Внедряване на управлението на изкуствения интелект: Как да приложим ISO 42001 на практика

Защо компаниите трябва да въведат управление на изкуствения интелект?

Компаниите трябва да въведат отговорно управление на изкуствения интелект, за да управляват използването му по структуриран начин, да намалят рисковете, да изграждат доверие и ефективно да отговарят както на регулаторните, така и на стратегическите изисквания за съответствие.

Това, което на пръв поглед изглежда като амбициозна идея, бързо се оказва логичното следствие от една тенденция, която отдавна се е превърнала в реалност: изкуственият интелект е намерил място в бизнеса – често по-бързо, по-широко и по-дълбоко, отколкото се очакваше. В същото време регулаторните изисквания се засилват – например чрез Закона за изкуствения интелект на ЕС – а клиентите все повече очакват солидни доказателства за отговорно използване на изкуствения интелект.

По този начин перспективите относно внедряването и сертифицирането по ISO 42001 се промениха коренно. Въпросът вече не е дали компаниите трябва да въведат управление на изкуствения интелект, а по-скоро колко систематично и по начин, който подлежи на проверка, го правят – и какви ползи носи това.

Именно тук влиза в действие ISO 42001 като система за управление на изкуствения интелект (AIMS). Като първият в света стандарт за системи за управление на изкуствения интелект, той определя рамка за систематично управление на използването на изкуствения интелект, контрол на рисковете и ясно установяване на отговорностите. По този начин той е много повече от просто още един стандарт – той е инструмент за превръщане на доверието в реалност.

Преди обаче организациите да поемат по този път, те се нуждаят от яснота относно целта си. Сертифицирането по ISO 42001 не е самоцел и не трябва да се разглежда просто като проект за съответствие с изискванията. Целта е по-скоро да се изгради доверие сред клиентите, партньорите и регулаторните органи; да се обърне специално внимание на рискове като пристрастност, дискриминация, злоупотреба с данни или погрешни решения, взети от моделите; и да се създаде солидна рамка за управление на използването на ИИ.

В същото време това представлява стратегическо предимство: в среда, в която все още има малко пионери, ранната сертификация може да послужи като ясен отличителен белег.
 

Какви са първите стъпки, необходими за система за управление на ИИ?

Първата стъпка при внедряването на система за управление на ИИ е да се проведе цялостна оценка на действителното използване на ИИ и ясно да се дефинира какво представлява ИИ в контекста на ISO 42001.

Следователно истинският път към управлението на ИИ не започва с политики или документи, а с честна оценка на настоящата ситуация. И точно тук много компании се сблъскват с първата си изненада: те знаят много по-малко за собственото си използване на ИИ, отколкото си дават сметка. Изкуственият интелект се среща не само в очевидни приложения като чатботове или модели за машинно обучение, но и в многобройни инструменти, автоматизации, софтуерни приложения и цифрови решения, използвани в ежедневните операции. Да се направи този „скрит ИИ“ видим е една от най-важните – и в същото време най-трудните – стъпки по пътя към сертифицирането по ISO 42001.
 

Как можем ефективно да оценим системите за изкуствен интелект?

С това е тясно свързан въпросът какво всъщност се квалифицира като изкуствен интелект съгласно стандарта. Не всяка система автоматично попада в обхвата на изискванията на стандарта за система за управление. Ключовите фактори включват това дали дадена система взема решения самостоятелно или просто ги подпомага, дали моделите се обучават или просто се използват, както и какво въздействие има приложението върху хората, процесите, данните или решенията. Това разграничение е от съществено значение, тъй като определя обхвата на бъдещата система за управление на ИИ.

Какви роли и отговорности са необходими за управлението на ИИ?

Управлението на ИИ изисква ясно определени роли през целия жизнен цикъл на ИИ, тъй като различните отговорности водят до различни задължения, рискове и изисквания за контрол.

Често подценяван, но решаващ аспект при внедряването и сертифицирането по ISO 42001 е ясното дефиниране на ролите при работа с ИИ. Стандартът ISO изисква нюансиран подход през целия жизнен цикъл на системите за ИИ. Обикновено могат да се разграничат три роли: разработчикът на ИИ, производителят на ИИ и потребителят на ИИ.

