ISO 42001 u 2026.: koji AI dobavljači imaju certifikat i koliko certifikacija košta vašu tvrtku

Upravljanje umjetnom inteligencijom dobilo je vlastiti certifikat, a veliki kupci ga počinju tražiti. Certifikat ISO/IEC 42001 javno je objavilo tek oko 220 organizacija u svijetu, od toga 113 u 2026. Anthropic, OpenAI, Google, Microsoft i AWS ga imaju. Mistral i Manus ga javno ne pokazuju. Ovaj vodič objašnjava što norma traži, tko je ima, koliko certifikacija košta i kako se uklapa u AI Act EU-a.

Što je ISO/IEC 42001 i što traži

ISO/IEC 42001:2023 prva je međunarodna norma za sustav upravljanja umjetnom inteligencijom (AIMS) koju akreditirano tijelo može certificirati. Ima istu strukturu kao ISO 27001 za informacijsku sigurnost i ISO 9001 za kvalitetu: definirate opseg, postavite politike, dodijelite odgovornosti, procijenite rizike, provodite kontrole, mjerite i poboljšavate. Novo je područje primjene. Norma i kontrole iz njezina Priloga A pokrivaju:

• AI politiku i uloge. Tko smije razvijati, kupovati i uvoditi AI i tko odgovara za koji sustav.
• Procjenu rizika i procjenu učinka AI sustava. Učinke na pojedince, skupine i društvo, a ne samo na tvrtku.
• Kontrole podataka i životnog ciklusa. Kvaliteta i podrijetlo podataka, razvoj, provjera, uvođenje, nadzor i gašenje sustava.
• Treće strane. Zahtjeve prema AI dobavljačima i prema korisnicima vašeg AI-ja.
• Transparentnost. Informacije za korisnike i dionike o tome kako sustav radi i gdje su mu granice.

Riječ je o normi za sustav upravljanja. Certifikat pokazuje da organizacija ima sustav upravljanja koji stvarno radi. Ne dokazuje da je neki model točan, siguran ili nepristran. Sigurnosne obveze velikih laboratorija na razini modela opisali smo u pregledu sigurnosnih okvira frontier AI laboratorija.

Usvajanje: od 2 certifikata do 220 u dvije godine

Službeni registar certifikata ISO 42001 ne postoji. Najbolji javni broj daje imenik ISO42k, koji prati objavljene certifikacije. Prema stanju od 11. listopada 2026. navodi 220 organizacija u 29 zemalja, koje je auditiralo 26 certifikacijskih tijela: 19 objavljenih u 2024., 87 u 2025. i dosad 113 u 2026. Od početka 2026. svako tromjesečje donosi 33 do 41 novi certifikat.

Broj je malen s razlogom. ISO 27001 postoji gotovo dva desetljeća, a ISO 42001 objavljen je tek krajem 2023., pa je akreditacija certifikacijskih tijela potrajala većinu 2024. Podjela po sektorima pokazuje tko je krenuo prvi: tvrtke za poslovni softver čine 44 % certificiranih organizacija, profesionalne usluge 15 %, cloud i AI platforme 9 %, kibernetička sigurnost 8 % i dobavljači GRC i compliance rješenja 5 %. To su tvrtke čiji kupci šalju sigurnosne upitnike.

Gdje su certificirane tvrtke

Dva od tri objavljena certifikata pripadaju američkim tvrtkama, što odražava način na koji radi američka korporativna nabava: SOC 2 izvješća i certifikati ulaznica su za posao. Europa se gotovo ne vidi. U prvih osam ušli su samo Ujedinjeno Kraljevstvo (9) i Španjolska (5), a Njemačka, Austrija i Hrvatska nalaze se u dugom repu. Za hrvatsku ili DACH tvrtku koja prodaje softver ili usluge to znači da je certifikat još uvijek stvarna prednost na natječajima i u prodaji velikim kupcima, a ne standardni uvjet.

Koji AI dobavljači imaju certifikat: Anthropic, OpenAI, Mistral, Manus i drugi

Većini tvrtki važnije pitanje nije trebaju li se same certificirati, nego jesu li certificirani njihovi AI dobavljači. Certifikat ISO 42001 dobavljača dokaz je koji možete priložiti vlastitoj procjeni dobavljača, a pokriva velik dio onoga što pita upitnik za odabir AI dobavljača. Stanje sredinom listopada 2026.:

Izvori: Anthropic news (13. 1. 2025.); provjere stranica dobavljača u AI Provider Trust Registryju, 12.–16. 10. 2026.; stranica o sigurnosti Manusa. „Nema javnog dokaza” znači da certifikat nije bilo moguće potvrditi iz javnih izvora, a ne da ga dobavljač nema. Prije nego što se oslonite na certifikat, zatražite ga od dobavljača zajedno s opsegom.

