Hva ISO 42001 er
ISO/IEC 42001, publisert mot slutten av 2023, stiller krav til et styringssystem for KI: retningslinjene, rollene, risikoprosessene og kontrollene en organisasjon bruker for å utvikle, levere eller bruke KI på en ansvarlig måte. Den følger samme struktur som ISO 27001 og kan sertifiseres av et akkreditert organ. Annex A lister kontroller for KI-policy, intern organisering, ressurser, konsekvensvurdering, KI-systemets livssyklus, data for KI-systemer, informasjon til de berørte, bruk av KI-systemer og forholdet til tredjeparter.
Hva kundene spør om
En kunde som nevner ISO 42001, spør som regel ikke først etter et sertifikat. Spørsmålene følger temaene i standarden:
- Om dere har en KI-policy, hvem som har godkjent den, og hvem som har ansvaret for KI i selskapet.
- Hvordan dere vurderer risikoen og konsekvensene av hver KI-funksjon før den lanseres, også for menneskene resultatene påvirker.
- Hvor dataene som brukes til å bygge, finjustere eller teste funksjonen, kommer fra, og om kundedata er en del av dem.
- Hvordan dere tester resultatene, hva dere overvåker i produksjon, og hvordan en feil eller en klage håndteres.
- Hva brukerne får vite om KI-en og begrensningene dens, og hvordan et menneske kan gjennomgå eller overstyre resultatet.
- Hvilke modelleverandører dere er avhengige av, og hvordan dere vurderer dem.
Å svare med et sertifikat
Legg ved sertifikatet og gjengi omfanget nøyaktig, fordi den som vurderer vil sjekke at KI-funksjonene de kjøper, ligger innenfor. Svar deretter på hvert tema ut fra erklæringen om anvendelse, akkurat som for ISO 27001.
Å svare uten
Svar på hver rad for seg: hva dere gjør, hvem som eier det, og hvor det står skrevet. To dokumenter bærer de fleste svarene. Det ene er en KI-policy på en side eller to. Det andre er en oversikt over KI-funksjonene deres, med modellen hver av dem bruker, dataene den ser, hvordan den testes og hvem som gjennomgår resultatene. Er sertifisering planlagt, si når. En tydelig oversikt og en ærlig plan virker bedre enn vage påstander om samsvar.
I Responsemate
KI-policyen, oversikten og eventuelle sertifikater ligger i kunnskapsbasen som dokumentasjon med gjennomgangsdatoer, ved siden av de godkjente svarene som er laget ut fra dem. Responsemates egne svar på disse spørsmålene, fra valget av modell til personen som godkjenner hvert svar, finner du på sikkerhetssiden.
Vanlige spørsmål
Krever KI-forordningen ISO 42001?
Nei. ISO 42001 er frivillig. Den bidrar til å vise at KI styres på en ordnet måte, og noen kunder ber om den som et tegn på modenhet, men KI-forordningen krever ikke noe sertifikat.
Kan vi bli sertifisert etter ISO 42001 hvis vi bare bruker KI-modeller fra andre leverandører?
Ja. Standarden omfatter organisasjoner som utvikler, leverer eller bruker KI-systemer. En leverandør som bygger funksjoner på et annet selskaps modell, er innenfor omfanget for hvordan den utformer, tester, tar i bruk og overvåker disse funksjonene.
Vi har ISO 27001. Hvor mye av ISO 42001 har vi allerede?
Delene om styringssystemet har samme form: omfang, policy, risikovurdering, internrevisjon, ledelsens gjennomgang. Det nye er de KI-spesifikke kontrollene, som konsekvensvurdering, data for KI-systemer og KI-systemets livssyklus.