Certifikace umělé inteligence: ISO 27001 nebo ISO 42001? Proč je toto srovnání zavádějící

Šroubovák místo kladiva: Proč mnoho lidí přistupuje k certifikacím umělé inteligence špatně

Zabezpečení dat vs. správa umělé inteligence: Jak najít správnou normu ISO

Pokud jde o digitální shodu, často se objevují dva standardy: zavedená norma ISO 27001 a novější norma ISO 42001. Mnoho společností si v současné době klade otázku, který z těchto dvou standardů je lepší, nebo zda jsou oba nutně nutné k přípravě na předpisy, jako je směrnice NIS II nebo zákon EU o umělé inteligenci. Toto přímé srovnání je však zásadně chybné. Zatímco norma ISO 27001 se zaměřuje na klasickou informační bezpečnost a prevenci hackerských útoků a úniků dat, norma ISO 42001 se zabývá specifickými, často skrytými riziky umělé inteligence – jako je algoritmická spravedlnost, transparentnost a zaujatost. Každý, kdo se pokouší řešit rizika umělé inteligence pomocí standardu IT bezpečnosti, doslova používá špatný nástroj. Tento článek podrobně popisuje základní rozdíly mezi těmito dvěma standardy, situace, pro které jsou určeny, a jak můžete pro svou společnost získat strategickou jasnost.

Certifikace umělé inteligence: Porovnání norem ISO 27001 a ISO 42001: Dva standardy, dva zásadně odlišné výchozí body

Ne lepší ani horší – ale navržené pro zcela odlišné výchozí body

Když firmy zvažují certifikace digitální správy a řízení, normy ISO 27001 a ISO 42001 se často objevují společně. To rychle vede k chybnému srovnání: která norma je lepší, nebo zda má smysl mít obě. Tato perspektiva však míjí smysl obou norem. Normy ISO 27001 a ISO 42001 začínají zásadně odlišnými otázkami. Norma ISO 27001 se ptá: Jak společnost chrání své informace před vnějšími a vnitřními hrozbami? Norma ISO 42001 se ptá: Jak společnost zajišťuje, aby její systémy umělé inteligence byly spravedlivé, transparentní a auditovatelné? Výběr nesprávné normy pro řešení konkrétního problému znamená řešení jiného problému, než kterému čelí.

Zásadním rozhodnutím proto není volba mezi dvěma standardy, ale spíše poctivá analýza vlastního výchozího bodu: Jaký je primární cíl správy a řízení společnosti? Jde o prokázání bezpečnosti dat a plnění regulačních IT povinností? Nebo o zodpovědné řízení používání systémů umělé inteligence a ověřování tohoto stavu zákazníky, úřady nebo veřejností? Norma ISO 27001 odpovídá na první otázku. Norma ISO 42001 odpovídá na druhou. Skutečnost, že oba standardy jsou založeny na stejném strukturálním základu, usnadňuje budoucí expanzi, ale neznamená to, že jsou zaměnitelné.

Výchozí bod ISO 27001: Když je zabezpečení dat primárním cílem správy a řízení

Certifikace ISO 27001 je tou správnou volbou pro společnosti, jejichž primárním cílem je prokázat robustní informační bezpečnost. Tento výchozí bod je rozšířený a je vyvolán několika situacemi. Společnosti, které zpracovávají citlivá data – jako jsou finanční instituce, poskytovatelé zdravotní péče, pojišťovny, právnické firmy nebo společnosti s velkým objemem osobních údajů o zákaznících – čelí požadavku spolehlivě chránit právě tato data. Jejich klíčovou otázkou není, jak stroj rozhoduje, ale jak zajistit, aby žádné neoprávněné osoby neměly přístup ke kritickým systémům a datům. Pro tuto situaci je norma ISO 27001 vhodným nástrojem.

Druhý, regulační výchozí bod pro normu ISO 27001 vychází z německé a evropské legislativy v oblasti kybernetické bezpečnosti. Se vstupem v platnost implementačního zákona NIS II v prosinci 2025 se závazné požadavky na bezpečnostní opatření v oblasti IT, řízení rizik a hlášení incidentů vztahují na odhadovaných 29 500 institucí pod dohledem BSI (Spolkového úřadu pro informační bezpečnost) v Německu. Provozovatelé kritické infrastruktury (KRITIS) automaticky spadají do kategorie obzvláště důležitých institucí. Pro tyto společnosti je norma ISO 27001 mezinárodně uznávaným nástrojem, který demonstruje, jak jsou povinná opatření pro řízení rizik systematicky implementována a dokumentována. Ti, kteří umělou inteligenci nepoužívají, nebo ji používají, ale výhradně interně ke zvýšení produktivity bez relevance pro rozhodování třetích stran, shledají normu ISO 27001 zcela dostačujícím základem pro správu a řízení.

