ISO 42001 for jer, der ikke skal certificeres: hvad I kan låne af standarden til jeres AI-politik

Hovedpointer

• ISO 42001 er verdens første ledelsessystem-standard for AI, men den er ikke en harmoniseret standard under AI-forordningen og gør jer ikke automatisk compliant.
• Den europæiske standard prEN 18286, ikke ISO 42001, bliver den harmoniserede standard under AI-forordningen.
• For jer, der ikke skal certificeres, er standarden mest værdifuld som en færdig disposition: ni grupper kontroller, der dækker alt fra politik og data til leverandørstyring.
• Tabellen længere nede kan kopieres direkte og bruges som skelet til en AI-politik, der passer til en organisation med 20 til 300 ansatte.

Skal I ISO 42001-certificeres? Nej, næsten ingen skal

ISO/IEC 42001:2023 blev udgivet i december 2023 som verdens første ledelsessystem-standard for AI. Den er bygget af den tekniske komité ISO/IEC JTC 1/SC 42 og fylder 51 sider.

Standarden følger samme skelet som ISO 9001 (kvalitet) og ISO 27001 (informationssikkerhed): kapitel 4 om organisationens kontekst, kapitel 5 om lederskab, kapitel 6 om planlægning, kapitel 7 om støtte, kapitel 8 om drift, kapitel 9 om evaluering af præstation og kapitel 10 om forbedring. Kender I en af de to andre standarder, genkender I strukturen med det samme.

Det interessante for jer, der ikke skal certificeres, er Annex A. Det indeholder 38 kontroller fordelt på ni grupper (A.2 til A.10), og det er dem, vi låner. Ikke certifikatet, ikke auditorer, ikke en konsulent der kommer og tæller dokumenter. Strukturen.

Den vigtigste misforståelse: ISO 42001 er ikke AI-forordningen

Her snubler mange, og det er forståeligt. ISO 42001 lyder som noget, der gør jer compliant med AI-forordningen (EU AI Act). Det gør den ikke.

Hvorfor ikke?

ISO 42001 certificerer jeres organisation og dens ledelsessystem. AI-forordningen regulerer det enkelte AI-system som et produkt. De to ting løser forskellige problemer.

Kun en harmoniseret standard giver det, der i lovteksten hedder "formodning om overensstemmelse" efter artikel 40. Det betyder, at hvis I følger den harmoniserede standard, formodes I at leve op til kravene, og bevisbyrden flyttes. Med ISO 42001 bærer I selv bevisbyrden, hvis en myndighed spørger.

Hvad er den harmoniserede standard så?

Den europæiske standard prEN 18286, "Quality management system for EU AI Act regulatory purposes", er den, der knytter sig til artikel 17. Den var i offentlig høring fra 30. oktober 2025 til 22. januar 2026 og forventes endeligt udgivet sidst i 2026. Det er prEN 18286, ikke ISO 42001, der bliver myndighedernes pejlemærke.

EU's AI-kontor signalerede allerede i maj 2024, at ISO 42001 ikke var fuldt på linje med den endelige forordningstekst, og standarden indgår ikke i EU's harmoniseringsproces.

Et ISO 42001-certifikat er altså ikke en genvej til compliance. Men det er heller ikke spild af tid, hvis I bruger det rigtigt.

Hvad I så skal bruge den til

Forestil dig en HR-chef i en virksomhed med 60 ansatte, der har fået til opgave at skrive en AI-politik inden december. Hun har et tomt dokument og et oplæg fra bestyrelsen, der siger "vi skal have styr på AI". Hvor begynder hun?

ISO 42001's Annex A er svaret på det spørgsmål. Ikke fordi hun skal certificeres, men fordi de ni grupper dækker præcis de emner, en AI-politik skal forholde sig til: hvem beslutter hvad, hvilke data må bruges, hvordan vurderer vi risiko, og hvad fortæller vi omverdenen.

Tænk på det som en indholdsfortegnelse, nogen allerede har skrevet for jer. I skal bare fylde indholdet ud med jeres egne beslutninger.

Tabellen: de ni grupper og den mindste brugbare version

Denne tabel kan kopieres direkte ind i et dokument. Brug den som skelet til jeres AI-politik. Kolonne tre er den mindste version, der giver mening for en organisation, der ikke skal certificeres. Under tabellen finder du et udfyldt eksempel for hver gruppe, så du kan se, hvad "mindste brugbare version" konkret ser ud som tekst.

Denne tabel er et arbejdsredskab, ikke juridisk rådgivning.

Sådan ser de ni afsnit ud som faktisk tekst

Herunder er et udfyldt eksempel for hver gruppe. Ikke generiske skabelonsvar, men tekst en organisation med 20 til 300 ansatte kan skrive ind og bruge fra dag ét. Tilpas det til jeres branche og jeres værktøjer.

A.2 Politikker for AI

Formål: Denne politik beskriver, hvordan [virksomhedsnavn] bruger AI-værktøjer, og hvilke principper der gælder for den brug.

