Certyfikacja w zakresie sztucznej inteligencji z DQS: zarządzanie, bezpieczeństwo i jakość — w harmonii.
Od ponad 40 lat DQS przeprowadza audyty systemów zarządzania w ponad 60 krajach. Jako akredytowana na całym świecie jednostka certyfikująca, DQS rozszerza swoje doświadczenie na normę ISO/IEC 42001 dotyczącą systemów zarządzania sztuczną inteligencją, a także na normy ISO/IEC 27001 i ISO 9001, w których zarządzanie sztuczną inteligencją integruje się z istniejącymi ramami bezpieczeństwa informacji i jakości — zapewniając organizacjom jedną skoordynowaną ścieżkę do wykazania dojrzałości w zakresie zarządzania sztuczną inteligencją.
Uznana norma ISO/IEC 42001
Jednostka certyfikująca systemy zarządzania sztuczną inteligencją
Audyty zgodne z normą ISO/IEC 27001
Integracja zabezpieczeń informacji w organizacjach zajmujących się sztuczną inteligencją
Integracja z normą ISO 9001
Udokumentowane informacje i podstawowe zasady identyfikowalności
Elastyczna realizacja audytów
Audyty zdalne, hybrydowe lub na miejscu — przeprowadzane niezależnie od lokalizacji zespołu ds. zarządzania sztuczną inteligencją.
DQS JAKO ZAUFANY PARTNER
Akredytowany, globalny i niezależny — podstawa wiarygodnej certyfikacji w zakresie sztucznej inteligencji.
ISO/IEC 42001 to nowa norma. Akredytacja, infrastruktura i niezależność stojące za certyfikatem DQS – nie są. Oto, jak to wygląda w liczbach.
Ponad 3 100 audytorów na całym świecie
W celu wspierania globalnych norm, takich jak ISO/IEC 42001, ISO/IEC 27001, ISO 9001 i innych.
Ponad 65 000 certyfikowanych lokalizacji
We wszystkich normach DQS — w tym w portfolio usług zapewnienia jakości opartych na sztucznej inteligencji.
Ponad 60 krajów
Obecność lokalnych audytorów na głównych rynkach — w Europie, regionie Azji i Pacyfiku oraz w obu Amerykach.
Ponad 40 lat doświadczenia
Założona w 1985 r. przez DGQ i DIN — pierwsza niemiecka jednostka certyfikująca systemy zarządzania.
Zasady dotyczące systemów sztucznej inteligencji uległy zmianie. Większość struktur zarządzania pozostała jednak niezmieniona.
Jednocześnie zachodzą trzy zmiany. Wprowadzono regulacje — unijna ustawa o sztucznej inteligencji nakłada wiążące obowiązki na systemy AI wysokiego ryzyka, a podobne ramy prawne powstają na całym świecie. Same systemy AI działają inaczej niż konwencjonalne oprogramowanie, co wymaga podejścia do zarządzania dostosowanego do ich rzeczywistego sposobu działania. Norma ISO/IEC 42001 stała się standardem odniesienia, którego organy regulacyjne i klienci coraz częściej oczekują — nie za pięć lat, ale już teraz.
Zarządzanie sztuczną inteligencją jest obecnie wymogiem regulacyjnym, a nie wewnętrzną najlepszą praktyką.
Tam, gdzie obowiązuje unijna ustawa o sztucznej inteligencji, systemy sztucznej inteligencji wysokiego ryzyka wymagają udokumentowanego zarządzania ryzykiem, dokumentacji technicznej oraz nadzoru ludzkiego — a kwestie te są coraz częściej oceniane w kontekście istniejących zakresów norm ISO 9001 i ISO/IEC 27001, a nie jako odrębne przedsięwzięcie.
Rozdrobniona odpowiedzialność, niespójna dokumentacja, nieudane audyty.
Bez ustrukturyzowanego systemu zarządzania sztuczną inteligencją organizacje narażają się na ryzyko rozdrobnienia odpowiedzialności między jednostkami biznesowymi, niespójnej dokumentacji oraz trudności w wykazaniu organom regulacyjnym lub klientom dojrzałości w zakresie zarządzania. W przypadku audytów przeprowadzanych w izolowanych obszarach te same dowody są przedstawiane — i kwestionowane — wielokrotnie w różnych częściach przedsiębiorstwa.
