Czym jest ISO/IEC 42001?
ISO/IEC 42001:2023 to międzynarodowa norma opublikowana wspólnie przez ISO i IEC, określająca wymagania dotyczące ustanowienia, wdrożenia, utrzymania i ciągłego doskonalenia systemu zarządzania sztuczną inteligencją. Jest zbudowana według tej samej zharmonizowanej struktury co ISO 27001 czy ISO 9001 (rozdziały 4-10: kontekst, przywództwo, planowanie, wsparcie, działania operacyjne, ocena wyników, doskonalenie), dzięki czemu organizacje posiadające już system zarządzania mogą rozszerzyć go o obszar AI zamiast budować wszystko od zera.
Obok wymagań systemowych norma zawiera Załącznik A z kontrolami dotyczącymi specyfiki AI, między innymi politykę AI, ocenę skutków systemów AI dla osób i społeczeństwa, zarządzanie cyklem życia systemów AI, jakość i pochodzenie danych, przejrzystość i wyjaśnialność, nadzór ludzki oraz relacje z dostawcami komponentów AI. Wyróżnikiem normy jest wymóg oceny skutków systemu AI. Analiza obejmuje nie tylko ryzyko dla organizacji, ale też konsekwencje dla ludzi, których system dotyczy.
Kogo dotyczy?
Norma jest przeznaczona dla każdej organizacji, która rozwija, dostarcza lub wykorzystuje systemy AI, niezależnie od wielkości i branży. Dotyczy to zarówno firm budujących własne modele i produkty AI, jak i organizacji, które „tylko" korzystają z gotowych rozwiązań: modeli dostępnych przez API, asystentów AI w pracy biurowej, systemów scoringowych czy rekomendacyjnych. W obu rolach organizacja odpowiada za skutki działania AI i potrzebuje nadzoru nad tym obszarem.
W praktyce pierwszymi odbiorcami są firmy technologiczne i SaaS wdrażające funkcje AI w produktach, dostawcy usług dla sektora finansowego, medycznego i publicznego (gdzie klienci pytają o ład AI w kwestionariuszach dostawców) oraz organizacje przygotowujące się do wymagań unijnego AI Act. Certyfikat ISO/IEC 42001 staje się dla ładu AI tym, czym ISO 27001 jest dla bezpieczeństwa informacji: rozpoznawalnym na rynku dowodem, że temat jest zarządzany systemowo, a nie deklaratywnie.
Relacja do unijnego AI Act
Unijny akt o sztucznej inteligencji (rozporządzenie (UE) 2024/1689, AI Act) to pierwsze na świecie kompleksowe prawo regulujące AI. Wszedł w życie 1 sierpnia 2024 roku i jest stosowany etapami: najpierw zakazy niedopuszczalnych praktyk i obowiązki w zakresie kompetencji AI, następnie wymogi dla modeli AI ogólnego przeznaczenia, a docelowo pełne obowiązki dla systemów wysokiego ryzyka: między innymi system zarządzania ryzykiem, zarządzanie danymi, dokumentacja techniczna, rejestrowanie zdarzeń, nadzór ludzki i system zarządzania jakością u dostawcy.
ISO/IEC 42001 i AI Act to nie to samo: norma jest dobrowolna i certyfikowalna, rozporządzenie jest prawem z karami. Certyfikat ISO/IEC 42001 nie daje automatycznego domniemania zgodności z AI Act. Temu służyć będą normy zharmonizowane opracowywane na zlecenie Komisji Europejskiej. Jest jednak między nimi duża zbieżność merytoryczna: wymagane przez AI Act elementy (zarządzanie ryzykiem, ład danych, dokumentacja, nadzór ludzki, monitorowanie po wdrożeniu) mają swoje odpowiedniki w wymaganiach i kontrolach ISO/IEC 42001. Wdrożenie normy porządkuje więc dokładnie te obszary, które trzeba będzie wykazać regulatorowi. To dziś najlepiej udokumentowana ścieżka przygotowania do AI Act.
Jak wygląda certyfikacja?
Certyfikację prowadzą akredytowane jednostki certyfikujące według tego samego modelu co przy ISO 27001: dwuetapowy audyt certyfikacyjny (Stage 1: przegląd dokumentacji i gotowości, Stage 2: audyt wdrożenia na próbkach i w rozmowach), certyfikat ważny 3 lata, coroczne audyty nadzoru i recertyfikacja przed końcem cyklu. Ponieważ norma jest młoda, oferta jednostek dopiero się rozwija, więc warto wcześnie zapytać wybraną jednostkę o dostępność audytorów kompetentnych w obszarze AI.
Organizacje posiadające już certyfikowany system ISO 27001 lub ISO 9001 mają znaczną przewagę na starcie: wspólne elementy (kontekst, przywództwo, audyty wewnętrzne, przegląd zarządzania, nadzór nad dokumentacją, zarządzanie dostawcami) są już wdrożone i wystarczy rozszerzyć je o specyfikę AI: politykę AI, rejestr systemów AI, oceny skutków, kontrole cyklu życia i nadzór ludzki. Dla takich organizacji wdrożenie ISO/IEC 42001 to raczej rozbudowa istniejącego systemu niż nowy projekt.
Jak pomaga Guardiso?
Guardiso prowadzi Cię przez budowę systemu zarządzania AI od inwentaryzacji systemów AI po dowody dla audytora. Łączy też pracę nad ISO/IEC 42001 z pozostałymi standardami, które już prowadzisz.
- Pełny katalog wymagań i kontroli AI tworzony automatycznie po włączeniu standardu, z opisami, statusami wdrożenia i przypisanymi właścicielami.
- Darmowa samoocena dojrzałości zarządzania AI. W kilkanaście minut pokazuje, które obszary (polityka AI, oceny skutków, cykl życia, dane, nadzór ludzki) wymagają pracy.
- Polityka AI i dokumentacja systemu generowane z szablonów i dopasowywane do rzeczywistych zastosowań AI w organizacji, z wersjonowaniem i zatwierdzaniem przez kierownictwo.
- Rejestr ryzyk obejmujący ryzyka specyficzne dla AI (stronniczość, dryf modelu, nadmierne zaufanie), z planami postępowania i śledzeniem ryzyka rezydualnego.
- Zbieranie dowodów w jednym miejscu: zapisy ocen skutków, wyniki walidacji modeli, rejestry incydentów AI i zadania cykliczne pilnujące przeglądów.
- Mapowanie krzyżowe na ISO 27001 i EU AI Act: wspólne wymagania zaliczają się nawzajem, a luki widać od razu na jednym pulpicie.
- Portal audytora: kontrolowany dostęp do dokumentacji i dowodów AIMS bez wysyłania plików mailem.