ISO/IEC 42001 w allclouds.pl. Certyfikowaliśmy to, co już robiliśmy
Większość wpisów o certyfikacji zaczyna się od gratulacji dla samego siebie. Ten zacznie się od wyznania: norma ISO/IEC 42001 nie zmieniła sposobu, w jaki pracujemy z AI. I to jest właśnie najważniejsza informacja w tym tekście
Pierwszy taki certyfikat od Bureau Veritas w Polsce
Bureau Veritas Polska przyznało allclouds.pl certyfikat ISO/IEC 42001:2023 (nr PL019296) dla Systemu Zarządzania Sztuczną Inteligencją. Jesteśmy pierwszą organizacją, która otrzymała ten certyfikat od Bureau Veritas w Polsce — co mówi coś zarówno o nas, jak i o rynku: zarządzanie AI dopiero staje się dziedziną, którą się audytuje, a nie tylko deklaruje.
Audyt certyfikacyjny przeprowadzony 22 maja 2026 r. zakończył się bez niezgodności — ani dużych, ani małych. To raczej rzadkość przy audytach certyfikacyjnych, ale nasze doświadczenie normalizacyjne (to już nasz siódmy certyfikowany standard ISO) wspomagane umiejętną pracą z narzędziami AI przyniosło konkretny efekt. Certyfikat zachowuje ważność do 17 czerwca 2029 r.
Zakres certyfikacji obejmuje to, z czego żyjemy: projektowanie i produkcję oprogramowania — w tym naszych produktów TWIN:DESK i PROXY:AI — oraz metodykę wdrożeniową systemów sztucznej inteligencji (CDF, Cognitive Deployment Framework). Wszystkie funkcjonują w ramach udokumentowanego, audytowalnego systemu zarządzania AI — od strategii i oceny ryzyka, przez testowanie modeli, po monitorowanie i ciągłe doskonalenie.
Co zastał audytor
Tu wracamy do wyznania z pierwszego akapitu. Zanim pojawiła się norma, codzienną pracę zespołu regulował już wewnętrzny AI-Operating & Working Agreement — dokument, który zna każdy w firmie i do którego każdy może zgłosić poprawkę. Opiera się na trzech filarach, które audytor mógł zweryfikować w praktyce, nie w segregatorze:
- Ostateczna decyzja należy do człowieka. AI wspiera analizę, ale weryfikacja i odpowiedzialność spoczywają na pracowniku — to punkt kontrolny wpisany w procesy, nie slogan.
- Pełna jawność działania. Wykorzystanie AI jest dokumentowane i komunikowane interesariuszom. Klient wie, gdzie w naszej pracy jest AI i kto za nią odpowiada.
- Suwerenność danych. Informacje wrażliwe pozostają w infrastrukturze organizacji — zasada, którą stosujemy u siebie tak samo, jak projektujemy ją u klientów.
Przygotowanie do certyfikacji polegało więc w mniejszym stopniu na budowaniu czegoś nowego, a w większym na zmapowaniu istniejącej praktyki na wymagania normy. To rozróżnienie definiuje dwa typy certyfikacji: taką, w której system zarządzania powstaje pod audyt, i taką, w której audyt potwierdza system istniejący. Wiemy z doświadczeń klientów, jak wygląda ta pierwsza. Chcieliśmy tej drugiej.
Warto wspomnieć, że proces ścisłego przygotowania do certyfikacji zajął nam 1,5 miesiąca. Nie wierzcie więc narracji, że certyfikacja AI to z konieczności wielomiesięczny projekt za ogromne kwoty — jeżeli Wasza organizacja działa w ramach uporządkowanych i mierzalnych procesów, przygotowanie do uzyskania certyfikatu to jedynie doskonalenie sprawnie funkcjonującej maszyny, a nie malowanie pordzewiałego wraka na różowo. Jest prostsze, co nie oznacza, że nie wymaga pracy.
Jak podkreśla Paweł Borowicz, kierownik działu Enterprise Risk Bureau Veritas Polska:
> „Klienci, regulatorzy oczekują dziś udokumentowanego zarządzania AI i jasnych ram odpowiedzialności. Certyfikacja ISO 42001 to odpowiedź na te realne potrzeby rynku. (…) allclouds.pl sp. z o.o. jako firma, która sama intensywnie wykorzystuje AI w codziennej pracy, jest doskonałym przykładem organizacji świadomie zarządzającej ryzykiem związanym z tą technologią”.