Jeden program audytowy obejmujący zarządzanie sztuczną inteligencją, bezpieczeństwo i jakość — skoordynowany, skalibrowany i gotowy do audytu.
- Jedna jednostka certyfikująca w zakresie norm ISO/IEC 42001, ISO/IEC 27001 i ISO 9001
- Zsynchronizowane cykle audytowe, wspólne dowody, spójna interpretacja w ramach różnych norm i lokalizacji
- Niezależność od działalności doradczej — to właśnie ten rozdział sprawia, że certyfikat jest wiarygodny w oczach organów regulacyjnych i klientów
Wdrażanie zarządzania sztuczną inteligencją: praktyczne zastosowanie normy ISO 42001
Praktyczne spojrzenie na włączenie zarządzania sztuczną inteligencją do systemów zarządzania operacyjnego.
Zarządzanie sztuczną inteligencją nie ogranicza się do jednej normy — ani jednego zespołu.
Normy dotyczące zarządzania sztuczną inteligencją pokrywają się z normami dotyczącymi bezpieczeństwa informacji, zarządzania jakością oraz regulacjami branżowymi — nie dlatego, że ramy te są zbędne, ale dlatego, że systemy sztucznej inteligencji dotyczą wszystkich tych obszarów jednocześnie. To, która kombinacja ma zastosowanie, zależy od tego, co tworzysz, co wdrażasz i na jakich rynkach działasz.
- ISO/IEC 42001 — system zarządzania sztuczną inteligencją; obejmuje klasyfikację ryzyka, odpowiedzialność i ciągłe monitorowanie
- ISO/IEC 27001 — bezpieczeństwo informacji; obejmuje dane, na których szkolone są systemy sztucznej inteligencji oraz dane przez nie przetwarzane
- ISO 9001 — udokumentowane informacje i kontrola procesów; podstawowy standard identyfikowalności, na którym opiera się większość systemów zarządzania sztuczną inteligencją
- Rozporządzenie UE MDR 2017/745 — w przypadku, gdy funkcjonalność AI jest wbudowana w wyrób medyczny
- Obowiązki związane z poziomami ryzyka wynikające z unijnej ustawy o sztucznej inteligencji — czynnik regulacyjny; jednak w praktyce najczęściej stosuje się normę ISO/IEC 42001 w celu spełnienia tych obowiązków
KTÓRE WYMOGI DOTYCZĄ CIEBIE
Twoja rola w łańcuchu wartości sztucznej inteligencji decyduje o tym, od czego należy zacząć.
Wymogi dotyczące zarządzania sztuczną inteligencją zależą od Twojej roli w łańcuchu wartości — niezależnie od tego, czy tworzysz systemy oparte na sztucznej inteligencji, wdrażasz je operacyjnie, dystrybuujesz je, czy też wbudowujesz je w produkty podlegające regulacjom. Oto, gdzie zazwyczaj plasuje się każda z ról.
Zaufanie do sztucznej inteligencji nie opiera się już wyłącznie na technologii. Organizacje coraz częściej potrzebują struktur zarządzania, które pozostają przejrzyste, skalowalne i podlegają audytowi w ramach międzynarodowej działalności i różnych środowisk regulacyjnych.
Cztery warstwy podlegające certyfikacji — co obejmuje każda z nich i dlaczego ma to znaczenie.
Każdy standard odpowiada na inne pytanie — dotyczące zarządzania, danych, kontroli procesów lub zgodności z przepisami branżowymi.
Oto, jak warstwy te współdziałają ze sobą.
Każda warstwa podlega niezależnej certyfikacji — i może być objęta certyfikacją indywidualnie lub w ramach jednego skoordynowanego programu. Razem obejmują one kwestie, o które zapytają organy regulacyjne, klienci i Państwa własne zespoły podczas przeglądu Państwa programu AI.
Norma ISO/IEC 42001 określa system zarządzania w zakresie nadzoru nad sztuczną inteligencją — zarządzanie ryzykiem, udokumentowane informacje, role i obowiązki oraz ciągłe monitorowanie w całym cyklu życia sztucznej inteligencji.