Za europske kupce rezultat je pomalo nezgodan. Mistral je dobavljač s najjačom pričom o europskom digitalnom suverenitetu i već ima ISO 27001, ISO 27701 i SOC 2, koji pokrivaju sigurnost i privatnost. Ono što javno ne pokazuje jest certificirani sustav upravljanja umjetnom inteligencijom, koji njegovi američki konkurenti imaju. Manus, platforma za AI agente, u istoj je situaciji. Nijedna od tih praznina nije razlog za odbacivanje dobavljača, ali nabava i compliance će to pitati, pa se isplati zatražiti pisanu izjavu o kontrolama upravljanja umjetnom inteligencijom.

Tko provodi audit: certifikacijska tijela

Schellman, koji je certificirao i Anthropic, izdao je gotovo trećinu poznatih certifikata, a A-LIGN još 12 %. Oba su američke revizorske kuće. Europska certifikacijska tijela SGS, BSI, DNV i AENOR zajedno čine 26 % poznatih certifikata. Za tvrtku u Hrvatskoj, Njemačkoj ili Austriji to je praktično važno: auditor s lokalnim timom, auditom na lokalnom jeziku i akreditacijom koju vaši kupci priznaju obično proces čini jeftinijim i bržim. Uvijek provjerite je li tijelo akreditirano za ISO 42001 (primjerice kod ANAB-a, UKAS-a ili DAkkS-a). Certifikat neakreditiranog izdavatelja na natječaju malo vrijedi.

Koliko certifikacija košta i koliko traje

Sam audit manja je stavka. Objavljene procjene stavljaju naknadu certifikacijskog tijela za Stage 1 i Stage 2 na otprilike 5.000 do 50.000 dolara, ovisno o opsegu i auditoru, nakon čega svake godine slijede nadzorni auditi. Veći trošak je priprema: popis AI sustava, pisanje politike i procjena učinka, uvođenje kontrola i, prije svega, nekoliko mjeseci rada sustava kako bi bilo dokaza za audit. Konzultanti srednje velik program procjenjuju na oko 45.000 do 130.000 dolara u prvoj godini, a većini organizacija treba 4 do 9 mjeseci. Tvrtke koje već imaju ISO 27001 obično trebaju 4 do 7 mjeseci jer okosnica sustava upravljanja (kontrola dokumenata, interni audit, upravina ocjena) već postoji.

• Počnite popisom AI sustava. Opseg AIMS-a ne možete odrediti bez znanja koje AI sustave razvijate, kupujete i koristite, uključujući one koje su zaposlenici uveli sami. Naš vodič za upravljanje shadow AI-jem pokazuje kako ih pronaći.
• Držite opseg uskim. Prvo certificirajte jednu liniju proizvoda ili AI koji nudite kupcima. Manji opseg znači manje dana audita i brži prvi certifikat.
• Iskoristite ISO 27001. Uklopite AIMS u postojeći ISMS umjesto da gradite drugi sustav pokraj njega.
• Prikupite dokaze dobavljača. ISO 42001, ISO 27001 i SOC 2 izvješća vaših dobavljača izravno se uklapaju u vaše kontrole za treće strane.

ISO 42001 i AI Act EU-a

ISO 42001 je dobrovoljan i ne daje pretpostavku sukladnosti s AI Actom EU-a. Europska komisija utvrdila je da ciljevi i definicije norme ISO 42001 nisu usklađeni sa sustavom upravljanja kvalitetom koji članak 17. AI Acta traži od pružatelja visokorizičnih sustava. Zato je CEN-CENELEC JTC 21 napisao posebnu europsku normu, EN 18286, objavljenu u srpnju 2026. Ona još nije objavljena u Službenom listu EU-a pa ni ona još ne daje pravnu pretpostavku sukladnosti.

Pomaknuti su i rokovi. Digitalni omnibus, na snazi od 27. srpnja 2026., odgodio je obveze za samostalne visokorizične AI sustave iz Priloga III. (zapošljavanje, krediti, obrazovanje, biometrija i slično) na 2. prosinca 2027., a one za AI ugrađen u regulirane proizvode iz Priloga I. na 2. kolovoza 2028. Obveze transparentnosti iz članka 50. primjenjuju se od kolovoza 2026. Cijeli vremenski okvir nalazi se u našem vodiču za usklađenost s AI Actom.

Tko bi se trebao certificirati, a tko ne

Zaključak

ISO 42001 je u dvije godine od nišne norme postao stavka u nabavnim upitnicima, ali s oko 220 javnih certifikata još smo na početku, posebno u Europi. Kod odabira AI dobavljača tražite certifikat i njegov opseg: Anthropic, OpenAI, Google, Microsoft i AWS ga mogu dostaviti, dok se Mistral i Manus zasad oslanjaju na ISO 27001, ISO 27701 i SOC 2. Ako i sami prodajete proizvode temeljene na AI-ju, certifikat će vam 2027. otvarati vrata, a sustav upravljanja izgrađen sada priprema vas za rokove AI Acta koji slijede.