Vad ISO 42001 är
ISO/IEC 42001, publicerad i slutet av 2023, ställer krav på ett ledningssystem för AI: de policyer, roller, riskprocesser och kontroller som en organisation använder för att utveckla, tillhandahålla eller använda AI på ett ansvarsfullt sätt. Den har samma struktur som ISO 27001 och kan certifieras av ett ackrediterat organ. Dess bilaga A listar kontroller för AI-policy, intern organisation, resurser, konsekvensbedömning, AI-systemets livscykel, data för AI-system, information till de berörda, användningen av AI-system och relationer med tredje parter.
Vad kunder frågar
En kund som nämner ISO 42001 frågar oftast inte efter ett certifikat i första hand. Frågorna följer standardens teman:
- Om du har en AI-policy, vem som har godkänt den och vem som är ansvarig för AI i företaget.
- Hur du bedömer risker och konsekvenser för varje AI-funktion innan den släpps, även för de personer som påverkas av dess utdata.
- Var data som används för att bygga, finjustera eller testa funktionen kommer ifrån, och om kunddata ingår.
- Hur du testar utdata, vad du övervakar i produktion och hur ett fel eller ett klagomål hanteras.
- Vad användarna får veta om AI:n och dess begränsningar, och hur en person kan granska eller åsidosätta utdata.
- Vilka modelleverantörer du förlitar dig på och hur du bedömer dem.
Att svara med ett certifikat
Bifoga certifikatet och citera omfattningen ordagrant, eftersom granskaren kontrollerar att AI-funktionerna de köper ingår i den. Svara sedan på varje tema utifrån ditt uttalande om tillämplighet, precis som för ISO 27001.
Att svara utan
Besvara varje rad utifrån hur det faktiskt är: vad du gör, vem som äger det och var det finns nedskrivet. Två dokument bär de flesta svaren. Det ena är en AI-policy på en eller två sidor. Det andra är en förteckning över dina AI-funktioner, med modellen var och en använder, vilka data den ser, hur den testas och vem som granskar dess utdata. Om certifiering är planerad, säg när. En tydlig förteckning och en ärlig plan gör ett bättre intryck än vaga påståenden om att ni ligger i linje med standarden.
I Responsemate
AI-policyn, förteckningen och eventuella certifikat ligger i kunskapsbasen som underlag med granskningsdatum, bredvid de godkända svar som skrivits utifrån dem. Responsemates egna svar på de här frågorna, från valet av modell till personen som godkänner varje svar, finns på säkerhetssidan.
Vanliga frågor
Kräver AI-förordningen ISO 42001?
Nej. ISO 42001 är frivillig. Den hjälper till att visa att AI styrs på ett ordnat sätt, och vissa kunder frågar efter den som ett tecken på mognad, men AI-förordningen kräver inget certifikat.
Kan vi certifieras enligt ISO 42001 om vi bara använder AI-modeller från andra leverantörer?
Ja. Standarden gäller organisationer som utvecklar, tillhandahåller eller använder AI-system. En leverantör som bygger funktioner på ett annat företags modell omfattas för hur den utformar, testar, driftsätter och övervakar de funktionerna.
Vi har ISO 27001. Hur mycket av ISO 42001 har vi redan?
Delarna om ledningssystemet har samma form: omfattning, policy, riskbedömning, internrevision, ledningens genomgång. Det nya är de AI-specifika kontrollerna, som konsekvensbedömning, data för AI-system och AI-systemets livscykel.