ISO/IEC 27090, EN 18286 ja IEEE 2863: 2026. aasta 3 uut tehisintellekti juhtimise standardit lühidalt

Kolm standardit kolme päevaga: miks on oktoober 2026 tehisintellekti juhtimisele oluline

Ajavahemikul 14.–16. oktoober 2026 jõustus korraga kolm tehisintellekti juhtimise standardit: ISO/IEC 27090:2026 avaldati 14. oktoobril, EN 18286:2026 avaldati samal päeval Euroopa Liidu Teatajas esimese ELi tehisintellekti määruse harmoneeritud standardina ning IEEE 2863-2026 järgnes 16. oktoobril. Kolm organisatsiooni, kolm vaatenurka, üks teema: kuidas organisatsioonid ehitavad ja käitavad tehisintellekti turvaliselt, nõuetekohaselt ja vastutustundlikult?

Organisatsioonidel, kes tehisintellekti arendavad või kasutavad, tasub kõigi kolmega tutvuda. Need katavad eri tasandeid – tehnoloogiat, regulatsiooni ja organisatsiooni – ning täiendavad üksteist, selle asemel et omavahel konkureerida. See artikkel selgitab, mida standardid sisaldavad, keda need puudutavad ja mida peaksite praegu tegema.

Kolm standardit lühidalt

ISO/IEC 27090:2026 – Tehisintellekti süsteemide küberturvalisus

ISO/IEC 27090:2026 on esimene rahvusvaheline standard, mis on täielikult pühendatud tehisintellekti süsteeme ähvardavatele turvaohtudele. Selle täielik pealkiri on Cybersecurity — Artificial intelligence (AI) — Addressing security threats and compromises to AI systems. Standardi töötas välja ISO/IEC JTC 1/SC 27, sama komitee, kes seisab ISO/IEC 27001 taga. ISO standardi kirje

Fookus on tehisintellekti süsteemide kaitsmisel, mitte tehisintellekti kasutamisel muude rünnakute tõrjumiseks. Standard kirjeldab, millised rünnakud on omased mudelitele, treeningandmetele ja tehisintellekti töövoogudele, kuidas neid avastada ja kuidas neile kogu elutsükli vältel vastu seista. Nende hulka kuuluvad:

• Andmete mürgitamine: manipuleeritud treeningandmed, mis muudavad mudeli käitumist
• Mudeli väljaviimine: mudeli kättesaamine näiliselt õiguspäraste päringute kaudu
• Vältimisrünnakud (evasion), membership inference, model inversion ja otsene mudeli mürgitamine
• Viibasüst (prompt injection) ning tundlikud või kahjulikud mudeli väljundid

ISO/IEC 27090 käsitleb ka läbivaid teemasid, nagu ohumodelleerimine, red teaming, nullusaldus (zero trust), tarneahela turvalisus, logimine ja seire ning see, kuidas mudelid ja kaitsemeetmed aja jooksul vananevad. Juhtpõhimõte on süvakaitse: mitu kaitsekihti, sest mõnda tehisintellekti rünnakut on raske avastada. ISO selgitus ISO 27090 kohta

Oluline erinevus: ISO/IEC 27090 on juhend, mitte sertifitseeritav nõuete standard. See lisab tehisintellektile omased turvaaspektid olemasolevale ISO/IEC 27001 kohasele infoturbe juhtimissüsteemile ja ISO/IEC 42001 kohasele tehisintellekti juhtimissüsteemile. Turbemeeskondadele on see loomulik lähtepunkt tehisintellekti riskide toomiseks olemasolevatesse protsessidesse. Lugege lähemalt artiklitest ISO 27090 selgitatud tehisintellekti turvalisuse meeskondadele ja ISO 27090 ja ISO 42001 võrdluses.

EN 18286:2026 – Kvaliteedijuhtimissüsteem ELi tehisintellekti määruse jaoks

EN 18286:2026 on esimene ELi tehisintellekti määruse harmoneeritud standard – ja seega kolmest suurima õigusliku kaaluga. CEN ja CENELEC avaldasid standardi Artificial intelligence – Quality management system for EU AI Act regulatory purposes juulis 2026. 14. oktoobril 2026 avaldas Euroopa Komisjon viite sellele Euroopa Liidu Teatajas rakendusotsusega (EL) 2026/2274.

