ISO/IEC 42001 בהסבר פשוט: מה התקן דורש מחברה שמשתמשת בבינה מלאכותית

ISO/IEC 42001 הוא התקן הבינלאומי שפורסם בדצמבר 2023 ומגדיר מערכת ניהול של בינה מלאכותית (AIMS). הוא לא מסמיך מודל או מוצר: הוא מסמיך שהארגון מנהל באחריות את האופן שבו הוא מפתח, רוכש ומשתמש ב-AI. הוא עוקב אחרי אותו מבנה-על של ISO 9001 ו-ISO/IEC 27001, ולכן הוא משתלב איתם.

מה זה ISO/IEC 42001 ועל מי הוא חל

הוא חל על כל ארגון שמפתח, מספק או משתמש במערכות AI, בלי קשר לגודל או לענף. חברה שרק משתמשת בעוזר AI לשירות לקוחות נמצאת בתחולה, בדיוק כמו חברה שמאמנת מודלים משלה. התקן דורש להראות, עם ראיות, שהסיכונים של המערכות האלה מזוהים, מטופלים ונסקרים.

מה הוא דורש בפועל

1. מדיניות AI שאושרה על ידי ההנהלה: למה משתמשים ב-AI, למה לא, ומי אחראי.
2. מלאי של מערכות AI: כל מודל, עוזר או סוכן בשימוש, הספק שלו, הנתונים שלו והבעלים הפנימי שלו.
3. הערכת השפעה לכל מערכת: על מי היא משפיעה, מה יכול להשתבש (הטיה, טעות, דליפת נתונים) ומה עושים בנדון.
4. בקרות נספח A: פיקוח אנושי, איכות הנתונים, שקיפות כלפי האנשים המושפעים, תיעוד החלטות, תגובה לאירועים.
5. שיפור מתמיד: ביקורת פנימית, סקירת הנהלה ופעולות מתקנות, כמו בכל מערכת ניהול.

איך הוא מתקשר ל-ISO/IEC 27001 ול-ISO 9001

אם כבר יש לכם 27001, כמחצית הדרך עשויה: ניתוח הסיכונים, בקרת הספקים וניהול האירועים מתרחבים ל-AI. מה שחדש הוא הערכת ההשפעה על אנשים והשקיפות.

מאיפה מתחילים אם רוצים להסמיך

• עשו את המלאי קודם. אי אפשר לנהל את מה שלא יודעים שמשתמשים בו; יצוצו כלי AI שהצוות אימץ בעצמו.
• כתבו את המדיניות בשפה של החברה שלכם, לא מועתקת מתבנית גנרית; המבקר משווה אותה לפרקטיקה.
• תעדו מהיום מה העוזרים והסוכנים שלכם עושים: ראיות מצטברות, לא מייצרים אותן.
• שלבו, אל תכפילו: מערכת ניהול אחת שמכסה איכות, אבטחה ו-AI, עם סקירת הנהלה אחת.
• את ההסמכה מנפיק גוף מוסמך אחרי ביקורת חיצונית; חברת ייעוץ מכינה אתכם, אבל לא מסמיכה אתכם.

ISO/IEC 42001 לא שואל באיזה מודל אתם משתמשים. הוא שואל אם אתם יודעים מה הוא עושה, על מי הוא משפיע ומי אחראי.