Třetím typickým výchozím bodem pro normu ISO 27001 je pozicionování se jako důvěryhodného dodavatele v komplexních dodavatelských řetězcích. Poskytovatelé IT služeb, poskytovatelé spravovaných služeb, poskytovatelé SaaS a systémoví integrátoři se stále častěji setkávají se svými podnikovými zákazníky s požadavky na prokázání jejich informační bezpečnosti. V mnoha odvětvích, včetně automobilového průmyslu, kde je standard TISAX odvozen od odvětví, je tento požadavek již smluvně zakotven. Cílem těchto společností je nastolit důvěryhodnost se svými obchodními partnery a norma ISO 27001 je globálně zavedeným a snadno srozumitelným důkazem. Pro tento výchozí bod není vyžadována specifická správa a řízení AI, pokud jsou použité systémy AI interní a nemají žádný rozhodovací význam pro zákazníky ani třetí strany.

Omnifact splňuje nejvyšší mezinárodní standardy pro řízení informační bezpečnosti

Certifikace ISO 27001: Omnifact splňuje nejvyšší mezinárodní standard pro řízení informační bezpečnosti – Obrázek: Xpert.Digital

Společnost Omnifact provozuje svou generativní platformu umělé inteligence založenou na certifikovaném systému managementu informační bezpečnosti dle normy ISO/IEC 27001:2022. Certifikace byla udělena 14. dubna 2026 a potvrzuje, že důvěrnost, integrita a dostupnost všech zpracovávaných firemních dat jsou zajištěny ověřeným a zdokumentovaným souborem pravidel. Pro společnosti s vysokými požadavky na dodržování předpisů se nejedná jen o marketingový slib, ale o standard ověřený nezávislými auditory. V kombinaci s hostingem v EU, který je v souladu s GDPR, to znamená, že vaše data nikdy neopustí EU ani se nedostanou do nekontrolovaných kanálů zpracování.

Více informací zde:

• Omnifact: Univerzální platforma umělé inteligence pro firmy – na klíč, bezpečná a v souladu s GDPR

Výchozí bod ISO 42001: Když je správa umělé inteligence ústředním cílem

Norma ISO 42001 je tou správnou certifikací pro společnosti, které vyvíjejí, provozují nebo nabízejí systémy umělé inteligence a potřebují systematicky řídit a dokumentovat své používání umělé inteligence. Jedná se o specifický výchozí bod, jasně odlišný od normy ISO 27001. Hlavní otázky, které norma ISO 42001 řeší, se netýkají kybernetických útoků ani úniků dat, ale spíše etických, sociálních a provozních důsledků algoritmických rozhodnutí: Jsou použité modely spravedlivé? Jsou jejich rozhodnutí vysvětlitelná? Kdo dohlíží na automatizované procesy? Jak je model monitorován, pokud se během provozu odchyluje nebo produkuje nesprávné výsledky? Tyto otázky vyvstávají bez ohledu na to, zda má společnost systém managementu bezpečnosti informací (ISMS) podle normy ISO 27001, či nikoli.

Prvním, jasně definovaným výchozím bodem normy ISO 42001 je role poskytovatele nebo vývojáře umělé inteligence. Společnosti, které vyvíjejí a prodávají produkty umělé inteligence nebo služby podporované umělou inteligencí třetím stranám, čelí nejzákladnějšímu problému v oblasti správy a řízení umělé inteligence: Musí být schopny svým zákazníkům a regulačním orgánům prokázat, že jejich systém je bezpečný, předvídatelný a ovladatelný. U aplikací umělé inteligence na straně zákazníka – tedy systémů, které zasahují do obchodních procesů nebo rozhodovací infrastruktury zákazníků – se nejedná o teoretický požadavek, ale o konkrétní tržní předpoklad. Nabídky od velkých společností a klientů z veřejného sektoru stále častěji vyžadují důkaz strukturované správy a řízení umělé inteligence a norma ISO 42001 je jediným mezinárodně certifikovatelným rámcem, kterým lze tento důkaz poskytnout.