Afgrænsning: Politikken gælder alle medarbejdere og alle AI-værktøjer, der bruges i arbejdstiden eller på virksomhedens udstyr, herunder chatbaserede assistenter, billedgeneratorer og automatiserede analyseværktøjer.

Godkendelse: Ændringer til denne politik kræver godkendelse af [navn/rolle]. Politikken gennemgås hvert halve år, næste gang [dato].

A.3 Intern organisering

AI-ansvarlig er [navn], som er første kontaktpunkt ved spørgsmål om brug af AI-værktøjer. Alle nye AI-værktøjer skal godkendes af [navn/rolle] inden ibrugtagning. Medarbejdere, der ønsker at afprøve et nyt værktøj, sender en kort beskrivelse til den AI-ansvarlige med oplysning om formål, datainput og eventuel pris. Godkendelse gives typisk inden for fem arbejdsdage.

A.4 Ressourcer til AI-systemer

Vi bruger i dag følgende AI-værktøjer:

Værktøj	Formål	Licensindehaver	Antal brugere
ChatGPT (Business)	Tekstudkast, opsummering	IT-afdeling	12
Microsoft 365 Copilot	E-mail, mødenoter	IT-afdeling	Alle
Midjourney	Grafisk indhold	Marketing	2

Listen opdateres, når nye værktøjer godkendes. Kompetencebehov vurderes én gang om året i forbindelse med medarbejderudviklingssamtaler.

A.5 Vurdering af AI-systemers konsekvenser

Inden et AI-værktøj tages i brug, stiller den AI-ansvarlige tre spørgsmål:

1. Hvilke data sendes til værktøjet? (Indeholder de personoplysninger, forretningshemmeligheder eller oplysninger om tredjeparter?)
2. Hvem påvirkes af det output, værktøjet producerer? (Kun interne brugere, eller også kunder og borgere?)
3. Hvad sker der, hvis værktøjet tager fejl? (Er konsekvenserne ubetydelige, eller kan de skade nogen?)

Hvis svaret på spørgsmål 1 eller 3 er "ja" eller "alvorlige", kræves en udvidet vurdering, før godkendelse gives.

A.6 AI-systemets livscyklus

Inden et nyt AI-værktøj tages i brug, gennemgår den AI-ansvarlige og den relevante faglige leder følgende trin: (1) formål og afgrænsning beskrives skriftligt, (2) databehandleraftale eller servicevilkår gennemgås, (3) en prøveperiode på maksimalt 30 dage fastsættes med klare kriterier for, hvornår værktøjet er godkendt til fuld brug.

Eksisterende værktøjer gennemgås én gang om året. Gennemgangen vurderer, om formålet stadig er relevant, om vilkårene har ændret sig, og om brugen har medført uønskede hændelser.

A.7 Data til AI-systemer

Grøn (må bruges frit): Offentligt tilgængeligt indhold, egne ikke-fortrolige tekster, generiske faglige spørgsmål uden navne eller identificerbare oplysninger.

Gul (kræver godkendelse): Interne dokumenter der ikke er offentlige, aggregerede data uden personoplysninger, anonymiserede kundedata. Kontakt den AI-ansvarlige inden brug.

Rød (må aldrig bruges): Navngivne personers oplysninger (herunder medarbejder- og kundedata), fortrolige kontrakter og prislister, sundhedsoplysninger, loginoplysninger og adgangskoder.

Tvivl placeres i gul kategori, ikke grøn.

A.8 Information til interessenter

[Virksomhedsnavn] bruger AI-værktøjer som støtte i vores daglige arbejde, herunder til at skrive udkast, opsummere dokumenter og analysere data. AI erstatter ikke menneskelig vurdering i beslutninger, der har direkte konsekvenser for vores kunder eller samarbejdspartnere. Har du spørgsmål til vores brug af AI, er du velkommen til at kontakte [navn] på [e-mail].

Dette afsnit kan indsættes på jeres hjemmeside, i jeres privatlivspolitik eller i standardkorrespondance med kunder.

A.9 Brug af AI-systemer

Altid	Spørg den AI-ansvarlige først	Aldrig
Læs og kvalitetssikr alt output, inden du bruger det	Brug AI til at generere indhold, der udgives i virksomhedens navn uden redaktionel gennemgang	Upload personoplysninger om kunder eller medarbejdere
Oplys modtageren, hvis et dokument er skrevet med hjælp fra AI	Brug AI til at træffe beslutninger med direkte konsekvenser for en kunde	Del fortrolige kontrakter, prislister eller interne strategidokumenter
Brug kun godkendte værktøjer fra listen under A.4	Tilslut virksomhedens systemer til et nyt AI-værktøj via API eller integration	Brug AI til at efterligne eller udgive dig for at være en anden person

A.10 Forhold til tredjeparter og kunder

Leverandører og samarbejdspartnere, der udfører opgaver på vegne af [virksomhedsnavn], må kun anvende AI-værktøjer på vores data, hvis det er aftalt skriftligt på forhånd. Aftalen skal præcisere: hvilke AI-værktøjer der må bruges, hvilke datatyper der må behandles, og hvem der ejer det producerede output. Manglende overholdelse betragtes som et kontraktbrud. Dette afsnit tilføjes som et standardpunkt i alle nye leverandøraftaler fra [dato].

