Готовность к ISO/IEC 42001: чек-лист

ISO/IEC 42001 это стандарт системы менеджмента для AI. Он не говорит, какую модель выбрать. Он спрашивает, знает ли организация, какие AI-системы у неё работают, кто за них отвечает и как она заметит, что одна из них ошибается.

Кратко

ISO/IEC 42001 построен по той же общей структуре, что ISO 27001: разделы с 4 по 10 описывают систему менеджмента, а приложение A содержит 38 мер в 9 областях, которые вы принимаете или исключаете в заявлении о применимости. Главное, что он добавляет к 27001, это оценка воздействия AI-системы: влияние на людей и общество, а не только на организацию. Сертификация проходит как двухэтапный аудит аккредитованного органа. Быстрее всего понять своё положение, ответив на семь групп вопросов ниже доказательствами, а не намерениями.

Как устроен стандарт

Часть	Что это	Что это значит на практике
Разделы с 4 по 10	Требования к системе менеджмента	Обязательны. Контекст, лидерство, планирование, обеспечение, работа, оценка, улучшение
Приложение A	38 справочных мер в 9 областях	Вы определяете, какие из них применимы, и обосновываете исключения в заявлении о применимости
Приложение B	Руководство по внедрению мер	Как читать каждую меру
Приложение C	Возможные цели и источники риска	Исходные данные для оценки рисков
Приложение D	Применение в разных отраслях	Контекст, а не требования

Девять областей приложения A: политики AI, внутренняя организация, ресурсы, оценка воздействия, жизненный цикл AI-системы, данные, информация для заинтересованных сторон, использование AI-систем, отношения с третьими сторонами и клиентами.

Чек-лист по разделам

Раздел 4. Контекст

Реестр AI-систем: что делает каждая, кто владелец, откуда берутся данные.
Ваша роль для каждой системы: разрабатываете, поставляете или используете чужую.
Зафиксированная граница системы менеджмента: какие подразделения, продукты и системы в неё входят.

Раздел 5. Лидерство

Утверждённая политика AI: что организация с AI делает и чего не делает.
Определённые роли и ответственность, включая того, кто может остановить систему.
Свидетельства того, что руководство рассматривает риски AI, а не только подписывает политику.

Раздел 6. Планирование

Методика оценки рисков AI и план их обработки.
Процедура оценки воздействия AI-системы на людей и общество.
Заявление о применимости по 38 мерам приложения A.
Измеримые цели в области AI.

Раздел 7. Обеспечение

Люди с компетенцией, необходимой для их роли, и записи об этом.
Осведомлённость: сотрудники, которые используют AI, знают применимую к ним политику.
Управляемая документация: актуальные версии, владельцы, даты пересмотра.

Раздел 8. Работа

Меры жизненного цикла, которые реально применяются: проектирование, данные, проверка, развёртывание, мониторинг, вывод из эксплуатации.
Оценки рисков и воздействия, проведённые для реальных систем, а не только шаблоны.
Контроль поставщиков моделей, API и данных.

Раздел 9. Оценка результатов

Метрики для AI-систем и для самой системы менеджмента.
Программа внутреннего аудита и хотя бы один проведённый аудит.
Анализ со стороны руководства с зафиксированными решениями.

Раздел 10. Улучшение

Способ фиксировать несоответствия и инциденты.
Корректирующие действия с назначенными владельцами и подтверждением закрытия.

Вопрос, который аудитор задаёт чаще всего, не записан ни в одном разделе: покажите одну AI-систему и проведите меня по её истории, от записи в реестре до последнего обзора мониторинга. Если этот путь проходится для одной системы, большая часть чек-листа уже выполнена.

Как проходит сертификация

Сертификацию проводит орган, аккредитованный для систем менеджмента AI. Первый этап проверяет документацию и готовность: есть ли что аудировать. Второй этап проверяет, что система работает на деле, на реальных системах и записях. После сертификации идут надзорные аудиты и цикл ресертификации. Дополнительные требования к органам, которые сертифицируют по 42001, задаёт ISO/IEC 42006, и это стоит знать при выборе органа.

Рядом с ISO 27001

Если у вас уже есть ISO 27001, значительная часть механизма существует: управление документацией, внутренний аудит, анализ руководством, корректирующие действия. Две системы могут использовать их совместно. Новое здесь содержание, специфичное для AI: реестр систем, оценки воздействия, меры жизненного цикла и данные для AI. Организации, которые ведут 42001 отдельным проектом, обычно получают два календаря аудитов для одних и тех же людей.

Частые вопросы

Что такое ISO/IEC 42001?

Международный стандарт системы менеджмента AI: требования к тому, как организация управляет AI-системами, которые она разрабатывает, поставляет или использует. Он построен по той же структуре, что и ISO 27001, и добавляет специфичные для AI меры в приложении A, включая оценку воздействия.

Сколько мер в приложении A ISO 42001?

38 мер в 9 областях: политики AI, внутренняя организация, ресурсы, оценка воздействия, жизненный цикл AI-системы, данные, информация для заинтересованных сторон, использование AI-систем, отношения с третьими сторонами и клиентами. Применимость обосновывается в заявлении о применимости.

Нужен ли ISO 27001 до ISO 42001?

Нет, но он помогает. У стандартов общая структура системы менеджмента, поэтому организация с 27001 может переиспользовать управление документацией, внутренний аудит и анализ со стороны руководства и сосредоточиться на части, специфичной для AI.

Делает ли ISO 42001 нас соответствующими EU AI Act?

Сам по себе нет. Они пересекаются в части управления рисками, документации, управления данными и надзора, поэтому работающая система 42001 закрывает большую часть подготовки. Но у AI Act есть юридические обязанности по ролям и классам риска, которые стандарт системы менеджмента не заменяет.

Сколько времени занимает подготовка?

Зависит от того, сколько у вас AI-систем и какая часть системы менеджмента уже есть. Чек-лист выше, заполненный доказательствами, показывает разрыв, а разрыв показывает срок.

С чего начать

Возьмите одну AI-систему и попробуйте пройти путь из выделенного блока выше: запись в реестре, владелец, оценка рисков и воздействия, мониторинг. Напишите, где путь обрывается, и я скажу, как выглядит разрыв до сертификации.

Написать мне

По теме: Управление AI, Глоссарий AI