Druhý výchozí bod normy ISO 42001 vzniká, když společnosti používají externí systémy umělé inteligence, které mají přímý význam pro rozhodování třetích stran. Každý, kdo provozuje algoritmus pro rozhodování o úvěrech podporovaný umělou inteligencí, nástroj pro nábor s umělou inteligencí nebo automatizovaný systém řízení kvality, který rozhoduje o příležitostech, rizicích nebo lidských zdrojích, čelí otázkám, které norma ISO 27001 neřeší: Jak je zajištěno, aby algoritmus neprodukoval nevýhodné zkreslení? Jak je dokumentován lidský dohled nad rozhodnutími umělé inteligence? Jak se provádějí posouzení dopadů nových aplikací umělé inteligence? Norma ISO 42001 poskytuje strukturovanou odpověď přesně na tuto situaci, zatímco norma ISO 27001 se zde jednoduše nepoužije.

Třetím výchozím bodem pro normu ISO 42001 je proaktivní příprava na zákon EU o umělé inteligenci (AI Act), nezávislá na jakékoli existující certifikaci ISO 27001. Zákon EU o umělé inteligenci klasifikuje systémy umělé inteligence podle kategorií rizik a stanoví požadavky na technickou dokumentaci, posuzování shody a lidský dohled nad vysoce rizikovými systémy. Požadavky zákona o umělé inteligenci popisují regulační cíl; norma ISO 42001 poskytuje organizační rámec. Pro společnosti vyvíjející nebo provozující vysoce rizikové systémy umělé inteligence je certifikace ISO 42001 nejpřímějším způsobem, jak prokázat shodu s předpisy, aniž by bylo nutné dokumentovat vše od nuly pro každé regulační posouzení.

První mezinárodní standard pro systémy řízení umělé inteligence – nezávisle auditovaný, plně zdokumentovaný a přímo v souladu se zákonem EU o umělé inteligenci

Řízení umělé inteligence, které plní své sliby: Unframe má certifikaci ISO 42001 – Obrázek: Xpert.Digital

Unframe provozuje svou podnikovou platformu umělé inteligence založenou na certifikovaném systému řízení umělé inteligence dle normy ISO/IEC 42001:2023. Tato certifikace demonstruje, co musí být jádrem každého rozhodnutí v oblasti umělé inteligence: sledovatelnost. Každý agent je vázán na znalostní strukturu, každý výstup je vázán na zdroj a každá následná akce vyžaduje před provedením schválení člověkem. Pro společnosti, které umělou inteligenci nejen používají, ale také za ni musí nést odpovědnost, je to zásadní rozdíl. V Unframe slouží norma ISO 42001, spolu s normami SOC 2 Type II a ISO 27001, jako nezávislý důkaz, že správa umělé inteligence nebyla přidána později, ale byla integrována do platformy od samého začátku.

Více informací zde:

• Unframe: Platforma pro správu umělé inteligence pro podnikové zákazníky

Kvazi-interní řešení: Jak Xpert.Digital uzavírá provozní mezery v marketingu a prodeji B2B – Smart Content-Driven Business - Obrázek: Xpert.Digital

Xpert.Digital je datově orientované B2B centrum pro průmysl, které vede Konrad Wolfenstein . Společnost funguje jako externí, kvazi-interní řešení pro průmyslové partnery a odstraňuje provozní mezery v marketingu, obsahu a prodeji – aniž by vyžadovala další zdroje na straně klienta.

Více informací zde:

• Kvazi-interní řešení: Jak Xpert.Digital uzavírá provozní mezery v marketingu a prodeji B2B – Smart Content-Driven Business

Co odlišuje normy z hlediska obsahu: Cíle ochrany a zdroje nebezpečí

Podstatný rozdíl mezi těmito dvěma normami spočívá v jejich cílech ochrany a příslušných zdrojích hrozeb, kterými se zabývají. Norma ISO 27001 chrání důvěrnost, integritu a dostupnost informací. Hrozby, před nimiž chrání, pocházejí z externích zdrojů nebo z lidské chyby: kybernetické útoky, úniky dat, selhání systémů, neoprávněný přístup a sociální inženýrství. Logika normy je defenzivní a reaktivní: identifikuje zranitelnosti, hodnotí jejich rizika a implementuje kontrolní mechanismy, aby se zabránilo potenciálním útokům nebo se omezil jejich dopad. Nepřítel, před kterým ISO 27001 chrání, je buď externí, nebo nepozornost.

