ISO/IEC 27090, EN 18286 un IEEE 2863: trīs jaunie 2026. gada MI pārvaldības standarti īsumā

Trīs standarti trīs dienās: kāpēc 2026. gada oktobris ir svarīgs MI pārvaldībai

No 2026. gada 14. līdz 16. oktobrim vienlaikus stājās spēkā trīs MI pārvaldības standarti: ISO/IEC 27090:2026 tika publicēts 14. oktobrī, EN 18286:2026 tajā pašā dienā tika minēts ES Oficiālajā Vēstnesī kā pirmais saskaņotais standarts saskaņā ar ES Mākslīgā intelekta aktu, bet IEEE 2863-2026 sekoja 16. oktobrī. Trīs organizācijas, trīs skatpunkti, viena tēma: kā organizācijām veidot un darbināt MI droši, atbilstoši prasībām un atbildīgi?

Organizācijām, kas izstrādā vai izmanto MI, ir vērts iepazīties ar visiem trim. Tie aptver dažādus līmeņus – tehnoloģiju, regulējumu un organizāciju – un viens otru papildina, nevis konkurē. Šajā rakstā skaidrots, ko standarti ietver, uz ko tie attiecas un kas jādara tagad.

Trīs standarti īsumā

ISO/IEC 27090:2026 – MI sistēmu kiberdrošība

ISO/IEC 27090:2026 ir pirmais starptautiskais standarts, kas pilnībā veltīts drošības apdraudējumiem MI sistēmām. Tā pilnais nosaukums ir Cybersecurity — Artificial intelligence (AI) — Addressing security threats and compromises to AI systems. To izstrādāja ISO/IEC JTC 1/SC 27 – komiteja, kas izstrādājusi arī ISO/IEC 27001. Standarta ieraksts ISO

Uzmanības centrā ir MI sistēmu aizsardzība, nevis MI izmantošana aizsardzībai pret citiem uzbrukumiem. Standarts apraksta, kuri uzbrukumi ir specifiski modeļiem, apmācības datiem un MI darbplūsmām, kā tos atklāt un kā tiem pretoties visā dzīves ciklā. Pie tiem pieder:

• Datu saindēšana (data poisoning): manipulēti apmācības dati, kas maina modeļa uzvedību
• Modeļa eksfiltrācija: modeļa iegūšana ar šķietami likumīgiem vaicājumiem
• Apiešanas uzbrukumi (evasion), dalības secināšana (membership inference), modeļa inversija un tieša modeļa saindēšana
• Uzvednes injekcija (prompt injection), kā arī sensitīvi vai kaitīgi modeļa rezultāti

ISO/IEC 27090 aptver arī transversālas tēmas, piemēram, apdraudējumu modelēšanu, red teaming, nulles uzticēšanos (zero trust), piegādes ķēdes drošību, žurnalēšanu un uzraudzību, kā arī to, kā modeļi un aizsardzības pasākumi laika gaitā noveco. Tā vadošais princips ir padziļinātā aizsardzība: vairāki aizsardzības slāņi, jo dažus uzbrukumus MI ir grūti atklāt. ISO skaidrojums par ISO 27090

Būtiska atšķirība: ISO/IEC 27090 ir vadlīnijas, nevis sertificējams prasību standarts. Tas papildina esošu ISMS atbilstoši ISO/IEC 27001 un MI pārvaldības sistēmu atbilstoši ISO/IEC 42001 ar MI specifiskiem drošības aspektiem. Drošības komandām tas ir dabisks sākumpunkts, lai iekļautu MI riskus esošajos procesos. Vairāk lasiet rakstos ISO 27090 skaidrojums MI drošības komandām un ISO 27090 un ISO 42001 salīdzinājumā.

EN 18286:2026 – Kvalitātes vadības sistēma ES Mākslīgā intelekta aktam

EN 18286:2026 ir pirmais saskaņotais standarts saskaņā ar ES Mākslīgā intelekta aktu – un tādējādi no visiem trim tam ir vislielākā juridiskā nozīme. CEN un CENELEC 2026. gada jūlijā publicēja Artificial intelligence – Quality management system for EU AI Act regulatory purposes. 2026. gada 14. oktobrī Eiropas Komisija to minēja ES Oficiālajā Vēstnesī ar Īstenošanas lēmumu (ES) 2026/2274.

