"Czy masz certyfikat ISO 42001?" - odpowiedź szczerze, gdy nie jesteś
Jest to pytanie sekcji AI- sprzedawca bez certyfikatu nie może odpowiedzieć na tak - i odpowiedz dobrze nie wymaga. ISO/IEC 42001 jest międzynarodowym standardem dla systemu zarządzania AI, a teraz pokazuje się w zamówieniach dla przedsiębiorstw jako "preferowane" lub "wymagane": kwestionariusz SIG 2026 mapuje swoją domenę ryzyka AI do niego. Pułapka nie jest uczciwa. Pułapka jest dwie odpowiedzi, które czują się bezpieczniejsze: niejednoznaczne tak ("zgadzamy się z ISO 42001") i nagie nie bez nic po nim.
Co to za pytanie o certyfikat jest rzeczywiście testowanie
Certyfikat jest pełnomocnikiem. Co faktycznie potrzebuje kupujący, przed 2 sierpnia 2026 - kiedy Article 50 zaczyna obowiązywać EU AI Act, z karami za naruszenia do €15,000,000 lub 3% światowego obrotu rocznego, w zależności od tego, co jest wyższe (w przypadku MŚP i startup, Article 99(6) stosuje niższe z tych dwóch) - jest dowodem, że Twoje cechy AI są regulowane przez coś innego niż entuzjazm. Certyfikat potwierdza to w jednym wierszu. W przypadku jego braku, to, co można umieścić przed recenzentem, to podstawowe dowody same w sobie - z których większość mały sprzedawca może produkować bez biegłego rewidenta. Ta zmiana to cała strategia.
Trzecia część uczciwej odpowiedzi
- Status, jasno określony. "Nie mamy obecnie certyfikatu ISO/IEC 42001". Żadnego zabezpieczenia, żadnego "wyrównania". Niejednoznaczne "tak" jest pisemnym oświadczeniem, które może być wymagane na etapie umowy.
- Równoważna kontrola, którą możesz dziś udowodnić. To jest miejsce, gdzie transakcja jest zapisywana - tabela poniżej mapuje, co certyfikat poświadcza, co można bez niej pokazać.
- Plan działania, bez wymyślonych dat. "Oceniamy certyfikację wobec popytu klienta" jest uczciwa. "Certyfikacja oczekiwana Q1" jest uczciwa tylko wtedy, gdy firma rzeczywiście ją zatwierdziła.
Co certyfikat poświadczyłby przeciwko temu, co możesz teraz udowodnić
| Certyfikat potwierdziłby | Co możesz dziś udowodnić bez tego |
|---|---|
| AI | Zapis systemu AI: każdy model, jego dostawca, wersja, cel, czy jest dostrojony, i gdzie jest przetwarzane |
| Udokumentowane zarządzanie i odpowiedzialność | Pisemna polityka AI z określonym właścicielem oraz klasyfikacja ryzyka każdego systemu w ramach Regulation (EU) 2024/1689 |
| Zarządzanie obowiązkiem przejrzystości | Twoje środki przejrzystości Article 50, udokumentowane (Article 50 stosuje się od 2 sierpnia 2026; Digital Omnibus nie przełożył go) |
| Kompetencje personelu wokół AI | Twój program umiejętności czytania i pisania w ramach Article 4 (mający zastosowanie od 2 lutego 2025), z zapisem osoby, która go ukończyła i kiedy |
| Skuteczność działania w czasie | Udokumentowana historia tych kontroli faktycznie działa - kupujący często poprosić na porządku 90 dni dowodów |
Należy zachować ostrożność w odniesieniu do drugiego wiersza: w odniesieniu do ograniczonego systemu ryzyka - który jest tym, czym jest większość B2B SaaS - obowiązkiem rozporządzenia są obowiązki w zakresie przejrzystości Article 50, a nie wymogi w zakresie nadzoru nad ludźmi w odniesieniu do systemów wysokiego ryzyka, zarezerwowane dla obu tras Article 6 (Digital Omnibus przełożył te obowiązki na 2 grudnia 2027 w odniesieniu do spraw dotyczących wykorzystania Annex III, a na 2 sierpnia 2028 w odniesieniu do regulowanej trasy produktowej Annex I). Jeśli uruchomisz punkty kontrolne oceny człowieka, zaprezentuj je jako dobrowolną dobrą praktykę, która wspiera zarządzanie ryzykiem kupującego, a nie jako zgodność AI Act.
