ISO 42001, NIST AI RMF i Akt o umjetnoj inteligenciji: povežite uloge

Upravljanje umjetnom inteligencijom može kombinirati sustav upravljanja, okvir za upravljanje rizicima i pravne obveze. Inženjerski izazov je povezati ih, a da se ne pretvara da su međusobno zamjenjivi. Politika, izvješće o evaluaciji i odluka o pravnoj klasifikaciji mogu podupirati istu AI uslugu, ali svaka od njih odgovara na drukčije pitanje.

ISO/IEC 42001 utvrđuje kako organizacija upravlja umjetnom inteligencijom. NIST-ov okvir za upravljanje rizicima umjetne inteligencije (AI RMF) pomaže timovima istražiti rizike i upravljati njima u kontekstu. Akt EU-a o umjetnoj inteligenciji utvrđuje pravne obveze ovisno o sustavu, njegovoj namjeni i ulozi organizacije kao operatera.

Za CTO-a je koristan ishod jedan lanac upravljanja koji se može pregledati: definiran slučaj upotrebe, odgovorni vlasnici, implementirane zaštitne mjere, dokazi o testiranju, odluke o puštanju u rad i nadzor. Mapiranja okvira trebaju upućivati na taj lanac, a pritom sačuvati zahtjeve koji i dalje zahtijevaju tehnički, pravni rad ili rad povezan sa sukladnošću.

Razumite što svaki instrument utvrđuje

ISO 42001: učinite upravljanje ponovljivim

ISO/IEC 42001 utvrđuje zahtjeve za uspostavu, implementaciju, održavanje i stalno poboljšavanje AIMS-a. Njegovi zahtjevi za sustav upravljanja obuhvaćaju kontekst organizacije, vodstvo, planiranje, podršku, rad, vrednovanje učinkovitosti i poboljšavanje.

Ta je struktura važna kada nekoliko timova razvija ili kupuje rješenja umjetne inteligencije. Ona pruža osnovu za odlučivanje o tome tko odobrava uvođenje, kako se provode procjene učinka i rizika, kako se postupa s ovisnostima o dobavljačima i kako neuspjesi dovode do korektivnih radnji.

Standard uključuje i referentne kontrole u Prilogu A te smjernice za implementaciju. Odabir kontrola temelji se na riziku i zahtijeva dokumentirano obrazloženje; kopiranje priloga u kontrolni popis ne dokazuje da sustav upravljanja funkcionira.

Neovisno certifikacijsko tijelo može ocijeniti AIMS s definiranim opsegom. ISO sam ne certificira organizacije. Certifikacija pruža jamstvo o tom sustavu upravljanja unutar navedene granice, a ne neograničenu tvrdnju da je svaki model ili rezultat siguran.

NIST AI RMF: istražite stvarni rizik

NIST AI RMF organizira rad na rizicima oko funkcija Govern, Map, Measure i Manage. Govern je transverzalna funkcija; funkcije nisu jednostavno četiri uzastopne projektne faze.

Njegova obilježja pouzdanosti uključuju valjanost i pouzdanost, sigurnost (safety), zaštitu i otpornost, odgovornost i transparentnost, objašnjivost i interpretabilnost, unapređenje privatnosti te pravednost uz upravljanje štetnom pristranošću. Ta obilježja mogu uključivati kompromise. Detaljnija objašnjenja, na primjer, mogu otkriti informacije koje zahtijevaju zaštitu privatnosti.

NIST-ove smjernice pomažu timovima pretvoriti široke ciljeve u pitanja i evaluacije specifične za slučaj upotrebe. One obrađuju i odgovornost; upravljanje nije rezervirano samo za ISO 42001. Ne postoji program certifikacije prema NIST AI RMF-u usporediv s certifikacijom ISO sustava upravljanja. Vanjska procjena može poduprijeti jamstvo, ali njezin opseg i metodologija moraju biti navedeni.

Akt o umjetnoj inteligenciji: utvrdite obveze, a ne samo rizike

Akt EU-a o umjetnoj inteligenciji različitim odredbama uređuje određene prakse, sustave umjetne inteligencije i modele umjetne inteligencije opće namjene. Pravna primjenjivost ne određuje se samo tehničkom ocjenom rizika. Važni su namjena, teritorijalno područje primjene, uloga operatera i posebna pravila klasifikacije.

