ISO/IEC 42001 για επιχειρήσεις που χρησιμοποιούν ή φτιάχνουν AI
Σύστημα διαχείρισης AI που αντέχει έλεγχο: από τη χαρτογράφηση των κενών μέχρι τον εσωτερικό έλεγχο πριν έρθει ο φορέας πιστοποίησης.
Τι είναι το ISO/IEC 42001
Το ISO/IEC 42001 (2023) είναι το πρώτο διεθνές πρότυπο για σύστημα διαχείρισης τεχνητής νοημοσύνης (AI Management System, AIMS) που μπορεί να πιστοποιηθεί. Ορίζει πώς μια επιχείρηση αποφασίζει, τεκμηριώνει και ελέγχει τη χρήση του AI: ποιος είναι υπεύθυνος, πώς αξιολογούνται οι κίνδυνοι και οι επιπτώσεις σε ανθρώπους, πώς παρακολουθούνται οι προμηθευτές και τα δεδομένα.
Έχει την ίδια δομή με τα ISO 27001 και ISO 9001 (ενότητες 4 έως 10), συν το Παράρτημα Α με ελέγχους ειδικά για AI, από την πολιτική AI (A.2) ως τις σχέσεις με προμηθευτές και πελάτες (A.10). Αφορά όποιον αναπτύσσει, διαθέτει ή απλώς χρησιμοποιεί συστήματα AI.
Ποιος το χρειάζεται τώρα
- Εταιρείες AI και SaaS που πουλάνε σε μεγάλους πελάτες ή στο εξωτερικό, όπου τα ερωτηματολόγια προμηθευτών ρωτούν πλέον για διακυβέρνηση AI.
- Επιχειρήσεις με ISO 27001 ή ISO 9001, που μπορούν να επεκτείνουν το υπάρχον σύστημα αντί να ξεκινήσουν από το μηδέν.
- Κλάδους με αποφάσεις για ανθρώπους (προσλήψεις, πίστωση, ασφάλιση, υγεία, εκπαίδευση), όπου ο EU AI Act φέρνει τις αυστηρότερες υποχρεώσεις.
- Κάθε επιχείρηση που χρησιμοποιεί chatbot, AI agents ή εργαλεία όπως ChatGPT με δεδομένα πελατών, και θέλει να ξέρει τι ακριβώς τρέχει και ποιος το εγκρίνει.
Πώς δουλεύουμε
Gap assessment
Απογραφή των συστημάτων AI, σύγκριση με τις απαιτήσεις του προτύπου και του Παραρτήματος Α, λίστα κενών με σειρά προτεραιότητας και ρεαλιστικό πλάνο. Η πόρτα εισόδου: ξέρετε πού είστε πριν δεσμευτείτε.
Στήσιμο του AIMS
Πολιτική AI, ρόλοι και υπεύθυνοι, μέθοδος αξιολόγησης κινδύνων και εκτίμησης επιπτώσεων, διαδικασίες για προμηθευτές και δεδομένα, τεκμηρίωση και εκπαίδευση προσωπικού. Πάνω στο ISO 27001/9001 αν υπάρχει.
Εσωτερικός έλεγχος
Εσωτερικός έλεγχος (ενότητα 9.2) και ανασκόπηση από τη διοίκηση (9.3) πριν τον φορέα πιστοποίησης, ώστε τα ευρήματα να βγουν από εμάς και όχι στον επίσημο έλεγχο.
Δεν εκδίδουμε πιστοποιητικά: την πιστοποίηση την κάνει διαπιστευμένος φορέας, και δεν επιτρέπεται ο ίδιος να σας συμβουλεύει. Εμείς σας προετοιμάζουμε ώστε να φτάσετε εκεί έτοιμοι.
ISO 42001 και EU AI Act
Το ISO/IEC 42001 δεν είναι από μόνο του συμμόρφωση με τον EU AI Act. Μεγάλο μέρος της δουλειάς όμως είναι κοινό: διαχείριση κινδύνων, τεκμηρίωση, ανθρώπινη εποπτεία, εκπαίδευση προσωπικού (άρθρο 4). Όποιος στήσει σωστά το AIMS έχει ήδη τη βάση για τις υποχρεώσεις του κανονισμού, και το χαρτογραφούμε μαζί στο gap assessment.
Συχνές ερωτήσεις
Το χρειαζόμαστε αν δεν φτιάχνουμε AI, απλώς το χρησιμοποιούμε;
Ναι, το πρότυπο καλύπτει και τη χρήση. Οι περισσότερες επιχειρήσεις δεν αναπτύσσουν AI, αλλά χρησιμοποιούν εργαλεία με δεδομένα πελατών και εργαζομένων. Εκεί ακριβώς βοηθά: απογραφή, υπεύθυνοι, έλεγχος προμηθευτών.
Έχουμε ήδη ISO 27001. Τι αλλάζει;
Πολλά επαναχρησιμοποιούνται: η δομή, οι εσωτερικοί έλεγχοι, η ανασκόπηση από τη διοίκηση, η διαχείριση εγγράφων. Προστίθενται κυρίως η πολιτική AI, η εκτίμηση επιπτώσεων των συστημάτων AI και οι έλεγχοι του Παραρτήματος Α.
Πόσο διαρκεί;
Εξαρτάται από το πόσα συστήματα AI είναι στο πεδίο και από το αν υπάρχει ήδη σύστημα διαχείρισης. Το gap assessment είναι το πρώτο, σύντομο βήμα και σας δίνει ρεαλιστικό χρονοδιάγραμμα για τα επόμενα.
Πόσο κοστίζει;
Δίνουμε σταθερή προσφορά μετά τη δωρεάν χαρτογράφηση των 45 λεπτών, όταν ξέρουμε το εύρος. Δεν χρεώνουμε με την ώρα για κάτι που δεν έχει οριστεί.
Μας δίνετε εσείς το πιστοποιητικό;
Όχι. Την πιστοποίηση την κάνει διαπιστευμένος φορέας πιστοποίησης. Ο ρόλος μας είναι να σας προετοιμάσουμε και να κάνουμε τον εσωτερικό έλεγχο πριν από αυτόν.