ISO 27090 i ISO 42001: objašnjenje razlika
Jonathan BezdekCTO
5 Min. čitanja
ISO 27090 usmjerava rad na sigurnosti umjetne inteligencije. ISO 42001 utvrđuje zahtjeve za sustav upravljanja umjetnom inteligencijom (AIMS). Organizacije ih mogu koristiti zajedno kako bi sigurnosne prakse povezale sa širim upravljanjem umjetnom inteligencijom. Izvori: zapis o objavi ISO 27090, zapis o objavi ISO 42001.
ISO 27090 i ISO 42001 ukratko
| Usporedba | ISO 27090 | ISO 42001 |
|---|---|---|
| Glavna svrha | Zaštita AI sustava od sigurnosnih prijetnji | Organizacija odgovornog razvoja i upotrebe umjetne inteligencije |
| Vrsta norme | Sigurnosne smjernice | Zahtjevi za sustav upravljanja umjetnom inteligencijom |
| Praktično pitanje | Kako bi ovaj AI sustav mogao biti kompromitiran? | Kako dosljedno upravljati umjetnom inteligencijom u cijeloj organizaciji? |
| Glavni fokus | Prijetnje podacima, modelima i tijekovima rada umjetne inteligencije | Politike umjetne inteligencije, odgovornosti, rizici, ciljevi i poboljšanja |
| Primjeri problema | Trovanje podataka, krađa modela i povezani napadi | Sigurnost, zaštita, transparentnost, pristranost i drugi rizici umjetne inteligencije |
| Certifikacija | Smjernice; ne uspostavljaju put do certifikacije AIMS-a | Dobrovoljna certifikacija AIMS-a organizacije |
| Tko je može koristiti | Organizacije koje razvijaju ili koriste umjetnu inteligenciju | Organizacije koje razvijaju, pružaju ili koriste umjetnu inteligenciju |
| Aktualno izdanje | ISO/IEC 27090:2026 | ISO/IEC 42001:2023 |
| Prvo objavljeno | 14. listopada 2026. | 18. prosinca 2023. |
Izvori: zapis o objavi ISO 27090, zapis o objavi ISO 42001 i ISO-ovo objašnjenje norme ISO 42001.
Njihov se opseg preklapa. ISO 42001 uključuje sigurnost umjetne inteligencije među šira organizacijska pitanja. ISO 27090 također obrađuje upravljanje u kontekstu sigurnosti umjetne inteligencije. Njihove različite svrhe objašnjavaju kako se mogu međusobno nadopunjavati. Izvori: ISO-ovo objašnjenje norme ISO 42001, ISO-ovo objašnjenje norme ISO 27090.
Certifikacija prema ISO 27090 i ISO 42001
Certifikacija prema ISO 42001 procjenjuje ispunjava li sustav upravljanja umjetnom inteligencijom organizacije zahtjeve norme. Certifikaciju provode neovisna certifikacijska tijela; sam ISO ne certificira organizacije. Pojedinačne AI aplikacije i dalje trebaju sigurnosnu procjenu. Izvor: ISO-ovo objašnjenje norme ISO 42001.
Kada naručujete rad prema ISO 27090, definirajte sigurnosni pregled koji vam je potreban: koje sustave, koje scenarije napada i koji će dokazi poduprijeti nalaze. Tako procjena dobiva konkretan opseg i koristan ishod.
Koju normu trebate koristiti
Odaberite prema problemu koji trebate riješiti. Ova tablica praktičan je vodič za odlučivanje.
| Vaša situacija | Na što se usmjeriti | Preporučeni sljedeći korak |
|---|---|---|
| Upotreba umjetne inteligencije nema jasne vlasnike ni pravila | ISO 42001 | Uspostavite odgovornost, politiku i postupak pregleda |
| Model ili aplikacija suočeni su s konkretnim rizicima napada | ISO 27090 | Analizirajte scenarije napada i odaberite zaštitne mjere za testiranje |
| Klijent traži certifikaciju sustava upravljanja umjetnom inteligencijom | ISO 42001 | Definirajte opseg certifikacije i procijenite spremnost |
| Upravljanje umjetnom inteligencijom postoji, ali su sigurnosni dokazi slabi | Dodajte smjernice ISO 27090 | Povežite sigurnosne rizike s kontrolama i rezultatima testova |
| Pokrećete AI uslugu i gradite upravljanje | Koristite obje zajedno | Uskladite upravljačke odgovornosti i sigurnosni rad u jednom programu |
Hitan sigurnosni problem aplikacije zaslužuje trenutačnu pozornost. Širi program upravljanja može se razvijati usporedno s radom potrebnim za uklanjanje te izloženosti.