Czego nauczyło nas wdrożenie
Zmapowanie istniejącej praktyki na wymagania normy nie było jednak formalnością. Spotkaliśmy się z kilkoma wyzwaniami:
- Zdefiniowanie zakresu systemu. Najwięcej pracy koncepcyjnej wymagała odpowiedź na pozornie proste pytanie: co w naszej organizacji jest systemem AI i co dokładnie obejmuje certyfikacja. Granica między produktami komercyjnymi, pracami badawczo-rozwojowymi i wewnętrznymi zastosowaniami AI musiała zostać wyznaczona precyzyjnie — wraz z zasadą, że każde rozszerzenie zakresu wymaga formalnej zmiany dokumentacji i zgłoszenia jednostce certyfikującej.
- Siódma norma w jednym systemie. Największym ryzykiem przy dokładaniu kolejnej normy jest dublowanie dokumentacji i powstawanie dwóch wersji prawdy. Zamiast odrębnego kompletu polityk dla AI zintegrowaliśmy wymagania ISO/IEC 42001 z istniejącym systemem — jedna polityka nadrzędna, wspólne rejestry ryzyk i jedna deklaracja stosowania obejmująca zabezpieczenia z ISO/IEC 27001, 27017, 27018 i 42001.
- Nadzór człowieka w praktyce, nie w deklaracji. Norma wymaga rzeczywistej kontroli człowieka nad działaniem AI. W naszych zautomatyzowanych procesach oznaczało to zaprojektowanie konkretnych punktów kontroli: automat może przygotować i wstępnie sklasyfikować dokument, ale weryfikacja należy do człowieka. Przełożenie tej zasady na każdy proces z osobna zajęło więcej czasu niż napisanie samej polityki.
- Ocena dostawców AI w świecie, który zmienia się co miesiąc. Modele i usługi AI ewoluują szybciej niż jakakolwiek inna kategoria dostawców. Jednorazowa kwalifikacja dostawcy okazała się niewystarczająca — zastąpiliśmy ją cykliczną, kwartalną oceną z aktualizacją rejestrów.
- Mierzalne cele zamiast haseł. Łatwo zadeklarować odpowiedzialną AI, trudniej wskazać wskaźniki, które rzeczywiście da się mierzyć i z których rzeczywiście się rozlicza. Część pierwotnie przyjętych metryk musieliśmy urealnić — to proces, który trwa również po certyfikacji.
Co to zmienia dla naszych klientów
Dla organizacji z sektora regulowanego certyfikat dostawcy to nie dyplom na ścianie — to skrócenie własnej pracy audytowej. Zespół compliance banku czy spółki infrastrukturalnej, oceniając dostawcę systemu AI, musi odpowiedzieć na pytania, które zadaje mu EU AI Act, DORA i NIS2: kto panuje nad cyklem życia systemu, jak zarządzane są ryzyka, gdzie jest człowiek w pętli decyzyjnej. Certyfikowany system zarządzania AI u dostawcy oznacza, że znaczną część tych odpowiedzi potwierdziła już niezależna jednostka.
ISO/IEC 42001 dołącza przy tym do Zintegrowanego Systemu Zarządzania, który utrzymujemy od dawna: ISO 9001, 27001, 27017, 27018, 22301 i 14001. Wymieniamy je razem nie dla ozdoby, lecz dlatego, że w praktyce działają razem — zarządzanie AI bez zarządzania bezpieczeństwem informacji i ciągłością działania byłoby fasadą.
Dlaczego to w ogóle ma znaczenie
Wdrożenie sztucznej inteligencji nie jest wyłącznie wyzwaniem technologicznym — to przede wszystkim zagadnienie kontroli, metodyki i zgodności. Brak odpowiedniego podejścia paraliżuje wdrożenia: projekt utyka na pilotażu, którego nikt nie odważy się dopuścić do produkcji.
Równie ważne jest, by wdrażane AI zapewniało użytkownikom suwerenność — niezależność od dostawcy i prawo decyzji. Bez tego trudno mówić o rozwiązaniach klasy AI Business Solutions; zostaje wynajem cudzej usługi na cudzych warunkach.
Certyfikat nie rozwiązuje tych problemów sam z siebie. Ale wymusza to, co je rozwiązuje: policzalne procesy, przypisane odpowiedzialności i człowieka w miejscu, w którym zapada decyzja.
To nie jest kolejny certyfikat dla galerii. To potwierdzenie, że zarządzanie sztuczną inteligencją można — i trzeba — robić metodycznie.
Dziękujemy Bureau Veritas Polska za profesjonalne przeprowadzenie procesu certyfikacji.