Är du ISO 42001 certifierad? - svarar ärligt när du inte
Detta är AI-sektionsfrågan en leverantör utan certifikatet kan inte svara med ett ja - och svara bra kräver inte en. ISO/IEC 42001 är den internationella standarden för ett AI-hanteringssystem, och det dyker nu upp i företagsupphandling som "föredragen" eller "krävd": frågeformuläret SIG 2026 kartlägger sin AI-riskdomän till den. Fällan är inte den ärliga nej. Fällan är de två svaren som känns säkrare: de tvetydiga ja ("vi anpassar oss till ISO 42001") och knappen nej med ingenting efter det.
Vad certifikatfrågan faktiskt testar
Intyget är en proxy. Vad köparen faktiskt behöver, före 2 augusti 2026 - när Article 50 av EU AI Act börjar gälla, med straff för överträdelser av upp till €15,000,000 eller 3% av världsomspännande årlig omsättning, beroende på vad som är högre (för små och medelstora företag och nystartade företag, Article 99(6) tillämpar lägre av de två) - är bevis på att dina AI-funktioner styrs av något annat än entusiasm. Ett certifikat bevisar det i en linje. I sin frånvaro är det du kan sätta framför granskaren det underliggande beviset självt - varav en liten leverantör kan producera utan en revisor. Denna reframing är hela svarsstrategin.
Det tredelade ärliga svaret
- Status uppgavs tydligt. "Vi är för närvarande inte ISO/IEC 42001-certifierade." Ingen säkring, ingen "justerad med". Ett tvetydigt ja är ett skriftligt uttalande som du kan bli ombedd att garantera i kontraktsstadium.
- Likvärdiga kontroller du kan bevisa idag. Det är där affären sparas - tabellen nedan kartlägger vad certifikatet skulle intyga vad du kan visa utan det.
- Roadmap, utan uppfunna datum. "Vi utvärderar certifiering mot kundens efterfrågan" är ärlig. "Certifiering förväntad Q1" är bara ärlig om ditt företag har godkänt det.
Vad certifikatet skulle intyga mot vad du kan bevisa nu
| Intyget skulle intyga | Vad du kan bevisa idag utan det |
|---|---|
| Ett omfattande, granskat AI-hanteringssystem | En AI systeminventering: varje modell, dess leverantör, version, syfte, oavsett om det är finjusterat, och där det bearbetas. |
| Dokumenterad styrning och ansvarstagande | En skriftlig AI-policy med en namngiven ägare och riskklassificeringen av varje system under Regulation (EU) 2024/1689 |
| Förvaltade transparenskrav | Din Article 50 transparens åtgärder, dokumenterade (Article 50 gäller från 2 augusti 2026; Digital Omnibus inte skjuta upp det) |
| Personal kompetens runt AI | Ditt AI-litteraturprogram under Article 4 (tillämpligt sedan 2 februari 2025), med register över vem som slutförde det och när |
| Operativ effektivitet över tid | En dokumenterad historia av dessa kontroller faktiskt kör - köpare brukar be om beställning av 90 dagar av bevis |
En försiktighet på den andra raden: för ett begränsat risksystem - vilket är vad de flesta B2B SaaS är - förordningens skyldigheter är Article 50 transparenstullar, inte Article 14 mänskliga översynskrav reserverade för högrisksystem under antingen rutt Article 6 (Digital Omnibus skjuts upp dessa skyldigheter till 2 december 2027 för Annex III användningsfall och 2 augusti 2028 för ZQX-risk för ZQX-reglering ZQX ZQX ZQX ZQX ZQX ZQX-reglerade ZQX ZQX). Om du kör kontrollpunkter för människor, presentera dem som frivillig god praxis som stöder köparens riskhantering, inte som AI Act efterlevnad.
Mallen – endast för orientering. Ersätt varje fäste med fakta som ditt företag har verifierat och godkänt:
"Vi är för närvarande inte ISO/IEC 42001-certifierade. Vårt AI styrningsprogram omfattar kontrollerna av standardadresserna: [ett AI-systeminventering som täcker modell, leverantör, version, syfte och bearbetningsområde], [transparensåtgärder enligt Article 50 av Regulation (EU) 2024/1689], [ett AI-literacy-program under Article 4 med färdigställande poster] och [mänskliga granskningspunkter, som underhålls som frivillig god praxis]. Dessa kontroller har dokumenterats och fungerat sedan [datum]. Vi utvärderar certifiering mot kundens efterfrågan; [state only steps the company has godkänt, with their real status]."
Varför "nej, med en plan" slår en tvetydig ja
Den upphandlingstestade formeln för alla luckor är: nuvarande stat + kompensera kontroll + vad som verkligen pågår + ett rimligt mål. Det fungerar eftersom det ger granskaren något att verifiera istället för något att tvivla. Det tvetydiga ja gör det motsatta: "Vi anpassar oss till ISO 42001" inbjuder exakt en uppföljning - Kan du dela certifikatet? Och det finns inget bra svar på det. Samma logik gäller i avsnittet AI; det är steg 4 i Vår metod för att besvara AI frågeformulärOch anledningen till att ett frågeformulär som erkänner sina luckor tenderar att läsa som mer trovärdigt än en som erkänner ingen.
Mini-FAQ
Behöver EU AI Act ISO 42001-certifiering?
Nej. ISO/IEC 42001 är en frivillig ledningssystemstandard som upphandlingsteamen i allt högre grad listar som föredragna eller nödvändiga; det är inte en skyldighet enligt Regulation (EU) 2024/1689. För de flesta begränsade risk B2B SaaS, de tillämpliga uppgifterna är Article 50 transparens (från 2 augusti 2026) och Article 4 AI-kunnighet (efter 2 februari 2025).
Ska vi svara på "certifiering pågår" om vi inte har börjat?
Nej. Ange endast vad företaget har godkänt. "Pågående" för arbete som inte har börjat är en överdriven ja som bär en fördröjning kostym, och det kollapsar första gången köparen frågar efter en statusuppdatering.
Kommer att svara nej förlora affären?
En nakna "nej" är en missad möjlighet; "inte certifierad" plus bevisade likvärdiga kontroller och en ärlig färdplan är ett normalt upphandlingssvar. Vad som misslyckas med due diligence är ett ja köparen motbevisar - som tar hela dokumentets trovärdighet med det.
Relaterad: Denna fråga kommer vanligtvis inuti SIG 2026 AI domänbredvid Är du kompatibel med EU AI Act?Om ett frågeformulär bara landade, börja med Första-24-timmars spelbokOm din produkt levererar AI-funktioner under eget varumärke, kör gratis Article 50 checker och se Vem är skyldig vad under Article 50Fler frågor omfattas av Svara på bibliotek.