מוכנות ל-ISO/IEC 42001: רשימת בדיקה
ISO/IEC 42001 הוא תקן למערכת ניהול AI. הוא לא אומר באיזה מודל לבחור. הוא שואל אם הארגון יודע אילו מערכות AI פועלות אצלו, מי אחראי עליהן ואיך הוא יזהה כשאחת מהן טועה.
בקצרה
ISO/IEC 42001 בנוי באותו מבנה אחיד כמו ISO 27001: סעיפים 4 עד 10 מתארים את מערכת הניהול, ונספח A כולל 38 בקרות ב-9 תחומים שאתם מאמצים או מחריגים בהצהרת הישימות. מה שהוא מוסיף מעבר ל-27001 הוא הערכת השפעה של מערכת AI: ההשפעה על אנשים ועל החברה, לא רק על הארגון. ההסמכה נעשית במבדק דו-שלבי של גוף מוסמך. הדרך המהירה להבין איפה אתם עומדים היא לענות על שבע קבוצות השאלות שלמטה עם ראיות, לא עם כוונות.
איך התקן בנוי
| חלק | מה זה | מה זה אומר בפועל |
|---|
| סעיפים 4 עד 10 | דרישות מערכת הניהול | חובה. הקשר, הנהגה, תכנון, תמיכה, תפעול, הערכה, שיפור |
| נספח A | 38 בקרות ייחוס ב-9 תחומים | אתם מחליטים אילו מהן רלוונטיות ומנמקים החרגות בהצהרת הישימות |
| נספח B | הנחיות ליישום הבקרות | איך לקרוא כל בקרה |
| נספח C | יעדים ומקורות סיכון אפשריים | קלט להערכת הסיכונים |
| נספח D | שימוש בתחומים ובענפים שונים | הקשר, לא דרישות |
תשעת התחומים של נספח A: מדיניות AI, ארגון פנימי, משאבים, הערכת השפעה, מחזור החיים של מערכת AI, נתונים, מידע לבעלי עניין, שימוש במערכות AI וקשרים עם צדדים שלישיים ולקוחות.
רשימת הבדיקה לפי סעיפים
סעיף 4. הקשר
- מרשם מערכות AI: מה כל מערכת עושה, מי הבעלים שלה ומאיפה הנתונים מגיעים.
- התפקיד שלכם בכל מערכת: מפתחים, מספקים או משתמשים במערכת של מישהו אחר.
- גבול כתוב של מערכת הניהול: אילו יחידות, מוצרים ומערכות נכללים בה.
סעיף 5. הנהגה
- מדיניות AI מאושרת שמגדירה מה הארגון עושה ומה הוא לא עושה עם AI.
- תפקידים ואחריות שמוגדרים בשמות, כולל מי מוסמך לעצור מערכת.
- ראיות לכך שההנהלה דנה בסיכוני AI, ולא רק חותמת על המדיניות.
סעיף 6. תכנון
- שיטה להערכת סיכוני AI ותוכנית לטיפול בסיכונים.
- נוהל להערכת השפעה של מערכת AI על אנשים ועל החברה.
- הצהרת ישימות ל-38 הבקרות של נספח A.
- יעדי AI מדידים.
סעיף 7. תמיכה
- אנשים עם הכשירות שהתפקיד דורש, ותיעוד שלה.
- מודעות: עובדים שמשתמשים ב-AI מכירים את המדיניות שחלה עליהם.
- תיעוד מבוקר: גרסאות עדכניות, בעלים, תאריכי סקירה.
סעיף 8. תפעול
- בקרות מחזור חיים שמיושמות בפועל: תכנון, נתונים, אימות, פריסה, ניטור, הוצאה משימוש.
- הערכות סיכון והשפעה שבוצעו על מערכות אמיתיות, לא רק תבניות.
- בקרה על ספקים של מודלים, ממשקי API ונתונים שאתם רוכשים.
סעיף 9. הערכת ביצועים
- מדדים למערכות ה-AI ולמערכת הניהול עצמה.
