ISO 42001 და ევროკავშირის AI აქტი პროგრამული უზრუნველყოფის ქართველი ექსპორტიორებისთვის

ევროკავშირის ხელოვნური ინტელექტის აქტი (EU AI Act) ვრცელდება ევროკავშირის ბაზარზე განთავსებულ ან ევროკავშირში გამოყენებულ AI სისტემებზე, მიუხედავად იმისა, სად არის შემქმნელი. ქართული კომპანიებისთვის, რომლებიც ევროკავშირის კლიენტებისთვის AI ფუნქციებს ქმნიან, ISO/IEC 42001 ამ სამუშაოს ორგანიზების პრაქტიკული გზაა.

რატომ ეხება ეს ქართულ კომპანიას

AI აქტი (რეგულაცია (EU) 2024/1689) ძალაში 2024 წლის 1 აგვისტოს შევიდა. ის ვრცელდება პროვაიდერებზე, რომლებიც AI სისტემებს ევროკავშირის ბაზარზე განათავსებენ, დამნერგავებზე, რომლებიც AI-ს ევროკავშირში იყენებენ, და ევროკავშირის გარეთ არსებულ პროვაიდერებსა და დამნერგავებზე, თუ სისტემის შედეგი ევროკავშირში გამოიყენება. თბილისური გუნდი, რომელიც გერმანელი კლიენტისთვის კადრების შერჩევის ინსტრუმენტს ქმნის, ან ლიტველი გამსესხებლისთვის საკრედიტო შეფასების მოდელს, კლიენტთან ურთიერთობის გზით აქტის მოქმედების არეალში ხვდება, მიუხედავად იმისა, რომ საქართველო ევროკავშირის წევრი არ არის.

პრაქტიკაში ევროკავშირის კლიენტები AI აქტის მოთხოვნებს ხელშეკრულებებსა და მომწოდებლის კითხვარებში გადაიტანენ. ქართველ პროვაიდერს უნდა შეეძლოს თქმა, რა როლს ასრულებს, რომელ რისკის კატეგორიაში ხვდება სისტემა და რა მტკიცებულებების წარდგენა შეუძლია.

ვადები 2026 წლის ოქტომბრის მდგომარეობით

• 2025 წლის 2 თებერვალი. მოქმედებს გარკვეული AI პრაქტიკების აკრძალვები, მაგალითად სოციალური რეიტინგის მინიჭება და მანიპულაციური ტექნიკები.
• 2025 წლის 2 აგვისტო. მოქმედებს ზოგადი დანიშნულების AI მოდელების პროვაიდერების ვალდებულებები.
• 2026 წლის 2 აგვისტო. მოქმედებს 50-ე მუხლით გათვალისწინებული გამჭვირვალობის ვალდებულებები, მაგალითად ადამიანებისთვის იმის შეტყობინება, რომ ისინი AI სისტემასთან ურთიერთობენ, და AI-ით შექმნილი კონტენტის მონიშვნა. იმ გენერაციულ სისტემებს, რომლებიც ამ თარიღამდე უკვე ბაზარზე იყო, მონიშვნის მოთხოვნის შესასრულებლად 2026 წლის 2 დეკემბრამდე აქვთ დრო.
• 2027 წლის 2 დეკემბერი. მოქმედებას იწყებს III დანართში ჩამოთვლილი მაღალი რისკის სისტემების ვალდებულებები (მაგალითად დასაქმება, საკრედიტო შეფასება, განათლება, აუცილებელ მომსახურებებზე წვდომა). ეს თარიღი 2026 წლის აგვისტოდან გადაიტანა AI-ის შესახებ ციფრულმა ომნიბუსმა, რომელიც ევროკავშირმა 2026 წლის შუა პერიოდში მიიღო.
• 2028 წლის 2 აგვისტო. ვალდებულებები მაღალი რისკის AI-ისთვის, რომელიც I დანართში მითითებული ევროკავშირის პროდუქციის კანონმდებლობით მოცული პროდუქტების უსაფრთხოების კომპონენტია.

მაღალი რისკის სისტემების ვადის გადადება მოსამზადებელი დროა და არა ლოდინის მიზეზი. კლიენტები ტენდერებში უკვე კითხულობენ რისკების კლასიფიკაციასა და AI-ის მართვაზე.

რა არის ISO/IEC 42001

ISO/IEC 42001:2023 ადგენს მოთხოვნებს AI მართვის სისტემისთვის (AIMS). მას იგივე სტრუქტურა აქვს, რაც ISO/IEC 27001-სა და ISO 9001-ს: კონტექსტი, ლიდერობა, დაგეგმვა, მხარდაჭერა, ოპერირება, შესრულების შეფასება და გაუმჯობესება. ამას გარდა, ის მოითხოვს AI რისკების შეფასებას, AI სისტემის ზეგავლენის შეფასებას, რომელიც მოიცავს გავლენას ფიზიკურ პირებსა და საზოგადოებაზე, და A დანართის კონტროლის ზომების ნაკრებს მონაცემების, გამჭვირვალობის, ადამიანური ზედამხედველობის, AI სისტემის სასიცოცხლო ციკლისა და მესამე მხარეებისთვის.

ISO/IEC 42001-ით სერტიფიცირებას აკრედიტებული სასერტიფიკაციო ორგანოები ატარებენ. თავისთავად ის AI აქტთან შესაბამისობას არ ამტკიცებს. მაგრამ ის გაძლევთ მართვად პროცესს, რომელიც ქმნის იმ მტკიცებულებების დიდ ნაწილს, რომლებსაც აქტი ელის.