See avaldamine on otsustav samm. Tehisintellekti määruse artikli 40 kohaselt kehtib pakkujatele, kes rakendavad Euroopa Liidu Teatajas avaldatud harmoneeritud standardit, vastavuseeldus nende nõuete osas, mida standard hõlmab. Konkreetselt puudutab see artiklit 17: suure riskiga tehisintellektisüsteemide pakkujatel peab olema dokumenteeritud kvaliteedijuhtimissüsteem. Ajakohastatud ajakava kohaselt kohaldatakse seda kohustust III lisas loetletud suure riskiga süsteemidele alates 2. detsembrist 2027 ja I lisa kohastes reguleeritud toodetes olevatele suure riskiga süsteemidele alates 2. augustist 2028. Euroopa Komisjoni tehisintellekti määruse ajakava EN 18286 muudab selle kohustuse auditeeritavateks nõueteks, sealhulgas:

• Projekteerimise ja arenduse kontrollimeetmed
• Riskijuhtimine ja andmehaldus
• Dokumentatsioon ja registrid
• Turustamisjärgne seire ja intsidentide käsitlemine

Organisatsioonid peaksid silmas pidama kolme asja. Esiteks: standardi rakendamine jääb vabatahtlikuks; vastavust saab tõendada ka muul viisil – lihtsalt ilma vastavuseelduseta. Teiseks: vastavuseeldus hõlmab ainult neid nõudeid, mida standard tegelikult käsitleb, mitte kogu tehisintellekti määrust. Kolmandaks: ISO/IEC 42001 ei ole selle asendaja. Rahvusvaheline tehisintellekti juhtimissüsteemide standard on sertifitseeritav, kuid see ei ole harmoneeritud standard ega loo vastavuseeldust. Organisatsioonidel, kellel on juba 42001 süsteem, on hea alus, kuid nad peavad oma protsessid EN 18286-ga vastavusse viima. Nemko Digital EN 18286 kohta

Täiendavad harmoneeritud standardid riskijuhtimise, andmekvaliteedi, läbipaistvuse, inimjärelevalve ja küberturvalisuse kohta on töös, kuid neid ei ole veel avaldatud. EN 18286 on praegu ainus tehisintellekti määrusega seotud viide Euroopa Liidu Teatajas. Kuidas liigitada oma tehisintellekti kasutusjuhte tehisintellekti määruse alusel, lugege artiklist ELi tehisintellekti määrus: liigitage kasutusjuhud ja kavandage tõendid.

IEEE 2863-2026 – Tehisintellekti juhtimine organisatsioonis

IEEE 2863-2026 alustab üks tasand kõrgemalt: küsimusest, kuidas organisatsioon tervikuna tehisintellekti vastutustundlikult juhib. IEEE Standards Association avaldas IEEE Recommended Practice for Organizational Governance of Artificial Intelligence 16. oktoobril 2026 – pärast enam kui kuut aastat arendustööd (projekti algus veebruaris 2020, kinnitamine juhatuses juunis 2026). IEEE SA standardi leht

Standard on suunatud organisatsiooni juhtorganile – tegevjuhtkonnale, juhatusele või nõukogule – ja sellel on kolm ehitusplokki:

1. Juhtimispõhimõtted, mida juhtorgan peaks esikohale seadma
2. Protsessid, mis viivad need põhimõtted ellu
3. Juhtumiuuringud konkreetsetest tehisintellekti rakendustest, mis näitavad, kuidas protsessid põhimõtteid ellu viivad – sealhulgas seda, kuidas lahendada põhimõtete vahelisi konflikte

IEEE nimetatud põhiteemad ulatuvad aruandekohustusest, läbipaistvusest, seletatavusest ja inimjärelevalvest privaatsuse, ohutuse ja mittediskrimineerimiseni ning jätkusuutlikkuse ja heaoluni. Protsesside poolel kuuluvad nende hulka muu hulgas auditeerimine, red teaming, intsidentidele reageerimine, elutsükli järelevalve, väärtusahela juhtimine, pädevuste arendamine ja huvirühmade kaasamine.

