Hvad ISO 42001 er
ISO/IEC 42001, der udkom i slutningen af 2023, stiller krav til et ledelsessystem for AI: de politikker, roller, risikoprocesser og kontroller, en organisation bruger til at udvikle, levere eller bruge AI ansvarligt. Den har samme struktur som ISO 27001 og kan certificeres af et akkrediteret organ. Dens Annex A oplister kontroller for AI-politik, intern organisering, ressourcer, konsekvensvurdering, AI-systemets livscyklus, data til AI-systemer, information til de berørte personer, brugen af AI-systemer og relationer til tredjeparter.
Det spørger kunderne om
En kunde, der nævner ISO 42001, beder som regel ikke om et certifikat som det første. Spørgsmålene følger standardens temaer:
- Om du har en AI-politik, hvem der har godkendt den, og hvem der har ansvaret for AI i virksomheden.
- Hvordan du vurderer risici og konsekvenser ved hver AI-funktion, før den frigives, også for de mennesker, som outputtet påvirker.
- Hvor de data, der bruges til at bygge, finjustere eller teste funktionen, kommer fra, og om kundedata indgår i dem.
- Hvordan du tester outputtet, hvad du overvåger i drift, og hvordan en fejl eller en klage håndteres.
- Hvad brugerne får at vide om AI'en og dens begrænsninger, og hvordan en person kan gennemgå eller tilsidesætte outputtet.
- Hvilke modeludbydere du er afhængig af, og hvordan du vurderer dem.
At svare med et certifikat
Vedhæft certifikatet, og gengiv omfanget præcist, for den, der gennemgår, vil tjekke, at de AI-funktioner, kunden køber, ligger inden for det. Besvar derefter hvert tema ud fra din anvendelseserklæring, præcis som for ISO 27001.
Besvarelse uden én
Besvar hver række for sig: hvad du gør, hvem der ejer det, og hvor det står skrevet. To dokumenter bærer de fleste svar. Det ene er en AI-politik på en side eller to. Det andet er en oversigt over dine AI-funktioner med den model, hver af dem bruger, de data, den ser, hvordan den testes, og hvem der gennemgår dens output. Er en certificering planlagt, så sig hvornår. En klar oversigt og en ærlig plan virker bedre end vage påstande om overensstemmelse.
I Responsemate
AI-politikken, oversigten og eventuelle certifikater ligger i vidensbasen som dokumentation med gennemgangsdatoer, ved siden af de godkendte svar, der er udarbejdet ud fra dem. Responsemates egne svar på disse spørgsmål, fra valget af model til den person, der godkender hvert svar, står på sikkerhedssiden.
Spørgsmål, folk stiller
Kræver EU's AI-forordning ISO 42001?
Nej. ISO 42001 er frivillig. Den hjælper med at vise, at AI styres på en organiseret måde, og nogle kunder beder om den som tegn på modenhed, men AI-forordningen kræver ikke et certifikat.
Kan vi blive certificeret efter ISO 42001, hvis vi kun bruger AI-modeller fra andre udbydere?
Ja. Standarden omfatter organisationer, der udvikler, leverer eller bruger AI-systemer. En leverandør, der bygger funktioner på en anden virksomheds model, er omfattet for den måde, funktionerne designes, testes, sættes i drift og overvåges på.
Vi har ISO 27001. Hvor meget af ISO 42001 har vi allerede?
Ledelsessystemets dele har samme form: omfang, politik, risikovurdering, intern audit, ledelsens evaluering. Det nye er de AI-specifikke kontroller, for eksempel konsekvensvurdering, data til AI-systemer og AI-systemets livscyklus.