Certyfikacja ISO/IEC 42001 — system zarządzania sztuczną inteligencją obejmuje klasyfikację ryzyka, odpowiedzialność za zarządzanie, nadzór nad zarządzaniem danymi oraz wymagania dotyczące monitorowania w całym cyklu życia sztucznej inteligencji. Dotyczy to organizacji, które opracowują, wdrażają lub w znacznym stopniu modyfikują systemy sztucznej inteligencji.
Korzyść dla Państwa: wykazanie dojrzałości w zakresie zarządzania sztuczną inteligencją przed organami regulacyjnymi, klientami i partnerami — w oparciu o uznane międzynarodowe standardy.
W jaki sposób chronione są dane szkoleniowe AI, wyniki modeli oraz dane operacyjne.
Certyfikacja ISO/IEC 27001 — Zarządzanie bezpieczeństwem informacji dotyczy środków kontroli bezpieczeństwa danych związanych z danymi szkoleniowymi AI, danymi wejściowymi i wynikami modeli oraz dostępem do systemu. Certyfikat ten jest często uzyskiwany wraz z certyfikatem ISO/IEC 42001 w przypadku, gdy systemy AI przetwarzają dane wrażliwe lub osobowe.
Twoja korzyść: wykazanie bezpiecznego postępowania z danymi, od których zależą Twoje systemy sztucznej inteligencji.
Podstawa dokumentacji i identyfikowalności, na której opiera się większość wymagań dotyczących zarządzania sztuczną inteligencją.
Certyfikat ISO 9001 — Zarządzanie jakością zapewnia udokumentowane informacje, kontrolę procesów oraz strukturę ciągłego doskonalenia, na których opiera się norma ISO/IEC 42001 w przypadku organizacji posiadających już system zarządzania jakością (QMS).
Twoja korzyść: zintegruj zarządzanie sztuczną inteligencją z istniejącą strukturą, zamiast budować system równoległy.
Ocena zgodności z unijnym rozporządzeniem MDR 2017/745
W przypadku wbudowania funkcji sztucznej inteligencji w wyrób medyczny, oprócz zasad zarządzania dotyczących sztucznej inteligencji zastosowanie ma również ocena zgodności zgodnie z unijnym rozporządzeniem MDR. Dotyczy to producentów urządzeń diagnostycznych, monitorujących lub wspomagających podejmowanie decyzji, wyposażonych w funkcje sztucznej inteligencji.
Korzyść dla Państwa: dostosowanie zarządzania sztuczną inteligencją do istniejących obowiązków dotyczących zgodności produktów podlegających regulacjom, zamiast zarządzania nimi oddzielnie.
Regulacja sztucznej inteligencji zgodnie z rozporządzeniem UE MDR: zapewnienie zgodności z przepisami i innowacyjności
W jaki sposób zasady zarządzania sztuczną inteligencją łączą się z wymogami regulacyjnymi w środowiskach medycznych i ściśle regulowanych środowiskach operacyjnych.
Każdy interesariusz zadaje inne pytanie dotyczące systemów sztucznej inteligencji.
Organ regulacyjny chce mieć pewność, że Państwa systemy sztucznej inteligencji są pod kontrolą. Klient chce mieć pewność, że jego dane są chronione. Państwa własne zespoły chcą wiedzieć, kto ponosi odpowiedzialność w przypadku zmian. Nie są to te same pytania — i nie ma jednej normy, która odpowiadałaby na wszystkie z nich. Dlatego właściwy program zarządzania sztuczną inteligencją obejmuje więcej niż jeden poziom.
Certyfikacja ISO/IEC 42001 obejmuje zarządzanie ryzykiem, udokumentowane informacje oraz odpowiedzialność w całym cyklu życia sztucznej inteligencji.
Certyfikacja ISO/IEC 27001 obejmuje środki kontroli bezpieczeństwa danych; norma ISO/IEC 42001 dodaje do tego wymagania dotyczące zarządzania danymi specyficzne dla sztucznej inteligencji.
