ISO/IEC 27090, EN 18286 ir IEEE 2863: trys nauji 2026 m. DI valdymo standartai trumpai

Trys standartai per tris dienas: kodėl 2026 m. spalis svarbus DI valdymui

2026 m. spalio 14–16 d. vienu metu įsigaliojo trys DI valdymo standartai: ISO/IEC 27090:2026 paskelbtas spalio 14 d., EN 18286:2026 tą pačią dieną nurodytas ES oficialiajame leidinyje kaip pirmasis darnusis standartas pagal ES dirbtinio intelekto aktą, o IEEE 2863-2026 pasirodė spalio 16 d. Trys organizacijos, trys požiūriai, viena tema: kaip organizacijoms kurti ir eksploatuoti DI saugiai, laikantis reikalavimų ir atsakingai?

Organizacijoms, kurios kuria arba naudoja DI, verta susipažinti su visais trimis. Jie apima skirtingus lygmenis – technologijas, reguliavimą ir organizaciją – ir vienas kitą papildo, o ne konkuruoja. Šiame straipsnyje paaiškinama, ką standartai apima, kam jie taikomi ir ką reikia daryti dabar.

Trys standartai trumpai

ISO/IEC 27090:2026 – DI sistemų kibernetinis saugumas

ISO/IEC 27090:2026 yra pirmasis tarptautinis standartas, visiškai skirtas DI sistemoms kylančioms saugumo grėsmėms. Visas jo pavadinimas – Cybersecurity — Artificial intelligence (AI) — Addressing security threats and compromises to AI systems. Jį parengė ISO/IEC JTC 1/SC 27 – komitetas, parengęs ir ISO/IEC 27001. Standarto įrašas ISO

Dėmesys skiriamas DI sistemų apsaugai, o ne DI naudojimui gynybai nuo kitų atakų. Standarte aprašoma, kurios atakos būdingos modeliams, mokymo duomenims ir DI darbo eigoms, kaip jas aptikti ir kaip joms priešintis per visą gyvavimo ciklą. Tarp jų:

• Duomenų apnuodijimas (data poisoning): manipuliuoti mokymo duomenys, keičiantys modelio elgseną
• Modelio išgavimas (model exfiltration): modelio išgavimas naudojant iš pažiūros teisėtas užklausas
• Apėjimo atakos (evasion), narystės nustatymas (membership inference), modelio inversija ir tiesioginis modelio apnuodijimas
• Užklausų injekcija (prompt injection), taip pat jautrūs ar žalingi modelio rezultatai

ISO/IEC 27090 taip pat apima skersines temas, tokias kaip grėsmių modeliavimas, red teaming, nulinis pasitikėjimas (zero trust), tiekimo grandinės saugumas, žurnalų registravimas ir stebėsena, taip pat tai, kaip modeliai ir apsaugos priemonės laikui bėgant sensta. Pagrindinis jo principas – gynyba gilyn: keli apsaugos sluoksniai, nes kai kurias DI atakas sunku aptikti. ISO paaiškinimas apie ISO 27090

Svarbus skirtumas: ISO/IEC 27090 yra gairės, o ne sertifikuojamas reikalavimų standartas. Jis papildo esamą ISVS pagal ISO/IEC 27001 ir DI valdymo sistemą pagal ISO/IEC 42001 DI būdingais saugumo aspektais. Saugumo komandoms tai natūralus atspirties taškas DI rizikoms įtraukti į esamus procesus. Daugiau skaitykite straipsniuose ISO 27090 paaiškinimas DI saugumo komandoms ir ISO 27090 ir ISO 42001 palyginimas.

EN 18286:2026 – Kokybės vadybos sistema ES dirbtinio intelekto aktui

EN 18286:2026 yra pirmasis darnusis standartas pagal ES dirbtinio intelekto aktą – todėl iš visų trijų turi didžiausią teisinę reikšmę. CEN ir CENELEC 2026 m. liepą paskelbė Artificial intelligence – Quality management system for EU AI Act regulatory purposes. 2026 m. spalio 14 d. Europos Komisija nurodė jį ES oficialiajame leidinyje Įgyvendinimo sprendimu (ES) 2026/2274.

