ISO/IEC 27090, EN 18286 και IEEE 2863: τα 3 νέα πρότυπα διακυβέρνησης ΤΝ του 2026 με μια ματιά

Τρία πρότυπα σε τρεις ημέρες: γιατί ο Οκτώβριος του 2026 μετράει για τη διακυβέρνηση της ΤΝ

Μεταξύ 14 και 16 Οκτωβρίου 2026, τρία πρότυπα διακυβέρνησης της ΤΝ τέθηκαν ταυτόχρονα σε ισχύ: το ISO/IEC 27090:2026 δημοσιεύθηκε στις 14 Οκτωβρίου, το EN 18286:2026 αναφέρθηκε την ίδια ημέρα στην Επίσημη Εφημερίδα της ΕΕ ως το πρώτο εναρμονισμένο πρότυπο βάσει της Πράξης της ΕΕ για την ΤΝ, και το IEEE 2863-2026 ακολούθησε στις 16 Οκτωβρίου. Τρεις φορείς, τρεις οπτικές, ένα θέμα: πώς αναπτύσσουν και λειτουργούν οι οργανισμοί την ΤΝ με ασφάλεια, συμμόρφωση και υπευθυνότητα;

Για τους οργανισμούς που αναπτύσσουν ή χρησιμοποιούν ΤΝ, αξίζει να εξετάσουν και τα τρία. Καλύπτουν διαφορετικά επίπεδα – τεχνολογία, κανονιστικό πλαίσιο και οργάνωση – και αλληλοσυμπληρώνονται αντί να ανταγωνίζονται. Το άρθρο αυτό εξηγεί τι περιέχουν τα πρότυπα, σε ποιους απευθύνονται και τι πρέπει να γίνει τώρα.

Τα τρία πρότυπα με μια ματιά

ISO/IEC 27090:2026 – Κυβερνοασφάλεια για συστήματα ΤΝ

Το ISO/IEC 27090:2026 είναι το πρώτο διεθνές πρότυπο που είναι εξ ολοκλήρου αφιερωμένο στις απειλές ασφάλειας κατά συστημάτων ΤΝ. Ο πλήρης τίτλος του είναι Cybersecurity — Artificial intelligence (AI) — Addressing security threats and compromises to AI systems. Αναπτύχθηκε από την ISO/IEC JTC 1/SC 27, την επιτροπή που βρίσκεται και πίσω από το ISO/IEC 27001. Εγγραφή του προτύπου στον ISO

Η έμφαση δίνεται στην προστασία των συστημάτων ΤΝ, όχι στη χρήση της ΤΝ για άμυνα απέναντι σε άλλες επιθέσεις. Το πρότυπο περιγράφει ποιες επιθέσεις είναι ειδικές για μοντέλα, δεδομένα εκπαίδευσης και ροές εργασίας ΤΝ, πώς εντοπίζονται και πώς αντιμετωπίζονται σε όλο τον κύκλο ζωής. Σε αυτές περιλαμβάνονται:

• Δηλητηρίαση δεδομένων (data poisoning): χειραγωγημένα δεδομένα εκπαίδευσης που αλλάζουν τη συμπεριφορά του μοντέλου
• Εξαγωγή μοντέλου (model exfiltration): απόσπαση ενός μοντέλου μέσω φαινομενικά νόμιμων ερωτημάτων
• Επιθέσεις αποφυγής (evasion), συναγωγή συμμετοχής (membership inference), αντιστροφή μοντέλου και άμεση δηλητηρίαση μοντέλου
• Έγχυση εντολών (prompt injection), καθώς και ευαίσθητα ή επιβλαβή αποτελέσματα του μοντέλου

Το ISO/IEC 27090 καλύπτει επίσης οριζόντια θέματα όπως η μοντελοποίηση απειλών, το red teaming, το zero trust, η ασφάλεια της εφοδιαστικής αλυσίδας, η καταγραφή και η παρακολούθηση, καθώς και η γήρανση των μοντέλων και των μέτρων προστασίας με την πάροδο του χρόνου. Κατευθυντήρια αρχή του είναι η άμυνα σε βάθος: πολλαπλά επίπεδα προστασίας, επειδή ορισμένες επιθέσεις κατά της ΤΝ είναι δύσκολο να εντοπιστούν. Επεξήγηση του ISO για το ISO 27090

