ISO 42001

Η εφαρμογή του ISO/IEC 42001 μετατρέπει τη χρήση της Τεχνητής Νοημοσύνης από αποσπασματικές τεχνολογικές επιλογές σε οργανωμένο πλαίσιο διοίκησης. Έτσι η επιχείρηση μπορεί να αξιοποιεί την καινοτομία, χωρίς να παραμελεί την ευθύνη, τη διαφάνεια και τον έλεγχο.

• Σαφής εικόνα των εφαρμογών ΤΝ – Δημιουργείται οργανωμένο μητρώο των συστημάτων, των σκοπών, των ιδιοκτητών, των δεδομένων, των παρόχων και των επιχειρησιακών εξαρτήσεων.
• Υπεύθυνη και ελεγχόμενη χρήση – Καθορίζονται πολιτικές, επιτρεπόμενες χρήσεις, όρια, ανθρώπινη εποπτεία και διαδικασίες έγκρισης ανάλογα με τον κίνδυνο.
• Έγκαιρη αναγνώριση κινδύνων και επιπτώσεων – Εξετάζονται ζητήματα όπως μεροληψία, ανακρίβεια, ασφάλεια, προστασία δεδομένων, αδιαφάνεια, κατάχρηση και επιπτώσεις σε πρόσωπα ή κοινωνικές ομάδες.
• Ενίσχυση εμπιστοσύνης – Η τεκμηριωμένη διακυβέρνηση ενισχύει την αξιοπιστία απέναντι σε πελάτες, συνεργάτες, επενδυτές, εργαζομένους και αρμόδιες αρχές.
• Καλύτερος έλεγχος προμηθευτών ΤΝ – Καθορίζονται κριτήρια επιλογής, συμβατικές απαιτήσεις, πληροφορίες που πρέπει να παρέχονται και συνεχής παρακολούθηση εξωτερικών λύσεων.
• Προετοιμασία για κανονιστικές απαιτήσεις – Το σύστημα οργανώνει υπευθυνότητες, τεκμηρίωση, αξιολογήσεις, παρακολούθηση και διορθωτικές ενέργειες που μπορούν να υποστηρίξουν τη συμμόρφωση με εφαρμοζόμενες απαιτήσεις.
• Ασφαλέστερη καινοτομία – Η επιχείρηση μπορεί να δοκιμάζει και να επεκτείνει εφαρμογές ΤΝ μέσα σε καθορισμένο πλαίσιο, αντί να αναλαμβάνει μη ελεγχόμενους κινδύνους.
• Συνεχής παρακολούθηση της απόδοσης – Ορίζονται δείκτες, όρια αποδοχής, έλεγχοι μετά την εφαρμογή και διαδικασίες αντιμετώπισης υποβάθμισης, σφαλμάτων ή ανεπιθύμητων αποτελεσμάτων.

Η αποτελεσματική διακυβέρνηση ΤΝ ξεκινά από τη Διοίκηση και δεν μπορεί να περιορίζεται αποκλειστικά στο τμήμα πληροφορικής. Το ISO/IEC 42001 απαιτεί η χρήση της ΤΝ να συνδέεται με σαφείς πολιτικές, αρμοδιότητες, επιχειρηματικούς στόχους και μηχανισμούς λογοδοσίας.

• Πολιτική και στρατηγική ΤΝ – Καθορισμός των αρχών, των στόχων και των ορίων μέσα στα οποία ο οργανισμός αναπτύσσει ή χρησιμοποιεί ΤΝ.
• Ρόλοι, ευθύνες και λογοδοσία – Σαφής κατανομή ευθυνών μεταξύ Διοίκησης, ιδιοκτητών συστημάτων, τεχνικών ομάδων, χρηστών, υπευθύνων συμμόρφωσης και εξωτερικών παρόχων.
• Αποδεκτή και μη αποδεκτή χρήση – Κανόνες για εργαλεία παραγωγικής ΤΝ, εισαγωγή εμπιστευτικών δεδομένων, αυτοματοποιημένες αποφάσεις και χρήσεις που χρειάζονται ειδική έγκριση.
• Ανθρώπινη εποπτεία – Καθορισμός του πότε και με ποιον τρόπο ένας αρμόδιος άνθρωπος ελέγχει, αμφισβητεί, διορθώνει ή αναστέλλει το αποτέλεσμα ενός συστήματος ΤΝ.
• Επάρκεια και ενημέρωση – Εκπαίδευση των εργαζομένων ανάλογα με τον ρόλο τους, ώστε να κατανοούν τις δυνατότητες, τους περιορισμούς και τους κινδύνους των εφαρμογών που χρησιμοποιούν.
• Αναφορά προβλημάτων και συμβάντων – Διαδικασίες για την αναφορά εσφαλμένων αποτελεσμάτων, παραβιάσεων πολιτικής, μη αναμενόμενων συμπεριφορών και πιθανών επιπτώσεων σε ενδιαφερόμενα μέρη.
• Υπεύθυνη ΤΝ δεν σημαίνει απλώς «ηθικές αρχές» – Σημαίνει ότι οι αρχές μετατρέπονται σε συγκεκριμένες ευθύνες, κριτήρια έγκρισης, τεκμηριωμένες αποφάσεις, λειτουργικούς ελέγχους και στοιχεία που μπορούν να αξιολογηθούν.

