Hva ISO 42001 krever av en AI-styrt språkleverandør

ISO/IEC 42001:2023 er den første AI-styringsstandarden som et sertifiseringsorgan faktisk kan revidere deg mot. Utgitt i desember 2023 gjør den "vi bruker AI ansvarlig" om til en rekke bevis som kontrolleres ved sertifiseringen og igjen ved hver årlige oppfølgingsrevisjon. For alle som kjøper oversettelse under EUs AI-forordning (forordning 2024/1689), betyr dette skiftet noe, for språkleverandøren din ligger nå innenfor compliance-perimeteren din, enten du planla det eller ikke.

Her er kortversjonen av hva standarden krever. En AI-styrt språkleverandør må drive et definert styringssystem, bevise at det virker, og legge fram dokumentasjon på forespørsel. Kan ikke leverandøren din vise den dokumentasjonen, blir gapet ditt under en undersøkelse fra en datatilsynsmyndighet eller en vurdering fra et teknisk kontrollorgan.

Hva standarden faktisk krever

ISO 42001 følger Annex SL-strukturen, samme ryggrad som ISO 9001 og ISO 27001, og passer dermed inn i en eksisterende sertifiseringsstabel i stedet for å stå ved siden av. De obligatoriske kravene ligger i kapittel 4 til 10 og kjører etter en Plan-Do-Check-Act-syklus.

Kapittel 4 fastsetter omfanget: hvilke AI-systemer som dekkes, og i hvilken kontekst. Kapittel 5 legger ansvaret på en utpekt ledelse og krever en AI-policy. Kapittel 6 dekker planleggingen, inkludert de to elementene som skiller denne standarden fra et generisk kvalitetssystem: en dokumentert AI-risikovurdering og en konsekvensvurdering av AI-systemet som ser på virkningene for menneskene og organisasjonene som utsettes for resultatet. Kapittel 7 håndterer kompetanse, bevissthet og dokumentert informasjon. Kapittel 8 er den operative kjernen, der risiko- og konsekvensvurderingene anvendes på virkelige systemer. Kapittel 9 krever overvåking, intern revisjon og ledelsens gjennomgåelse. Kapittel 10 lukker sirkelen med korrigerende tiltak og kontinuerlig forbedring.

Sertifiseringen kjører i en treårssyklus med årlige oppfølgingsrevisjoner. Nettopp den takten er poenget. En leverandør kan ikke beholde merket på grunnlag av en engangsvurdering, for en revisor kommer tilbake hvert år for å kontrollere at dokumentasjonen fortsatt er levende.

For en oversettelsesarbeidsflyt treffer dette helt konkrete ting. Hvilken modell som behandlet kildeteksten. Om kundedata ble innenfor egen tenant eller berørte et delt API. Hvem som gjorde den menneskelige revisjonen, og hva vedkommende endret. ISO 42001 krever at dette styres og logges, og ikke overlates til hvem som nå tilfeldigvis jobbet på filen den uken.

Hvordan den passer til EUs AI-forordning

AI-forordningen (forordning 2024/1689) trådte i kraft 1. august 2024 og er det juridiske regelverket. ISO 42001 er operativsystemet som gjør compliance gjentakbar og reviderbar. Koblingen er tett nok til å brukes som sjekkliste.

Artikkel 9 krever et risikostyringssystem. Risikovurderingen fra kapittel 6 i ISO 42001 svarer til det. Artikkel 10 dekker datastyring, som standarden når via sine kontroller av trenings- og inndata. Artikkel 11 krever teknisk dokumentasjon, som samsvarer med standardens krav til dokumentert informasjon. Artikkel 14 pålegger menneskelig tilsyn, som svarer til de operative kontrollene i kapittel 8 og, spesifikt for oversettelse, til et kvalifisert menneske i sløyfen. Artikkel 15 setter forventninger til nøyaktighet og robusthet, fulgt via overvåkingen i kapittel 9. AI-kompetanseplikten i artikkel 4 lander på kravene til kompetanse og bevissthet i kapittel 7.

