ISO 42001:2023
ISO/IEC 42001:2023 – Система за управление на изкуствения интелект
ISO/IEC 42001:2023 е международен стандарт за създаване, внедряване, поддържане и непрекъснато подобряване на система за управление на изкуствения интелект – Artificial Intelligence Management System (AIMS).
Стандартът е разработен за организации, които разработват, предоставят или използват системи с изкуствен интелект и желаят да управляват свързаните с тях рискове, въздействия и отговорности по структуриран и доказуем начин.
Използването на AI вече не е само технологичен въпрос. Все повече организации използват изкуствен интелект при разработването на продукти и услуги, анализа на данни, автоматизирането на процеси, обслужването на клиенти, киберсигурността, маркетинга и подпомагането на управленски решения. Това създава значителни възможности, но едновременно с тях възникват нови рискове, свързани с качеството на данните, прозрачността, човешкия контрол, защитата на информацията, поверителността и отговорността за резултатите, генерирани от AI.
ISO/IEC 42001 предоставя управленска рамка, чрез която тези въпроси могат да бъдат разглеждани систематично като част от цялостното корпоративно управление.
Какво представлява ISO/IEC 42001?
ISO/IEC 42001 е първият международен стандарт, който определя изисквания към цялостна система за управление на изкуствения интелект.
Основната идея на стандарта е AI системите да не бъдат управлявани изолирано само от IT или development екипите. Организацията трябва да определи ясна структура за управление, роли и отговорности, процеси за оценка на риска, правила за разработване и използване на AI и подход за наблюдение на резултатите и въздействието.
Подобно на ISO 9001 и ISO/IEC 27001, стандартът следва управленски подход, базиран на планиране, изпълнение, оценяване и непрекъснато подобрение.
На практика AIMS трябва да позволява на организацията да отговори на няколко основни въпроса:
- Какви AI системи разработваме или използваме?
- За какви цели ги използваме?
- Какви рискове могат да възникнат?
- Кои хора или организации могат да бъдат засегнати?
- Кой носи отговорност за тяхното управление?
- Как наблюдаваме дали AI системата продължава да работи по очаквания начин?
Точно тази управленска логика е в основата на ISO/IEC 42001.
За кои организации е подходящ ISO 42001?
ISO/IEC 42001 е приложим за организации независимо от техния размер или сектор.
Особено релевантен е за технологични и софтуерни компании, които разработват AI или Machine Learning решения, SaaS доставчици, cloud и IT компании, както и организации, които интегрират изкуствен интелект в своите продукти или услуги.
Но стандартът не е предназначен само за разработчици.
Все повече организации използват AI инструменти на външни доставчици – например Generative AI, аналитични платформи, автоматизирани системи за обработване на информация или AI-базирани решения за подпомагане на вземането на решения.
В тези случаи организацията отново трябва да управлява рисковете, свързани с използваните данни, сигурността, достъпа до информация, качеството на резултатите и зависимостта от външния доставчик.
Поради това ISO 42001 може да бъде особено подходящ за:
- IT, software и SaaS компании;
- разработчици на AI и Machine Learning решения;
- финансови и FinTech организации;
- телекомуникационни компании;
- здравни организации;
- производствени предприятия;
- публични институции;
- HR и recruitment компании;
- организации, използващи AI за анализ, автоматизация или подпомагане на управленски решения.
Какви проблеми решава ISO 42001?
Една от основните трудности при използването на AI е, че много организации го внедряват технологично, но без ясно определена управленска рамка.
Възможно е различни екипи да използват AI инструменти без общи правила, без формална оценка на риска или без ясно определение кой носи отговорност при възникване на проблем.
Това може да доведе до ситуации, при които чувствителна информация се обработва в неподходящи AI системи, резултатите на даден модел не се проверяват достатъчно, липсва човешки надзор или организацията не може да обясни как е взето конкретно решение.
ISO/IEC 42001 цели именно да въведе систематичен подход към тези въпроси.
Организацията определя кои AI системи използва, оценява техните рискове и въздействия, въвежда подходящи контролни механизми и периодично проверява дали те продължават да бъдат ефективни.