Ši nuoroda yra lemiamas žingsnis. Pagal DI akto 40 straipsnį tiekėjams, kurie taiko oficialiajame leidinyje paskelbtą darnųjį standartą, taikoma atitikties prezumpcija dėl jo apimamų reikalavimų. Konkrečiai tai susiję su 17 straipsniu: didelės rizikos DI sistemų tiekėjai privalo turėti dokumentuotą kokybės vadybos sistemą. Pagal atnaujintą tvarkaraštį ši prievolė taikoma nuo 2027 m. gruodžio 2 d. III priede išvardytoms didelės rizikos sistemoms ir nuo 2028 m. rugpjūčio 2 d. didelės rizikos sistemoms reguliuojamuose gaminiuose pagal I priedą. Europos Komisijos DI akto tvarkaraštis EN 18286 šią prievolę paverčia audituojamais reikalavimais, įskaitant:

• Projektavimo ir kūrimo kontrolę
• Rizikos valdymą ir duomenų valdymą
• Dokumentaciją ir įrašus
• Stebėseną po pateikimo rinkai ir incidentų tvarkymą

Organizacijos turėtų atsiminti tris dalykus. Pirma: standarto taikymas lieka savanoriškas; atitiktį galima įrodyti ir kitais būdais – tik be prezumpcijos. Antra: prezumpcija apima tik tuos reikalavimus, kuriuos standartas iš tikrųjų nagrinėja, o ne visą DI aktą. Trečia: ISO/IEC 42001 jo nepakeičia. Tarptautinis DI valdymo sistemų standartas yra sertifikuojamas, tačiau jis nėra darnusis standartas ir nesukuria atitikties prezumpcijos. Organizacijos, kurios jau turi 42001 sistemą, turi gerą pagrindą, tačiau savo procesus turi susieti su EN 18286. Nemko Digital apie EN 18286

Rengiami ir kiti darnieji standartai dėl rizikos valdymo, duomenų kokybės, skaidrumo, žmogaus priežiūros ir kibernetinio saugumo, tačiau jie dar nenurodyti. Šiuo metu EN 18286 yra vienintelė su DI aktu susijusi nuoroda oficialiajame leidinyje. Kaip klasifikuoti DI naudojimo atvejus pagal DI aktą, skaitykite straipsnyje ES dirbtinio intelekto aktas: klasifikuokite naudojimo atvejus ir planuokite įrodymus.

IEEE 2863-2026 – Organizacinis DI valdymas

IEEE 2863-2026 prasideda vienu lygmeniu aukščiau: nuo klausimo, kaip organizacija kaip visuma atsakingai valdo DI. IEEE Recommended Practice for Organizational Governance of Artificial Intelligence IEEE Standards Association paskelbė 2026 m. spalio 16 d. – po daugiau nei šešerių metų rengimo (projektas pradėtas 2020 m. vasarį, valdyba patvirtino 2026 m. birželį). Standarto puslapis IEEE SA

Standartas skirtas organizacijos valdymo organui – vykdomajai vadovybei, valdybai arba stebėtojų tarybai – ir turi tris sudedamąsias dalis:

1. Valdymo principai, kuriems organas turėtų teikti pirmenybę
2. Procesai, kurie šiuos principus įgyvendina praktikoje
3. Atvejų analizės apie konkrečias DI taikomąsias programas, rodančios, kaip procesai įgyvendina principus – įskaitant tai, kaip spręsti principų tarpusavio konfliktus

Pagrindinės IEEE įvardytos temos apima atskaitomybę, skaidrumą, paaiškinamumą ir žmogaus priežiūrą, privatumą, saugą ir nediskriminavimą, taip pat tvarumą ir gerovę. Procesų srityje jos apima auditą, red teaming, reagavimą į incidentus, priežiūrą per visą gyvavimo ciklą, vertės grandinės valdymą, kompetencijų ugdymą ir suinteresuotųjų šalių įtraukimą.