Разработчикът отговаря за разработването на модели и системи — тоест за обучението, подготовката на данните, архитектурата на модела и техническото внедряване. Производителят, от друга страна, внедрява системата за изкуствен интелект в производствена среда, интегрира я в бизнес процесите и отговаря за нейното функциониране и съответствие с определените изисквания. Накрая, потребителят прилага ИИ в ежедневните операции, взема отговорни решения въз основа на резултатите или позволява процесите да се изпълняват автоматично.

Това разграничение е от значение не само от организационна гледна точка, но има и преки последствия за оценката на риска, отговорностите и механизмите за контрол. Причината е, че различните роли водят до различни задължения, рискове и възможности за повлияване на поведението на ИИ. 

Как може да се установи управление на ИИ в рамките на дадена компания?

Разработването на управлението на ИИ се основава на познатите рамки на системите за управление, но поради специфичните изисквания на ИИ то изисква много повече от просто допълнение.

Този кратък преглед служи като отправна точка за разработването на система за управление на изкуствения интелект. Формално тя се основава на утвърдени рамки на ISO, като например тези в ISO 9001 или ISO 27001:

• Организационен контекст
• Управление на риска
• Ясни роли и отговорности
• Документирана информация
• Вътрешни одити
• Непрекъснато подобряване (CIP)

Тази позната структура улеснява започването, поне на пръв поглед. По отношение на съдържанието обаче ISO 42001 въвежда ново измерение, което далеч надхвърля традиционните системи за управление.

Ключовата разлика се крие в самата същност на изкуствения интелект. Докато другите стандарти често ясно дефинират какво представлява „продуктът“ или услугата, изкуственият интелект принуждава компаниите да преосмислят фундаментални въпроси.

Акцентът е върху:

• етични оценки на приложенията
• алгоритмичната справедливост и прозрачност
• произхода и качеството на данните за обучение
• проследимостта на решенията

Въпросът за отговорността е особено предизвикателен: кой в крайна сметка носи отговорност за решенията, взети от или с помощта на изкуствен интелект? Тези аспекти не могат просто да бъдат интегрирани в съществуващите системи – те изискват промяна в мисленето.

Затова много организации изхождат от предпоставката, че ISO 42001 може да бъде внедрен като разширение на съществуващите системи за управление. На практика обаче бързо става ясно, че това работи само в ограничена степен. Макар съществуващите структури да могат да послужат като основа, специфичните за изкуствения интелект изисквания налагат много по-задълбочено проучване на собствените процеси, технологии и механизми за вземане на решения на дадена организация. По този начин ISO 42001 не е просто допълнение, а промяна в перспективата.

Каква е връзката между ISO 42001 и Закона на ЕС за изкуствения интелект?

Законът на ЕС за ИИ определя регулаторните изисквания за ИИ, а ISO 42001 показва как организациите могат систематично да интегрират тези изисквания в своите системи за управление и ръководство.

Ключов аспект, който придобива все по-голямо значение във връзка с ISO 42001, е класифицирането на системите за изкуствен интелект според техния рисков потенциал, както е предвидено в регламента. То по същество разграничава четири рискови класа:

• Забранени системи за изкуствен интелект
• Системи с висок риск
• Системи за изкуствен интелект с ограничен риск
• Системи с минимален риск

Тази класификация оказва пряко влияние върху изискванията за разработване, внедряване и мониторинг.

Докато системите с минимален риск подлежат на малко регулаторни изисквания, приложенията с висок риск – като например тези, свързани с критична инфраструктура, решения относно персонала или медицински приложения – подлежат на строги изисквания по отношение на документацията, прозрачността, човешкия надзор, сигурността и управлението на риска, свързан с изкуствения интелект.

За компаниите това означава, че ISO 42001 и Регламентът за ИИ са взаимосвързани. Докато регламентът определя какво се изисква по закон, стандартът ISO осигурява структурната рамка за систематичното превръщане на тези изисквания в конкретни мерки. Особено в случая със системи с висок риск става ясно колко важна е една функционираща система за управление на ИИ за осигуряване на съответствие не само на ad hoc основа, но и по устойчив начин.

Как може да се приложи ISO 42001 на практика?