Šī atsauce ir izšķirošais solis. Saskaņā ar MI akta 40. pantu nodrošinātāji, kas piemēro Oficiālajā Vēstnesī publicētu saskaņoto standartu, gūst labumu no atbilstības prezumpcijas attiecībā uz prasībām, ko tas aptver. Konkrēti tas attiecas uz 17. pantu: augsta riska MI sistēmu nodrošinātājiem jāuztur dokumentēta kvalitātes vadības sistēma. Saskaņā ar atjaunināto grafiku šis pienākums attiecas uz III pielikumā uzskaitītajām augsta riska sistēmām no 2027. gada 2. decembra un uz augsta riska sistēmām regulētos produktos saskaņā ar I pielikumu no 2028. gada 2. augusta. Eiropas Komisijas MI akta grafiks EN 18286 pārvērš šo pienākumu auditējamās prasībās, tostarp:

• Projektēšanas un izstrādes kontroles
• Riska pārvaldība un datu pārvaldība
• Dokumentācija un ieraksti
• Pēctirgus uzraudzība un incidentu apstrāde

Organizācijām jāpatur prātā trīs lietas. Pirmkārt: standarta piemērošana joprojām ir brīvprātīga; atbilstību var pierādīt arī citādi – vienkārši bez prezumpcijas. Otrkārt: prezumpcija attiecas tikai uz prasībām, kuras standarts faktiski aptver, nevis uz visu MI aktu. Treškārt: ISO/IEC 42001 to neaizstāj. Starptautiskais MI pārvaldības sistēmu standarts ir sertificējams, taču tas nav saskaņotais standarts un nerada atbilstības prezumpciju. Organizācijām, kuras jau uztur 42001 sistēmu, ir labs pamats, taču tām savi procesi jāsasaista ar EN 18286. Nemko Digital par EN 18286

Tiek izstrādāti arī citi saskaņotie standarti par riska pārvaldību, datu kvalitāti, pārredzamību, cilvēka virsvadību un kiberdrošību, taču tie vēl nav minēti. Pašlaik EN 18286 ir vienīgā ar MI aktu saistītā atsauce Oficiālajā Vēstnesī. Par to, kā klasificēt MI lietošanas gadījumus saskaņā ar MI aktu, lasiet rakstā ES Mākslīgā intelekta akts: klasificējiet lietošanas gadījumus un plānojiet pierādījumus.

IEEE 2863-2026 – Organizācijas MI pārvaldība

IEEE 2863-2026 sākas vienu līmeni augstāk: ar jautājumu, kā organizācija kopumā atbildīgi pārvalda MI. IEEE Recommended Practice for Organizational Governance of Artificial Intelligence IEEE Standards Association publicēja 2026. gada 16. oktobrī – pēc vairāk nekā sešiem izstrādes gadiem (projekta sākums 2020. gada februārī, valdes apstiprinājums 2026. gada jūnijā). Standarta lapa IEEE SA

Standarts ir paredzēts organizācijas pārvaldes institūcijai – izpildvadībai, valdei vai uzraudzības padomei – un tam ir trīs pamatelementi:

1. Pārvaldības principi, kuriem institūcijai jāpiešķir prioritāte
2. Procesi, kas šos principus īsteno praksē
3. Gadījumu izpēte par konkrētiem MI lietojumiem, kas parāda, kā procesi īsteno principus – tostarp kā atrisināt konfliktus starp principiem

IEEE nosauktās galvenās tēmas aptver gan pārskatatbildību, pārredzamību, izskaidrojamību un cilvēka virsvadību, gan privātumu, drošumu un nediskrimināciju, gan ilgtspēju un labbūtību. Procesu pusē tās ietver auditu, red teaming, reaģēšanu uz incidentiem, dzīves cikla uzraudzību, vērtību ķēdes pārvaldību, kompetenču veidošanu un ieinteresēto personu iesaisti.