Τα συστήματα ΤΝ μπορούν να δημιουργήσουν κινδύνους που δεν αντιμετωπίζονται επαρκώς με μια γενική αξιολόγηση πληροφοριακής ασφάλειας ή επιχειρησιακού κινδύνου. Το ISO/IEC 42001 απαιτεί συστηματική εξέταση τόσο των κινδύνων για τον οργανισμό όσο και των πιθανών επιπτώσεων σε άτομα, ομάδες και κοινωνία.

• Προβλεπόμενος σκοπός και πλαίσιο χρήσης – Αξιολόγηση του τι έχει σχεδιαστεί να κάνει το σύστημα, σε ποιο περιβάλλον και υπό ποιες προϋποθέσεις επιτρέπεται να χρησιμοποιείται.
• Επηρεαζόμενα πρόσωπα και ενδιαφερόμενα μέρη – Αναγνώριση όσων μπορεί να επηρεαστούν άμεσα ή έμμεσα από τις αποφάσεις ή τα αποτελέσματα της ΤΝ.
• Ακρίβεια, αξιοπιστία και ανθεκτικότητα – Έλεγχος του κατά πόσο το σύστημα αποδίδει σταθερά, μέσα σε καθορισμένα όρια και σε διαφορετικές πραγματικές συνθήκες.
• Μεροληψία και άνιση μεταχείριση – Εξέταση δεδομένων, κριτηρίων και αποτελεσμάτων για πιθανές συστηματικές στρεβλώσεις ή δυσμενείς επιπτώσεις.
• Ιδιωτικότητα και ασφάλεια πληροφοριών – Έλεγχος προσωπικών, εμπιστευτικών και ευαίσθητων δεδομένων, πρόσβασης, διαρροών, επιθέσεων και μη επιτρεπόμενης επαναχρησιμοποίησης.
• Διαφάνεια και δυνατότητα κατανόησης – Καθορισμός των πληροφοριών που πρέπει να παρέχονται σε χρήστες, πελάτες ή επηρεαζόμενα πρόσωπα σχετικά με τη χρήση και τους περιορισμούς του συστήματος.
• Προβλέψιμη κακή χρήση – Αξιολόγηση τρόπων με τους οποίους το σύστημα μπορεί να χρησιμοποιηθεί πέρα από τον επιτρεπόμενο σκοπό ή να οδηγήσει σε ανεπιθύμητα αποτελέσματα.
• Αποδοχή και αντιμετώπιση κινδύνου – Καθορισμός μέτρων, υπευθύνων, προθεσμιών, υπολειπόμενου κινδύνου και αρμόδιου επιπέδου έγκρισης πριν από την εφαρμογή.
• Η αξιολόγηση επιπτώσεων δεν είναι μια εφάπαξ άσκηση – Πρέπει να επανεξετάζεται όταν αλλάζει ο σκοπός, το μοντέλο, τα δεδομένα, το περιβάλλον χρήσης, ο πάροχος, το επίπεδο αυτοματοποίησης ή οι ομάδες που επηρεάζονται.

Η υπεύθυνη λειτουργία δεν ολοκληρώνεται με την προμήθεια ή την έναρξη χρήσης ενός εργαλείου. Το ISO/IEC 42001 απαιτεί ελέγχους από την αρχική σύλληψη έως την απόσυρση του συστήματος, είτε η λύση αναπτύσσεται εσωτερικά είτε παρέχεται από τρίτο μέρος.

