ISO 42001 w firmie: jak uporządkować korzystanie z gotowych narzędzi AI

ISO 42001 to międzynarodowy standard zarządzania sztuczną inteligencją, który opisuje, jak organizacja ma nadzorować systemy AI przez cały ich cykl użycia. Dotyczy nie tylko firm tworzących własne modele, ale również tych, które korzystają z gotowych narzędzi dostępnych na rynku.

Czym jest ISO 42001 i dlaczego dotyczy także użytkowników AI?

Standard został opublikowany w grudniu 2023 roku jako norma ISO/IEC i wprowadza pojęcie systemu zarządzania AI, w skrócie AIMS. Warto od razu zaznaczyć, czym ISO 42001 nie jest. To nie jest specyfikacja techniczna ani lista wymagań dla konkretnego oprogramowania. Nie wskazuje też, jakich narzędzi firma ma używać. Opisuje natomiast wymagania organizacyjne: jak firma podejmuje decyzje, kto za co odpowiada i jak reaguje, gdy coś pójdzie nie tak.

Dla małych i średnich firm, które wykorzystują gotowe rozwiązania do pisania tekstów, analizy danych czy obsługi klienta, to istotna informacja. Standard obejmuje zarówno twórców, jak i użytkowników systemów AI. Oznacza to, że sam fakt płacenia za subskrypcję nie zwalnia z odpowiedzialności za sposób, w jaki narzędzie jest wykorzystywane.

Struktura zgodna z normami, które firma już zna

Układ standardu jest zbudowany podobnie jak normy dotyczące jakości i bezpieczeństwa informacji. Jeśli firma ma już za sobą wdrożenie innych systemów zarządzania, nie zaczyna od zera. Może wykorzystać istniejącą dokumentację, procedury audytu i przypisane role.

Jakie obszary obejmuje system zarządzania AI?

Wdrożenie AIMS koncentruje się na trzech filarach: polityce dotyczącej AI, rolach i odpowiedzialnościach oraz procedurze reagowania na incydenty. Poniższa tabela pokazuje, jak te obszary przekładają się na praktykę w firmie korzystającej z gotowych narzędzi.

Obszar	Co oznacza w praktyce	Kto odpowiada
Polityka AI	Jasne zasady, jakich narzędzi i danych pracownicy mogą używać	Zarząd i dział IT
Role i odpowiedzialności	Wskazanie osób nadzorujących wykorzystanie AI w poszczególnych działach	Kierownictwo firmy
Dane wejściowe	Kontrola tego, jakie informacje trafiają do narzędzia	Firma
Decyzje oparte na AI	Weryfikacja wyników przed ich użyciem	Firma
Działanie modelu	Jakość i poprawność działania systemu	Dostawca
Reagowanie na incydenty	Procedura postępowania po wycieku danych lub błędzie wyniku	Firma, we współpracy z dostawcą

Tabela pokazuje podział, który najczęściej zaskakuje przedsiębiorców. Dostawca narzędzia odpowiada za to, jak działa model. Za to, co firma wpisuje do narzędzia i co robi z wynikami, odpowiada już sama firma.

Co to jest shadow AI i dlaczego jest największym zagrożeniem?

Shadow AI to korzystanie z narzędzi sztucznej inteligencji poza kontrolą działu IT. Pracownik, który wkleja fragment umowy do darmowego chatbota, aby szybciej ją streścić, nie robi tego ze złej woli. Mimo to tworzy ryzyko, o którym kierownictwo może nie wiedzieć.

Najczęściej wymieniane zagrożenia to trzy kategorie:

• wyciek danych do zewnętrznych chmur, zwłaszcza gdy w grę wchodzą dane osobowe lub tajemnice handlowe,
• błędy algorytmu, które przechodzą do dokumentów i decyzji bez sprawdzenia,
• halucynacje, czyli wiarygodnie brzmiące, ale nieprawdziwe odpowiedzi generowane przez model.

Jak ograniczyć shadow AI w praktyce?

Zakaz bez alternatywy zwykle nie działa. Skuteczniejsze jest wskazanie zatwierdzonych narzędzi, krótka instrukcja dla zespołu i jasna procedura zgłaszania nowych rozwiązań, które pracownicy chcieliby wypróbować. Dobrze jest też określić, jakich danych nigdy nie wolno wprowadzać do systemów zewnętrznych.

Czy certyfikat ISO 42001 jest potrzebny?

Certyfikat nie jest obowiązkowy, gdy AI służy wyłącznie do wewnętrznych notatek. Im bardziej jednak narzędzie wpływa na dane klientów, decyzje finansowe czy komunikację zewnętrzną, tym większe znaczenie ma formalne uporządkowanie procesów.

Certyfikację ISO 42001 prowadzi Bureau Veritas, która łączy audyt systemu AIMS z audytami ISO 27001 i ISO 9001. Dla firm, które mają już te certyfikaty, oznacza to jeden zakres prac zamiast kilku osobnych procesów.

Warto pamiętać o unijnym akcie o AI. Certyfikat ułatwia wykazanie należytej staranności, ale nie zwalnia z obowiązków prawnych. Firma nadal musi spełniać wymogi wynikające z przepisów, niezależnie od posiadanego dokumentu.

Co to oznacza dla Ciebie?

Jeśli w Twojej firmie pracownicy korzystają z narzędzi AI, zacznij od prostego audytu: sprawdź, z jakich rozwiązań faktycznie się korzysta, także poza oficjalnymi kanałami. Następnie wyznacz osobę odpowiedzialną za nadzór nad AI i spisz krótką politykę, która określi dozwolone narzędzia oraz rodzaje danych. Na koniec przygotuj prostą procedurę na wypadek wycieku lub błędnego wyniku.

Pamiętaj, że odpowiedzialność za dane wejściowe i decyzje spoczywa na Tobie, a nie na dostawcy. Dla firm z certyfikatami ISO 27001 lub ISO 9001 wdrożenie ISO 42001 jest zwykle znacznie prostsze, bo część procesów już istnieje i wystarczy ją rozszerzyć.