Μια σημαντική διάκριση: το ISO/IEC 27090 είναι καθοδήγηση, όχι πιστοποιήσιμο πρότυπο απαιτήσεων. Προσθέτει πτυχές ασφάλειας ειδικές για την ΤΝ σε ένα υφιστάμενο ΣΔΑΠ κατά ISO/IEC 27001 και σε ένα σύστημα διαχείρισης ΤΝ κατά ISO/IEC 42001. Για τις ομάδες ασφάλειας, αποτελεί το φυσικό σημείο εκκίνησης για την ενσωμάτωση των κινδύνων της ΤΝ στις υφιστάμενες διαδικασίες. Διαβάστε περισσότερα στα άρθρα Το ISO 27090 εξηγημένο για ομάδες ασφάλειας ΤΝ και ISO 27090 και ISO 42001: οι διαφορές εξηγημένες.

EN 18286:2026 – Το σύστημα διαχείρισης ποιότητας για την Πράξη της ΕΕ για την ΤΝ

Το EN 18286:2026 είναι το πρώτο εναρμονισμένο πρότυπο βάσει της Πράξης της ΕΕ για την ΤΝ – και επομένως εκείνο από τα τρία με το μεγαλύτερο νομικό βάρος. Η CEN και η CENELEC δημοσίευσαν το Artificial intelligence – Quality management system for EU AI Act regulatory purposes τον Ιούλιο του 2026. Στις 14 Οκτωβρίου 2026, η Ευρωπαϊκή Επιτροπή το παρέθεσε στην Επίσημη Εφημερίδα της ΕΕ με την Εκτελεστική Απόφαση (ΕΕ) 2026/2274.

Αυτή η αναφορά είναι το καθοριστικό βήμα. Σύμφωνα με το άρθρο 40 της Πράξης για την ΤΝ, οι πάροχοι που εφαρμόζουν εναρμονισμένο πρότυπο δημοσιευμένο στην Επίσημη Εφημερίδα επωφελούνται από τεκμήριο συμμόρφωσης για τις απαιτήσεις που αυτό καλύπτει. Συγκεκριμένα, πρόκειται για το άρθρο 17: οι πάροχοι συστημάτων ΤΝ υψηλού κινδύνου πρέπει να διατηρούν τεκμηριωμένο σύστημα διαχείρισης ποιότητας. Σύμφωνα με το επικαιροποιημένο χρονοδιάγραμμα, η υποχρέωση αυτή ισχύει από τις 2 Δεκεμβρίου 2027 για τα συστήματα υψηλού κινδύνου που απαριθμούνται στο παράρτημα III και από τις 2 Αυγούστου 2028 για τα συστήματα υψηλού κινδύνου σε ρυθμιζόμενα προϊόντα του παραρτήματος I. Χρονοδιάγραμμα της Ευρωπαϊκής Επιτροπής για την Πράξη για την ΤΝ Το EN 18286 μετατρέπει αυτή την υποχρέωση σε ελέγξιμες απαιτήσεις, μεταξύ των οποίων:

• Έλεγχοι σχεδιασμού και ανάπτυξης
• Διαχείριση κινδύνων και διαχείριση δεδομένων
• Τεκμηρίωση και αρχεία
• Παρακολούθηση μετά τη διάθεση στην αγορά και χειρισμός περιστατικών

Οι οργανισμοί πρέπει να έχουν υπόψη τρία πράγματα. Πρώτον: η εφαρμογή του προτύπου παραμένει εθελοντική· η συμμόρφωση μπορεί να αποδειχθεί και με άλλους τρόπους – απλώς χωρίς το τεκμήριο. Δεύτερον: το τεκμήριο καλύπτει μόνο τις απαιτήσεις που το πρότυπο πραγματικά αντιμετωπίζει, όχι ολόκληρη την Πράξη για την ΤΝ. Τρίτον: το ISO/IEC 42001 δεν αποτελεί υποκατάστατο. Το διεθνές πρότυπο για συστήματα διαχείρισης ΤΝ είναι πιστοποιήσιμο, αλλά δεν είναι εναρμονισμένο πρότυπο και δεν δημιουργεί τεκμήριο συμμόρφωσης. Οι οργανισμοί που ήδη λειτουργούν σύστημα κατά 42001 έχουν καλή βάση, αλλά πρέπει να αντιστοιχίσουν τις διαδικασίες τους με το EN 18286. Η Nemko Digital για το EN 18286

