EU AI Act, NIST AI RMF ו-ISO 42001: טבלת מיפוי אחת
שלושה מסמכים מכתיבים היום את ממשל ה-AI, והם שונים זה מזה במהות: חוק, מסגרת וולונטרית ותקן למערכת ניהול שאפשר לקבל לפיו הסמכה. רוב העבודה בכל אחד מהם חופפת. מי שמנהל אותם כשלושה פרויקטים נפרדים עושה את אותה עבודה שלוש פעמים, בשלוש שפות.
בקצרה
EU AI Act הוא חוק: החובות תלויות בתפקיד שלכם, ספק, משתמש, יבואן, מפיץ, וברמת הסיכון של המערכת. NIST AI RMF היא מסגרת וולונטרית, שבנויה מארבע פונקציות: Govern, Map, Measure, Manage. ISO/IEC 42001 הוא תקן למערכת ניהול שאפשר לקבל לפיו הסמכה, עם 38 בקרות בנספח A. שלושתם נפגשים באותם שמונה נושאים: מרשם, תפקידים, הערכת סיכונים, השפעה על אנשים, נתונים, תיעוד, פיקוח אנושי וניטור. בנו מערך בקרות אחד סביב הנושאים האלה ומפו אותו לשלושתם. NIST מפרסם טבלאות מיפוי רשמיות, כולל ל-ISO/IEC 42001.
שלושה מסמכים, שלוש מהויות
| EU AI Act | NIST AI RMF | ISO/IEC 42001 |
|---|
| מה זה | רגולציה עם תוקף משפטי בשוק האירופי | מסגרת וולונטרית של מכון התקנים האמריקאי | תקן בינלאומי למערכת ניהול |
| על מי הוא חל | ספקים, משתמשים, יבואנים ומפיצים של מערכות AI באיחוד | אף אחד כברירת מחדל, מאמצים אותו מבחירה או לפי חוזה | ארגונים שבחרו לקבל הסמכה |
| מבנה | חובות לפי תפקיד ורמת סיכון | ארבע פונקציות: Govern, Map, Measure, Manage | סעיפים 4 עד 10, ועוד 38 בקרות בנספח A |
| הוכחה | הערכת התאמה, תיעוד ורישום היכן שנדרש | פרופיל וראיות משלכם | מבדק הסמכה של גוף מוסמך |
המיפוי לפי נושאים
| נושא | EU AI Act | NIST AI RMF | ISO/IEC 42001 |
|---|
| מרשם מערכות AI | נגזר מחובות הסיווג והרישום | Map: הקשר וסיווג מערכות | סעיף 4, הקשר; מרשם מערכות |
| תפקידים ואחריות | הגדרות התפקידים (סעיף 3); משתמש יכול להפוך לספק (סעיף 25) | Govern: מבנה האחריות | סעיף 5, הנהגה; בקרות ארגוניות פנימיות |
| ניהול סיכונים | מערכת לניהול סיכונים למערכות בסיכון גבוה, סעיף 9 | Map, Measure, Manage | סעיף 6, תכנון; הערכת סיכונים וטיפול בהם |
| השפעה על אנשים | הערכת השפעה על זכויות יסוד לחלק מהמשתמשים (סעיף 27) | Map: השפעה על אנשים ועל החברה | הערכת השפעה של מערכת AI; בקרות נספח A |
| נתונים | נתונים וממשל נתונים למערכות בסיכון גבוה (סעיף 10) | Measure ו-Manage: איכות ומקור הנתונים | בקרות הנתונים של נספח A |
| תיעוד ויומנים | תיעוד טכני (סעיף 11), שמירת רשומות (סעיף 12), שמירת יומנים אצל המשתמש (סעיף 26) | Govern ו-Manage: תיעוד | סעיף 7, מידע מתועד; רשומות לאורך מחזור החיים |
| פיקוח אנושי | פיקוח אנושי (סעיף 14); המשתמש ממנה אנשים כשירים (סעיף 26) | Govern ו-Manage: תפקידי אדם ופיקוח | בקרות נספח A לשימוש במערכות AI |
| שקיפות | שקיפות כלפי משתמשים ולסוגי תוכן מסוימים (סעיף 13, סעיף 50) | Govern: שקיפות | בקרות נספח A למידע לבעלי עניין |
| ניטור ואירועים | ניטור אחרי ההצבה בשוק, דיווח על אירועים חמורים | Manage: ניטור ותגובה | סעיפים 9 ו-10; אי התאמות ופעולות מתקנות |
מספרי הסעיפים מתייחסים לנוסח של EU AI Act. הטבלה היא מפת עבודה, לא חוות דעת משפטית. כל שורה צריך לקרוא מול הנוסח התקף ומול התפקיד שלכם.
