ISO/IEC 27090, EN 18286 и IEEE 2863: трите нови стандарта за управление на ИИ от 2026 г. накратко

Три стандарта за три дни: защо октомври 2026 г. е важен за управлението на ИИ

Между 14 и 16 октомври 2026 г. влязоха в сила едновременно три стандарта за управление на ИИ: ISO/IEC 27090:2026 беше публикуван на 14 октомври, EN 18286:2026 беше цитиран в Официален вестник на ЕС същия ден като първия хармонизиран стандарт по Акта на ЕС за ИИ, а IEEE 2863-2026 последва на 16 октомври. Три организации, три гледни точки, една тема: как организациите да създават и експлоатират ИИ сигурно, в съответствие с изискванията и отговорно?

За организациите, които разработват или използват ИИ, и трите заслужават внимание. Те обхващат различни нива – технологии, регулиране и организация – и се допълват, вместо да си съперничат. Тази статия обяснява какво съдържат стандартите, за кого се отнасят и какво да направите сега.

Трите стандарта накратко

ISO/IEC 27090:2026 – Киберсигурност за системи с ИИ

ISO/IEC 27090:2026 е първият международен стандарт, изцяло посветен на заплахите за сигурността на системите с ИИ. Пълното му заглавие е Cybersecurity — Artificial intelligence (AI) — Addressing security threats and compromises to AI systems. Разработен е от ISO/IEC JTC 1/SC 27 – комитета, който стои и зад ISO/IEC 27001. Запис на стандарта в ISO

Фокусът е върху защитата на системите с ИИ, а не върху използването на ИИ за отбрана срещу други атаки. Стандартът описва кои атаки са специфични за моделите, данните за обучение и работните процеси с ИИ, как да бъдат открити и как да им се противодейства през целия жизнен цикъл. Сред тях са:

• Отравяне на данни (data poisoning): манипулирани данни за обучение, които променят поведението на модела
• Извличане на модел (model exfiltration): извличане на модел чрез привидно легитимни заявки
• Атаки за заобикаляне (evasion), извеждане на членство (membership inference), инверсия на модела и пряко отравяне на модела
• Инжектиране на промптове (prompt injection), както и чувствителни или вредни резултати от модела

ISO/IEC 27090 обхваща и междусекторни теми като моделиране на заплахи, red teaming, нулево доверие (zero trust), сигурност на веригата на доставки, журналиране и наблюдение, както и остаряването на моделите и защитните мерки с времето. Водещият му принцип е защита в дълбочина: няколко слоя защита, защото някои атаки срещу ИИ са трудни за откриване. Обяснение на ISO за ISO 27090

Важно разграничение: ISO/IEC 27090 съдържа насоки, а не стандарт с изисквания, по който може да се сертифицира. Той добавя специфични за ИИ аспекти на сигурността към съществуваща СУСИ по ISO/IEC 27001 и към система за управление на ИИ по ISO/IEC 42001. За екипите по сигурност той е естествената отправна точка за включване на рисковете от ИИ в съществуващите процеси. Прочетете повече в ISO 27090, обяснен за екипите по сигурност на AI и ISO 27090 и ISO 42001: разликите обяснени.

EN 18286:2026 – Системата за управление на качеството за Акта на ЕС за ИИ

EN 18286:2026 е първият хармонизиран стандарт по Акта на ЕС за ИИ – и следователно този от трите с най-голяма правна тежест. CEN и CENELEC публикуваха Artificial intelligence – Quality management system for EU AI Act regulatory purposes през юли 2026 г. На 14 октомври 2026 г. Европейската комисия го цитира в Официален вестник на ЕС с Решение за изпълнение (ЕС) 2026/2274.

Това цитиране е решаващата стъпка. Съгласно член 40 от Акта за ИИ доставчиците, които прилагат хармонизиран стандарт, публикуван в Официален вестник, се ползват от презумпция за съответствие с изискванията, които той обхваща. Конкретно става дума за член 17: доставчиците на високорискови системи с ИИ трябва да поддържат документирана система за управление на качеството. Съгласно актуализирания график това задължение се прилага от 2 декември 2027 г. за високорисковите системи, изброени в Приложение III, и от 2 август 2028 г. за високорисковите системи в регулирани продукти съгласно Приложение I. График на Европейската комисия за Акта за ИИ EN 18286 превръща това задължение в изисквания, които могат да бъдат одитирани, включително:

• Контрол на проектирането и разработването
• Управление на риска и управление на данните
• Документация и записи
• Наблюдение след пускане на пазара и обработка на инциденти

Организациите трябва да имат предвид три неща. Първо: прилагането на стандарта остава доброволно; съответствието може да бъде доказано и по други начини – просто без презумпцията. Второ: презумпцията обхваща само изискванията, които стандартът действително адресира, а не целия Акт за ИИ. Трето: ISO/IEC 42001 не е заместител. Международният стандарт за системи за управление на ИИ подлежи на сертифициране, но не е хармонизиран стандарт и не създава презумпция за съответствие. Организациите, които вече поддържат система по 42001, имат добра основа, но трябва да съпоставят процесите си с EN 18286. Nemko Digital за EN 18286

В процес на разработване са и други хармонизирани стандарти за управление на риска, качество на данните, прозрачност, човешки надзор и киберсигурност, но те все още не са цитирани. Към момента EN 18286 е единственото позоваване във връзка с Акта за ИИ в Официален вестник. Как да класифицирате случаите на употреба на ИИ по Акта за ИИ, прочетете в Акт на ЕС за ИИ: класифицирайте случаите на употреба и планирайте доказателствата.