Recommended Practice'ina esitab IEEE 2863 soovitusi, mitte sertifitseeritavaid nõudeid. Selle väärtus seisneb silla loomises abstraktsete eetiliste põhimõtete ja konkreetsete otsustusprotsesside vahel juhtkonna tasandil. Standard kirjeldab ka, kuidas organisatsioonid käsitlevad väliseid juhtimisvahendeid: regulatsiooni, kutsestandardeid, käitumisjuhendeid ja avalikkuse ootusi vastutustundliku tehisintellekti suhtes.

Kuidas kolm standardit omavahel sobituvad

Kolm standardit käsitlevad kolme tasandit, mis praktikas kattuvad:

ISO/IEC 42001 on loomulik ühine alus. Tehisintellekti juhtimissüsteem pakub struktuuri, kuhu saab paigutada juhtimispõhimõtted (IEEE 2863), regulatiivsed kvaliteedijuhtimissüsteemi nõuded (EN 18286) ja turvameetmed (ISO/IEC 27090). EN 18286 on struktuurilt ISO/IEC 42001-ga kooskõlas, ilma seda asendamata; ISO/IEC 27090 viitab 42001-le kui juhtimisraamistikule; IEEE 2863 kirjeldab nende kohal asuvat juhtimistasandit. Kui käsitlete kolme standardit eraldi, ehitate samad protsessid kolm korda – kui käsitlete neid ühe süsteemi kihtidena, säästate vaeva ja väldite vastuolusid.

Mida organisatsioonid peaksid praegu tegema

Prioriteedid sõltuvad teie rollist tehisintellekti väärtusahelas:

• Suure riskiga tehisintellekti pakkujad ELis: hankige EN 18286 ja tehke olemasoleva kvaliteedijuhtimissüsteemi lünkade analüüs. Kui töötate juba ISO 9001, ISO 13485 või ISO/IEC 42001 järgi, saate tehisintellekti määruse elemendid integreerida, kuid vastavusseosed tuleb dokumenteerida.
• Turbemeeskonnad: inventeerige tehisintellekti süsteemid – ka kolmandatelt osapooltelt hangitud. Selgitage välja, kust andmed ja mudelid pärinevad, laiendage ohumodelleerimist tehisintellektile omastele rünnakutele ja kontrollige, kuidas kahtlast mudelikäitumist avastataks ja käsitletaks. ISO/IEC 27090 annab kontrollnimekirja.
• Juhatused ja nõukogud: kasutage IEEE 2863 raamistikuna tehisintellekti juhtimise mandaadile – kehtestage põhimõtted, jaotage vastutus, määrake aruandlusliinid ja tehke kompromissotsused selgesõnaliselt.
• Kõik: jälgige täiendavaid harmoneeritud standardeid. EN 18286 on alles algus; järgnevad riskijuhtimise, küberturvalisuse ja logimise standardid.

ISO/IEC 27090 ja EN 18286 on tasulised – ISO/IEC 27090 ISO Store'i kaudu, EN 18286 riiklike standardiorganisatsioonide kaudu (Saksamaal DIN Media). IEEE 2863 on tasuta kättesaadav programmi IEEE GET Program kaudu, samuti saab selle IEEE SA kaudu osta või tellimuse alusel kasutada.

Kokkuvõte

Oktoober 2026 tähistab tehisintellekti juhtimises nihet põhimõtetelt auditeeritavatele standarditele. ISO/IEC 27090 muudab tehisintellekti turvalisuse konkreetseks, EN 18286 annab ELi tehisintellekti määrusele esimese harmoneeritud standardi koos vastavuseeldusega ja IEEE 2863 kinnistab tehisintellekti juhtimise juhtkonna tasandile. Kes tunneb kõiki kolme, saab käsitleda turvalisust, vastavust ja aruandekohustust ühe süsteemina – kolme eraldi projekti asemel.

Allikad

• ISO/IEC 27090:2026 – kataloogikirje ja ISO/IEC 27090 explained (ISO)
• Rakendusotsus (EL) 2026/2274 (EUR-Lex)
• EN 18286: EU AI Act Cites New Harmonized QMS Standard (Nemko Digital, 16. oktoober 2026)
• IEEE 2863-2026 – standardi leht (IEEE SA)