Wymagania dotyczące informacji udokumentowanych określone w normach ISO 9001 i ISO/IEC 42001 wspólnie spełniają oczekiwania organów regulacyjnych w zakresie dokumentacji technicznej, które stają się coraz bardziej rygorystyczne.
Postanowienia normy ISO/IEC 42001 dotyczące ról i obowiązków określają odpowiedzialność za nadzór nad systemami sztucznej inteligencji.
Procesy ciągłego doskonalenia określone w normie ISO/IEC 42001 obejmują bieżący przegląd w miarę zmian modeli, danych i warunków operacyjnych.
Oprócz zasad zarządzania dotyczących sztucznej inteligencji, w stosownych przypadkach mają zastosowanie rozporządzenie UE MDR 2017/745 oraz inne ramy sektorowe.
Norma ISO/IEC 42001 jest coraz częściej wykorzystywana jako wspólna podstawa operacyjna, do której odwołują się unijna ustawa o sztucznej inteligencji (EU AI Act), amerykański NIST AI RMF oraz powstające ramy regulacyjne w Chinach, Japonii, Korei Południowej i Brazylii.
Zarządzanie sztuczną inteligencją w sektorze FinTech na rynku podlegającym regulacjom
W jaki sposób organizacje radzą sobie z oczekiwaniami dotyczącymi odpowiedzialności, nadzoru i zarządzania w zmieniających się międzynarodowych ramach dotyczących sztucznej inteligencji.
Dlaczego regulacje zwiększają zapotrzebowanie na warstwę zarządzania sztuczną inteligencją
Cztery poziomy ryzyka
Klasyfikacja systemów sztucznej inteligencji określa wymagany poziom zarządzania, dokumentacji i nadzoru. Chociaż model ten zapewnia ogólną strukturę, organizacje muszą przełożyć te kategorie na konkretne środki operacyjne.
Ryzyko niedopuszczalne (zabronione)
Systemy sztucznej inteligencji z tej kategorii są uznawane za niezgodne z prawami podstawowymi i zabezpieczeniami społecznymi przewidzianymi w unijnej ustawie o sztucznej inteligencji. Zastosowania te są zabronione, ponieważ stanowią niedopuszczalny poziom ryzyka dla osób fizycznych, bezpieczeństwa publicznego lub wartości demokratycznych. Organizacje muszą zatem zapewnić, że zabronione przypadki użycia zostaną zidentyfikowane i wykluczone poprzez odpowiednie mechanizmy zarządzania i kontroli.
Wysokie ryzyko (surowe wymogi regulacyjne)
Systemy sztucznej inteligencji wysokiego ryzyka podlegają najbardziej rozbudowanym obowiązkom regulacyjnym ze względu na ich potencjalny wpływ na zdrowie, bezpieczeństwo i prawa podstawowe. Systemy te zazwyczaj wymagają ustrukturyzowanego zarządzania ryzykiem, dokumentacji technicznej, mechanizmów monitorowania oraz jasno zdefiniowanego nadzoru ludzkiego w całym cyklu życia sztucznej inteligencji, aby zapewnić stałą zgodność z przepisami i kontrolę operacyjną.
Ograniczone ryzyko (wymogi dotyczące przejrzystości)
Systemy sztucznej inteligencji o ograniczonym ryzyku podlegają przede wszystkim wymogom dotyczącym przejrzystości, mającym na celu zapewnienie, że użytkownicy są świadomi interakcji ze sztuczną inteligencją. Organizacje muszą wdrożyć jasne praktyki w zakresie komunikacji i ujawniania informacji, szczególnie w przypadkach, gdy treści generowane przez sztuczną inteligencję lub zautomatyzowane interakcje mogłyby w przeciwnym razie powodować dezorientację lub zmniejszać przejrzystość dla użytkowników.
Ryzyko minimalne (środki dobrowolne)
Większość zastosowań sztucznej inteligencji mieści się w kategorii minimalnego ryzyka i nie podlega konkretnym obowiązkom wynikającym z unijnej ustawy o sztucznej inteligencji. Niemniej jednak organizacje coraz częściej dostrzegają wartość wdrażania dobrowolnych środków zarządzania, które wspierają odpowiedzialność, spójność operacyjną i długoterminową gotowość w miarę ewolucji oczekiwań regulacyjnych na całym świecie.