როგორ ავსებს ორი დოკუმენტი ერთმანეთს

1. ინვენტარი და როლი. ჩამოწერეთ ყველა AI სისტემა და მოდელი, რომელსაც ქმნით ან იყენებთ, და თითოეულისთვის აღნიშნეთ, ხართ პროვაიდერი, დამნერგავი, იმპორტიორი თუ დისტრიბუტორი. AIMS ამ ინვენტარს მოითხოვს; AI აქტის მოთხოვნების შესრულება მასზეა დამოკიდებული.
2. რისკების კლასიფიკაცია. თითოეული სისტემა დაახარისხეთ აქტის კატეგორიების მიხედვით: აკრძალული, მაღალი რისკის, შეზღუდული რისკის გამჭვირვალობის ვალდებულებებით, ან მინიმალური რისკის. დასაბუთება ჩაიწერეთ.
3. ზეგავლენის შეფასება. ISO/IEC 42001-ის ზეგავლენის შეფასება შეიძლება ისე შემუშავდეს, რომ ასევე მოიცვას ის, რასაც აქტი მაღალი რისკის სისტემების რისკების მართვისგან ელის.
4. მონაცემთა მართვა. სასწავლო, ვალიდაციისა და სატესტო მონაცემების წყაროები, ხარისხის შემოწმება და მიკერძოების ტესტირება, დოკუმენტირებული ერთ ადგილას.
5. ტექნიკური დოკუმენტაცია და ჟურნალები. AIMS-ის სასიცოცხლო ციკლის კონტროლის ზომებს შეუძლია შექმნას ის ჩანაწერები, რომლებიც მაღალი რისკის სისტემის პროვაიდერმა უნდა შეინახოს.
6. ადამიანური ზედამხედველობა და გამჭვირვალობა. გამოყენების ინსტრუქციები, მომხმარებლის შეტყობინებები და ზედამხედველობის ზომები, განსაზღვრული თითოეული სისტემისთვის.
7. მომწოდებლების კონტროლი. თუ მესამე მხარის მოდელებზე აგებთ პროდუქტს, AIMS მართავს იმას, რაც მათ შესახებ იცით და რასაც კლიენტებს გადასცემთ.

პერსონალური მონაცემები და უსაფრთხოება

AI პროექტები თითქმის ყოველთვის მოიცავს პერსონალურ მონაცემებს. GDPR ვრცელდება ევროკავშირის მონაცემთა სუბიექტებზე, ხოლო საქართველოს კანონი „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოში დამუშავებაზე, მათ შორის მაღალი რისკის დამუშავების ზეგავლენის შეფასებაზე. მოდელების, მონაცემთა ნაკადებისა და მოდელის მუშაობის ინფრასტრუქტურის უსაფრთხოება, როგორც წესი, საუკეთესოდ იმართება არსებული ISO/IEC 27001 ინფორმაციული უსაფრთხოების მართვის სისტემით, რომელსაც AIMS ემატება. იხილეთ ჩვენი GDPR გვერდი და ISO 27001 IT კომპანიებისთვის.

როგორ გეხმარებათ BALTUM-ი

ვიწყებთ AI ინვენტარით, როლებისა და რისკების კლასიფიკაციით AI აქტის მიხედვით, შემდეგ ვატარებთ ხარვეზების ანალიზს ISO/IEC 42001-ის მიმართ. გეხმარებით AI პოლიტიკის, ზეგავლენის შეფასების მეთოდისა და სასიცოცხლო ციკლის კონტროლის ზომების შექმნაში და მათ ინტეგრირებაში თქვენს ინფორმაციული უსაფრთხოების მართვის სისტემასთან, თუ ის გაქვთ, ვატარებთ ტრენინგს პროდუქტისა და საინჟინრო გუნდებისთვის და აკრედიტებული ორგანოს მიერ სერტიფიცირებამდე ვატარებთ შიდა აუდიტს. გეგმა და ხანგრძლივობა პირველი შეფასების შემდეგ განისაზღვრება. დეტალები იხილეთ ჩვენს ISO 42001 გვერდზე.

ეს სტატია ზოგადი ინფორმაციაა და არა იურიდიული რჩევა. თქვენი AI პროდუქტების განსახილველად გამოიყენეთ ამ საიტის ფორმა ან მოგვწერეთ მისამართზე info@baltum.org.

ხშირად დასმული კითხვები

ვრცელდება თუ არა ევროკავშირის AI აქტი საქართველოში რეგისტრირებულ კომპანიაზე?

შეიძლება გავრცელდეს. აქტი ვრცელდება პროვაიდერებზე, რომლებიც AI სისტემებს ევროკავშირის ბაზარზე განათავსებენ, და ევროკავშირის გარეთ არსებულ პროვაიდერებზე, რომელთა სისტემის შედეგი ევროკავშირში გამოიყენება, მიუხედავად კომპანიის რეგისტრაციის ადგილისა.

საკმარისია თუ არა ISO 42001 სერტიფიცირება AI აქტთან შესაბამისობისთვის?

არა. ISO/IEC 42001 სერტიფიცირება აჩვენებს, რომ თქვენ მართავთ AI მართვის სისტემას, რომელიც აუდიტს გადის. AI აქტთან შესაბამისობას, განსაკუთრებით მაღალი რისკის სისტემებისთვის, საკუთარი სპეციფიკური მოთხოვნები აქვს, თუმცა AIMS მტკიცებულებების დიდ ნაწილს ქმნის.

სხვა სტატიები BALTUM-ის ბლოგში