ISO 42001 становится стандартом де-факто для управления ИИ — но сертифицированы пока единицы

ISO/IEC 42001, первый международный стандарт для систем управления искусственным интеллектом (AIMS), был опубликован ещё в декабре 2023 года, но по состоянию на 2026 год реально сертифицированных по нему организаций всё ещё немного — среди заметных имён Microsoft, AWS и Anthropic. Стандарт задаёт структурированный, проверяемый способ управления рисками ИИ на всём его жизненном цикле, по аналогии с тем, как ISO 27001 задаёт стандарт для информационной безопасности — но, в отличие от него, сертификация по 42001 остаётся добровольной и пока не признана Евросоюзом гармонизированным стандартом, автоматически подтверждающим соответствие AI Act.

Причины медленного распространения на удивление приземлённые: не хватает квалифицированных аудиторов, разбирающихся одновременно в ИИ-системах и в управлении по стандартам ISO; сами ИИ-системы меняются быстрее, чем успевает обновляться документация системы управления; а первичная оценка разрыва, обучение и сертификационные сборы обходятся недёшево компаниям, у которых ещё нет своей ISO-инфраструктуры. При этом требования EU AI Act по высокорисковым системам вступают в силу поэтапно вплоть до 2027–2028 годов, и организациям, которые работают с европейским рынком, всё равно придётся выстраивать похожую структуру управления — с сертификатом ISO 42001 или без него.

Для наших клиентов это ровно та точка, где ИТ-аудит по COBIT и управление ИИ пересекаются: домены COBIT про то, кто отвечает и как это проверить, работают на том же уровне, на котором построен ISO 42001, — то есть готовность к 42001 для компании, которая уже проходила через грамотный ИТ-аудит, оказывается гораздо ближе, чем кажется на старте.