Norma ISO 42001 naopak chrání před riziky, která jsou vlastní samotnému systému umělé inteligence, tedy před riziky, která mohou vzniknout bez zlého úmyslu. K algoritmickým zkreslením dochází, když trénovací data odrážejí historické nerovnosti. Modely se odchylují, když se reálný svět liší od podmínek, za kterých byly trénovány. Rozhodnutí jsou nevysvětlitelná, když architektura modelu postrádá transparentnost. Všechna tato rizika nevznikají od útočníka, ale ze strukturálního fungování samotného systému. Cíle ochrany normy ISO 42001 – spravedlnost, transparentnost, lidský dohled a kvalita dat – se proto zásadně liší od cílů ochrany informační bezpečnosti. Každý, kdo se pokouší řešit tato rizika pomocí systému řízení informační bezpečnosti, se snaží použít šroubovák jako kladivo.

Následující srovnání ilustruje, které specifické obchodní cíle jsou splňovány kterým standardem:

Ekosystém norem obklopující ISO 42001: Specializace místo zobecnění

Norma ISO 42001 nestojí sama o sobě, ale je doprovázena řadou specializovaných norem, z nichž každá se zabývá specifickými technickými a metodologickými aspekty nasazení umělé inteligence. Tyto doprovodné normy nejsou pouhým doplňkem k existující normě ISO 27001, ale spíše nezávislými nástroji pro specifické výzvy v oblasti správy a řízení umělé inteligence. Norma ISO 23894 poskytuje pokyny pro řízení rizik specifických pro umělou inteligenci: Aplikuje principy obecných standardů řízení rizik na životní cyklus umělé inteligence a popisuje, jak by měla být identifikována, posouzena a řešena rizika vyplývající z driftu modelu, halucinací, kontradiktorních vstupů a nedostatku vysvětlitelnosti. Pro společnosti, které si jako primární cíl stanovily řízení rizik umělé inteligence, je norma ISO 23894 přímým provozním doplňkem normy ISO 42001.

Pro datovou vrstvu vývoje umělé inteligence poskytuje řada norem ISO 5259 rámec pro kvalitu dat ve strojovém učení. Tyto normy řeší problém, který je relevantní výhradně v kontextu umělé inteligence: kvalita modelu je neoddělitelně spjata s kvalitou jeho trénovacích dat. Chyby v kvalitě dat – jako jsou zkreslené vzorky, chybějící hodnoty a nekonzistentní popisky – přímo ovlivňují výkon modelu a mohou vést k systematicky nesprávným rozhodnutím. Tento výchozí bod je specifický pro společnosti, které si trénují své modely samy nebo získávají trénovací data externě. Norma ISO 27001 pro tento výchozí bod neposkytuje řešení.

Norma ISO 24027, která se zabývá prevencí zkreslení v algoritmech umělé inteligence, a ISO 42005, která se zaměřuje na provádění hodnocení dopadů systémů umělé inteligence, dále odstraňují specializované mezery. Obě normy jsou zaměřeny na společnosti, které nejen spravují informační bezpečnost, ale také aktivně řeší společenské důsledky svých algoritmů. Společnost provozující automatizovaný systém bodování pojistného nemá otázku podle normy ISO 27001, ale spíše otázku podle normy ISO 24027: Jsou určité demografické skupiny tímto modelem systematicky znevýhodňovány a jak lze tuto skutečnost měřit a napravit?

Pokud ani jeden ze dvou standardů není dostatečný: Znejte limity

Častým omylem je, že norma ISO 42001 poskytuje úplnou odpověď na zákon EU o umělé inteligenci (AI Act). Tato norma je dobrovolná a postrádá přímou právní sílu. Definuje, jak by měla společnost zodpovědně organizovat AI, ale neříká nic o tom, zda je konkrétní systém AI vůbec přípustný, jakou má třídu rizika nebo jaké formální postupy posuzování shody musí být provedeny. U vysoce rizikových systémů AI podle zákona EU o AI je samostatné právní posouzení kategorie systému povinné, bez ohledu na certifikaci ISO 42001.

Naopak norma ISO 27001 neposkytuje odpovědi na otázky specifické pro umělou inteligenci, a to ani v případě, že společnost umělou inteligenci používá ve velké míře. Prokázání, že systém umělé inteligence přináší vysvětlitelné výsledky a že je zajištěn lidský dohled, nelze dosáhnout prostřednictvím systému managementu bezpečnosti informací (ISMS) podle normy ISO 27001, protože norma tyto otázky koncepčně neřeší. Interní komunita expertů na dodržování předpisů na Redditu to shrnuje: Ti, kteří používají umělou inteligenci pouze interně ke zvýšení produktivity, si s normou ISO 27001 poradí, ale ti, kteří používají umělou inteligenci, která ovlivňuje rozhodování na straně zákazníka, budou dříve či později potřebovat normu ISO 42001.

