Система управління ШІ
Впровадження ISO 42001
Впроваджуємо систему управління ШІ, яку можуть перевірити клієнти, з опорою на ваші наявні контролі ISO 27001.
ЧОМУ ЦЕ ВАЖЛИВО
ПИТАННЯ, ЯКЕ СТАВЛЯТЬ ПОКУПЦІ
ISO/IEC 42001 відповідає на запитання, яке корпоративні клієнти вже ставлять під час закупівель, а регулятори — дедалі частіше: не чи працює ваш ШІ, а чи керує ним хтось узагалі.
ЗАКОН І СТАНДАРТ
Якщо ви створюєте продукти на основі ШІ, застосовуєте ШІ в регульованих процесах або продаєте тим, хто це робить, саме ця структура перетворює управління ШІ з набору намірів на те, що може перевірити аудитор. Стандарт побудований за тією самою структурою системи управління, що й ISO 27001, і це важливо на практиці: якщо у вас уже працює система управління інформаційною безпекою (СУІБ), ви інтегруєте, а не починаєте з нуля.
ISO 42001 не замінює AI Act: сертифікат сам по собі не означає відповідності закону.
EU AI ACT
Закон. Діє незалежно від того, чи є у вас система управління, а ваші зобов’язання залежать від вашої ролі та від категорії ризику кожної системи ШІ.
ISO/IEC 42001
Добровільний стандарт, за яким можна пройти сертифікацію. Він дає ту робочу основу, наявність якої закон передбачає: управління, задокументовані рішення щодо ризиків, механізми людського нагляду та записи. Побудуйте систему управління один раз, і вона задовольнить і регулятора, і корпоративного клієнта, який просить підтвердження. Самі юридичні зобов’язання розглянуто на нашій сторінці про відповідність EU AI Act.
ЧОМУ САМЕ МИ
Ми знаємо управління ШІ не з чужих слів. Ми експлуатуємо власну платформу ШІ в робочому середовищі, і людський нагляд закладено в те, як вона працює: експерт може скасувати або зупинити будь-яку дію, система пояснює, що збирається зробити, ще до затвердження, дії класифікуються за ризиком із контрольними точками затвердження, а все записується в журнал аудиту. Для вас це означає дві речі. Управління, яке ми проєктуємо, не лише задокументоване, а й випробуване в роботі. А коли ми кажемо, що якийсь контроль недоцільний, то лише тому, що самі намагалися його запровадити.
КОМУ ЦЕ АКТУАЛЬНО
Компанії, які продають корпоративним клієнтам продукти на основі ШІ, де в опитувальниках із безпеки тепер є питання про управління ШІ. Організації, що використовують ШІ в регульованих рішеннях: кредитування, найм, охорона здоров’я, страхування. Постачальники, чиї клієнти з ЄС перекладають зобов’язання за AI Act на ланцюг постачання. І організації, які не можуть сказати, які системи ШІ використовуються в їхньому бізнесі.
Що ми робимо
Інвентаризація систем ШІ
З’ясовуємо, що реально використовується в організації, зокрема функції ШІ, увімкнені всередині наявних SaaS-продуктів. Цей перелік майже завжди довший, ніж очікують, і від нього залежить усе подальше.
Аналіз прогалин
Порівнюємо вашу практику з ISO/IEC 42001 і прив’язуємо її до наявних контролів ISO 27001 (якщо вони є), щоб те, що збігається, використати повторно, а не будувати заново.
Впровадження
Політика, ролі, методологія оцінки ризиків і впливу, контролі життєвого циклу, механізми нагляду та записи, які це підтверджують.
Внутрішній аудит, перевірка готовності та супровід сертифікації
Разом із вами проводимо внутрішній аудит і аналіз з боку керівництва до приходу органу сертифікації, супроводжуємо під час аудиту й допомагаємо закрити зауваження.
Аналіз прогалин зіставляє ваші системи ШІ та наявні контролі ISO 27001 з вимогами ISO/IEC 42001 і показує, що ще треба побудувати.
Що вимагає ISO 42001?
Контекст і ролі: розуміння того, яке місце посідає ШІ у вашій організації, хто за нього відповідає і яку роль ви обіймаєте щодо кожної системи: чи ви її розробляєте, чи постачаєте, чи користуєтеся чужою. Оцінка ризиків і оцінка впливу ШІ: це дві різні процедури. Оцінка ризиків розглядає загрози для вашої організації. Оцінка впливу дивиться назовні: на наслідки для людей, яких зачіпають рішення системи. Більшість організацій другої ніколи не проводили, а саме вона найбільше цікавить регуляторів. Контролі життєвого циклу ШІ: якість і походження даних, розробка та валідація моделі, людський нагляд, прозорість для користувачів, моніторинг в експлуатації та обробка інцидентів, коли система поводиться так, як ніхто не передбачав. Експлуатація й вдосконалення: внутрішній аудит, аналіз з боку керівництва та коригувальні дії — за тим самим циклом, що й у будь-якої іншої системи управління. Сертифікація — це двоетапний аудит, після якого проводяться наглядові аудити, а сертифікат видає акредитований орган із сертифікації, а не ми.
Чи варто впроваджувати ISO 42001, якщо ми лише користуємося ШІ, а не створюємо його?
Часто так, але з іншою сферою застосування. Якщо ви лише впроваджуєте чужі системи ШІ, ваша система управління менша й зосереджена на виборі, нагляді, моніторингу та обробці інцидентів, а не на розробці моделей. Поштовх зазвичай комерційний: клієнт чи партнер питає, як ви керуєте ШІ у своєму сервісі.
У нас уже є ISO 27001. Скільки додаткової роботи це означає?
Значно менше, ніж починати з нуля. Вимоги до системи управління в обох стандартах спільні, тож структура, процес внутрішнього аудиту й аналіз з боку керівництва переносяться. Справді нова робота — це інвентаризація систем ШІ, методологія оцінки впливу та контролі життєвого циклу.
Чи можна сертифікуватися до того, як почнуть діяти вимоги AI Act?
Так, і така послідовність зазвичай обходиться дешевше. Спершу побудована система управління дає структуру, у яку потім вписуються юридичні зобов’язання, і не доводиться збирати документацію двічі в умовах браку часу.
Скільки це триває?
Залежить від кількості систем ШІ у сфері застосування, від того, чи ви розробляєте ШІ, чи впроваджуєте чужий, і чи вже є СУІБ. Ми оцінюємо це після розмови про обсяг робіт і письмово підтверджуємо сферу, строки й вартість до початку роботи.
НАШІ СЕРТИФІКАТИ
ПОРТФОЛІО КОМАНДИ
З ЧОГО ПОЧАТИ?
Ви можете копіювати матеріали сайту, лише переконавшись у безпеці своїх сервісів.
Цей сайт захищено reCAPTCHA, на нього поширюються Політика конфіденційності та Умови використання Google.