Успешното прилагане на ISO 42001 зависи от това организациите да управляват внедряването на ИИ, управлението на рисковете, свързани с ИИ, и отговорностите по итеративен, междуфункционален и прозрачен начин.

Неотменна част от вече очертаната промяна в перспективата е съзнателното обсъждане на въпроса къде и защо се използва ИИ. Днес предприятията използват ИИ в най-разнообразни области – от автоматизацията на вътрешни процеси през подпомагане на вземането на решения въз основа на данни до взаимодействие с клиенти или разпознаване на модели в големи масиви от данни.  

Въпреки това истинското предизвикателство не се състои в идентифицирането на тези области на приложение, а в претеглянето на ползите им спрямо рисковете. Именно тук влиза в действие ISO 42001: той задължава организациите активно да постигат този баланс, вместо да го оставят на случайността.

Пътят към сертифицирането рядко е пряк. Напротив, той е белязан от повторения, нови прозрения и, понякога, несигурности. Типичните предизвикателства включват неясни отговорности, липса на прозрачност по отношение на съществуващите системи за изкуствен интелект, сложността на оценката на риска и необходимата културна промяна в рамките на организацията.  

Едно нещо става особено ясно с развитието на процеса: управлението на ИИ и отговорното използване на изкуствения интелект не могат да бъдат делегирани. Това засяга както ръководството, така и ИТ отдела и бизнес единиците и изисква общо разбиране и тясно сътрудничество.

Какви са причините за въвеждането на управление на ИИ?

Предизвикателствата, свързани с внедряването на система за управление на ИИ, не трябва да се пренебрегват – все пак има много добри причини да се въведе управление на ИИ и да се стремим към сертифициране по ISO 42001 по структуриран начин. Компаниите, които предприемат тази стъпка, не само се позиционират като пионери, но и създават солидна правна основа за справяне с бъдещи регулаторни изисквания и осигуряване на устойчиво съответствие.

Те изграждат доверие сред своите клиенти и партньори, като същевременно придобиват много по-задълбочено разбиране за собственото си използване на ИИ. В крайна сметка това е и въпрос на достоверност: всеки, който обяснява на другите как да използват ИИ отговорно, трябва да може сам да демонстрира този ангажимент.

Заключение: Управлението на изкуствения интелект – нещо повече от просто сертификат ли е?

В крайна сметка сертифицирането по ISO 42001 е много повече от просто още една точка във вашия списък със задачи. То е инструмент за усъвършенстване на подхода ни към една от ключовите технологии на нашето време. В среда, в която все още има малко емпирични данни, малко добри практики и само ограничени насоки, първите стъпки неизбежно са свързани с известна степен на риск. Но именно в това се крие възможността. Защото онези, които започнат днес, активно оформят стандартите на утрешния ден.

Следователно ключовият въпрос не е дали пътят е лесен. Той не е. По-скоро ключовият въпрос е дали, в контекста на дигитализацията и управлението на технологиите, сме готови да се изправим пред тези актуални предизвикателства и да издигнем отговорното използване на изкуствения интелект на ново ниво.

DQS – защото не всички одити са еднакви

Точно както всяка компания и организация използва изкуствения интелект по свой собствен начин, целите, които преследват с него, варират значително. За да се гарантира безопасното използване на системите за изкуствен интелект, от края на 2023 г. е в сила нов международен стандарт за системи за управление, специално предназначен за изкуствен интелект – ISO/IEC 42001. DQS е един от първите сертификационни органи в света, които предлагат акредитирана сертификация по ISO 42001. 

Възползвайте се от експертния опит на нашите специалисти. Запознайте се с най-важните изисквания на стандарта и какво означават те за вашата организация. От 40 години ние се ангажираме с безпристрастни одити и сертифицирания. Нашият ангажимент винаги започва там, където свършват контролните списъци за одит. Повярвайте ни. Очакваме да се свържете с нас.

Доверие и експертиза

Нашите документи и брошури са написани изцяло от нашите експерти по стандарти или опитни одитори. Ако имате въпроси към нашия автор относно съдържанието на документите ни или нашите услуги, моля, не се колебайте да ни изпратите имейл: [email protected]

Забележка: За по-голяма яснота използваме общата мъжка форма. Тази директива обаче обхваща хора от всички полови идентичности, доколкото това е необходимо за изложението.