Jedna struktura zarządzania, dostosowana do każdego rynku, na którym prowadzisz działalność.
W przypadku organizacji międzynarodowych zarządzanie sztuczną inteligencją rzadko ogranicza się do jednego systemu prawnego lub regionu operacyjnego — systemy mogą być opracowywane w jednym kraju, wdrażane w kilku jurysdykcjach i integrowane z procesami rozproszonymi na całym świecie. Chociaż unijna ustawa o sztucznej inteligencji pozostaje najbardziej kompleksowymi ramami prawnymi i najpowszechniejszym punktem odniesienia na świecie, jurysdykcje na całym świecie w coraz większym stopniu dzielą zasady zarządzania, takie jak przejrzystość, rozliczalność, zarządzanie ryzykiem i nadzór ludzki — nawet tam, gdzie struktura prawna i sposób wdrażania różnią się. Wyzwaniem nie jest zrozumienie poszczególnych ram prawnych z osobna, lecz stworzenie systemu zarządzania, który będzie wystarczająco ujednolicony, by zapewnić spójność na skalę globalną, a jednocześnie wystarczająco elastyczny, by spełniać lokalne oczekiwania regulacyjne.
Ustawa UE o sztucznej inteligencji
Ustawa UE o sztucznej inteligencji ustanawia pierwsze kompleksowe, międzysektorowe ramy regulacyjne dotyczące sztucznej inteligencji, obejmujące klasyfikację opartą na ryzyku, wymogi dotyczące przejrzystości oraz obowiązki w zakresie zgodności dla systemów wysokiego ryzyka. Jest ona coraz częściej wykorzystywana jako globalny punkt odniesienia dla struktury zarządzania sztuczną inteligencją.
Stany Zjednoczone opierają się na bardziej zdecentralizowanym podejściu: dobrowolnych ramach zarządzania ryzykiem w zakresie sztucznej inteligencji (NIST AI Risk Management Framework), federalnych rozporządzeniach wykonawczych oraz coraz bardziej zróżnicowanym zbiorze przepisów dotyczących sztucznej inteligencji na poziomie stanowym. Nacisk kładziony jest na odpowiedzialność, cyberbezpieczeństwo i zarządzanie ryzykiem operacyjnym, a nie na jedną wiążącą ustawę o charakterze międzysektorowym.
Chiny wprowadziły wiele ram regulacyjnych dotyczących usług sztucznej inteligencji generatywnej, algorytmów rekomendacyjnych oraz zarządzania algorytmami, kładąc silny nacisk na odpowiedzialność dostawców i zarządzanie treściami.
Podejście Japonii kładzie nacisk na dobrowolne, zapewniające międzynarodową interoperacyjność ramy zarządzania, skoncentrowane na niezawodności operacyjnej i innowacjach przemysłowych.
Ramy prawne Korei Południowej zapewniają równowagę między innowacjami a obowiązkami w zakresie przejrzystości i odpowiedzialności, przy czym coraz większy nacisk kładzie się na zarządzanie ryzykiem zgodne z międzynarodowymi dyskusjami na temat godnej zaufania sztucznej inteligencji.
Oba rynki nadal rozwijają zarządzanie sztuczną inteligencją poprzez ewoluujące ramy prawne, a nie w oparciu o jedną kompleksową ustawę. Brazylia promuje propozycje dotyczące zarządzania sztuczną inteligencją oparte na ryzyku, równolegle z szerszymi inicjatywami w zakresie zarządzania cyfrowego, skupiając się obecnie na odpowiedzialności i nadzorze nad systemami o dużym wpływie. Indie opierają się na kombinacji istniejących aktów prawnych — ustawy o technologiach informacyjnych, nowelizacji przepisów z 2026 r. dotyczących treści generowanych przez sztuczną inteligencję, oraz ustawy o ochronie danych osobowych w środowisku cyfrowym — w połączeniu z dobrowolnymi, opartymi na zasadach wytycznymi dotyczącymi zarządzania sztuczną inteligencją wydanymi w 2026 r., podczas gdy organy regulacyjne poszczególnych sektorów, takie jak RBI i SEBI, opracowują własne, specyficzne dla sztucznej inteligencji oczekiwania nadzorcze.
