Система менеджмента искусственного интеллекта ISO/IEC 42001 в Грузии

Что такое ISO/IEC 42001

ISO/IEC 42001:2023 это первый международный стандарт системы менеджмента в области искусственного интеллекта. Он применим к организациям, которые разрабатывают, предоставляют или используют системы ИИ. Стандарт требует определить политику и роли в области ИИ, оценивать риски ИИ и воздействие систем ИИ на людей и общество, управлять жизненным циклом системы ИИ от проектирования до вывода из эксплуатации, управлять качеством данных и поставщиками и контролировать системы в эксплуатации. В приложении А перечислены меры управления, а в приложении В приведены рекомендации по внедрению.

Почему это важно для грузинских компаний

В Тбилиси и Батуми растёт сектор разработки программного обеспечения и аутсорсинга, и многие компании обслуживают клиентов в ЕС, Великобритании и США. Эти клиенты теперь включают вопросы об ИИ в проверку поставщиков.

Регламент ЕС об искусственном интеллекте вступил в силу в августе 2024 года и применяется поэтапно: запрещённые практики с февраля 2025 года, обязательства для моделей ИИ общего назначения с августа 2025 года, а дальнейшие обязательства, включая требования к системам высокого риска, на последующих этапах. Регламент распространяется на поставщиков, выводящих системы ИИ на рынок ЕС, и на случаи, когда результаты работы системы ИИ используются в ЕС, поэтому грузинская компания может подпадать под его действие и без офиса в ЕС. ISO/IEC 42001 не заменяет подтверждение соответствия Регламенту, но даёт процессы управления рисками, документирования, управления данными и человеческого надзора, которых ожидает Регламент.

Типичные клиенты:

• Разработчики программного обеспечения и SaaS-компании, которые встраивают машинное обучение или большие языковые модели в свои продукты.
• Финтех-компании, кредитные и страховые организации, которые применяют ИИ в скоринге, выявлении мошенничества или обслуживании клиентов.
• Аутсорсинговые компании и компании по разметке данных, которые создают или обучают модели для иностранных заказчиков.

Как BALTUM готовит вас к сертификации

1. Перечень систем ИИ и область сертификации. Составляем список систем ИИ, которые вы разрабатываете, предоставляете или используете, и определяем вашу роль по каждой из них.
2. Оценка несоответствий. Сравниваем текущую практику с ISO/IEC 42001 и, где это уместно, определяем применимые к вам обязательства по Регламенту ЕС об ИИ.
3. Оценка рисков и воздействия ИИ. Выстраиваем методику оценки рисков для организации и воздействия на отдельных людей и группы и применяем её к вашим основным системам.
4. Политики и меры управления жизненным циклом. Политика в области ИИ, роли, управление данными, валидация моделей, управление изменениями, мониторинг, реагирование на инциденты и требования к поставщикам сторонних моделей.
5. Обучение. Занятия для разработчиков, владельцев продуктов и руководства об их обязанностях.
6. Внутренний аудит и анализ со стороны руководства. Проводим аудит системы менеджмента ИИ и готовим анализ со стороны руководства.
7. Сопровождение сертификации. Помогаем выбрать орган по сертификации и сопровождаем вас на первом и втором этапах.

Продолжительность зависит от количества и сложности ваших систем ИИ и от уже действующих процессов по ISO/IEC 27001. План мы определяем после первичной оценки.

Как проходит сертификация

Сертификация проходит в обычном порядке: двухэтапный аудит, затем трёхлетний цикл с надзорными аудитами. ISO/IEC 42006 устанавливает дополнительные требования к органам, сертифицирующим системы менеджмента ИИ, поэтому запросите у органа по сертификации подтверждение аккредитации по ISO/IEC 42001 и проверьте его у органа по аккредитации, желательно подписавшего IAF MLA.

Связанные стандарты и материалы

ISO/IEC 42001 имеет ту же структуру, что ISO/IEC 27001 и ISO/IEC 27701, поэтому все три стандарта могут работать как одна система. О регуляторной стороне читайте в статье «ISO 42001 и Регламент ЕС об ИИ для грузинских экспортёров программного обеспечения».

Чтобы обсудить ваши системы ИИ и область сертификации, напишите на info@baltum.org или воспользуйтесь формой заявки.

Частые вопросы

Означает ли сертификат ISO/IEC 42001, что мы соответствуем Регламенту ЕС об ИИ?

Нет. У Регламента свои правила подтверждения соответствия. ISO/IEC 42001 помогает выстроить процессы, которых ожидает Регламент, такие как управление рисками, документирование и человеческий надзор, и сокращает объём работы для соблюдения законодательных требований.

Мы только пользуемся сторонними инструментами ИИ. Нужен ли нам ISO/IEC 42001?

Может быть нужен. Стандарт распространяется и на организации, которые используют системы ИИ, а не только на разработчиков. В этом случае область сертификации и набор мер меньше, а основное внимание уделяется выбору поставщиков, правилам допустимого использования, обращению с данными и мониторингу.

Можно ли совместить ISO/IEC 42001 с ISO/IEC 27001?

Да. Оба стандарта построены по одной структуре систем менеджмента, поэтому политики, внутренний аудит и анализ со стороны руководства могут быть общими, а аудиты можно совместить.