- תוכנית למבדק פנימי ולפחות מבדק אחד שהושלם.
- סקר הנהלה עם החלטות מתועדות.
סעיף 10. שיפור
- דרך לתעד אי-התאמות ואירועים.
- פעולות מתקנות עם בעלים וראיה לסגירה.
השאלה שמבקרים שואלים הכי הרבה לא כתובה באף סעיף: הראו לי מערכת AI אחת והעבירו אותי דרך התיעוד שלה, מהרשומה במרשם ועד סקירת הניטור האחרונה. אם המעבר הזה עובד למערכת אחת, רוב רשימת הבדיקה כבר מתקיימת.
איך ההסמכה עובדת
את ההסמכה מבצע גוף שהוסמך למערכות ניהול AI. שלב 1 בודק תיעוד ומוכנות: האם יש מערכת ניהול שאפשר לבדוק. שלב 2 בודק שהיא עובדת בפועל, על מערכות ורשומות אמיתיות. אחרי ההסמכה יש מבדקי מעקב ומחזורי הסמכה מחדש. ISO/IEC 42006 קובע דרישות נוספות לגופים שמסמיכים לפי 42001, וכדאי להכיר אותו כשבוחרים גוף.
לצד ISO 27001
אם כבר יש לכם ISO 27001, חלק גדול מהמנגנון קיים: בקרת מסמכים, מבדק פנימי, סקר הנהלה, פעולות מתקנות. שתי המערכות יכולות לחלוק אותם. מה שחדש הוא התוכן הייחודי ל-AI: מרשם המערכות, הערכות ההשפעה, בקרות מחזור החיים ובקרות הנתונים. ארגונים שמנהלים את 42001 כפרויקט נפרד מגיעים בדרך כלל לשני לוחות מבדקים לאותם אנשים.
שאלות נפוצות
מה זה ISO/IEC 42001?
התקן הבינלאומי למערכת ניהול AI: דרישות לאופן שבו ארגון מנהל את מערכות ה-AI שהוא מפתח, מספק או משתמש בהן. הוא בנוי באותו מבנה כמו ISO 27001 ומוסיף בנספח A בקרות ייחודיות ל-AI, כולל הערכת השפעה.
כמה בקרות יש בנספח A של ISO 42001?
38 בקרות ב-9 תחומים: מדיניות AI, ארגון פנימי, משאבים, הערכת השפעה, מחזור החיים של מערכת AI, נתונים, מידע לבעלי עניין, שימוש במערכות AI וקשרים עם צדדים שלישיים ולקוחות. את הישימות מנמקים בהצהרת ישימות.
צריך ISO 27001 לפני ISO 42001?
לא, אבל זה עוזר. לשני התקנים מבנה משותף של מערכת ניהול, ולכן ארגון עם 27001 יכול להשתמש שוב בבקרת מסמכים, במבדק פנימי ובסקר הנהלה ולהתמקד בחלק הייחודי ל-AI.
האם ISO 42001 הופך אותנו לעומדים ב-EU AI Act?
לא לבדו. יש חפיפה בניהול סיכונים, תיעוד, ממשל נתונים ופיקוח, ולכן מערכת 42001 שעובדת מכסה חלק גדול מההיערכות. אבל ל-AI Act יש חובות משפטיות לפי תפקיד ורמת סיכון, ותקן למערכת ניהול לא מחליף אותן.
כמה זמן לוקחת ההכנה?
זה תלוי בכמה מערכות AI יש לכם ובכמה ממערכת הניהול כבר קיים. רשימת הבדיקה למעלה, כשעונים עליה עם ראיות, מראה את הפער, והפער מראה את הזמן.
מאיפה להתחיל
בחרו מערכת AI אחת ונסו את המעבר מהתיבה המודגשת למעלה: רשומה במרשם, בעלים, הערכת סיכון והשפעה, ניטור. כתבו לי איפה זה נשבר, ואגיד לכם איך נראה הפער בדרך להסמכה.
דברו איתי
קשור: ממשל AI, מילון מונחי AI