NIST מפרסם טבלאות מיפוי רשמיות ב-AI Resource Center שלו, כולל מיפוי בין AI RMF לבין ISO/IEC 42001. כדאי להתחיל מהן, ולא לבנות מיפוי משלכם מאפס.
איפה הם לא חופפים
- חובות משפטיות שהמסגרות לא מכסות. הערכת התאמה, רישום במאגר האירופי וחובות ספציפיות לפי תפקיד קיימים רק ב-AI Act. שום מערכת ניהול לא מחליפה אותם.
- הסמכה קיימת רק ב-ISO/IEC 42001. למסגרת של NIST אין תעודה. ל-AI Act יש הערכת התאמה, וזה משהו אחר.
- ייחודיות של AI גנרטיבי. NIST מוסיף פרופיל Generative AI עם סיכונים כמו הזיות ושלמות מידע. ב-ISO/IEC 42001 הם מטופלים דרך הערכת הסיכונים שלכם.
- מועדים. AI Act נכנס לתוקף בשלבים, והמועדים שלו כבר שונו. לפני שאתם מסתמכים על תאריך, בדקו את הנוסח המשולב התקף.
תוכנית אחת במקום שלוש
- קודם כל, המרשם. כל שלושת המסמכים צריכים אותו, ובלעדיו שום דבר לא עובד.
- קבעו את התפקיד שלכם לפי AI Act לכל מערכת. זה מה שקובע אילו חובות משפטיות בכלל חלות.
- כתבו מערך בקרות אחד שמאורגן לפי שמונת הנושאים למעלה.
- מפו כל בקרה לסעיף ב-AI Act, לפונקציה ב-NIST ולסעיף או לבקרה בנספח A של ISO.
- אספו ראיות פעם אחת לכל בקרה, והשתמשו בהן למבדק, לשאלון של לקוח ולרגולטור.
המבחן המעשי של מיפוי טוב: שאלון אבטחה של לקוח שואל על פיקוח על AI, ואתם עונים עליו עם אותן ראיות שהייתם מציגים למבקר ISO.
שאלות נפוצות
מה ההבדל בין EU AI Act, NIST AI RMF ו-ISO 42001?
EU AI Act הוא חוק עם חובות לפי תפקיד ורמת סיכון. NIST AI RMF היא מסגרת וולונטרית עם ארבע פונקציות: Govern, Map, Measure, Manage. ISO/IEC 42001 הוא תקן למערכת ניהול שאפשר לקבל לפיו הסמכה. הם חופפים במרשם, תפקידים, סיכונים, השפעה, נתונים, תיעוד, פיקוח וניטור.
יש מיפוי רשמי בין NIST AI RMF ל-ISO 42001?
כן. NIST מפרסם טבלאות מיפוי ב-AI Resource Center שלו, כולל בין AI RMF לבין ISO/IEC 42001, וגם לתקנים אחרים.
האם הסמכת ISO 42001 מוכיחה עמידה ב-EU AI Act?
לא. היא מכסה חלק גדול מההכנה, אבל ל-AI Act יש חובות משפטיות, כמו הערכת התאמה ורישום לחלק מהמערכות, ששום מערכת ניהול לא מחליפה.
מאיזה מסמך להתחיל?
ממרשם מערכות ה-AI, כי כל השלושה צריכים אותו. אחר כך התפקיד שלכם לפי AI Act, אם אתם פועלים באיחוד, ואחר כך מערך בקרות אחד שממופה לשלושתם.
NIST AI RMF מיועד רק לחברות אמריקאיות?
לא. הוא וולונטרי ומשמש בכל העולם כמבנה לניהול סיכוני AI. לקוחות וחוזים מסוימים דורשים אותו בלי קשר למקום שבו אתם נמצאים.
מאיפה להתחיל
שלחו לי את רשימת מערכות ה-AI שפועלות אצלכם, גם אם היא עדיין טיוטה, ואת השווקים שבהם אתם מוכרים. על הבסיס הזה אראה לכם אילו מהמסמכים חלים עליכם, ואיפה בקרה אחת מכסה את כולם.
דברו איתי
קשור: מוכנות ל-ISO 42001, ממשל AI