• Καθορισμός ανάγκης και απαιτήσεων – Τεκμηρίωση του επιχειρηματικού σκοπού, των αναμενόμενων αποτελεσμάτων, των περιορισμών και των κριτηρίων αποδοχής πριν από την επιλογή λύσης.
• Δεδομένα και προέλευση – Έλεγχος ποιότητας, καταλληλότητας, αντιπροσωπευτικότητας, νόμιμης χρήσης και ιχνηλασιμότητας των δεδομένων.
• Σχεδιασμός, ανάπτυξη και δοκιμές – Καθορισμένες μέθοδοι ανάπτυξης, επαλήθευσης, επικύρωσης και τεκμηρίωσης πριν από την παραγωγική χρήση.
• Έγκριση και εφαρμογή – Επιβεβαίωση ότι οι κίνδυνοι έχουν αντιμετωπιστεί, έχουν οριστεί οι χρήστες, η εποπτεία και οι συνθήκες ασφαλούς λειτουργίας.
• Παρακολούθηση μετά την εφαρμογή – Έλεγχος απόδοσης, αποκλίσεων, μεταβολής δεδομένων, σφαλμάτων, παραπόνων, περιστατικών και πραγματικών επιπτώσεων.
• Διαχείριση αλλαγών – Επανεκτίμηση όταν τροποποιείται μοντέλο, έκδοση, δεδομένα, λειτουργία, προμηθευτής, διασύνδεση ή επιχειρησιακή χρήση.
• Έλεγχος εξωτερικών παρόχων – Αξιολόγηση διαφάνειας, ασφάλειας, επιπέδων υπηρεσίας, δικαιωμάτων δεδομένων, υποστήριξης, αλλαγών και δυνατότητας ελέγχου.
• Απόσυρση και μετάβαση – Ασφαλής διακοπή χρήσης, διαχείριση δεδομένων και αρχείων, ενημέρωση χρηστών και μετάβαση σε εναλλακτική λύση όπου απαιτείται.
• Ιδιαίτερη προσοχή στις εφαρμογές παραγωγικής ΤΝ – Η εύκολη πρόσβαση σε εργαλεία παραγωγικής ΤΝ αυξάνει τον κίνδυνο μη εγκεκριμένης χρήσης, εισαγωγής εμπιστευτικών πληροφοριών, ανακριβών απαντήσεων και μη ελεγχόμενης ενσωμάτωσης αποτελεσμάτων σε επιχειρησιακές αποφάσεις. Το σύστημα πρέπει να ορίζει σαφείς κανόνες και ελέγχους.

Ο Ευρωπαϊκός Κανονισμός για την Τεχνητή Νοημοσύνη, γνωστός ως AI Act, θεσπίζει ένα κανονιστικό πλαίσιο βασισμένο στον κίνδυνο για την ανάπτυξη, τη διάθεση και τη χρήση συστημάτων ΤΝ στην Ευρωπαϊκή Ένωση. Οι υποχρεώσεις διαφοροποιούνται ανάλογα με τον ρόλο του οργανισμού, το είδος του συστήματος και την κατηγορία κινδύνου. Το ISO/IEC 42001 δεν αντικαθιστά τον Κανονισμό και η πιστοποίηση δεν αποτελεί από μόνη της απόδειξη πλήρους νομικής συμμόρφωσης. Μπορεί, όμως, να δημιουργήσει την οργανωτική βάση για να εφαρμόζονται πιο συστηματικά οι απαιτήσεις που αφορούν διακυβέρνηση, υπευθυνότητες, διαχείριση κινδύνων, ανθρώπινη εποπτεία, τεκμηρίωση, παρακολούθηση και διορθωτικές ενέργειες.

• Καταγραφή ρόλων και συστημάτων – Βοηθά τον οργανισμό να γνωρίζει αν λειτουργεί ως πάροχος, φορέας εφαρμογής, εισαγωγέας, διανομέας ή άλλος εμπλεκόμενος και ποια συστήματα ΤΝ βρίσκονται στο πεδίο του.
• Αξιολόγηση και ταξινόμηση κινδύνου – Υποστηρίζει τη συστηματική εξέταση σκοπού, επιπτώσεων και κινδύνων, χωρίς να υποκαθιστά τη νομική ταξινόμηση που απαιτεί ο Κανονισμός.
• Τεκμηριωμένη λογοδοσία – Δημιουργεί πολιτικές, εγκρίσεις, αρχεία, υπευθυνότητες και αποδεικτικά στοιχεία για τον τρόπο με τον οποίο λαμβάνονται και επανεξετάζονται οι αποφάσεις.
• Εποπτεία και παρακολούθηση – Οργανώνει ανθρώπινη εποπτεία, δείκτες απόδοσης, αναφορά συμβάντων, διορθωτικές ενέργειες και έλεγχο μετά την έναρξη χρήσης.
• Ενημέρωση και επάρκεια προσωπικού – Υποστηρίζει την εκπαίδευση και την κατανόηση των ευθυνών από εργαζομένους που επιλέγουν, διαχειρίζονται ή χρησιμοποιούν συστήματα ΤΝ.
• Συνεχής προσαρμογή – Παρέχει μηχανισμό επανεξέτασης όταν αλλάζουν η νομοθεσία, οι κατευθυντήριες οδηγίες, οι τεχνολογίες ή οι εφαρμογές του οργανισμού.
• Σημαντική διευκρίνιση – Το ISO/IEC 42001 είναι πρότυπο συστήματος διαχείρισης και όχι νομική γνωμοδότηση ή «πιστοποίηση AI Act». Η αντιστοίχιση με κανονιστικές απαιτήσεις πρέπει να γίνεται βάσει του συγκεκριμένου ρόλου, του συστήματος ΤΝ και του εφαρμοζόμενου νομοθετικού πλαισίου.