Kā ieteicamā prakse IEEE 2863 sniedz ieteikumus, nevis sertificējamas prasības. Tā vērtība ir abstraktu ētikas principu sasaistīšanā ar konkrētiem lēmumu pieņemšanas procesiem vadības līmenī. Tas arī apraksta, kā organizācijas rīkojas ar ārējiem pārvaldības instrumentiem: regulējumu, profesionālajiem standartiem, rīcības kodeksiem un sabiedrības gaidām attiecībā uz atbildīgu MI.

Kā trīs standarti savstarpēji saskan

Trīs standarti aptver trīs līmeņus, kas praksē pārklājas:

ISO/IEC 42001 ir dabisks kopīgais pamats. MI pārvaldības sistēma nodrošina struktūru, kurā var iekļaut pārvaldības principus (IEEE 2863), normatīvās KVS prasības (EN 18286) un drošības pasākumus (ISO/IEC 27090). EN 18286 strukturāli saskan ar ISO/IEC 42001, to neaizstājot; ISO/IEC 27090 atsaucas uz 42001 kā vadības ietvaru; IEEE 2863 apraksta pārvaldības līmeni virs tiem. Ja trīs standartus aplūkojat atsevišķi, tos pašus procesus veidojat trīs reizes – ja tos uzskatāt par vienas sistēmas slāņiem, ietaupāt pūles un izvairāties no pretrunām.

Kas organizācijām jādara tagad

Prioritātes ir atkarīgas no jūsu lomas MI vērtību ķēdē:

• Augsta riska MI nodrošinātāji ES: iegādājieties EN 18286 un veiciet nepilnību novērtējumu attiecībā pret esošo KVS. Ja jau strādājat atbilstoši ISO 9001, ISO 13485 vai ISO/IEC 42001, varat integrēt MI akta elementus, taču sasaiste ir jādokumentē.
• Drošības komandas: inventarizējiet MI sistēmas – tostarp tās, kas iegūtas no trešajām personām. Noskaidrojiet, no kurienes nāk dati un modeļi, paplašiniet apdraudējumu modelēšanu ar MI specifiskiem uzbrukumiem un pārbaudiet, kā tiktu atklāta un apstrādāta aizdomīga modeļa uzvedība. ISO/IEC 27090 sniedz kontrolsarakstu.
• Izpildvadība un uzraudzības padomes: izmantojiet IEEE 2863 kā ietvaru MI pārvaldības mandātam – nosakiet principus, sadaliet atbildību, definējiet ziņošanas līnijas un pieņemiet lēmumus par kompromisiem skaidri.
• Visi: sekojiet līdzi turpmākajiem saskaņotajiem standartiem. EN 18286 ir tikai sākums; sekos standarti par riska pārvaldību, kiberdrošību un žurnalēšanu.

ISO/IEC 27090 un EN 18286 ir maksas – ISO/IEC 27090 ISO Store, EN 18286 nacionālajās standartizācijas institūcijās (Vācijā – DIN Media). IEEE 2863 ir pieejams bez maksas, izmantojot IEEE GET Program, vai to var iegādāties vai izmantot ar abonementu IEEE SA.

Secinājums

2026. gada oktobris iezīmē MI pārvaldības pāreju no principiem uz auditējamiem standartiem. ISO/IEC 27090 padara MI drošību konkrētu, EN 18286 dod ES Mākslīgā intelekta aktam tā pirmo saskaņoto standartu ar atbilstības prezumpciju, un IEEE 2863 nostiprina MI pārvaldību vadības līmenī. Kas pārzina visus trīs, var aplūkot drošību, atbilstību un pārskatatbildību kā vienu sistēmu – nevis kā trīs atsevišķus projektus.

Avoti

• ISO/IEC 27090:2026 – kataloga ieraksts un ISO/IEC 27090 explained (ISO)
• Īstenošanas lēmums (ES) 2026/2274 (EUR-Lex)
• EN 18286: EU AI Act Cites New Harmonized QMS Standard (Nemko Digital, 2026. gada 16. oktobris)
• IEEE 2863-2026 – standarta lapa (IEEE SA)