ISO/IEC 42001

ISO 42001: ki felel azért, amit a gép mond?

Képzeljünk el egy átlagos céget, ahol már több területen és több ponton is használnak valamilyen MI-alapú megoldást. A marketing osztály szövegeket írat vele, az ügyfélszolgálat válaszokat, a pénzügy pedig egy okos kis alkalmazást használ. Külön-külön mindegyik helyzetben logikus döntés a használata, azonban sokszor nem tudni, hogy milyen modellre, motorra vagy keretrendszerre épülnek és ha egyszer félrecsúszik valami, nincs kit megkérdezni. Az ISO 42001 pontosan erre a helyzetre ad választ.

Az ma már nem kérdés, hogy használunk-e mesterséges intelligenciát. Gyakran több helyen és régebb óta, mint amennyiről a vezetőség tud. Ott van a levélszűrőben, a keresőben, a fordítóban, az önéletrajzokat rangsoroló HR-rendszerben, sőt már a táblázatkezelőben is. Ha nincs vállalati keretek között biztosított megoldás, a munkatársak megtalálják az utat az ingyenesen elérhető eszközökhöz. Így azonban bizalmas üzleti vagy ügyféladatok is ellenőrizetlen környezetbe kerülhetnek. A kérdés tehát nem az, hogy használunk vagy nem, hanem az, hogy miként?

Az ISO 42001 pontosan ezt a „hogyan”-t teszi kezelhetővé. Ez az első nemzetközi szabvány, amely nem magát az MI-t minősíti, hanem azt, ahogyan egy szervezet bánik vele. Nem a modell algoritmusáról szól, hanem néhány nagyon hétköznapi kérdésről. Hol és mire használjuk, milyen eredményt/előnyöket várunk a használatától, ki felel érte, mi történik, ha téved, és ki az, aki felülbírálhatja. Aki dolgozott már ISO 9001-gyel vagy 27001-gyel, annak a logika ismerős lesz: célok, felelősök, kockázatok, mérés, javítás. Most ugyanez, csak a mesterséges intelligenciára szabva.

Miért lesz ez hamarosan mindenkinél téma?

Az MI-re vonatkozó előírások gyorsan szigorodnak Európában (AI Act) és a világ nagy részén, és a hatóságok nem ígéreteket fognak kérni, hanem kézzel fogható bizonyítékot. A szabvány szerinti működés önmagában nem váltja ki a jogszabályi megfelelést, de szinte minden dokumentumot és folyamatot előállít, amire ott szükség lesz.

Egyre több nagyvállalati és közszférás tenderben szerepel az AI kérdés: és Önök hogyan felügyelik az MI-t, amit használnak? Erre már nem elég annyi, hogy odafigyelünk rá. A tanúsítvány olyan, mint a műszaki vizsga: senkit nem tesz jó sofőrré, de nélküle el sem indulhat.

Egyetlen felügyelet nélkül hagyott modell képes elrontani egy ügyfélkapcsolatot, kínos sajtócikket eredményezni vagy jogi ügyet csinálni egy félrement válaszból. Az irányítási rendszer lényege, hogy az ilyesmi házon belül derüljön ki, ne az ügyfélnél.

És van egy negyedik ok, a REND. A legtöbb cégnél párhuzamosan, egymásról mit sem tudva zajlanak az MI-kísérletek. A felkészülés első kézzelfogható haszna általában az, hogy végre elkészül egy lista arról, hol és mire használunk MI-t, és ki a gazdája. Ez a lista sokszor magát a vezetőséget lepi meg a legjobban.

Mit kell ehhez valójában csinálni?

Jellemzően az alábbi fő lépésekből áll:

1. Felmérjük, hogy milyen vállalati célok eléréséhez lehet MI-t használni.
2. Megnézzük, hol tartunk. Mi az, ami már megvan – sokszor több, mint gondolnánk –, és mi hiányzik.
3. Kijelöljük a határokat. Mely területek, folyamatok és rendszerek tartoznak bele, és mi marad egyelőre kívül.
4. Összeírjuk, mink van. Saját fejlesztés, megvásárolt szoftver, egy másik programba csendben beépített funkció – mind számít.
5. Végiggondoljuk, mi sülhet el rosszul. Nemcsak a cégnek, hanem az ügyfeleknek és a munkatársaknak is.
6. Szabályokat rakunk le. Ki dönthet miről, mit kell tesztelni bevezetés előtt, hol marad ember a képben, és mi a teendő, ha baj van.
7. Bevezetjük, és elmagyarázzuk. Az a szabály, amit senki nem ismer, nem szabály, csak egy dokumentum a szerveren.
8. Végül lepróbáljuk. Előbb mi magunk, belső auditon, aztán jön a tanúsító testület.

Egy közepes cégnél ez több hónapos munka, de nem főállás. És ha működik már ISO 27001 vagy 9001, sokkal gyorsabban halad. A keret, a dokumentumkezelés és az auditrutin megvan, csak ki kell terjeszteni egy új területre.

Három gyakori félreértés

• „Nekünk nincs saját MI-nk, tehát ez minket nem érint.” Ha használunk egy eszközt, már érint.
• „Ez informatikai projekt.” A kérdések java része valójában vezetői és folyamatkérdés. Ki dönt, ki felel, meddig megyünk el.
• „Ez egy tiltólista.” A szabvány azt mondja meg, hogyan döntsük el, hogy mit használjunk.

Mi az eredmény?

A tanúsítvány igazi eredménye az, ami a megszerzése közben történik a szervezettel:

• Végre látszik, milyen vállalati célok elérése érdekében, hol és hogyan használunk MI-t, és kit kell keresni, ha kérdés van.
• A döntéseknek gazdája lesz.
• Ember marad a képben ott, ahol tényleg számít a döntés.
• Időben derül ki, ha a rendszer rossz adatokból dolgozik.
• Az MI-kockázatok bekapcsolódnak abba a körbe, amit a cég amúgy is figyel.
• A kísérletezésből működő gyakorlat lesz, amit már merünk több területre is kiterjeszteni.

A legtöbbek számára meglepő rész, hogy a szabvány bevezetésének milyen gyorsító hatása van a szervezetre nézve. Ha tudjuk, hol vannak a határok, sokkal bátrabban vágunk bele új dolgokba.

Itt jövünk mi az eNet a képbe

Az eNET-nél végigmegyünk Önökkel ezen az úton, az első helyzetfelméréstől a tanúsító auditig. Teljesen személyre szabottan azt nézzük meg, mi az, ami Önöknél tényleg működni fog a mindennapokban. Ha már van ISO 27001 vagy más irányítási rendszerük, azt nem írjuk felül, hanem ráépítünk, ez sokszor hónapokat spórol. Ha szeretné részletesebben megismerni az ISO 42001 követelményeit és a felkészülés folyamatát, látogasson el ISO 42001 oldalunkra. Ha ez a téma most időszerű, kezdjük egy rövid beszélgetéssel. Megnézzük, hol tartanak, és megmondjuk, mi a legrövidebb út a tanúsításig, akkor is, ha az derül ki, hogy Önöknél ez még nem sürgős.