IEEE 2863-2026 – Организационно управление на ИИ

IEEE 2863-2026 започва едно ниво по-високо: с въпроса как организацията като цяло управлява ИИ отговорно. IEEE Recommended Practice for Organizational Governance of Artificial Intelligence беше публикуван от IEEE Standards Association на 16 октомври 2026 г. – след повече от шест години разработване (начало на проекта през февруари 2020 г., одобрение от борда през юни 2026 г.). Страница на стандарта в IEEE SA

Стандартът е насочен към управляващия орган на организацията – изпълнителното ръководство, съвета на директорите или надзорния съвет – и има три градивни елемента:

1. Принципи на управление, на които органът трябва да даде приоритет
2. Процеси, които прилагат тези принципи на практика
3. Казуси с конкретни приложения на ИИ, които показват как процесите изпълняват принципите – включително как се разрешават конфликти между принципите

Основните теми, които IEEE посочва, варират от отчетност, прозрачност, обяснимост и човешки надзор, през неприкосновеност на личния живот, безопасност и недискриминация, до устойчивост и благосъстояние. От страна на процесите те включват одит, red teaming, реагиране при инциденти, надзор през жизнения цикъл, управление на веригата на стойността, изграждане на компетентности и ангажиране на заинтересованите страни.

Като препоръчителна практика IEEE 2863 формулира препоръки, а не изисквания, по които може да се сертифицира. Стойността му е в това, че свързва абстрактните етични принципи с конкретните процеси на вземане на решения на ниво ръководство. Той описва и как организациите да се отнасят към външните инструменти за управление: регулиране, професионални стандарти, кодекси на поведение и обществените очаквания за отговорен ИИ.

Как трите стандарта се допълват

Трите стандарта адресират три нива, които на практика се припокриват:

ISO/IEC 42001 е естествена обща основа. Системата за управление на ИИ дава структурата, в която могат да се вградят принципите на управление (IEEE 2863), регулаторните изисквания към СУК (EN 18286) и мерките за сигурност (ISO/IEC 27090). EN 18286 е структурно съгласуван с ISO/IEC 42001, без да го замества; ISO/IEC 27090 се позовава на 42001 като управленска рамка; IEEE 2863 описва нивото на управление над тях. Ако третирате трите стандарта поотделно, изграждате едни и същи процеси три пъти – ако ги третирате като слоеве на една система, спестявате усилия и избягвате противоречия.

Какво трябва да направят организациите сега

Приоритетите зависят от ролята ви във веригата на стойността на ИИ:

• Доставчици на високорисков ИИ в ЕС: снабдете се с EN 18286 и направете анализ на несъответствията спрямо съществуващата си СУК. Ако вече работите по ISO 9001, ISO 13485 или ISO/IEC 42001, можете да интегрирате елементите на Акта за ИИ, но трябва да документирате съпоставянето.
• Екипи по сигурност: инвентаризирайте системите с ИИ – включително тези, доставени от трети страни. Изяснете откъде идват данните и моделите, разширете моделирането на заплахи със специфичните за ИИ атаки и проверете как подозрителното поведение на модел би било открито и обработено. ISO/IEC 27090 дава контролния списък.
• Изпълнително ръководство и надзорни съвети: използвайте IEEE 2863 като рамка за мандат за управление на ИИ – определете принципи, разпределете отговорности, установете линии на докладване и решавайте компромисите изрично.
• Всички: следете за нови хармонизирани стандарти. EN 18286 е само началото; ще последват стандарти за управление на риска, киберсигурност и журналиране.

ISO/IEC 27090 и EN 18286 са платени – ISO/IEC 27090 чрез ISO Store, EN 18286 чрез националните органи по стандартизация (в Германия – DIN Media). IEEE 2863 е достъпен безплатно чрез IEEE GET Program, а може също да бъде закупен или използван чрез абонамент от IEEE SA.

Заключение

Октомври 2026 г. бележи прехода в управлението на ИИ от принципи към стандарти, които могат да бъдат одитирани. ISO/IEC 27090 прави сигурността на ИИ конкретна, EN 18286 дава на Акта на ЕС за ИИ първия му хармонизиран стандарт с презумпция за съответствие, а IEEE 2863 закрепва управлението на ИИ на ниво ръководство. Който познава и трите, може да разглежда сигурността, съответствието и отчетността като една система – вместо като три отделни проекта.

Източници

• ISO/IEC 27090:2026 – запис в каталога и ISO/IEC 27090 explained (ISO)
• Решение за изпълнение (ЕС) 2026/2274 (EUR-Lex)
• EN 18286: EU AI Act Cites New Harmonized QMS Standard (Nemko Digital, 16 октомври 2026 г.)
• IEEE 2863-2026 – страница на стандарта (IEEE SA)