Pięć kroków od rozproszonych wymagań do jednego skoordynowanego programu.
Najtrudniejsze jest zazwyczaj ustalenie, od czego zacząć — i w jakiej kolejności. Poniższe kroki pomogą Ci osiągnąć cel bez zbędnych poprawek.
Określ swoje wymagania.
Sprawdź, które systemy sztucznej inteligencji wchodzą w zakres, jaką klasyfikację ryzyka mają zgodnie z unijną ustawą o sztucznej inteligencji oraz w jaki sposób pokrywają się one z istniejącymi systemami zarządzania zgodnymi z normami ISO 9001 lub ISO/IEC 27001.
Oceń aktualną konfigurację.
Przejrzyj istniejące systemy zarządzania, cykle audytowe oraz wewnętrzne obowiązki związane z zarządzaniem sztuczną inteligencją.
Dostosuj i skonsoliduj.
Tam, gdzie to możliwe, zintegruj zarządzanie sztuczną inteligencją z istniejącymi certyfikowanymi systemami zarządzania, zamiast budować odrębną strukturę.
Przygotuj się na pojawiające się wymagania.
Terminy stopniowego wprowadzania unijnej ustawy o sztucznej inteligencji oraz zmieniające się ramy prawne w USA, Chinach, Japonii, Korei Południowej i Brazylii wciąż ewoluują.
Z zapisem na audyt należy zająć się z wyprzedzeniem.
Zarezerwuj terminy audytów zgodności z normą ISO/IEC 42001 w swojej jednostce certyfikującej, uwzględniając terminy regulacyjne i handlowe.
Co zyskujesz, uzyskując certyfikat od DQS.
Każde zlecenie przebiega według tej samej struktury — od pierwszego przeglądu dokumentacji aż po wydanie certyfikatu i bieżący nadzór. Niezależnie od tego, czy certyfikujesz jedną normę, czy kilka, proces jest spójny.
DLACZEGO DQS
Jeden partner audytowy w zakresie zarządzania sztuczną inteligencją, bezpieczeństwa danych i jakości.
Zarządzanie obowiązkami w zakresie zarządzania sztuczną inteligencją w oparciu o wiele norm nie musi oznaczać współpracy z wieloma jednostkami certyfikującymi. DQS obejmuje pełny zakres w ramach jednego programu — dzięki czemu cykle audytowe są zsynchronizowane, dowody są udostępniane, a ustalenia są spójne w odniesieniu do wszystkich norm.
Chcesz zacząć?
- Powiedz nam, co tworzysz, wdrażasz lub dystrybuujesz
- Określimy, które normy mają zastosowanie w Twoim przypadku, i zdefiniujemy zakres
- Otrzymujesz jeden plan audytu, jedną osobę kontaktową i jedno spójne podejście
Najczęściej zadawane pytania.
Czy certyfikacja zgodnie z normą ISO/IEC 42001 jest obowiązkowa na mocy unijnej ustawy o sztucznej inteligencji?
Nie. Unijna ustawa o sztucznej inteligencji nie wymienia certyfikacji ISO/IEC 42001 jako wymogu prawnego. Jednak w przypadku systemów sztucznej inteligencji wysokiego ryzyka norma ISO/IEC 42001 jest powszechnie wskazywana jako ustrukturyzowany sposób wykazania zgodności z wymogami ustawy w zakresie zarządzania ryzykiem, dokumentacji i nadzoru ludzkiego.
Czy potrzebujemy zarówno certyfikatu ISO/IEC 42001, jak i ISO/IEC 27001?
Wiele organizacji posiada certyfikaty obu norm, ponieważ obejmują one różne obszary. Norma ISO/IEC 42001 dotyczy zarządzania specyficznego dla sztucznej inteligencji — klasyfikacji ryzyka, monitorowania oraz nadzoru ludzkiego. Norma ISO/IEC 27001 dotyczy szeroko pojętego bezpieczeństwa informacji, w tym danych, na których szkolone są systemy sztucznej inteligencji i które są przez nie przetwarzane. W przypadku gdy dane wykorzystywane do rozwoju są wrażliwe, często posiada się certyfikaty obu norm jednocześnie.