Obveze dobavljača razlikuju se od obveza subjekta koji uvodi sustav. Model nije isto što i aplikacija koja ga uključuje, a nazivanje softvera „agentom“ ne određuje njegovu pravnu ulogu ni klasifikaciju.

Počnite s opsegom i pravnom primjenjivošću

Održavajte inventar umjetne inteligencije na razini operativnih slučajeva upotrebe, a ne samo naziva dobavljača. Jedan temeljni model može podupirati i interni asistent za sastavljanje tekstova i alat za probir kandidata pri zapošljavanju. Ta uvođenja imaju različite pogođene osobe, posljedice, kontrole i moguće obveze.

Za svaki slučaj upotrebe zabilježite:

• Namjenu, odluke koje podupire, zabranjene upotrebe i lokacije uvođenja.
• Vlasnika sustava, tehničkog vlasnika, korisnike i pogođene osobe.
• Dobavljače modela i aplikacija, aranžmane hostinga i ovisnosti.
• Izvore podataka, rezultate, integracije i dopuštene radnje.
• Ulogu organizacije kao operatera i obrazloženje koje je podupire.
• Klasifikaciju, primjenjive obveze, datum pregleda i neriješena pitanja.

Organizacija izvan EU-a u određenim okolnostima i dalje može biti obuhvaćena područjem primjene Akta. S druge strane, imati klijente u EU-u ne opravdava dodjeljivanje svake moguće obveze svakom proizvodu. Pregledajte stvarne teritorijalne uvjete i uvjete povezane s ulogom.

Odvojite zabranjene prakse, zahtjeve za visokorizične sustave, posebne obveze transparentnosti i obveze za modele umjetne inteligencije opće namjene. To nisu međusobno zamjenjive razine na jedinstvenoj inženjerskoj ljestvici ozbiljnosti. Chatbot naizgled niskog učinka može imati obveze transparentnosti; slučaj upotrebe visokog učinka zahtijeva detaljniju pravnu procjenu.

Koristite aktualni raspored primjene

Pregled Akta o umjetnoj inteligenciji Europske komisije, u kontekstu provjerenom 7. listopada 2026., navodi sljedeći raspored:

Izmijenjene odredbe, prijelazne aranžmane i konkretan sustav procijenite zasebno. Nemojte odgađati obveze koje se već primjenjuju samo zato što postoji kasniji datum za visokorizične sustave. Pravnu procjenu držite datiranom i za kontekst rasporeda i procjene uloge koristite naš vodič za spremnost za Akt o umjetnoj inteligenciji.

Izgradite jedan lanac dokaza, a ne tri biblioteke dokumenata

Praktičan lanac upravljanja počinje slučajem upotrebe i završava pregledanom odlukom:

Namjena → učinci i rizici → zahtjevi → zaštitne mjere → evaluacije → odobrenje → nadzor.

Svaka veza treba dovoljno pojedinosti da je može pregledati netko izvan implementacijskog tima. „Ljudski nadzor implementiran“ nije dovoljno ako revizor ne može utvrditi tko može intervenirati, što ta osoba vidi i funkcionira li intervencija.

Koristite zapis o zahtjevima koji razlikuje izvorni zahtjev od njegove implementacije. Korisna minimalna shema uključuje izvor i verziju, opseg, tekst zahtjeva ili referencu, lokalno tumačenje, vlasnika kontrole, povezane dokaze, revizora, status i preostalu prazninu.

Ovu tablicu tretirajte kao pomoć pri implementaciji, a ne kao mjerodavnu kartu istovjetnosti. Odnosi su više-prema-više: jedna evaluacija može podupirati nekoliko zahtjeva, dok jedan zahtjev može trebati više kontrola i zapisa.

Prije ponovne upotrebe dokaza provjerite njihov opseg, datum, verziju sustava i zaključak. Test za jednu konfiguraciju modela ne može automatski podupirati drugu konfiguraciju. Korporativna politika dokazuje da postoji dokumentirano pravilo; za dokazivanje njegova provođenja potrebni su operativni zapisi.