Dette er ingen tilfeldighet. Standarden ble bygd for å gi organisasjoner en strukturert måte å oppfylle nettopp slike plikter som AI-forordningen nå håndhever.

Hva ustyrt AI hos språkleverandøren din koster

Se for deg gjennomgangen. En datatilsynsmyndighet eller et teknisk kontrollorgan spør hvordan AI berørte det regulerte innholdet ditt, og leverandøren din har ikke noe svar på papiret.

Det finnes ingen revisjonsspor som viser hvilket system som kjørte oversettelsen, eller hvor dataene gikk. Det finnes ingen konsekvensvurdering i saken. Det finnes ikke noe dokumentert trinn for menneskelig tilsyn, så du kan ikke påvise at artikkel 14 ble overholdt. Tilsynsmyndigheten stopper ikke ved døra til leverandøren din. Ansvaret ligger hos deg som idriftsetter, og "leverandøren vår tok seg av AI-en" er ikke et forsvar når leverandøren ikke førte opptegnelser.

Feilmodusen er stille. Innhold går gjennom et AI-forbrukerverktøy, kildetekst havner på en tredjeparts server utenfor enhver tenant du kontrollerer, og seks måneder senere kan ingen rekonstruere forløpet når det blir spurt om. Et sertifisert AI-styringssystem finnes for å gjøre den rekonstruksjonen til rutine i stedet for umulig.

Grensen du bør kjenne

En ISO 42001-sertifisering er ikke automatisk juridisk etterlevelse av AI-forordningen. Enhver som forteller deg at merket alene oppfyller forordningen, selger det for høyt.

Den egne harmoniserte standarden for forordningens fulle krav til kvalitetsstyring, prEN 18286, er fortsatt under utvikling hos CEN-CENELEC JTC 21 og ennå ikke publisert. Inntil den lander, er ISO 42001 det sterkeste sertifiserbare styringsrammeverket som finnes, og den dekker det meste av det forordningen krever, men den er et fundament snarere enn et stempel på juridisk samsvar.

Timing teller også. Regler om forbudte praksiser har vært gjeldende siden februar 2025 og plikter for AI til allmenne formål siden august 2025. Etter "AI-Omnibus"-avtalen i mai 2026 ble kravene til høyrisiko-AI flyttet til desember 2027. Det gir deg handlingsrom, og det er vinduet for å få forsyningskjeden din, oversettelse inkludert, over på et styrt fundament før de harde pliktene biter.

Hvor vi står

Våre oversettelsestjenester for regulerte bransjer kjører på ISO 27001- og ISO 42001-sertifisert, EU-hostet infrastruktur, uten avhengighet av offentlige skyverktøy for kjernebehandlingen. Hvert prosjekt går gjennom vår AI+HUMAN-hybridarbeidsflyt: først leser vi inn kundens Translation Memories og termbaser, vårt proprietære LLM-baserte LangOps System genererer utdata begrenset av kundens terminologi på kundetilpassede open-weight-modeller, og våre sertifiserte fageksperter gjennomgår for teknisk nøyaktighet og regeletterlevelse. Vår QA er tilpasset ISO 17100 og ISO 18587, med AI-styring etter ISO 42001 og EUs AI-forordning (forordning 2024/1689) der det er relevant. Vi betjener kunder innen Life Sciences, juss, finans, forsvar og produksjon på 150+ språk med 3 500+ fagspråklige lingvister. For team som håndterer revisjonssensitivt innhold: kontakt oss for å drøfte deres sikkerhets- og etterlevelseskrav direkte.

For en compliance- eller innkjøpsansvarlig er den stabelen svaret på et konkret spørsmål: når revisoren spør hvordan AI berørte det oversatte innholdet ditt, kan leverandøren din legge fram dokumentasjonen? Et sertifisert AI-styringssystem betyr at svaret er ja, med loggene som bevis.