Kako koristiti ISO 27090 i ISO 42001 zajedno
Na primjer, tvrtka koja uvodi AI asistenta za podršku mogla bi svoj rad uskladiti na sljedeći način. Riječ je o ilustrativnim izborima implementacije.
| Aktivnost | Kako ISO 42001 može strukturirati rad | Kako ISO 27090 može usmjeriti sigurnosni rad |
|---|---|---|
| Planiranje usluge | Odredite vlasnika i dogovorite njezinu svrhu | Identificirajte osjetljivu imovinu i putove napada |
| Pregled dobavljača | Evidentirajte odgovornosti i kriterije pregleda | Ispitajte izloženost kroz modele, podatke i ovisnosti |
| Odobrenje izdanja | Evidentirajte odluke o rizicima i odgovornu osobu za odobrenje | Testirajte relevantne napade i zaštitne mjere aplikacije |
| Upravljanje promjenama | Pregledajte ishode i odlučite o poboljšanjima | Ponovno procijenite sigurnost kada se promijene modeli, podaci ili integracije |
Vodite jedan zapis o AI sustavu s poveznicama na njegove vlasnike, rizike, kontrole, testove i odluke. Ponovno koristite dokaze ondje gdje su relevantni i zabilježite koje kriterije procjene podupiru.
Sigurnosni test može, primjerice, pokazati je li ograničena radnja bila blokirana. Povezani zapis o pregledu može pokazati tko je ocijenio taj rezultat i odlučio je li sustav spreman za izdanje. Oba su zapisa korisna i odgovaraju na različita pitanja.
Kako se ISO 42001 odnosi prema NIST AI RMF-u i Aktu EU-a o umjetnoj inteligenciji, pročitajte u članku ISO 42001, NIST AI RMF i Akt o umjetnoj inteligenciji: povežite uloge.
Često postavljana pitanja
Zamjenjuje li ISO 27090 normu ISO 42001?
Ne. One služe različitim svrhama: smjernicama za sigurnost umjetne inteligencije i zahtjevima za sustav upravljanja umjetnom inteligencijom.
Mogu li ih primjenjivati organizacije koje koriste umjetnu inteligenciju trećih strana?
Da. Obje se norme odnose na organizacije koje koriste umjetnu inteligenciju.
Dokazuje li certifikacija prema ISO 42001 da je svaka AI aplikacija sigurna?
Ne. Ona procjenjuje AIMS. Sigurnost aplikacija i dalje treba procijeniti.
Izvori: ISO-ovo objašnjenje norme ISO 27090 i ISO-ovo objašnjenje norme ISO 42001.
Povežite upravljanje umjetnom inteligencijom sa sigurnosnim dokazima
Počnite od ishoda koji vam je potreban: jasnije odgovornosti za umjetnu inteligenciju, jače sigurnosti aplikacija ili kombinacije obojega. Odredite vlasnika tog rada i odlučite koji će dokazi pokazati napredak.
Secani povezuje zahtjeve, rizike, kontrole, dokaze, vlasnike i odluke iz pregleda u jednom radnom prostoru. Razgovarajte sa Secanijem o organizaciji vašeg rada na upravljanju i sigurnosti umjetne inteligencije.
Izgradite provjerljive tijekove rada za usklađenost
Secani povezuje opsege, dokaze, zadatke i AI agente u jednom zajedničkom radnom prostoru.
Povezani članci
Svi članciUpravljanje umjetnom inteligencijom
ISO 27090 objašnjen za timove za sigurnost umjetne inteligencije
Praktični vodič kroz novu normu kibernetičke sigurnosti za umjetnu inteligenciju, napade kojima se bavi i dokaze koje sigurnosni timovi mogu koristiti.
Upravljanje umjetnom inteligencijom
ISO 42001, NIST AI RMF i Akt o umjetnoj inteligenciji: povežite uloge
Koristite sustave upravljanja umjetnom inteligencijom i okvire za upravljanje rizicima za organizaciju upravljanja, a pravne zahtjeve Akta o umjetnoj inteligenciji procijenite zasebno.
Upravljanje umjetnom inteligencijom
Akt o umjetnoj inteligenciji: klasificirajte slučajeve upotrebe i planirajte dokaze
Aktualan pristup spremnosti za Akt o umjetnoj inteligenciji utemeljen na ulogama, uključujući ažurirani raspored Europske komisije, procjenu visokog rizika i odgovorno upravljanje.