Szablon - tylko dla orientacji. Zastąp każdy uchwyt faktami zweryfikowanymi i zatwierdzonymi przez firmę:
"Obecnie nie posiadamy certyfikatu ISO/IEC 42001. Nasz program zarządzania AI obejmuje kontrole standardowych adresów: [spis systemów AI obejmujący model, dostawcę, wersję, cel i region przetwarzania], [środki przejrzystości w ramach Article 50 z Regulation (EU) 2024/1689], [program umiejętności czytania i pisania w ramach Article 4 z dokumentacją ukończeniową] oraz [punkty kontroli przeglądu ludzkiego, utrzymane jako dobrowolna dobra praktyka]. Kontrole te zostały udokumentowane i działają od [data]. Oceniamy certyfikację wobec popytu klienta; [podać tylko kroki firma zatwierdziła, z ich rzeczywistym statusem]."
Dlaczego "nie, z planem" bije niejednoznaczne tak
Przetestowana w zamówieniu formuła dla każdej luki jest taka: stan obecny + kontrola kompensacyjna + to, co jest rzeczywiście w toku + rozsądny cel. To działa, ponieważ daje recenzentowi coś do sprawdzenia zamiast czegoś do wątpliwości. Niejednoznaczne tak robi odwrotnie: "dostosowujemy się do ISO 42001" zaprasza dokładnie jedną kontynuację - Możesz podzielić się certyfikatem? - i nie ma na to dobrej odpowiedzi. Ta sama logika ma zastosowanie w całej sekcji AI; jest to Etap 4 nasza metoda odpowiedzi na kwestionariusze AIoraz powód, dla którego kwestionariusz, który przyznaje się do swoich luk, jest dokładnie bardziej wiarygodny niż ten, który nie przyznaje żadnych.
Mini- FAQ
Czy EU AI Act wymaga certyfikacji ISO 42001?
Nie. ISO/IEC 42001 jest dobrowolnym systemem zarządzania, który zespoły zamówień coraz częściej wymieniają jako preferowane lub wymagane; nie jest to zobowiązanie w ramach Regulation (EU) 2024/1689. W przypadku najbardziej ograniczonego ryzyka B2B SaaS, obowiązujące obowiązki to przejrzystość Article 50 (od 2 sierpnia 2026) i Article 4 AI (od 2 lutego 2025).
Czy powinniśmy odpowiedzieć na "certyfikację w toku", jeśli nie zaczęliśmy?
Nie. Proszę podać tylko to, co firma zatwierdziła. "W toku" dla pracy, która nie rozpoczęła się jest przesadnie tak w kostiumie opóźnienia, i to zapada się po raz pierwszy kupujący prosi o aktualizację statusu.
Czy odpowiedź "nie" przegra?
Gołe "nie" jest straconą szansą; "niecertyfikowane" plus potwierdzone równoważne kontrole, a uczciwy plan działania jest normalną odpowiedzią na zamówienia. Co zawodzi due diligence jest tak kupujący zaprzecza - że zabiera całą wiarygodność dokumentu z nim.
Powiązane: to pytanie zazwyczaj pojawia się wewnątrz Domena SIG 2026 AI, obok "Czy jesteś zgodny z EU AI Act?"Jeśli kwestionariusz właśnie wylądował, zacznij od pierwszy-24-godzinny podręcznik; jeśli Twój produkt statków AI oferuje pod własną marką, uruchomić bezpłatny Sprawdzanie Article 50 i zobaczyć który wisi co pod Article 50. Więcej pytań są objęte w odpowiedz do biblioteki.