Still enhver språkleverandør som behandler det regulerte innholdet ditt, ett spørsmål. Er dere ISO 42001-sertifisert, og hva er omfanget? Bærer omfanget unntak, eller er svaret et policydokument i stedet for et sertifikat, da har du funnet gapet før tilsynsmyndigheten gjør det.

Våre ISO 42001-styrte oversettelsestjenester

Våre oversettelsestjenester for regulerte bransjer kjører på ISO 27001- og ISO 42001-sertifisert, EU-hostet infrastruktur, uten avhengighet av offentlige skyverktøy for kjernebehandlingen. Hvert prosjekt går gjennom vår AI+HUMAN-hybridarbeidsflyt: først leser vi inn kundens Translation Memories og termbaser, vårt proprietære LLM-baserte LangOps System genererer utdata begrenset av kundens terminologi på kundetilpassede open-weight-modeller, og våre sertifiserte fageksperter gjennomgår for teknisk nøyaktighet og regeletterlevelse. Vår QA er tilpasset ISO 17100 og ISO 18587, med AI-styring etter ISO 42001 og EUs AI-forordning (forordning 2024/1689) der det er relevant. Vi betjener kunder innen Life Sciences, juss, finans, forsvar og produksjon på 150+ språk med 3 500+ fagspråklige lingvister. For team som håndterer revisjonssensitivt innhold: kontakt oss for å drøfte deres sikkerhets- og etterlevelseskrav direkte.

FAQ

Hva er ISO 42001, og hva sertifiserer det?

ISO/IEC 42001:2023 er den første sertifiserbare standarden for et AI-styringssystem, utgitt i desember 2023. Den sertifiserer at en organisasjon driver et dokumentert, revidert styringssystem for sin AI, som dekker risikovurdering, konsekvensvurdering av AI-systemet, menneskelig tilsyn og kontinuerlig forbedring på tvers av de obligatoriske kapitlene 4 til 10.

Gjør ISO 42001 en språkleverandør i samsvar med EUs AI-forordning?

Nei. ISO 42001 er det sterkeste tilgjengelige sertifiserbare styringsrammeverket og dekker det meste av det AI-forordningen (forordning 2024/1689) krever, men sertifisering er ikke automatisk juridisk etterlevelse. Den egne harmoniserte standarden prEN 18286 er fortsatt under utvikling hos CEN-CENELEC JTC 21. ISO 42001 er et fundament, ikke et juridisk stempel.

Hvorfor påvirker leverandørens AI-styring min etterlevelse?

Som idriftsetter av oversatt regulert innhold bærer du eksponeringen hvis AI har berørt innholdet uten et revisjonsspor. Under en undersøkelse fra en datatilsynsmyndighet eller et teknisk kontrollorgan er "leverandøren vår tok seg av AI-en" ikke et forsvar når leverandøren ikke førte opptegnelser. En sertifisert leverandør kan legge fram loggene.

Hvordan forholder ISO 42001 seg til ISO 27001 og ISO 17100?

De dekker ulike lag. ISO 42001 styrer hvordan AI håndteres, ISO 27001 sikrer informasjonen, og ISO 17100 setter kvalifiserte lingvister og et uavhengig revisjonstrinn bak hver fil. Alle tre deler Annex SL-strukturen, så de integreres i ett styringssystem i stedet for å stå adskilt.

Hva bør jeg spørre en språkleverandør om for å verifisere ISO 42001-statusen?

Spør om de er sertifisert og hva sertifikatets omfang er. Bærer omfanget unntak, eller er svaret et policydokument i stedet for et sertifikat fra et akkreditert organ, er det gapet. Sertifiseringen kjører i en treårssyklus med årlige oppfølgingsrevisjoner, så be om det gjeldende sertifikatet.

Når trer forpliktelsene i EUs AI-forordning i kraft?

Regler om forbudte praksiser har vært gjeldende siden februar 2025 og plikter for AI til allmenne formål siden august 2025. Etter "AI-Omnibus"-avtalen i mai 2026 ble høyrisikokravene flyttet til desember 2027. Det vinduet er tiden for å få forsyningskjeden din, oversettelse inkludert, over på et styrt fundament.