ISO/IEC 42001

ISO/IEC 42001:2023 to pierwszy międzynarodowy standard opisujący wymagania dla systemu zarządzania sztuczną inteligencją (AI Management System — AIMS). Daje organizacji ramy do projektowania, wdrażania, utrzymywania i ciągłego doskonalenia ładu AI — w sposób, który da się audytować i certyfikować oraz utrzymywać z korzyścią dla organizacji!

Czym jest ISO 42001 Jak normy ISO przekuć w przewagę konkurencyjną? No i jednocześnie zapewnić sobie trochę bezpieczeństwa?

ISO 42001, czyli system zarządzania AI, to wręcz mityczna norma, która ma zapewnić nam, że wszystko co z AI będzie super działało, a biznes będzie kręcił się jak szalony.

Norma ISO 42001 jest odpowiedzią na potrzeby tych organizacji, które chcą lepiej i bezpieczniej wykorzystywać AI. Znajdziemy tam m.in.:

Na poziomie mniej technicznym to po prostu zestaw rekomendacji dla obszarów projektowania, rozwijania, wdrażania i stosowania systemów AI.

Jak zacząć? Garść porad o tym jak zacząć pracę z normą

Normy standaryzacyjne nie są prawem powszechnie obowiązującym, ale de facto dobrymi praktykami o dość abstrakcyjnym charakterze. Stąd też nie oczekujmy, że znajdziemy tam odpowiedzi na wszystkie frapujące nas kwestie.

Są jednak dobrym początkiem, bo porządkują nam to co powinno składać się na nasze uspójnione i zaopiekowane podejście do inicjatyw AI & Data.

Warto, abyśmy połączyli je także ze standardami i dobrymi praktykami obowiązującymi m.in. w obszarze danych, jak np. CRISP-DM czy DAMA-BOK. Jest to o tyle istotne, że ISO mocno podkreśla znaczenie procesów wokół danych, co jest oczywiste w kontekście AI.

Oczywiście nie możemy przy tym abstrahować tego co dla nas ważne, a więc także przepisów prawa, regulacji i norm o charakterze etycznym. To ostatnie dość mocno wybrzmiewa w samej normie ISO, która zakłada, że to co tworzymy lub wykorzystujemy jest po prostu "trustworthy" - godne zaufania.

Rzecz jasna ISO 42001 nie zakłada rewolucji i całkowitego przemodelowania naszej architektury korporacyjnej czy wszystkich procesów.

Wręcz przeciwnie silnie akcentuje się:

To zaś wymagać będzie od nas jasnego określenia celu naszego systemu zarządzania AI.

Cele ISO 42001 Dlaczego określenie celu jest tak ważne?

Może się to wydawać nieistotny wątek, ale w praktyce ma przełożenie na to jak ludzie w naszej organizacji podchodzą do samego procesu AI Governance i w jaki sposób oceniamy, np. inicjatywy AI & Data. Cele muszą być przy tym:

Jest to o tyle ważne, że przecież sama polityka nie będzie przyjęta uchwałą zarządu i wrzucona do szuflady, ale przybierze bardziej operacyjną formę poprzez procesy, procedury i przede wszystkim zasady odpowiedzialności. Błędem jest odbierania polityki zarządzania AI jako dokumentu (jakkolwiek ma ona rzeczywiście spisany charakter, co jest ważnym elementem podkreślanym w ISO).

Modelowa polityka AI Na czym się opiera?

Z mojej perspektywy modelowa polityka zarządzania AI jest ciągłym procesem, podejściem organizacji do projektowania, rozwijania, wdrażania i stosowania AI. Gdy myślimy o polityce, to przed oczami powinniśmy mieć konkretne działania / kroki (checkpoints), które mają nas przybliżyć do realizacji konkretnego projektu, który mamy na tapecie.

Taką politykę musimy nieustannie udoskonalać, np. na skutek zmian, które pojawiają się w obszarze technologii czy biznesowych zastosowań. Przykładowo, jeżeli widzimy trend rozwijania systemów agentowych AI, to ten element powinien zostać gdzieś "odnotowany" w naszym podejściu.

Ważny jest kontekst i zależności...

Sama polityka będzie też (współ)zależna od innych dokumentów i obszarów w naszej organizacji. W ujęciu modelowym powinniśmy iść od STRATEGII (IT, transformacji, danych) przez POLITYKĘ aż do procedur i instrukcji. Wszystko to powinno wynikać z CZEGOŚ i odnosić się do TEGO. Oczywiście w sposób adekwatny, a nie na siłę.

Mogę podać przykład. Jeżeli częścią naszej polityki zarządzania AI jest zapewnienie zgodności (compliance) z - dajmy na to - AI Act, to może okazać się, że musi ona "łapać" się m.in. z polityką zgodności.

Nasza polityka jest odpowiedzialnością. Tylko kogo?

Nie oszukujmy się - na koniec dnia za realizację polityki odpowiada zarząd. Skoro to on ją przyjmuje, to nie ma innej opcji, ale w sensie operacyjnym to nasz zespół AI Governance będzie stał za jej egzekwowaniem. Dlatego ISO tak mocno akcentuje konieczność zapewnienia #leadership dla jej realizacji.

W praktyce będziemy wyznaczali osobę lub osoby, które będą się regularnie upewniać, że nasze procesy działają w sposób opisany w dokumentach i w sposób niezabijający biznesu. Temat ten jeszcze poruszymy w przyszłości.

Polityka oparta na ISO nie może być teoretyczna Na koniec dość oczywiste stwierdzenie - polityka, która stanowi "copy-paste" ISO to nie polityka, a marnej jakości dokument, który ma na celu wyłącznie pokazanie jak bardzo jesteśmy do przodu. Nie ma nic wspólnego z zarządzaniem jakością i ryzykiem w kontekście projektów AI & Data oraz budowania naszej transformacyjnej przewagi.

Stąd też spojrzenie na ISO powinno być jedynie naszą inspiracją i wsparciem w budowaniu pewnego uporządkowanego podejścia a nie rozwiązaniem samym w sobie.

Na koniec krótkie nawiązanie do aspektów, do których ISO 42001 referuje i które poruszać będziemy na stronie:

🔥 zarządzanie ryzykiem AI, w tym cyberbezpieczeństwa

⛓️ monitorowanie łańcucha dostaw, co ma szczególne znaczenie w kontekście systemów agentowych

📑 tworzenie dokumentacji technicznej, która spełnia nie tylko wymagania SDLC (o tym też będzie!), ale także compliance

🤴🏻ustalanie zasad odpowiedzialności zgodnie z podejściem zawartym w procesie realizacji inicjatyw AI & Data

🏭 zarządzanie zasobami, co jest bardzo istotne, aby lepiej zrozumieć wyzwania związane z ryzykami AI.

ISO/IEC 42001 — system zarządzania AI

Wymagania normy ISO/IEC 42001 dla zarządzania systemami AI - co to za zwierz?

Aktualizacja: