Czym jest ISO/IEC 42001?
Opublikowany w grudniu 2023 roku, ISO/IEC 42001 to standard systemu zarządzania zgodny ze Strukturą Zharmonizowaną (HS) — tą samą architekturą, która jest wykorzystywana przez ISO 27001, ISO 9001 i inne standardy systemów zarządzania. Dzięki temu jest szczególnie dobrze przystosowany do integracji z istniejącymi systemami zarządzania.
Standard określa wymagania dotyczące ustanowienia, wdrożenia, utrzymania i ciągłego doskonalenia systemu zarządzania sztuczną inteligencją (AI Management System, AIMS). Ma zastosowanie do każdej organizacji, która rozwija, dostarcza lub wykorzystuje systemy oparte na AI, niezależnie od wielkości czy sektora.
Dlaczego governance AI jest pilne
Krajobraz regulacyjny AI ewoluuje w szybkim tempie. Europejski AI Act wszedł w życie w sierpniu 2024 roku i nakłada konkretne obowiązki na systemy AI wysokiego ryzyka. Certyfikacja ISO 42001 nie gwarantuje automatycznie zgodności z AI Act, ale zapewnia ustrukturyzowane ramy obejmujące wiele kluczowych wymagań, w tym zarządzanie ryzykiem, dokumentację techniczną, przejrzystość i nadzór ludzki.
Poza zgodnością regulacyjną, organizacje odpowiedzialnie wdrażające AI zyskują znaczącą przewagę konkurencyjną. Klienci, inwestorzy i partnerzy biznesowi coraz częściej poszukują gwarancji, że AI jest wykorzystywana w sposób etyczny i bezpieczny.
Struktura standardu
ISO 42001 stosuje klauzule 4-10 Struktury Zharmonizowanej, z wymaganiami specyficznymi dla AI w każdej klauzuli. Ponadto zawiera cztery załączniki normatywne:
- Załącznik A — Cele i kontrole referencyjne: Definiuje kontrole, które organizacje muszą rozważyć, zorganizowane tematycznie: polityki AI, zarządzanie ryzykiem AI, inżynieria danych, wydajność systemów AI i wpływ na zainteresowane strony.
- Załącznik B — Wytyczne dotyczące wdrożenia: Dostarcza praktycznych wskazówek do wdrożenia kontroli z Załącznika A.
- Załącznik C — Cele i źródła ryzyka AI: Wymienia potencjalne źródła ryzyka specyficzne dla AI.
- Załącznik D — Stosowanie w domenach i sektorach: Zawiera rozważania specyficzne dla różnych kontekstów branżowych.
Ocena ryzyka AI
Ocena ryzyka w ISO 42001 wykracza poza tradycyjne ryzyka bezpieczeństwa informacji. Organizacje muszą identyfikować i oceniać ryzyka specyficzne dla AI:
- Uprzedzenia i dyskryminacja: ryzyko, że systemy AI będą produkować dyskryminujące wyniki oparte na cechach chronionych.
- Przejrzystość i wyjaśnialność: ryzyko, że decyzje AI nie będą mogły być wyjaśnione w zrozumiały sposób.
- Bezpieczeństwo i odporność: ryzyko, że systemy AI będą podatne na ataki adwersaryjne lub będą produkować zawodne wyniki w nieprzewidzianych warunkach.
- Prywatność: ryzyko naruszenia prywatności przy przetwarzaniu danych używanych do trenowania modeli AI.
- Wpływ społeczny: ryzyko szerszych negatywnych konsekwencji dla zatrudnienia, autonomii jednostki i praw podstawowych.
ISO 42001 nie zakazuje stosowania określonych technologii AI. Wymaga natomiast, aby organizacje rozumiały ryzyka swoich systemów AI i wdrażały proporcjonalne kontrole w celu ich zarządzania.
Integracja z ISO 27001
Dla organizacji już certyfikowanych według ISO 27001, wdrożenie ISO 42001 jest znacznie prostsze. Oba standardy dzielą Strukturę Zharmonizowaną, co oznacza, że klauzule systemu zarządzania mogą być obsługiwane przez zintegrowany system. Kontrole specyficzne dla AI z Załącznika A ISO 42001 uzupełniają kontrole bezpieczeństwa z Załącznika A ISO 27001.
Ścieżka do certyfikacji
Proces certyfikacji ISO 42001 przebiega analogicznie do innych standardów systemów zarządzania: analiza luk, określenie zakresu, wdrożenie kontroli, audyt wewnętrzny, przegląd zarządu i dwuetapowy audyt certyfikacyjny. Sieć BALTUM wspiera organizacje na każdym etapie.