Kaip rekomenduojama praktika, IEEE 2863 pateikia rekomendacijas, o ne sertifikuojamus reikalavimus. Jo vertė – abstrakčių etikos principų susiejimas su konkrečiais sprendimų priėmimo procesais vadovybės lygmeniu. Jame taip pat aprašoma, kaip organizacijos turėtų elgtis su išorinėmis valdymo priemonėmis: reguliavimu, profesiniais standartais, elgesio kodeksais ir visuomenės lūkesčiais dėl atsakingo DI.

Kaip trys standartai dera tarpusavyje

Trys standartai apima tris lygmenis, kurie praktikoje persidengia:

ISO/IEC 42001 yra natūralus bendras pagrindas. DI valdymo sistema suteikia struktūrą, į kurią galima įtraukti valdymo principus (IEEE 2863), reguliavimo KVS reikalavimus (EN 18286) ir saugumo priemones (ISO/IEC 27090). EN 18286 struktūriškai suderintas su ISO/IEC 42001, jo nepakeisdamas; ISO/IEC 27090 remiasi 42001 kaip valdymo sistema; IEEE 2863 aprašo virš jų esantį valdymo lygmenį. Jei tris standartus nagrinėsite atskirai, tuos pačius procesus kursite tris kartus – jei laikysite juos vienos sistemos sluoksniais, sutaupysite pastangų ir išvengsite prieštaravimų.

Ką organizacijos turėtų daryti dabar

Prioritetai priklauso nuo jūsų vaidmens DI vertės grandinėje:

• Didelės rizikos DI tiekėjai ES: įsigykite EN 18286 ir atlikite neatitikčių analizę, palygindami su esama KVS. Jei jau dirbate pagal ISO 9001, ISO 13485 ar ISO/IEC 42001, galite integruoti DI akto elementus, tačiau turite dokumentuoti jų susiejimą.
• Saugumo komandos: inventorizuokite DI sistemas – įskaitant gautas iš trečiųjų šalių. Išsiaiškinkite, iš kur gaunami duomenys ir modeliai, išplėskite grėsmių modeliavimą DI būdingomis atakomis ir patikrinkite, kaip būtų aptikta ir sutvarkyta įtartina modelio elgsena. ISO/IEC 27090 pateikia kontrolinį sąrašą.
• Vykdomoji vadovybė ir stebėtojų tarybos: naudokite IEEE 2863 kaip DI valdymo įgaliojimų pagrindą – nustatykite principus, paskirstykite atsakomybę, apibrėžkite atskaitomybės linijas ir aiškiai spręskite kompromisus.
• Visi: sekite naujus darniuosius standartus. EN 18286 – tik pradžia; pasirodys standartai dėl rizikos valdymo, kibernetinio saugumo ir žurnalų registravimo.

ISO/IEC 27090 ir EN 18286 yra mokami – ISO/IEC 27090 per ISO Store, EN 18286 per nacionalines standartizacijos institucijas (Vokietijoje – DIN Media). IEEE 2863 nemokamai prieinamas per IEEE GET Program, jį taip pat galima įsigyti arba juo naudotis pagal prenumeratą per IEEE SA.

Išvada

2026 m. spalis žymi DI valdymo perėjimą nuo principų prie audituojamų standartų. ISO/IEC 27090 sukonkretina DI saugumą, EN 18286 suteikia ES dirbtinio intelekto aktui pirmąjį darnųjį standartą su atitikties prezumpcija, o IEEE 2863 įtvirtina DI valdymą vadovybės lygmeniu. Kas išmano visus tris, gali saugumą, atitiktį ir atskaitomybę traktuoti kaip vieną sistemą – užuot vykdę tris atskirus projektus.

Šaltiniai

• ISO/IEC 27090:2026 – katalogo įrašas ir ISO/IEC 27090 explained (ISO)
• Įgyvendinimo sprendimas (ES) 2026/2274 (EUR-Lex)
• EN 18286: EU AI Act Cites New Harmonized QMS Standard (Nemko Digital, 2026 m. spalio 16 d.)
• IEEE 2863-2026 – standarto puslapis (IEEE SA)