ISO/IEC 42001 для ІТ-компаній: що перевіряють у продуктах зі штучним інтелектом

Ще рік тому замовники питали українських розробників про ISO/IEC 27001 і захист даних. Тепер у тендерних анкетах з'являється новий блок: як ви керуєте системами штучного інтелекту. Відповісти на нього допомагає стандарт ISO/IEC 42001.

ISO/IEC 42001:2023 описує систему управління ШІ. Він не вказує, які моделі використовувати, а вимагає, щоб компанія знала, де саме в її продуктах працює ШІ, які ризики це створює і хто за них відповідає. Структура та сама, що в ISO/IEC 27001, тому компаніям з чинним сертифікатом інформаційної безпеки перехід дається легше.

• Перелік систем ШІ: власні моделі, сторонні сервіси, функції в продуктах клієнтів.
• Оцінку впливу на людей: кого стосуються рішення моделі і що буде при помилці.
• Дані для навчання: звідки взяті, чи є права на використання, як перевіряють якість.
• Нагляд людини: де модель лише радить, а рішення ухвалює працівник.
• Постачальників ШІ: умови договорів, використання даних клієнта для навчання чужих моделей.

Регламент ЄС про штучний інтелект набирає чинності поетапно, а вимоги до систем високого ризику після змін 2025 року перенесено на 2027-2028 роки. Сертифікат ISO/IEC 42001 не замінює відповідність закону, але дає готову систему процесів, на яку спираються при підготовці технічної документації і оцінки ризиків.

Найпрактичніший старт: інвентаризація ШІ в компанії і коротка оцінка ризиків по кожній системі. Далі політика використання ШІ, ролі, навчання команди і внутрішній аудит. Детальніше про вимоги і етапи описано на сторінці сертифікація ISO/IEC 42001.

На першій оцінці найчастіше виявляється, що ніхто не веде перелік моделей, а в договорах із постачальниками ШІ немає пунктів про використання даних. Друга проблема: модель оновили, але ніхто не перевірив, чи не змінилась якість відповідей.

Ще одна поширена знахідка: відповідальність за ШІ розмита між продуктом, розробкою і юристами. Стандарт вимагає назвати власника кожної системи і описати, хто ухвалює рішення про її запуск і зміни.

Добра новина для тих, хто вже пройшов ISO/IEC 27001: оцінка ризиків, внутрішній аудит, аналіз з боку керівництва і керування документами працюють за тими самими правилами, тож їх просто розширюють на системи ШІ.

Для ІТ-компаній, які продають у ЄС, це вже питання не моди, а доступу до контрактів: великі замовники хочуть бачити, що постачальник контролює свої алгоритми так само, як і безпеку даних.