EU AI Act, NIST AI RMF и ISO 42001: одна таблица соответствия
В управлении AI есть три ключевых документа, и по своей природе это три разные вещи: закон, добровольный фреймворк и сертифицируемый стандарт системы менеджмента. При этом значительная часть работы у них совпадает. Если вести их как три отдельных проекта, одну и ту же работу приходится делать трижды, просто на трёх разных языках.
Кратко
EU AI Act это закон: обязанности зависят от вашей роли (поставщик, пользователь, импортёр, дистрибьютор) и класса риска системы. NIST AI RMF это добровольный фреймворк из четырёх функций: Govern, Map, Measure, Manage. ISO/IEC 42001 это сертифицируемая система менеджмента с 38 мерами в приложении A. Встречаются они на одних и тех же восьми темах: реестр, роли, оценка рисков, воздействие на людей, данные, документация, человеческий надзор и мониторинг. Постройте один набор мер вокруг этих тем и сопоставьте его со всеми тремя документами; NIST публикует официальные таблицы соответствия, в том числе с ISO/IEC 42001.
Три документа, три природы
| EU AI Act | NIST AI RMF | ISO/IEC 42001 |
|---|
| Что это | Регламент с юридической силой на рынке ЕС | Добровольный фреймворк американского института стандартов | Международный стандарт системы менеджмента |
| Кого обязывает | Поставщиков, пользователей, импортёров и дистрибьюторов AI-систем в ЕС | Никого по умолчанию: применяется добровольно или по договору | Организации, которые выбрали сертификацию |
| Структура | Обязанности по ролям и классам риска | Четыре функции: Govern, Map, Measure, Manage | Разделы с 4 по 10 и 38 мер приложения A |
| Подтверждение | Оценка соответствия, документация, регистрация, где это требуется | Собственный профиль и доказательства | Сертификационный аудит аккредитованного органа |
Соответствие по темам
| Тема | EU AI Act | NIST AI RMF | ISO/IEC 42001 |
|---|
| Реестр AI-систем | Следует из обязанностей по классификации и регистрации | Map: контекст и категоризация систем | Раздел 4, контекст; реестр систем |
| Роли и ответственность | Определения ролей (ст. 3); пользователь может стать поставщиком (ст. 25) | Govern: структура ответственности | Раздел 5, лидерство; меры внутренней организации |
| Управление рисками | Система управления рисками для систем высокого риска (ст. 9) | Map, Measure, Manage | Раздел 6, планирование; оценка и обработка рисков |
| Воздействие на людей | Оценка воздействия на основные права для части пользователей (ст. 27) | Map: воздействие на людей и общество | Оценка воздействия AI-системы; меры приложения A |
| Данные | Данные и управление ими для систем высокого риска (ст. 10) | Measure и Manage: качество и происхождение данных | Меры приложения A по данным |
| Документация и журналы | Техническая документация (ст. 11), ведение записей (ст. 12), хранение журналов пользователем (ст. 26) | Govern и Manage: документирование | Раздел 7, документированная информация; записи жизненного цикла |
| Человеческий надзор | Надзор человека (ст. 14); пользователь назначает компетентных людей (ст. 26) | Govern и Manage: роли людей и надзор | Меры приложения A по использованию AI-систем |
| Прозрачность | Прозрачность для пользователей и для отдельных видов контента (ст. 13, ст. 50) | Govern: прозрачность | Меры приложения A по информации для заинтересованных сторон |
| Мониторинг и инциденты | Мониторинг после вывода на рынок, сообщения о серьёзных инцидентах | Manage: мониторинг и реагирование | Разделы 9 и 10; несоответствия и корректирующие действия |
Номера статей относятся к тексту EU AI Act. Таблица это рабочая карта, а не юридическое заключение: каждую строку нужно читать вместе с действующим текстом и вашей ролью.
NIST публикует официальные таблицы соответствия в своём AI Resource Center, в том числе между AI RMF и ISO/IEC 42001. Именно с них стоит начинать, а не строить свою таблицу с нуля.
Где они не совпадают
- Юридические обязанности, которые фреймворки не закрывают. Оценка соответствия, регистрация в базе ЕС и конкретные обязанности по ролям есть только в AI Act. Никакая система менеджмента не может их заменить.
- Сертификация есть только в ISO/IEC 42001. У фреймворка NIST сертификата нет. У AI Act есть оценка соответствия, но это другое.
- Специфика генеративного AI. NIST добавляет профиль Generative AI с такими рисками, как конфабуляция и целостность информации. В ISO/IEC 42001 они учитываются через вашу собственную оценку рисков.
- Сроки. AI Act вступает в силу поэтапно, и сроки уже менялись. Прежде чем опираться на конкретную дату, проверьте действующую консолидированную редакцию.
Одна программа вместо трёх
- Начните с реестра. Он нужен всем трём документам, и без него ничего не работает.
- Определите свою роль по AI Act для каждой системы. Именно от неё зависит, какие юридические обязанности вообще к вам применимы.
- Напишите один набор мер, организованный по восьми темам выше.
- Сопоставьте каждую меру со статьёй AI Act, функцией NIST и разделом или мерой приложения A ISO.
- Собирайте доказательства один раз для каждой меры и используйте их для аудита, анкеты клиента и регулятора.
Практическая проверка хорошего сопоставления: в анкете безопасности клиента спрашивают о надзоре за AI, и вы отвечаете, показывая те же доказательства, что показали бы аудитору ISO.
Частые вопросы
Чем отличаются EU AI Act, NIST AI RMF и ISO 42001?
EU AI Act это закон с обязанностями по ролям и классам риска. NIST AI RMF это добровольный фреймворк с четырьмя функциями: Govern, Map, Measure, Manage. ISO/IEC 42001 это сертифицируемый стандарт системы менеджмента. Они пересекаются в реестре, ролях, рисках, воздействии, данных, документации, надзоре и мониторинге.
Есть ли официальное сопоставление NIST AI RMF и ISO 42001?
Да. NIST публикует таблицы соответствия в своём AI Resource Center, в том числе между AI RMF и ISO/IEC 42001, а также с другими стандартами.
Подтверждает ли сертификат ISO 42001 соответствие EU AI Act?
Нет. Он закрывает большую часть подготовки, но у AI Act есть юридические обязанности, например оценка соответствия и регистрация для части систем, которые никакая система менеджмента не заменяет.
С какого документа начинать?
С реестра AI-систем, потому что он нужен всем трём. Затем определите свою роль по AI Act, если вы работаете в ЕС, и после этого соберите один набор мер, сопоставленный со всеми тремя документами.
NIST AI RMF только для американских компаний?
Нет. Это добровольный фреймворк, и его используют по всему миру как структуру управления рисками AI. Некоторые клиенты и договоры требуют его независимо от того, где вы находитесь.
С чего начать
Пришлите список AI-систем, которые у вас работают, пусть даже черновой, и рынки, на которых вы продаёте. По нему я покажу, какие из трёх документов к вам применимы и где одна мера закрывает их все.
Написать мне
По теме: Готовность к ISO 42001, Управление AI