ISO/IEC 42001: kaj morajo vedeti organizacije z umetno inteligenco

Kaj je ISO/IEC 42001

ISO/IEC 42001:2023 je mednarodni standard, ki določa zahteve za vzpostavitev, izvajanje, vzdrževanje in stalno izboljševanje sistema upravljanja umetne inteligence (angl. AI management system, AIMS). Ne ureja posameznega algoritma ali orodja, ampak način, kako organizacija z AI upravlja: kdo odloča, katera tveganja so sprejemljiva in kako se to dokazuje.

Zgrajen je po enaki visokonivojski strukturi kot drugi standardi sistemov vodenja, na primer ISO/IEC 27001. Organizacije, ki že imajo sistem upravljanja informacijske varnosti, zato veliko procesov (vodstveni pregled, notranja presoja, korektivni ukrepi) že poznajo.

Komu je namenjen

Standard ni samo za razvijalce modelov. Zanima predvsem tri vrste organizacij:

• ponudnike, ki AI razvijajo ali vgrajujejo v svoje izdelke in storitve,
• organizacije, ki AI orodja uvajajo v lastne procese (zaposlovanje, ocena tveganj, obravnava dokumentov, podpora strankam),
• organizacije, ki jih stranke ali partnerji sprašujejo, kako urejajo uporabo AI.

Če zaposleni že uporabljajo generativna orodja, organizacija v praksi že upravlja AI, le da tega pogosto ne počne načrtno.

Kaj standard v praksi pričakuje

Brez prepisovanja besedila standarda se zahteve lahko strnejo v nekaj področij:

1. Kontekst in obseg: kateri AI sistemi so vključeni, kdo so zainteresirane strani, kaj so njihova pričakovanja.
2. Vodstvo in politika: potrjena politika uporabe AI, jasne vloge in odgovornosti.
3. Tveganja in vplivi: ocena tveganj ter ocena vplivov AI sistemov na posameznike in družbo, ne samo na organizacijo.
4. Življenjski cikel: pravila za zasnovo, razvoj, nabavo, uvedbo, spremljanje in umik sistema.
5. Podatki: izvor, kakovost in ustreznost podatkov, ki jih sistem uporablja.
6. Dobavitelji in tretje osebe: nadzor nad zunanjimi modeli in storitvami.
7. Vrednotenje in izboljševanje: spremljanje, notranja presoja, vodstveni pregled, korektivni ukrepi.

Priloga A standarda vsebuje nabor kontrol, organizacija pa izbere tiste, ki so pri njenem tveganju primerne, in izbiro utemelji.

ISO/IEC 42001 in EU AI Act

To sta dva različna dokumenta. ISO/IEC 42001 je prostovoljen standard sistema upravljanja. Uredba (EU) 2024/1689 (AI Act) je zavezujoča zakonodaja, katere obveznosti so odvisne od vaše vloge (ponudnik, uvajalec …) in od tveganosti sistema.

Prekrivanje je dejansko: upravljanje tveganj, dokumentacija, človeški nadzor in spremljanje so teme obeh. Zato dobro vpeljan sistem po 42001 olajša pripravo na zahteve uredbe. Ni pa dokaz skladnosti z njo.

Roki uredbe so se spreminjali. Uredba (EU) 2026/1744 (Digital Omnibus on AI) je za visoko tvegane sisteme iz Priloge III premaknila začetek uporabe na 2. december 2027, za sisteme iz Priloge I na 2. avgust 2028. Aktualne roke vedno preverite v veljavnem besedilu na EUR-Lex.

Kako se pripraviti

Razumno zaporedje je:

1. Popis AI sistemov: kaj se uporablja, kdo je lastnik, katere podatke obdeluje, ali gre za lastno rešitev ali storitev dobavitelja.
2. Hitra ocena stanja: primerjava obstoječih politik in praks z zahtevami standarda. Za začetek je primerna brezplačna samoocena, za podrobnejši pregled pa GAP analiza.
3. Obseg in politika: odločitev, katere sisteme zajame AIMS, in potrditev politike na ravni vodstva.
4. Tveganja in kontrole: ocena tveganj, izbira kontrol in zapis utemeljitev.
5. Dokazila in usposabljanje: zapisi o odločitvah, preizkusih, nadzoru in izobraževanju zaposlenih.
6. Notranja presoja: preverjanje, ali sistem res deluje, še preden ga ocenjuje kdo drug.

Notranja presoja in certifikacija

Standard 42001, tako kot drugi standardi sistemov vodenja, zahteva notranjo presojo v načrtovanih presledkih. Cilj ni certifikat, ampak ugotoviti, ali sistem deluje in kje so vrzeli. Notranja presoja ni certifikacijska presoja, mi pa ne izdajamo certifikatov. Certifikat lahko izda samo akreditiran certifikacijski organ, in sicer za organizacije, ki se zanj odločijo.

Več o pristopu je na straneh notranja presoja ISO/IEC 42001 in priprava na ISO/IEC 42001. Za razmejitev od zakonodaje glejte EU AI Act.

Naslednji korak

Če želite oceniti, kje je vaša organizacija pri upravljanju AI, začnite s samooceno ali nam pošljite povpraševanje. Obseg dela in izvajalca dogovorimo individualno.