Περαιτέρω εναρμονισμένα πρότυπα για τη διαχείριση κινδύνων, την ποιότητα των δεδομένων, τη διαφάνεια, την ανθρώπινη εποπτεία και την κυβερνοασφάλεια βρίσκονται υπό εκπόνηση, αλλά δεν έχουν ακόμη αναφερθεί. Προς το παρόν, το EN 18286 είναι η μόνη αναφορά σχετική με την Πράξη για την ΤΝ στην Επίσημη Εφημερίδα. Για το πώς να ταξινομήσετε τις περιπτώσεις χρήσης ΤΝ βάσει της Πράξης για την ΤΝ, διαβάστε το άρθρο Πράξη της ΕΕ για την ΤΝ: ταξινομήστε τις περιπτώσεις χρήσης και σχεδιάστε τα τεκμήρια.

IEEE 2863-2026 – Οργανωσιακή διακυβέρνηση της ΤΝ

Το IEEE 2863-2026 ξεκινά ένα επίπεδο ψηλότερα: από το ερώτημα πώς ένας οργανισμός στο σύνολό του διακυβερνά την ΤΝ υπεύθυνα. Το IEEE Recommended Practice for Organizational Governance of Artificial Intelligence δημοσιεύθηκε από την IEEE Standards Association στις 16 Οκτωβρίου 2026 – μετά από περισσότερα από έξι χρόνια ανάπτυξης (έναρξη του έργου τον Φεβρουάριο του 2020, έγκριση από το συμβούλιο τον Ιούνιο του 2026). Σελίδα του προτύπου στην IEEE SA

Το πρότυπο απευθύνεται στο διοικητικό όργανο ενός οργανισμού – την εκτελεστική διοίκηση, το διοικητικό συμβούλιο ή το εποπτικό συμβούλιο – και έχει τρία δομικά στοιχεία:

1. Αρχές διακυβέρνησης στις οποίες το όργανο πρέπει να δώσει προτεραιότητα
2. Διαδικασίες που εφαρμόζουν αυτές τις αρχές στην πράξη
3. Μελέτες περίπτωσης συγκεκριμένων εφαρμογών ΤΝ που δείχνουν πώς οι διαδικασίες υλοποιούν τις αρχές – συμπεριλαμβανομένου του τρόπου επίλυσης συγκρούσεων μεταξύ αρχών

Τα βασικά θέματα που κατονομάζει το IEEE εκτείνονται από τη λογοδοσία, τη διαφάνεια, την επεξηγησιμότητα και την ανθρώπινη εποπτεία, μέσω της ιδιωτικότητας, της ασφάλειας και της μη διάκρισης, έως τη βιωσιμότητα και την ευημερία. Από την πλευρά των διαδικασιών, περιλαμβάνουν τον έλεγχο, το red teaming, την απόκριση σε περιστατικά, την εποπτεία σε όλο τον κύκλο ζωής, τη διαχείριση της αλυσίδας αξίας, την ανάπτυξη ικανοτήτων και τη συμμετοχή των ενδιαφερόμενων μερών.

Ως συνιστώμενη πρακτική, το IEEE 2863 διατυπώνει συστάσεις, όχι πιστοποιήσιμες απαιτήσεις. Η αξία του έγκειται στη γεφύρωση αφηρημένων ηθικών αρχών και συγκεκριμένων διαδικασιών λήψης αποφάσεων σε επίπεδο διοίκησης. Περιγράφει επίσης πώς οι οργανισμοί χειρίζονται εξωτερικά εργαλεία διακυβέρνησης: κανονιστικό πλαίσιο, επαγγελματικά πρότυπα, κώδικες δεοντολογίας και τις προσδοκίες του κοινού για υπεύθυνη ΤΝ.

Πώς συνδυάζονται τα τρία πρότυπα

Τα τρία πρότυπα αντιμετωπίζουν τρία επίπεδα που στην πράξη αλληλεπικαλύπτονται:

Το ISO/IEC 42001 αποτελεί φυσική κοινή βάση. Το σύστημα διαχείρισης ΤΝ παρέχει τη δομή στην οποία μπορούν να ενταχθούν οι αρχές διακυβέρνησης (IEEE 2863), οι κανονιστικές απαιτήσεις ΣΔΠ (EN 18286) και τα μέτρα ασφάλειας (ISO/IEC 27090). Το EN 18286 είναι δομικά ευθυγραμμισμένο με το ISO/IEC 42001 χωρίς να το αντικαθιστά· το ISO/IEC 27090 παραπέμπει στο 42001 ως πλαίσιο διαχείρισης· το IEEE 2863 περιγράφει το επίπεδο διακυβέρνησης από πάνω. Αν αντιμετωπίσετε τα τρία πρότυπα χωριστά, θα χτίσετε τις ίδιες διαδικασίες τρεις φορές – αν τα αντιμετωπίσετε ως επίπεδα ενός ενιαίου συστήματος, εξοικονομείτε προσπάθεια και αποφεύγετε αντιφάσεις.