Koristite NIST-ove funkcije za definiranje inženjerskog rada

NIST-ove funkcije pružaju koristan način organiziranja implementacijskih pitanja unutar AIMS-a. One trebaju proizvesti konkretne artefakte, a ne samo ispunjena polja upitnika.

Govern: utvrdite ovlasti odlučivanja

Definirajte tko je vlasnik sustava, tko neovisno pregledava značajne rizike i tko može odobriti iznimke ili zaustaviti uvođenje. Navedite zahtjeve za kompetencijama i putove eskalacije. Povežite te odgovornosti s postojećim procesima sigurnosti, zaštite privatnosti, nabave i upravljanja incidentima.

Koristan rezultat je postupak puštanja u rad koji utvrđuje potrebne revizore i dokaze. Prihvaćanje rizika treba imenovati donositelja odluke, obrazloženje, uvjete i okidač za pregled, a ne samo zabilježiti „prihvaćeno“.

Map: opišite kontekst i posljedice

Dokumentirajte tijek rada prije odabira pokazatelja. Utvrdite gdje umjetna inteligencija utječe na odluke, tko snosi posljedice i što se događa kada su rezultati pogrešni, nedostupni ili zlouporabljeni.

Uključite predvidivu zlouporabu i otkazivanje ovisnosti. Za agenta koji može izvršavati radnje mapirajte alate, vjerodajnice, dostupne podatke, granice odobravanja i putove oporavka. Za umjetnu inteligenciju trećih strana zabilježite što kontrolira dobavljač, a što ostaje vaša odgovornost.

Measure: testirajte tvrdnje koje su važne

Odaberite evaluacije povezane s utvrđenim rizicima. Ovisno o slučaju upotrebe, one mogu uključivati točnost zadatka, uspješnost po podskupinama, robusnost, curenje privatnih podataka, ubacivanje upita (prompt injection), neovlaštene radnje i razumijevanje operatera.

Dokumentirajte podrijetlo skupova podataka, reprezentativnost, uvjete testiranja, pokazatelje, ograničenja i pragove prihvaćanja. Gdje je moguće, mjerite cjelovitu aplikaciju: dohvat podataka, upiti, ovlaštenja, sučelja i ljudski tijek rada mogu promijeniti ishode čak i kada temeljni model ostaje isti.

Manage: implementirajte postupanje i praćenje

Nalaze pretvorite u zaštitne mjere, ograničenja, otklanjanje nedostataka ili odluku o neuvođenju. Primjeri uključuju smanjenje ovlaštenja alata, zahtijevanje odobrenja za radnje sa značajnim posljedicama, isključivanje nepodržanih upotreba ili osiguravanje pouzdane zamjenske mogućnosti bez umjetne inteligencije.

Postavite pragove nadzora i postupke odgovora. Pokazatelj bez vlasnika ili pravila odgovora samo je telemetrija. Zabilježite koji događaji pokreću ponovnu procjenu, uključujući ažuriranja dobavljača, promijenjene izvore podataka, proširene upotrebe i incidente.

Učinite ISO 42001 provjerljivim kroz operativne zapise

Ako je certifikacija cilj, definirajte granicu AIMS-a prije pripreme za vanjsku reviziju. Opseg može obuhvaćati određeni proizvod, poslovnu jedinicu ili skup aktivnosti životnog ciklusa, ali treba jasno opisati uključene aktivnosti i sučelja. Uski opseg ne smije se predstavljati kao jamstvo za cijelu organizaciju.

Provedite analizu praznina u odnosu na zahtjeve sustava upravljanja i primjenjive kontrole. Uspostavite politiku, ciljeve, metode procjene rizika i učinka, dokumentiranu primjenjivost kontrola, odgovornosti i operativne postupke. Zatim generirajte dokaze da ti procesi stvarno funkcioniraju.

