ISO/IEC 42001:2023 to pierwsza podlegająca certyfikacji norma systemu zarządzania sztuczną inteligencją. Określa wymagania ustanowienia, utrzymania i ciągłego doskonalenia systemu zarządzania AI i stosuje się do organizacji budujących AI oraz do tych, które jedynie z niej korzystają. Podobnie jak inne normy systemów zarządzania opiera się na zharmonizowanej strukturze rozdziałów od 4 do 10, więc można ją zintegrować z istniejącym systemem ISO 27001, zamiast prowadzić obok.
Wymagania mieszczą się w rozdziałach, a zabezpieczenia w Załączniku A. Trzydzieści osiem zabezpieczeń zgrupowano w dziewięciu celach, od A.2 do A.10, obejmujących politykę AI, organizację wewnętrzną, zasoby, ocenę skutków, cykl życia systemu AI, dane, informacje dla stron zainteresowanych, stosowanie systemów AI oraz relacje z podmiotami trzecimi. Załącznik wprost nie jest listą kontrolną: zabezpieczenia dobiera się względem ocenionego ryzyka i zapisuje wraz z uzasadnieniem w Deklaracji Stosowania.
Jedno wymaganie odróżnia tę normę od jej odpowiednika dla bezpieczeństwa informacji. ISO 27001 ocenia ryzyko dla organizacji, natomiast ISO 42001 wymaga dodatkowo oceny skutków systemu AI uwzględniającej konsekwencje dla osób i grup osób oraz dla społeczeństwa. Organizacja, która po prostu przemianuje istniejący rejestr ryzyka na rejestr ryzyka AI, nie spełni tego wymagania, ponieważ rejestr odpowiada na węższe pytanie niż stawia norma.
Certyfikat wydaje akredytowana jednostka w znanym cyklu: przegląd dokumentacji, następnie audyt potwierdzający działanie systemu w praktyce, a potem certyfikat ważny trzy lata z corocznymi audytami nadzoru. Czego certyfikacja nie zapewnia, to zgodności z unijnym aktem o AI. Tamten reżim wymaga własnego ustalenia roli, klasyfikacji, a dla systemów wysokiego ryzyka — oceny zgodności, przy czym normy zharmonizowane powstają odrębnie w ramach CEN-CENELEC JTC 21.
