EU:s AI-lag och ISO 42001: skillnader, överlappningar och hur man använder dem tillsammans

Organisationer som inför AI dras åt två håll samtidigt. Å ena sidan måste de förstå vad lagen kräver. Å andra sidan behöver de ett praktiskt sätt att hantera AI över olika team, användningsfall och leverantörer.

Här kommer EU:s AI-lag och ISO 42001 in i bilden.

Vid en första anblick berör de båda samma ämne, men de löser olika problem. AI-förordningen är en bindande EU-förordning som fastställer rättsliga skyldigheter för AI-system och AI-modeller för allmänt bruk som omfattas av förordningen. ISO 42001 är en frivillig internationell standard för att upprätta ett AI-ledningssystem inom hela organisationen.

Många organisationer kommer i slutändan att använda båda: AI-lagen för att förstå vad som måste åtgärdas, och ISO 42001 för att utforma den styrningsmodell som hjälper dem att genomföra detta på ett konsekvent sätt.

Vad är EU:s AI-lag?

EU:s AI-lag är EU:s rättsliga ram för reglering av AI. Den fastställer bindande regler utifrån AI-risker och definierar skyldigheter beroende på hur AI utvecklas, tillhandahålls eller används.

EU:s AI-lag är förordning (EU) 2024/1689, EU:s harmoniserade rättsliga ram för artificiell intelligens. Europeiska kommissionen beskriver den som den första heltäckande rättsliga ramen för AI, som bygger på en riskbaserad strategi. Syftet är att främja tillförlitlig AI och samtidigt skydda hälsa, säkerhet och grundläggande rättigheter.

I praktiken är AI-lagen viktig eftersom den inte behandlar alla användningsområden för AI på samma sätt. Den skiljer mellan förbjudna metoder, AI-system med hög risk, krav på öppenhet för vissa AI-användningsområden samt skyldigheter för leverantörer av AI-modeller för allmänt bruk. Denna struktur är viktig eftersom ett företags skyldigheter beror på vilken typ av AI det utvecklar, tillhandahåller eller implementerar, samt på vilken roll det spelar i värdekedjan.

Det är också viktigt att lagen redan fasas in. Kommissionen uppger att AI-lagen trädde i kraft den 1 augusti 2024 och kommer att tillämpas fullt ut den 2 augusti 2026, även om vissa bestämmelser börjar gälla tidigare. Förbjudna AI-metoder och skyldigheter avseende AI-kunskap började gälla den 2 februari 2025, och skyldigheter för leverantörer av AI-modeller för allmänt bruk trädde i kraft den 2 augusti 2025. Organisationer befinner sig därför i en övergångsperiod där vissa skyldigheter redan gäller och andra fortsätter att fasas in.

Vad är ISO/IEC 42001?

ISO/IEC 42001 är en internationell standard för upprättande av ett ledningssystem för AI. Den hjälper organisationer att styra AI genom fastställda riktlinjer, processer, roller och kontinuerlig förbättring.

ISO/IEC 42001:2023 är den internationella standarden för ledningssystem för artificiell intelligens. Enligt ISO innehåller standarden krav och riktlinjer för organisationer som utvecklar, tillhandahåller eller använder AI-system, och den är den första globala standarden som fokuserar på att inrätta, införa, upprätthålla och kontinuerligt förbättra ett ledningssystem för artificiell intelligens.

Denna synvinkel är viktig. ISO 42001 är inte en lag och den är inte begränsad till en enskild AI-produkt eller en avgränsad rättslig kategori. Det är en standard för ledningssystem på organisationsnivå. Syftet är att integrera riktlinjer, mål, processer, ansvarsfördelning och kontinuerlig förbättring inom AI-området. Med andra ord handlar det om att skapa en reproducerbar styrning, inte bara om att dokumentera engångsåtgärder.

Detta gör ISO 42001 särskilt relevant för organisationer som behöver samordna AI-styrningen mellan produktteam, intern användning av AI, upphandling, ledningens tillsyn samt revisions- och kvalitetssäkringsfunktioner.

Även när det är frivilligt kan det fungera som en strukturerad verksamhetsmodell för ansvarsfull hantering av AI. Den sista punkten är en slutsats som dras utifrån ISO:s beskrivning av standarden som ett organisationsövergripande ledningssystem för att fastställa riktlinjer, mål och processer kring ansvarsfull utveckling, tillhandahållande eller användning av AI.

De viktigaste skillnaderna mellan EU:s AI-lag och ISO 42001

Rättslig status

Detta är den största skillnaden mellan de två. EU:s AI-lagstiftning är bindande för organisationer och tillämpningsområden för AI som omfattas av den. ISO 42001 är en frivillig standard. Ett företag kan välja att införa ISO 42001 som en del av sitt styrningsprogram, men det kan inte välja bort AI-lagstiftningen om förordningen är tillämplig.

Syfte

AI-lagen syftar till att reglera riskerna med AI på EU-marknaden och skydda allmänna intressen såsom hälsa, säkerhet och grundläggande rättigheter. ISO 42001 syftar till att hjälpa organisationer att inrätta och driva ett ledningssystem för AI med riktlinjer, processer och kontinuerlig förbättring. Den ena är av reglerande karaktär. Den andra är av ledningsmässig karaktär.

Omfattning

AI-lagen föreskriver skyldigheter utifrån typen av AI, risknivån och aktörens roll, till exempel leverantör eller användare. ISO 42001 gäller på ledningssystemnivå i hela organisationen och kan omfatta utveckling, tillhandahållande, upphandling och användning av AI i ett bredare perspektiv.

Så här fungerar implementeringen

Enligt AI-lagen ska organisationer avgöra om vissa system eller modeller omfattas av regleringen och därefter uppfylla de relevanta kraven. Enligt ISO 42001 ska organisationer upprätta en styrningsstruktur som fastställer ansvarsområden, processer, kontroller, granskningsmekanismer och förbättringscykler.