Η ILIS CONSULTING αναπτύσσει το Σύστημα Διαχείρισης ΤΝ πάνω στις πραγματικές εφαρμογές, στους κινδύνους και στις ευθύνες του οργανισμού. Η μεθοδολογία δεν ξεκινά από έτοιμα υποδείγματα, αλλά από την κατανόηση του τρόπου με τον οποίο η ΤΝ χρησιμοποιείται ή πρόκειται να χρησιμοποιηθεί.

1. Αρχική αξιολόγηση και χαρτογράφηση εφαρμογών ΤΝ – Καταγράφουμε συστήματα, εργαλεία, μοντέλα, προμηθευτές, σκοπούς χρήσης, δεδομένα, ιδιοκτήτες, χρήστες, επηρεαζόμενα μέρη και υφιστάμενους ελέγχους.
2. Καθορισμός πεδίου εφαρμογής και κανονιστικού πλαισίου – Προσδιορίζουμε ποια τμήματα, προϊόντα, υπηρεσίες και δραστηριότητες θα ενταχθούν στο σύστημα και ποιες νομικές, συμβατικές ή κλαδικές απαιτήσεις πρέπει να εξεταστούν.
3. Διακυβέρνηση, πολιτική και αρμοδιότητες – Καθορίζουμε Πολιτική ΤΝ, επιτροπές ή ρόλους εποπτείας, διαδικασίες έγκρισης, κανόνες αποδεκτής χρήσης, ευθύνες και μηχανισμούς αναφοράς.
4. Αξιολόγηση κινδύνων και επιπτώσεων – Αναπτύσσουμε μεθοδολογία αξιολόγησης για κάθε χρήση ΤΝ και τεκμηριώνουμε μέτρα, ιδιοκτήτες κινδύνου, υπολειπόμενο κίνδυνο και εγκρίσεις.
5. Έλεγχοι κύκλου ζωής, δεδομένων και προμηθευτών – Οργανώνουμε απαιτήσεις για σχεδιασμό, προμήθεια, ανάπτυξη, δοκιμές, εφαρμογή, παρακολούθηση, αλλαγές, δεδομένα, εξωτερικούς παρόχους και απόσυρση.
6. Εφαρμογή και εκπαίδευση – Υποστηρίζουμε τη λειτουργία των διαδικασιών και εκπαιδεύουμε τη Διοίκηση, τους ιδιοκτήτες συστημάτων, τους τεχνικούς, τους χρήστες και τα αρμόδια στελέχη.
7. Παρακολούθηση, εσωτερική επιθεώρηση και ανασκόπηση – Ελέγχουμε δείκτες, συμβάντα, αποκλίσεις και αποτελέσματα, διενεργούμε εσωτερική επιθεώρηση και υποστηρίζουμε την ανασκόπηση του συστήματος από τη Διοίκηση.
8. Προετοιμασία και υποστήριξη πιστοποίησης – Οργανώνουμε τον τελικό έλεγχο ετοιμότητας, τις διορθωτικές ενέργειες και την προετοιμασία των εμπλεκομένων για την επιθεώρηση του ανεξάρτητου Φορέα Πιστοποίησης.
9. Η προσέγγιση της ILIS CONSULTING – Στόχος μας δεν είναι να δημιουργήσουμε έναν γενικό φάκελο πολιτικών για την ΤΝ. Αναπτύσσουμε ένα σύστημα που επιτρέπει στη Διοίκηση να γνωρίζει ποιες εφαρμογές χρησιμοποιούνται, ποιοι κίνδυνοι γίνονται αποδεκτοί, ποια μέτρα εφαρμόζονται και ποιος λογοδοτεί για κάθε κρίσιμη απόφαση.