stan prawny wdrożenia.
Podsumowanie
Pytanie „ISO/IEC 42001 czy EN 18286″ jest źle postawione. Pierwsza norma buduje ład nad sztuczną inteligencją i jest certyfikowalna. Druga buduje dowód regulacyjny wobec art. 17 AI Act i certyfikowalna nie jest. Organizacja będąca dostawcą systemu wysokiego ryzyka będzie potrzebowała obu — w różnych momentach i w różnych celach.
Do 2 grudnia 2027 roku pozostało kilkanaście miesięcy. To wystarczająco dużo, żeby zrobić to spokojnie, i zdecydowanie za mało, żeby zacząć w ostatnim kwartale.
Jeżeli rozważasz certyfikację ISO/IEC 42001 jako element przygotowania do AI Act — zacznij od ustalenia roli organizacji i zakresu systemu. Audytorzy Centrum Certyfikacji QSCert pomogą określić, co w Twojej dokumentacji już działa, a co wymaga uzupełnienia.
Bibliografia
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie sztucznej inteligencji — tekst skonsolidowany. EUR-Lex
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2026/1744 (Digital Omnibus on AI), Dz.Urz. UE, 24 lipca 2026 r. EUR-Lex
- Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz.U. z 2026 r. poz. 1003. ELI / ISAP
- EN 18286:2026. Artificial intelligence. Quality management system for EU AI Act regulatory purposes. CEN/CLC/JTC 21. CEN-CENELEC
- EN ISO/IEC 42001:2026. Information technology. Artificial intelligence. Management system. ISO.org
- Wniosek normalizacyjny Komisji Europejskiej M/613, decyzja wykonawcza C(2025)3871.
FAQ: ISO/IEC 42001 czy EN 18286?
Nie. Certyfikat systemu zarządzania potwierdza, że system został ustanowiony
i jest utrzymywany — nie jest procedurą oceny zgodności w rozumieniu art. 43
AI Act. Nie zastępuje deklaracji zgodności UE, oznakowania CE ani rejestracji
systemu w bazie danych UE. Ma wartość jako niezależne potwierdzenie dojrzałości
procesów, nie jako dowód zgodności z rozporządzeniem.
Jeszcze nie. Norma została zatwierdzona przez CEN 12 lipca 2026 roku, ale
art. 40 ust. 1 AI Act przyznaje domniemanie zgodności wyłącznie normom, których
odniesienia opublikowano w Dzienniku Urzędowym UE. Do momentu przywołania norma
jest opisem docelowego systemu jakości, a nie mechanizmem przenoszącym ciężar
dowodu.
Prawdopodobnie nie. Norma adresowana jest do dostawcy systemu AI w rozumieniu
AI Act, czyli podmiotu wprowadzającego system do obrotu. Podmiot stosujący cudzy
system nie jest jej adresatem. Uwaga na wyjątek: modyfikacja nabytego systemu
albo firmowanie go własną marką może przenieść organizację do roli dostawcy.
Nie. Te normy odpowiadają na różne pytania i mogą działać równolegle. EN 18286
zawiera załącznik z tabelą korespondencji do EN ISO/IEC 42001:2026, co oznacza,
że twórcy normy założyli współistnienie obu systemów. ISO/IEC 42001 pozostaje
jedyną z nich, wobec której istnieje działający schemat certyfikacji.
Rozporządzenie (UE) 2026/1744, tak zwany Digital Omnibus, przesunęło termin dla
systemów z Załącznika III na 2 grudnia 2027 roku, a dla Załącznika I na
2 sierpnia 2028 roku. Obowiązki z art. 50, dotyczące przejrzystości, pozostały
bez zmian i obowiązują od 2 sierpnia 2026 roku.
Ekspert w zakresie systemów zarządzania ISO, cyberbezpieczeństwa, compliance i AI governance. Audytor, konsultant, trener.
Ilustracje w tym wpisie zostały wygenerowane przy użyciu narzędzi sztucznej inteligencji. Treść merytoryczna powstała w redakcji COE i jest podpisana imiennie.