Hur ”goda bevis” ser ut

Enligt AI-lagen är dokumentationen kopplad till de rättsliga skyldigheter som följer av förordningen. Enligt ISO 42001 ingår dokumentationen snarare i själva ledningssystemet: policyer, roller, dokumenterade processer, interna granskningar och dokumentation av kontinuerliga förbättringar. Denna skillnad är viktig eftersom efterlevnad av lagstiftningen och ledningssystemets mognad är relaterade, men inte identiska, begrepp.

Där de överlappar varandra

Även om de skiljer sig åt vad gäller status och utformning, överlappar de två ramverken varandra på flera viktiga sätt.

1. Båda driver organisationer mot bättre styrning och ansvarsskyldighet. AI-lagen gör detta genom rättsliga skyldigheter och aktörsspecifika skyldigheter. ISO 42001 gör det genom ett strukturerat ledningssystem som fastställer riktlinjer, mål och processer.
2. Båda handlar om riskhantering. AI-lagen är uttryckligen riskbaserad, med olika skyldigheter beroende på AI-systemets eller AI-modellens karaktär. ISO 42001 är utformad för att hjälpa organisationer att hantera AI-relaterade risker genom ett systematiskt styrningsramverk.
3. Båda bygger på dokumentation, tillsyn och granskning. De exakta mekanismerna skiljer sig åt, men inget av ramverken fungerar i ett vakuum. Organisationer behöver tydligt definierade ansvarsområden, dokumentation, interna processer och ett sätt att övervaka om AI hanteras enligt avsikten.

Det är just denna överlappning som gör att många organisationer inte betraktar dem som alternativ. De ser dem istället som olika nivåer. AI-lagen fastställer de externa kraven. ISO 42001 kan bidra till att skapa den interna styrningsstruktur som stöder dessa krav.

Hur man tillämpar EU:s AI-lag och ISO 42001 tillsammans

För många organisationer är det mest effektiva tillvägagångssättet att kombinera de båda. Börja med AI-lagen och använd sedan ISO 42001 för att konkretisera vad organisationen behöver göra. AI-lagen anger vad man bör beakta ur ett rättsligt och regleringsmässigt perspektiv, medan ISO 42001 hjälper till att bygga upp det ledningssystem som gör arbetet reproducerbart.

En förnuftig process börjar med en kartläggning av den rättsliga ramen. En organisation bör först identifiera vilka AI-system eller allmänna AI-modeller den utvecklar, tillhandahåller, implementerar eller integrerar i sin verksamhet, och därefter avgöra om någon av dem är förbjuden, medför hög risk, omfattas av krav på öppenhet eller omfattas av skyldigheter avseende allmän AI. Detta är kartläggningen av regelverket. Utan denna kan teamen komma att bygga upp styrningsprocesser som bygger på felaktiga antaganden.

När den rättsliga situationen är klar blir ISO 42001 ett värdefullt styrningsverktyg. Standarden kan hjälpa organisationen att fastställa riktlinjer för användningen av AI, fördela roller och ansvar, sätta upp mål, införa processer för riskbedömning och granskning, formalisera dokumentationsrutiner samt skapa mekanismer för övervakning och kontinuerlig förbättring. Det är just sådana åtgärder som hjälper en organisation att gå från en tillfällig AI-övervakning till ett hållbart system.

Därför kan förhållandet bäst beskrivas på följande sätt: EU:s AI-lagstiftning fastställer de skyldigheter som är rättsligt bindande, medan ISO 42001 tillhandahåller ett ledningssystem som kan hjälpa en organisation att uppfylla dessa skyldigheter på ett strukturerat och reproducerbart sätt. Detta är delvis en sammanfattning, men det följer direkt av de officiella syftena med de två ramverken.

Varför många organisationer kommer att använda båda

Många organisationer kommer att upptäcka att AI-lagen i sig inte räcker som intern verksamhetsmodell. En lag kan ange vilka skyldigheter som gäller, men den skapar inte automatiskt de styrningsrutiner som krävs för att hantera AI inom hela företaget. Team behöver fortfarande ansvarsfördelning, riktlinjer, granskningsmekanismer, utbildning, leverantörsprocesser och tillsyn. Det är där ISO 42001 kommer till nytta.

Samtidigt räcker det inte med enbart ISO 42001 för organisationer som omfattas av EU:s AI-lag. Ett ledningssystem kan förbättra mognadsgraden i styrningen, men det ersätter inte förståelsen för de faktiska rättsliga skyldigheter som är förknippade med högrisk-AI-system, krav på öppenhet, förbjudna metoder eller AI-modeller för allmänna ändamål.

Det är därför denna kombination är så attraktiv. AI-lagen utgör grunden för arbetet med regelefterlevnad. ISO 42001 ger organisationen en praktisk struktur för att genomföra detta arbete tvärfunktionellt och över tid.

Slutsats

EU:s AI-lag och ISO 42001 bör inte ses som ett antingen-eller-val. Den ena fastställer rättsliga skyldigheter för AI inom sitt tillämpningsområde, medan den andra hjälper organisationer att upprätta en styrning som är konsekvent, dokumenterad och reproducerbar.

För många organisationer är den bästa vägen att använda dem tillsammans. Börja med AI-lagen för att fastställa vilka skyldigheter som gäller. Använd sedan ISO 42001 för att bygga upp det styrningssystem som hjälper organisationen att uppfylla dessa skyldigheter i praktiken. Det är sannolikt den mest realistiska vägen för team som både vill uppfylla kraven på AI-efterlevnad och skapa en fungerande verksamhetsmodell för AI-styrning.