Основни области на ISO/IEC 42001
AI Governance и отговорности
Една от първите задачи при внедряването на AIMS е да бъде изяснено кой носи отговорност за използването на AI.
Това включва не само IT или development екипа, но и висшето ръководство, собствениците на бизнес процеси, информационната сигурност, privacy функциите, юридическите екипи и други заинтересовани лица.
Организацията трябва да определи правила за одобряване на AI системи, отговорности при тяхното използване и механизми за ескалация при проблеми или инциденти.
Управление на AI риска
Управлението на риска е един от ключовите елементи на ISO 42001.
Организацията трябва да идентифицира рисковете, свързани с разработваните или използваните AI системи, да ги оцени и да определи подходящи мерки за тяхното управление.
В зависимост от конкретната AI система могат да бъдат разглеждани рискове като:
- неточни или подвеждащи резултати;
- bias или дискриминационни решения;
- използване на неподходящи или некачествени данни;
- изтичане или неправомерно използване на информация;
- липса на прозрачност;
- недостатъчен човешки контрол;
- зависимост от външни доставчици;
- нарушение на договорни или законови изисквания.
Важно е оценката на риска да бъде свързана с реалното предназначение и контекст на AI системата, а не да бъде формален документ.
AI Impact Assessment
ISO 42001 поставя особено внимание върху оценяването на потенциалното въздействие на AI системите.
Тук организацията трябва да разгледа не само техническия риск, а и начина, по който AI може да повлияе върху хора, клиенти, служители, партньори или други заинтересовани страни.
Например при AI система, която подпомага вземане на решения относно клиенти или служители, може да бъде необходимо да се анализира възможността от систематично пристрастие или неблагоприятно въздействие върху определени групи.
Това прави ISO 42001 значително по-широк стандарт от чисто техническите рамки за управление на AI.
Управление на жизнения цикъл на AI
AI системите не са статични.
Моделите могат да бъдат обновявани, данните могат да се променят, могат да се появят нови уязвимости или различно поведение при реалното използване.
Затова организацията трябва да разглежда AI през целия му жизнен цикъл – от първоначалното проектиране и избор на технология до разработването, тестването, внедряването, наблюдението, промяната и евентуалното извеждане от употреба.
Този подход позволява рисковете да се управляват не еднократно, а постоянно.
Управление на данните
Качеството и начинът, по който се използват данните, са фундаментални за надеждността на AI системите.
При внедряването на ISO 42001 организацията трябва да разгледа произхода, качеството, точността, представителността и управлението на данните, използвани при разработване или функциониране на AI.
Тук има естествена връзка с информационната сигурност и защитата на личните данни, поради което ISO 42001 много често се интегрира с ISO/IEC 27001 и ISO/IEC 27701.
ISO 42001 и EU AI Act
ISO/IEC 42001 и европейският AI Act имат сходни теми, но не трябва да бъдат смесвани.
ISO 42001 е международен стандарт за система за управление, докато AI Act е законодателна рамка на Европейския съюз.
Прилагането на ISO 42001 може да помогне на организацията да изгради структурирани процеси за AI governance, управление на риска, документация, човешки надзор и мониторинг – области, които могат да бъдат релевантни и при изпълнението на регулаторните изисквания.
Важно е обаче да се подчертае, че сертификатът по ISO/IEC 42001 не означава автоматично пълно съответствие с EU AI Act.
За всяка организация трябва отделно да бъде определено каква е нейната роля, какви AI системи разработва или използва и какви конкретни законови задължения са приложими.
ISO 42001 и ISO 27001
ISO/IEC 42001 и ISO/IEC 27001 имат много добра възможност за интеграция.
ISO/IEC 27001 се фокусира основно върху управлението на рисковете за информационната сигурност, докато ISO/IEC 42001 разглежда по-широк спектър от рискове и въздействия, характерни за изкуствения интелект.
При организация, която вече разполага със сертифицирана ISMS, могат да бъдат използвани много от съществуващите управленски механизми – управление на риска, контрол на документирана информация, управление на доставчици, инциденти, вътрешни одити и преглед от ръководството.
Това може значително да улесни внедряването на ISO 42001.