Τι πρέπει να κάνουν τώρα οι οργανισμοί

Οι προτεραιότητες εξαρτώνται από τον ρόλο σας στην αλυσίδα αξίας της ΤΝ:

• Πάροχοι ΤΝ υψηλού κινδύνου στην ΕΕ: προμηθευτείτε το EN 18286 και διενεργήστε ανάλυση αποκλίσεων σε σχέση με το υφιστάμενο ΣΔΠ σας. Αν ήδη εργάζεστε κατά ISO 9001, ISO 13485 ή ISO/IEC 42001, μπορείτε να ενσωματώσετε τα στοιχεία της Πράξης για την ΤΝ, αλλά πρέπει να τεκμηριώσετε την αντιστοίχιση.
• Ομάδες ασφάλειας: καταγράψτε τα συστήματα ΤΝ – συμπεριλαμβανομένων εκείνων που προέρχονται από τρίτους. Διευκρινίστε από πού προέρχονται τα δεδομένα και τα μοντέλα, επεκτείνετε τη μοντελοποίηση απειλών σε επιθέσεις ειδικές για την ΤΝ και ελέγξτε πώς θα εντοπιζόταν και θα αντιμετωπιζόταν ύποπτη συμπεριφορά μοντέλου. Το ISO/IEC 27090 παρέχει τη λίστα ελέγχου.
• Εκτελεστική διοίκηση και εποπτικά συμβούλια: χρησιμοποιήστε το IEEE 2863 ως πλαίσιο για μια εντολή διακυβέρνησης της ΤΝ – ορίστε αρχές, αναθέστε αρμοδιότητες, καθορίστε γραμμές αναφοράς και αποφασίστε ρητά για τους συμβιβασμούς.
• Όλοι: παρακολουθείτε την έκδοση περαιτέρω εναρμονισμένων προτύπων. Το EN 18286 είναι η αρχή· θα ακολουθήσουν πρότυπα για τη διαχείριση κινδύνων, την κυβερνοασφάλεια και την καταγραφή.

Τα ISO/IEC 27090 και EN 18286 διατίθενται επί πληρωμή – το ISO/IEC 27090 μέσω του ISO Store, το EN 18286 μέσω των εθνικών φορέων τυποποίησης (στη Γερμανία, DIN Media). Το IEEE 2863 διατίθεται δωρεάν μέσω του IEEE GET Program, ενώ μπορεί επίσης να αγοραστεί ή να είναι προσβάσιμο με συνδρομή μέσω της IEEE SA.

Συμπέρασμα

Ο Οκτώβριος του 2026 σηματοδοτεί τη μετάβαση της διακυβέρνησης της ΤΝ από τις αρχές σε ελέγξιμα πρότυπα. Το ISO/IEC 27090 κάνει την ασφάλεια της ΤΝ συγκεκριμένη, το EN 18286 δίνει στην Πράξη της ΕΕ για την ΤΝ το πρώτο της εναρμονισμένο πρότυπο με τεκμήριο συμμόρφωσης, και το IEEE 2863 εδραιώνει τη διακυβέρνηση της ΤΝ σε επίπεδο ηγεσίας. Όποιος γνωρίζει και τα τρία μπορεί να αντιμετωπίζει την ασφάλεια, τη συμμόρφωση και τη λογοδοσία ως ένα ενιαίο σύστημα – αντί για τρία ξεχωριστά έργα.

Πηγές

• ISO/IEC 27090:2026 – εγγραφή στον κατάλογο και ISO/IEC 27090 explained (ISO)
• Εκτελεστική Απόφαση (ΕΕ) 2026/2274 (EUR-Lex)
• EN 18286: EU AI Act Cites New Harmonized QMS Standard (Nemko Digital, 16 Οκτωβρίου 2026)
• IEEE 2863-2026 – σελίδα του προτύπου (IEEE SA)