Co uznaje się za system sztucznej inteligencji wysokiego ryzyka zgodnie z unijną ustawą o sztucznej inteligencji?
Ustawa klasyfikuje systemy sztucznej inteligencji według poziomów ryzyka — niedopuszczalnego, wysokiego, ograniczonego i minimalnego. Systemy wysokiego ryzyka to te, które mają wpływ na zdrowie, bezpieczeństwo, prawa podstawowe lub infrastrukturę krytyczną, takie jak niektóre systemy rekrutacyjne, systemy oceny zdolności kredytowej lub systemy identyfikacji biometrycznej. Dokładna klasyfikacja zależy od konkretnych przypadków użycia określonych w załącznikach do ustawy.
Jak unijna ustawa o sztucznej inteligencji ma się do amerykańskiego modelu NIST AI RMF?
Unijna ustawa o sztucznej inteligencji jest wiążącym, międzysektorowym aktem prawnym, który nakłada obowiązki prawne dostosowane do poziomu ryzyka. Ramy zarządzania ryzykiem sztucznej inteligencji NIST (AI RMF) to dobrowolne ramy szeroko stosowane w Stanach Zjednoczonych, często w połączeniu z przepisami branżowymi i stanowymi. Organizacje działające na obu rynkach zazwyczaj dostosowują swoje wewnętrzne zasady zarządzania — często poprzez normę ISO/IEC 42001 — tak, aby konsekwentnie spełniać wymagania obu systemów.
Czy normy ISO/IEC 42001, ISO/IEC 27001 i ISO 9001 mogą być certyfikowane przez jedną jednostkę certyfikującą?
Tak. W przypadku gdy systemy zarządzania opierają się na wspólnej strukturze wysokiego poziomu stosowanej we współczesnych normach ISO, audyty można koordynować, a w stosownych przypadkach łączyć w zintegrowane cykle audytowe realizowane przez jedną jednostkę certyfikującą.
Czy norma ISO/IEC 42001 dotyczy konkretnie generatywnych systemów sztucznej inteligencji?
Norma ISO/IEC 42001 ma zastosowanie do systemów zarządzania sztuczną inteligencją w ujęciu ogólnym i nie ogranicza się do konkretnej techniki sztucznej inteligencji. Reguluje ona strukturę każdego systemu sztucznej inteligencji, który organizacja opracowuje, wdraża lub wykorzystuje — w tym generatywnej sztucznej inteligencji — zamiast nakazywać środki kontroli technicznej specyficzne dla danej techniki.
Czy obowiązki w zakresie zarządzania sztuczną inteligencją mają zastosowanie, jeśli korzystamy z narzędzi AI stron trzecich, zamiast tworzyć własne?
Obowiązki wynikające z unijnej ustawy o sztucznej inteligencji spoczywają w różnym stopniu na dostawcach i podmiotach wdrażających, a obowiązki podmiotów wdrażających mogą mieć zastosowanie nawet wtedy, gdy podstawowy model sztucznej inteligencji pochodzi od strony trzeciej. W przypadku wdrożenia przez organizację narzędzia sztucznej inteligencji wysokiego ryzyka mogą mieć zastosowanie jej własne obowiązki w zakresie zarządzania wynikające z ustawy i norm uzupełniających, niezależnie od tego, kto stworzył model.
Czy zarządzanie sztuczną inteligencją w wielu jurysdykcjach można realizować w ramach jednego programu certyfikacyjnego?
W przypadku wielu organizacji – tak. Chociaż unijna ustawa o sztucznej inteligencji, amerykański NIST AI RMF oraz powstające ramy prawne w Chinach, Japonii, Korei Południowej i Brazylii różnią się pod względem struktury prawnej, łączy je wspólne zasady zarządzania — przejrzystość, odpowiedzialność, zarządzanie ryzykiem oraz nadzór ludzki. Norma ISO/IEC 42001 jest coraz częściej wykorzystywana jako wspólna podstawa operacyjna, do której odwołują się wszystkie te ramy, a specyfika regionalna jest uwzględniana w ramach systemu zarządzania, a nie poprzez oddzielne certyfikacje.