Det er ni afsnit. Samlet fylder de to til tre sider. Det er mere end de fleste organisationer har på plads i dag, og det tog en formiddag at skrive.

Sådan bruger I tabellen på en formiddag

Tag de ni gruppenavne og brug dem som overskrifter i et tomt dokument. Sæt jer ned med to personer: den AI-ansvarlige og én faglig leder, og tilpas eksempelteksterne ovenfor til jeres egne værktøjer og beslutninger. Skriv det, I faktisk gør, eller det, I beslutter at gøre fra i dag. Ikke det, I gerne ville gøre i en perfekt verden.

Når I har ni afsnit, har I et udkast. Få det godkendt af den, der skal godkende det, sæt en dato for næste gennemsyn (seks måneder er fint), og læg det et sted, alle kan finde det.

En indkøbschef i en fødevarevirksomhed, der sammenligner leverandørtilbud med AI, har brug for at vide, at han ikke må uploade leverandørernes prislister til et offentligt AI-værktøj. Det svar finder han under A.7 (rød kategori) og A.9 (aldrig-kolonnen). Kan han finde det på under ét minut, virker politikken.

En politik, der ikke kan bruges af medarbejderne, ender i skuffen. Skriv den til dem, der skal bruge den, ikke til bestyrelsen.

Hvornår certificering alligevel giver mening

Der er tre situationer, hvor et ISO 42001-certifikat faktisk er relevant.

Når en kunde eller et udbud kræver det. Nogle offentlige udbud og større virksomheder begynder at stille krav om dokumenteret AI-governance, og et certifikat er den letteste måde at dokumentere det på.

Når I selv udvikler og sælger AI-systemer. Hvis jeres produkt er AI, er forskellen mellem at have og ikke have et ledelsessystem ret stor, både over for kunder og over for den kommende regulering.

Når I er leverandør til en reguleret sektor. Sundhed, finans og offentlig forvaltning stiller allerede høje krav til dokumentation, og et certifikat kan forenkle dialogen med tilsynsmyndigheder.

For de fleste danske virksomheder med 20 til 300 ansatte, der bruger AI som et værktøj og ikke som et produkt, er certificering overkill. Strukturen er guld værd. Certifikatet er valgfrit.

Hvad der gælder lige nu, og hvad der først gælder senere

AI-omnibussen (forordning (EU) 2026/1744) blev offentliggjort i EU-Tidende 24. juli 2026 og trådte i kraft 27. juli 2026. Den flyttede tidsfristerne for højrisiko: fritstående højrisikosystemer efter bilag III gælder fra 2. december 2027, og højrisikosystemer der er sikkerhedskomponenter i produkter efter bilag I fra 2. august 2028.

Det gælder allerede: kravet om AI-færdigheder i artikel 4 har gældt siden 2. februar 2025 og blev 27. juli 2026 blødt op til et indsatskrav, og siden 2. august 2026 gælder gennemsigtighedskravene i artikel 50 og AI-kontorets tilsyn med udbydere af generelle AI-modeller. De nye forbud mod blandt andet seksualiserede deepfakes gælder fra 2. december 2026.

For jeres prioritering betyder det: start med det, der allerede gælder. A.8 i tabellen ovenfor (information til interessenter) er jeres svar på artikel 50. A.4 (ressourcer, herunder kompetencer) er jeres svar på artikel 4. Resten kan I tage i den takt, det giver mening.

Læs mere om AI-forordningen forklaret for danske virksomheder og vores skabelon til AI-politik.

Skal I have de ni afsnit skrevet færdigt og godkendt, frem for at stå med et udkast, gør vi det til fast pris, se AI-politik til fast pris. I træffer beslutningerne, og vi skriver politikken og retningslinjerne færdige.

Kort opsummering

ISO 42001 er ikke jeres vej til compliance, og I behøver ikke certificeres. Men de ni grupper i Annex A er den bedste gratis disposition, der findes, til en AI-politik. Kopier tabellen, brug eksempelteksterne som udgangspunkt, tilpas dem til jeres egne værktøjer og beslutninger, og sæt en dato for næste gennemsyn. Det er mere, end de fleste organisationer har gjort.

Bruno Poulsen

Bruno Poulsen er partner i Poulsen & Vinding, et konsulenthus der hjælper danske virksomheder og styrelser med at tage generativ AI i brug i den daglige drift. Han har undervist hos Bigum&Co i mere end 10 år og har siden 2024 stået bag AI-implementeringer, foredrag og workshops for blandt andre Lægemiddelstyrelsen, GS1 Danmark, Bornholms Højskole og SMV’er på Bornholm via Business Center Bornholm. Skriver om praktisk anvendelse af AI-værktøjer, prompt engineering og hvordan ledelser kommer i gang mandag morgen kl. 08.00.