Razvoj metodologije za implementaciju ISO/IEC 42001: od zahteva standarda do operativnog sistema upravljanja
Razvoj integrisanog radnog okvira koji povezuje zahteve ISO/IEC 42001, upravljanje AI sistemima, procene rizika i uticaja, izbor kontrola, dokumentaciju i dokaze o njihovoj primeni.
- Projekat
- Razvoj autorske metodologije i primena u konsultantskoj praksi
- Tip
- Metodologija, dokumentacioni okvir i implementacija
- Uloga
- Metodološki razvoj, projektovanje instrumenata i vođenje implementacije
- Oblasti
- ISO/IEC 42001, AI Governance, AI Risk Management, AI Management Systems
Implementacija ISO/IEC 42001 zahteva više od tumačenja pojedinačnih odredaba standarda i izrade odgovarajuće dokumentacije. Njena suština je uspostavljanje sistema kroz koji organizacija može da upravlja razvojem, pružanjem i korišćenjem veštačke inteligencije, određuje odgovornosti, procenjuje rizike i uticaje, donosi odluke o kontrolama i proverava njihovu delotvornost.
Standard propisuje zahteve koje sistem upravljanja veštačkom inteligencijom mora da ispuni, ali organizacijama ne daje jedinstven operativni model njegove implementacije. Način na koji će zahtevi biti prevedeni u interne procese, radne zadatke, registre, odluke i evidencije zavisi od organizacionog konteksta, uloga u odnosu na AI sisteme, prirode tih sistema i postojećih mehanizama upravljanja.
Na toj osnovi razvijena je metodologija čiji su centralni elementi integrisani implementacioni workbook, skup međusobno povezanih dokumentacionih šablona i definisan redosled njihovog uvođenja u organizacione procese. Metodologija je razvijena kao instrument za strukturirano vođenje implementacije, a ne kao unapred pripremljen skup dokumenata koji se može primeniti bez razumevanja organizacije.
Kako uspostaviti sledljivost između zahteva standarda, odluka organizacije i njihove stvarne primene?
Kod ISO/IEC 42001 međusobna povezanost zahteva posebno je izražena, jer predmet upravljanja nisu samo organizacioni procesi, već i AI sistemi koji se razlikuju prema nameni, načinu razvoja, stepenu autonomije, korišćenim resursima, kontekstu primene i mogućim posledicama.
Obuhvat sistema upravljanja određuje koje aktivnosti i AI sistemi moraju biti razmotreni. Njihova identifikacija osnova je za razumevanje rizika i uticaja. Rezultati procena utiču na izbor mera, a obrazloženje njihove primenljivosti odražava se u izjavi o primenljivosti kontrola. Konačno, organizacija mora da pokaže ne samo da su kontrole definisane, već i kako se sprovode i proveravaju.
Dodatni zahtev bila je prilagodljivost: ista metodologija trebalo je da podrži organizacije koje razvijaju sopstvene AI sisteme, one koje integrišu rešenja trećih strana i one koje pretežno koriste komercijalno dostupne AI alate.
- 01 →Obuhvat
- 02 →AI sistemi
- 03 →Rizici i uticaji
- 04 →Mere
- 05 →Izjava o primenljivosti
- 06Dokazi
Projektovanje integrisanog procesa implementacije
Metodologija je zasnovana na sistematskoj analizi zahteva ISO/IEC 42001:2023, uključujući zahteve za sistem upravljanja iz poglavlja 4–10, referentne kontrole iz Aneksa A i smernice za njihovu implementaciju iz Aneksa B. Prvi korak bio je razlikovanje tri međusobno povezane ravni implementacije.
Organizacioni nivo
Obuhvata kontekst organizacije, obuhvat sistema upravljanja, zainteresovane strane, politiku, ciljeve, odgovornosti, raspodelu resursa i mehanizme nadzora.
Nivo pojedinačnih AI sistema
Obuhvata identifikaciju i opis sistema, njegovu namenu, životni ciklus, povezane resurse i dobavljače, procene rizika i uticaja, zahteve za ljudskim nadzorom i druge mere relevantne za konkretan sistem.
Nivo usaglašenosti i provere
Povezuje zahteve standarda sa sprovedenim aktivnostima, primenljivim kontrolama, dokumentovanim informacijama i dokazima o primeni i delotvornosti.
Umesto da svaki zahtev standarda bude predstavljen kao zaseban zadatak ili dokument, zahtevi su povezani u radne celine koje prate logičke i operativne zavisnosti: koje informacije prethode određenoj odluci, gde se dokumentuju, ko je odgovoran za njihovo potvrđivanje i kojim dokazima se kasnije potkrepljuje sprovođenje odluke.
Centralni instrument za prikupljanje, povezivanje i praćenje informacija
Radni listovi nisu organizovani isključivo prema redosledu odredaba standarda, već prema informacijama koje organizacija mora da pribavi, procenama koje mora da sprovede i odlukama koje je potrebno dokumentovati tokom implementacije.
Šta workbook obuhvata
01Kontekst, upravljanje i obuhvat
Organizacioni kontekst, zainteresovane strane, odgovornosti, postojeći mehanizmi upravljanja i definisanje obuhvata sistema upravljanja veštačkom inteligencijom.
02Inventar AI sistema
Strukturirana evidencija koja, pored osnovne identifikacije, uključuje namenu, kontekst upotrebe, uloge organizacije, fazu životnog ciklusa, dobavljače, tehnološke komponente, kategorije podataka i nadzor. Posebna pažnja posvećena je razlikovanju AI sistema od modela i infrastrukturnih servisa na kojima se zasniva, radi primerenijeg određivanja jedinice procene i odgovornosti.