Korisni zapisi uključuju dovršene procjene, preglede dobavljača, evidencije o osposobljavanju, odobrenja puštanja u rad, preglede nadzora, korektivne radnje, nalaze interne revizije i odluke s upravine ocjene. Interna revizija i upravina ocjena zasebne su aktivnosti: prva vrednuje sukladnost i djelotvornost; druga podupire vodstvo u ocjenjivanju i usmjeravanju sustava upravljanja.

Neovisni certifikacijski postupak obično uključuje faze ocjene spremnosti i implementacije. Opseg i aranžmane revizije dogovorite s certifikacijskim tijelom, umjesto da certifikaciju tretirate kao podnošenje papirologije. Nastavite s nadzorom, internim pregledom i poboljšavanjem i nakon certifikacije.

Ni certifikat ni procjena prema RMF-u ne zamjenjuju primjenjivo ocjenjivanje sukladnosti prema Aktu o umjetnoj inteligenciji. Postupak ocjenjivanja sukladnosti ovisi o sustavu i relevantnim odredbama; ne zahtijeva svaki visokorizični sustav isti postupak s trećom stranom. Zahtjeve u pogledu izjave, registracije, označivanja i izvješćivanja također treba provjeriti za relevantnu ulogu i sustav.

Razrađeni primjer: uvođenje umjetne inteligencije u zapošljavanju

Ilustrativne pretpostavke: poslodavac iz EU-a kupuje aplikaciju koja rangira kandidate za pregled prije razgovora. Dobavljač isporučuje aplikaciju, dok poslodavac konfigurira kriterije za radna mjesta i koristi rangiranja. Regruteri donose konačne odluke o zapošljavanju. Pretpostavimo da pravni pregled utvrđuje visokorizičnu upotrebu u području zapošljavanja iz Priloga III. i inicijalno utvrđuje poslodavca kao subjekt koji uvodi sustav.

To se ne rješava izjavom „čovjek donosi konačnu odluku“. Rangiranje može bitno utjecati na to tko će biti razmatran. Procjena mora ispitati stvarni tijek rada, uključujući i to zanemaruju li regruteri rutinski kandidate ispod određenog praga.

Uspostavite zapis specifičan za sustav

Tehnički vlasnik bilježi polja za unos, informacije o logici rangiranja koje dobavljač stavlja na raspolaganje, verziju aplikacije, konfiguraciju, korisnike i odredišta izvoza. Nabava traži od dobavljača upute, ograničenja, relevantne dokaze o evaluaciji, obavijesti o promjenama i podršku za obveze organizacije.

Pravni pregled dokumentira pretpostavke o klasifikaciji i ulozi, uključujući i to bi li buduća izmjena ili promjena robne marke mogla promijeniti ulogu. Pregled zaštite privatnosti zasebno procjenjuje obradu podataka o kandidatima. Upravljanje umjetnom inteligencijom ne zamjenjuje analizu zaštite podataka.

Testirajte i implementirajte zaštitne mjere

Koristeći NIST-ove funkcije Map i Measure, tim evaluira reprezentativne scenarije zapošljavanja, ponašanje pri nedostajućim podacima i razlike u uspješnosti među relevantnim skupinama, gdje je to zakonito i izvedivo. Dokumentira nesigurnost i ograničenja uzorka, umjesto da pokazatelj pravednosti predstavi kao dokaz da je sva štetna pristranost nestala.

Ljudski nadzor uključuje osposobljavanje regrutera, vidljiva ograničenja, put za pregled isključenih prijava i mogućnost obustave rangiranja. Tim testira razumiju li revizori rezultate i mogu li ih nadjačati bez operativnih prepreka.

Sigurnosne kontrole ograničavaju pristup zapisima o kandidatima i sprječavaju neodobrene izvoze. Upravljanje promjenama zahtijeva ponovnu procjenu kada se promijene kriteriji rangiranja, modeli ili aranžmani obrade kod dobavljača.

Tri zaključka držite odvojenima

Zapis o AIMS-u pokazuje kako su funkcionirali procesi procjene, vlasništva, pregleda dobavljača i odobravanja. Zapis o RMF-u objašnjava kontekstualne rizike, testove, postupanje i preostalu nesigurnost. Pravni zapis utvrđuje primjenjive obveze subjekta koji uvodi sustav, rokove i preostali rad.