Přehled příslušných standardů: Od informační bezpečnosti po správu a řízení umělé inteligence

Kromě certifikovatelné normy systému managementu ISO 42001 existuje rostoucí ekosystém specifických technických norem, z nichž každá se zabývá jasně definovaným výchozím bodem. Následující přehled ukazuje, která norma představuje který cíl – od klasické informační bezpečnosti až po specializovanou správu a řízení umělé inteligence:

Strategická jasnost místo snahy o normativní úplnost

Nejproduktivnější otázkou pro firmy není, zda by měly mít oba standardy, ale spíše jakou výzvu skutečně potřebují řešit. Firmy, jejichž primární riziko spočívá v ohrožení jejich IT infrastruktury ze strany kybernetických útoků, úniků dat nebo selhání systémů a které potřebují prokázat informační bezpečnost zákazníkům, úřadům nebo obchodním partnerům, najdou v normě ISO 27001 přesně to, co potřebují. Norma je vyspělá, globálně přijímaná, efektivně auditovatelná certifikačními orgány a její požadavky jsou jasně strukturované.

Společnosti, jejichž primární výzvou v oblasti správy a řízení je zajistit, aby používání systémů umělé inteligence bylo pro klienty nebo zákonodárce kontrolovatelné, transparentní a ověřitelné, potřebují normu ISO 42001 jako strukturální kotvu pro svou strategii v oblasti umělé inteligence. Tato norma je novější, trh s akreditovanými auditory je menší a implementace vyžaduje hluboké pochopení prostředí umělé inteligence ve společnosti. Na oplátku nabízí systém správy a řízení, který norma ISO 27001 ze strukturálních důvodů nemůže poskytnout: organizační kontrolu algoritmů, modelů a automatizovaných rozhodovacích procesů.

Znalost vašeho výchozího bodu vám umožní učinit správnou volbu a vyhnout se plýtvání zdroji na certifikaci, která neřeší skutečný problém.

☑️ Naším obchodním jazykem je angličtina nebo němčina

☑️ NOVINKA: Korespondence ve vašem rodném jazyce!

Konrad Wolfenstein

Já a můj tým jsme rádi, že vám můžeme být k dispozici jako váš osobní poradce.

Můžete mě kontaktovat vyplněním kontaktního formuláře zde [email protected]:nebo mi jednoduše zavolat na číslo +49 7348 4088 965. Moje e-mailová adresa je

Těším se na náš společný projekt.

☑️ Podpora malých a středních podniků v oblasti strategie, poradenství, plánování a implementace

☑️ Vytvoření nebo restrukturalizace digitální strategie a digitalizace

☑️ Rozšíření a optimalizace mezinárodních prodejních procesů

☑️ Globální a digitální B2B obchodní platformy

☑️ Průkopnický rozvoj podnikání / Marketing / PR / Veletrhy

Od viditelnosti k důvěře: Vaše škálovatelná cesta s Xpert.Digital - Obrázek: Xpert.Digital

V průmyslovém B2B segmentu se udržitelné obchodní vztahy zřídkakdy objevují přes noc. Rozvíjejí se krok za krokem – prostřednictvím viditelnosti, profesní relevance, opakujících se kontaktních bodů a rostoucí důvěry. Čtyřfázový model Xpert.Digital přesně toto řeší: Nabízí strukturovanou cestu, která začíná zvládnutelným vstupním bodem a v případě potřeby se může rozvinout do hlubší spolupráce v oblasti rozvoje podnikání.

Místo spoléhání se na hlasité marketingové sliby staví tento model do popředí vztah. Firmy začínají s jasně definovanými, snadno vypočítatelnými kritérii a poté se na základě vlastních zkušeností rozhodnou, jak dalece chtějí spolupráci rozšířit. Klíčovým faktorem pro tento nerušený proces budování důvěry je, že se platforma zcela vyhýbá otravným reklamám, takže redakční zaměření zůstává výhradně na odbornosti firem.

Více informací zde:

• Od viditelnosti k důvěře: Vaše škálovatelná cesta s Xpert.Digital