03Procene rizika i uticaja
Zasebni, ali povezani radni listovi za kriterijume rizika, identifikaciju i vrednovanje rizika, procenu uticaja i postupanje sa rizicima. Procena rizika podržava odluke u kontekstu ciljeva i poslovanja organizacije, dok procena uticaja razmatra moguće posledice po pojedince, grupe i društvo.
04Primenljivost kontrola i planiranje mera
Izjava o primenljivosti kontrola povezana sa postupanjem sa rizicima: osnov primenljivosti, obrazloženje odluka o uključivanju ili isključivanju i veza sa merama, odgovornostima i raspoloživim dokazima.
05Životni ciklus, resursi i treće strane
Razvoj, nabavka, integracija, upotreba, promene i prestanak korišćenja AI sistema, kao i relevantni podaci, resursi, eksterni dobavljači i drugi učesnici.
06Dokazi i provera usaglašenosti
Praćenje zahteva standarda, relevantnih dokumenata, dokaza, aktivnosti i rezultata provere delotvornosti kontrola.
Samo evidentiranje neke aktivnosti ne poistovećuje se sa njenom delotvornom primenom. Metodologija zato razlikuje definisanje zahteva, postojanje odgovarajućih dokaza i rezultate provere sprovedenih kontrola.
Od prikupljenih informacija do politika, procedura i sistemskih zapisa
Paralelno sa workbookom razvijen je dokumentacioni okvir, strukturiran prema funkciji dokumenata.
Sistem upravljanja
Dokumenti kojima se definišu obuhvat, politika, ciljevi, odgovornosti i osnovna pravila upravljanja veštačkom inteligencijom.
Procesi
Šabloni za upravljanje rizicima, procene uticaja, životni ciklus, dobavljače, podatke i modele, ljudski nadzor, promene, incidente i druge relevantne aktivnosti.
Pojedinačni AI sistemi
Zapisi koji povezuju karakteristike sistema sa sprovedenim procenama, odlukama, kontrolama, odgovornim licima i rezultatima provera.
Praćenje usaglašenosti
Dokumenti i evidencije za interne provere, preispitivanje od strane rukovodstva i korektivne aktivnosti.
Workbook
Strukturirana radna osnova za prikupljanje informacija, donošenje odluka i praćenje napretka.
Šabloni
Formalizuju odluke kroz odgovarajuća pravila, postupke i zapise.
Dokazi
Potvrđuju šta je zaista sprovedeno.
Ova podela funkcija bila je ključna projektantska odluka. Takva arhitektura omogućava sledljivost između zahteva standarda, interne dokumentacije, konkretnih AI sistema i rezultata primene, uz ograničavanje nepotrebnog ponavljanja informacija.
Implementacija u tehnološkoj organizaciji sa različitim AI ulogama
Metodologija je primenjena u okviru angažmana na uspostavljanju sistema upravljanja veštačkom inteligencijom u evropskoj tehnološkoj organizaciji čije aktivnosti obuhvataju razvoj AI rešenja, integraciju tehnologija trećih strana i interno korišćenje AI alata.
Zbog poverljivosti angažmana, identitet organizacije, pojedinačni AI sistemi, sadržaj internih procena i operativni nalazi nisu obuhvaćeni ovom studijom slučaja.
Sistemi koje organizacija razvija
Aktivnosti životnog ciklusa, razvojne odluke, testiranje, validacija, dokumentovanje resursa i odgovarajuće kontrole.
Rešenja sa komponentama trećih strana
Granice odgovornosti, upravljanje dobavljačima, raspoloživost informacija o eksternim komponentama i kontrole koje organizacija može neposredno da sprovodi.
Interna upotreba komercijalnih AI alata
Odobravanje upotrebe, dozvoljene namene, pristup podacima, ljudski nadzor, prihvatanje rezultata i organizaciona kontrola korišćenja.
Faze angažmana
- 01Osnova i inventar AI sistema
- 02Politike i procedure
- 03Rizici, uticaji i kontrole
- 04Sistemski zapisi i evidencije
- 05Provera usaglašenosti
Strukturiran i ponovljiv postupak implementacije
Rezultat projekta nije pojedinačan dokument niti generički komplet šablona, već integrisana metodologija koja obuhvata:
Implementacioni model
Definisane faze rada, redosled aktivnosti i međusobne zavisnosti zahteva, procena i odluka.
Popunjen workbook ili usvojena procedura sami po sebi ne predstavljaju dokaz da je zahtev ispunjen. Metodologija zato ne zamenjuje stručnu procenu, odgovornost rukovodstva, internu proveru ili nezavisnu ocenu usaglašenosti. Njena funkcija je da te aktivnosti učini strukturiranijim i obezbedi odgovarajuću dokumentacionu osnovu za njihovo sprovođenje.
Operacionalizacija ISO/IEC 42001 kroz povezane procese upravljanja
Značaj projekta nije ograničen na standardizaciju dokumentacije. Osnovna vrednost nalazi se u metodološkom povezivanju organizacionog upravljanja, karakteristika pojedinačnih AI sistema, procena rizika i uticaja, izbora kontrola i dokaza o njihovoj primeni.
Cilj metodologije je sistem upravljanja koji organizacija može samostalno da primenjuje, održava i unapređuje, a ne samo da dokumentuje radi jednokratne provere usaglašenosti.
Započnimo saradnju.
Upitnik za saradnju
Za timove koji već imaju definisan projekat, AI sistem ili konkretnu regulatornu dilemu.
Uvodni razgovor
Za rukovodioce i timove kojima je potreban neposredan uvid u sledeće korake.
Za medijske upite, predavanja i direktan kontakt: tamara@zavisic.com