Pretpostavimo da dobavljač nije dao dovoljne upute za pouzdan nadzor. Zapis o puštanju u rad treba prikazati tu prazninu, njezina vlasnika i odluku o odgodi ili ograničenju uvođenja, a ne zeleni status naslijeđen od poslodavčeva ISO certifikata.

Odaberite prioritete i održavajte dokaze nakon puštanja u rad

Prednost dajte primjenjivim pravnim obvezama i neprihvatljivim operativnim rizicima. ISO certifikacija može teći usporedno s otklanjanjem nedostataka, ali cilj revizije ne smije potisnuti hitne kontrole.

Ako timovima nedostaju dosljedni procesi vlasništva i pregleda, izgradite temelj AIMS-a. Ako upravljanje postoji, ali su evaluacije sustava slabe, koristite RMF za poboljšanje kontekstualne analize i testiranja. Ako klijent zahtijeva certifikaciju, potvrdite očekivani opseg prije planiranja proračuna.

Izbjegavajte univerzalne pretpostavke o troškovima ili trajanju. Napor ovisi o broju sustava, postojećem upravljanju, potrebama evaluacije, uvidu u dobavljače i otklanjanju nedostataka. RMF je besplatno dostupan, ali implementacija i dalje troši vrijeme zaposlenika; ISO certifikacija dodaje troškove pristupa standardu i vanjske ocjene.

Nakon puštanja u rad artefaktima dodijelite okidače za pregled. Ažuriranje modela kod dobavljača može poništiti rezultate evaluacije; novo ovlaštenje za radnje može promijeniti model prijetnji; novo tržište može zahtijevati ponovnu pravnu procjenu. Sačuvajte prethodne verzije i odluke kako bi revizori mogli rekonstruirati što je u tom trenutku odobreno.

Uobičajene pogreške uključuju tretiranje mapiranja kao usklađenosti, prikupljanje politika bez operativnih dokaza, prihvaćanje tvrdnji dobavljača bez analize specifične za uvođenje i bilježenje preostalog rizika bez vlasnika odluke. Druga je pogreška mjerenje kvalitete modela uz zanemarivanje ovlaštenja aplikacije i ljudskog ponašanja.

Secani može podržati tijek rada s dokazima povezivanjem zahtjeva, kontrola, izvornog materijala, vlasnika, zadataka i pregledanih odluka. Počnite s jednim definiranim opsegom, priložite dokaze onome što podupiru i pretvorite nedostajući ili zastarjeli materijal u dodijeljene zadatke. Prijedloge potpomognute umjetnom inteligencijom tretirajte kao nacrte: čovjek treba pregledati mapiranja i zaključke, uz očuvane izvore i obrazloženje odobrenja. Time osnova upravljanja ostaje provjerljiva, a da ne zamjenjuje inženjersku ili pravnu prosudbu.

Pitanja koja utječu na implementaciju

Mogu li se postojeće sigurnosne kontrole ponovno upotrijebiti?

Da, kada njihova implementacija i dokazi obuhvaćaju uvođenje umjetne inteligencije. Kontrola pristupa, odgovor na incidente i upravljanje dobavljačima često doprinose. One same po sebi ne odgovaraju na pitanja o štetnoj pristranosti, namjeni ili djelotvornom ljudskom nadzoru.

Što ako dobavljač ne želi otkriti unutarnje pojedinosti modela?

Zabilježite ograničenje uvida. Tražite dokaze razmjerne slučaju upotrebe, evaluirajte uvedenu aplikaciju i utvrdite jesu li potrebna ugovorna jamstva, ograničenja ili alternativni dobavljači. Nedostatak uvida nije automatski prihvatljiv samo zato što je usluga komercijalno dostupna.

Što bi tim trebao učiniti prvo?

Odaberite jedan slučaj upotrebe sa značajnim posljedicama i okupite njegova vlasnika, namjenu, procjenu uloge, zapis o riziku, zaštitne mjere, testove i odobrenje. Pregledajte praznine u sva tri instrumenta. Ta ograničena vježba otkriva treba li organizaciji bolje upravljanje, bolji tehnički dokazi ili neriješeni pravni rad prije širenja.