Сертыфікат ISO/IEC 42001 з міжнароднай акрэдытацыяй

ISO/IEC 42001:2023 — міжнародны стандарт сістэмы менеджменту штучнага інтэлекту (AIMS): як арганізацыя выяўляе і кантралюе рызыкі ШІ, размяркоўвае адказнасць і дакументуе працэсы на працягу ўсяга жыццёвага цыкла — ад даных да вываду сістэмы з эксплуатацыі.

Падыходзіць не толькі кампаніям, якія распрацоўваюць AI-прадукт. Ён жа патрэбны тым, хто выкарыстоўвае ШІ аперацыйна — у найме, скорынгу, дыягностыцы, — і тым, хто закупляе гатовыя AI-рашэнні ў вендараў і павінен паказаць, што кіруе гэтай рызыкай.

Вызначаем вобласць прымянення пад вашу рэальную сітуацыю — распрацоўка, эксплуатацыя або закупка — і рыхтуем дакументацыю пад яе.

Не, асобнага закона, які абавязвае праходзіць сертыфікацыю па ISO/IEC 42001, у Беларусі пакуль няма.

Але рэгуляванне ШІ ўжо фарміруецца па некалькіх напрамках адначасова: рыхтуецца папраўка ў закон «Аб абароне персанальных даных» пра аўтаматызаваныя рашэнні на аснове ШІ, распрацоўваецца асобны закон аб ШІ, уводзяцца новыя стандарты Дзяржстандарта. Сертыфікат — прызнаны спосаб паказаць гатоўнасць загадзя, а не даганяць патрабаванні пастфактум.

Часцей за ўсё яго атрымліваюць пад патрабаванне заказчыка або інвестара, для экспарту AI-прадукту або каб інтэграваць яго з ужо дзеючым ISO/IEC 27001 — тады рызыкі ШІ і інфармацыйная бяспека жывуць у адной сістэме, а не ў дзвюх асобных.

AIMS — сістэма менеджменту штучнага інтэлекту: палітыка кіравання ШІ, рэестр AI-сістэм кампаніі, ацэнка і апрацоўка AI-рызык (уключаючы прадузятасць і вытлумачальнасць рашэнняў), меры чалавечага кантролю, кіраванне жыццёвым цыклам мадэляў.

Структура пабудавана на Annex SL — агульнай архітэктуры стандартаў ISO, таму спалучаецца з ужо дзеючымі сістэмамі: ISO/IEC 27001, ISO 9001. З 38 мер Annex A бяром толькі тое, што тычыцца вашых рэальных рызык — гэта і фіксуе Палажэнне аб прымянімасці.

Распрацоўваем дакументацыю, навучаем адказных і суправаджаем укараненне — на выхадзе працоўная сістэма, а не архіў папер пад аўдыт.

ISO/IEC 42001 — добраахвотны міжнародны стандарт сертыфікацыі: атрымліваеце яго, калі хочаце пацвердзіць сістэму кіравання ШІ. EU AI Act — абавязковы закон Еўрасаюза: для сістэм высокай рызыкі патрабаванні ўступаюць у сілу 2 снежня 2027 года, а для ШІ, убудаванага ў рэгуляваную прадукцыю (медыцынскія вырабы, транспарт), — 2 жніўня 2028-га. Першапачатковы тэрмін — 2 жніўня 2026-га — улетку перанеслі асобным рэгламентам.

Прадмет у многім супадае — кіраванне рызыкамі, празрыстасць, чалавечы кантроль, — але гэта розныя механізмы: сертыфікат ISO не замяняе аўтаматычна юрыдычную адпаведнасць закону ЕС, і наадварот.

Калі пастаўляеце AI-прадукт у ЕС, разбіраем абодва трэкі разам — што закрывае сертыфікацыя, а што патрабуе асобнай юрыдычнай праверкі пад канкрэтны рынак.

Фармальна не — гэта асобныя стандарты пад розныя рызыкі: 27001 пра інфармацыйную бяспеку, 42001 пра кіраванне ШІ.

Але калі СМІБ па 27001 ужо дзейнічае, 42001 можна інтэграваць у яе, а не будаваць асобна: частка дакументацыі і працэсаў выкарыстоўваецца паўторна наўпрост — ацэнка рызык, размеркаванне адказнасці, унутраны аўдыт. Гэта прыкметна скарачае і тэрмін, і аб'ём працы ў параўнанні з праектам «з чыстага ліста».

На дыягностыцы асобна глядзім, што з вашай дзеючай сістэмы ўжо закрывае частку патрабаванняў AIMS.

Сертыфікат выдае незалежны акрэдытаваны орган па сертыфікацыі — падбіраем яго пад вашу задачу і мэтавую краіну.

Easy Standart рыхтуе дакументацыю AIMS, навучае адказных супрацоўнікаў і суправаджае вас на аўдыце ў органа: ад дыягностыкі да атрымання сертыфіката.

Не. Пытанні маркіроўкі сінтэтычнага кантэнту падымаюцца ў заканадаўчых ініцыятывах розных краін, а не ў самім стандарце.

ISO/IEC 42001 апісвае сістэму кіравання рызыкамі ШІ ў цэлым — палітыку, рэестр сістэм, ацэнку рызык, чалавечы кантроль. А маркіроўка канкрэтнага кантэнту — гэта ўжо пытанне асобнага рэгулявання, якое залежыць ад вашай юрысдыкцыі.

Калі тэма актуальная для вашага прадукту, разбіраем яе асобна — па-за рамкамі самой сертыфікацыі AIMS.

Звычайна сертыфікацыя займае ад 50 да 75 працоўных дзён і ўключае распрацоўку дакументацыі AIMS (палітыку кіравання ШІ, рэестр AI-сістэм, ацэнку рызык, Палажэнне аб прымянімасці), укараненне, падачу заяўкі ў орган і сертыфікацыйны аўдыт у два этапы.

Тэрмін залежыць ад колькасці і складанасці AI-сістэм і раскладу аўдытараў; для буйных кампаній лічым індывідуальна і фіксуем рэальны план да пачатку праекта. Калі ўжо ёсць ISO/IEC 27001, тэрмін звычайна карацейшы за кошт паўторнага выкарыстання гатовай дакументацыі.

Сертыфікацыя пачынаецца ад 13 500 BYN (~$4 700) — столькі ж, колькі і ISO/IEC 27001. Далей сума расце ў залежнасці ад колькасці і складанасці AI-сістэм, штату кампаніі, вобласці прымянення AIMS і абранага органа па сертыфікацыі.

Адпраўце заяўку праз форму на гэтай старонцы — палічым дакладны кошт у беларускіх рублях і доларах і дашлём КП за 24 гадзіны. Пасля ўдакладнення задачы фіксуем каштарыс у дагаворы. Аплата дзеліцца на этапы — 50/50 або 25/50/25, апошні плацёж — пасля атрымання сертыфіката.

Поўны пакет дакументацыі AIMS пад вашу вобласць прымянення — не ўніверсальны шаблон — і сертыфікат ISO/IEC 42001 з міжнароднай акрэдытацыяй.

Наша задача — давесці праект да сертыфіката: падрыхтаваць дакументацыю, навучыць адказных супрацоўнікаў і суправадзіць на аўдыце. Штогадовы інспекцыйны кантроль пасля сертыфікацыі — асобная платная паслуга органа, у кошт гэтага праекта не ўваходзіць.