ISO 42001 in EU AI Act: vodnik za pravno varen sistem upravljanja umetne inteligence

Uvod: Ko umetna inteligenca iz poskusa postane poslovno kritična infrastruktura

Naj gre za avtomatizirano komunikacijo s strankami, napovedno vzdrževanje ali generativno umetno inteligenco v razvojnih procesih: umetna inteligenca že dolgo ni več projekt prihodnosti, temveč poganja operativno ustvarjanje vrednosti v podjetjih vseh panog. Z eksponentno koristjo pa rastejo tudi tveganja – od napačnih algoritmov in kršitev avtorskih pravic prek halucinacij do resnih vprašanj varstva podatkov in odgovornosti.

Z začetkom veljavnosti evropskega EU AI Act in objavo mednarodnega standarda ISO/IEC 42001 se podjetja soočajo s spremembo paradigme: nenadzorovana uporaba »senčne umetne inteligence« je končana. Zahtevan je sistematičen, preverljiv Artificial Intelligence Management System (AIMS).

V tem vodniku boste izvedeli, kaj zahteva ISO 42001, kako se nanaša na EU AI Act in kako svoje podjetje korak za korakom pripeljete do certificiranja.

Kaj je ISO/IEC 42001?

ISO/IEC 42001 je prvi standard upravljanja na svetu, ki ga je mogoče certificirati in je namenjen posebej umetni inteligenci. Podobno kot ISO 9001 za kakovost ali ISO 27001 za informacijsko varnost ISO 42001 opredeljuje strukturiran okvir (tako imenovano Harmonized Structure), s katerim organizacije:

1. odgovorno razvijajo, nabavljajo in uporabljajo sisteme umetne inteligence skozi njihov celoten življenjski cikel,
2. sistematično prepoznavajo in obvladujejo etična, regulativna in poslovna tveganja,
3. deležnikom (strankam, partnerjem, nadzornim organom) izkazujejo dokazljivo zaupanja vrednost.

Standard izrecno ni namenjen le tehnološkim korporacijam, ki usposabljajo lastne temeljne modele, temveč vsakemu podjetju, ki aplikacije umetne inteligence vključuje v obstoječe poslovne procese (od malega ali srednjega podjetja do globalne korporacije).

Most do EU AI Act: certificiranje kot motor skladnosti

EU AI Act razvršča sisteme umetne inteligence glede na njihov potencial tveganja (minimalno tveganje, posebna tveganja glede preglednosti, visoko tvegani sistemi in nedopustni sistemi). Zlasti ponudniki in upravljavci visoko tveganih sistemov morajo izpolnjevati stroge zahteve:

• Popolna dokumentacija in ocena tveganja
• Kakovost podatkov in upravljanje podatkov za usposabljanje in testiranje
• Človeški nadzor (Human-in-the-loop)
• Robustnost, kibernetska varnost in natančnost

Tu ISO 42001 razvije svojo največjo dodano vrednost: zagotavlja v praksi preizkušeno strukturo upravljanja, ki jo uredba EU zahteva le abstraktno. Kdor vzpostavi sistem upravljanja po ISO 42001, samodejno uvede organizacijske procese, potrebne za skladnost z EU AI Act. Certifikat ISO 42001 poslovnim partnerjem in organom služi kot trden dokaz upravljanja umetne inteligence na ravni »state of the art«.

Osrednji sestavni deli sistema upravljanja umetne inteligence (AIMS)

Učinkovit AIMS po ISO 42001 sloni na petih osrednjih stebrih:

1. Podjetniška politika umetne inteligence (AI Policy)

Poslovodstvo določi zavezujoče smernice: katere vrednote in etične meje veljajo za uporabo umetne inteligence v podjetju? Kateri primeri uporabe so zaželeni in kateri izrecno prepovedani?

2. Ocena učinkov umetne inteligence in upravljanje tveganj

Vsak sistem umetne inteligence mora biti predmet sistematične ocene tveganja. Ocenjujejo se ne le verjetnosti tehničnih napak, temveč tudi vplivi na zasebnost, tveganja diskriminacije (pristranskost) in neprekinjenost poslovanja.

3. Upravljanje podatkov in izvor podatkov

»Garbage in, garbage out« pri umetni inteligenci velja na kvadrat. Standard zahteva pregledne procese za potrjevanje naborov podatkov: od kod izvirajo podatki za usposabljanje? Ali so avtorske pravice urejene? Kako se prepoznajo in zmanjšajo pristranskosti?

4. Preglednost in razložljivost

Uporabniki in prizadete osebe morajo razumeti, kdaj in kako umetna inteligenca vpliva na odločitve ali jih pripravlja. Dokumentiranje parametrov modela in logike odločanja je osrednji del standarda.

5. Stalno spremljanje in obvladovanje incidentov

Modeli umetne inteligence so dinamični. Zaradi »data drift« ali spreminjajočih se okolij se lahko rezultati sčasoma poslabšajo. Delujoč AIMS zahteva redne preglede učinkovitosti in jasne načrte ukrepanja za primer motenj delovanja.

V 4 korakih do certificiranja ISO 42001

Uvedba AIMS sledi preizkušenemu ciklu PDCA (Plan-Do-Check-Act):

1. Analiza vrzeli (popis stanja): Zajem vseh obstoječih orodij umetne inteligence, primerov uporabe in notranjih politik. Prepoznavanje vrzeli glede na zahteve standarda.
2. Vzpostavitev in uvedba sistema: Priprava politike umetne inteligence, vzpostavitev procesa ocene tveganja in usposabljanje vključenih ekip.
3. Notranja presoja in vodstveni pregled: Preverjanje učinkovitosti vseh ukrepov s strani usposobljenih notranjih presojevalcev.
4. Certifikacijska presoja: Zunanja presoja s strani priznanega certifikacijskega organa, kot je cert-authority.com (ICB). Po uspešni dvostopenjski presoji (pregled dokumentacije in presoja na lokaciji oziroma na daljavo) se izda uradni certifikat.

Sklep in obeti

Vprašanje že dolgo ni več, ali podjetja uporabljajo umetno inteligenco, temveč kako nadzorovano in odgovorno to počnejo. Z ISO 42001 razpršena tveganja umetne inteligence pretvorite v strukturirano konkurenčno prednost. Stranke in naročniki vse bolj zahtevajo preglednost – kdor tu prednjači z neodvisnim certificiranjem, si zagotovi donosna naročila B2B.

Želite dati svoj sistem upravljanja umetne inteligence v presojo?
Seznanite se z našimi standardi ISO 42001 in certifikacijskimi ponudbami ali pregledno izračunajte stroške presoje glede na število zaposlenih na naši strani s cenami.