תקן ISO/IEC 42001:2023 לניהול בינה מלאכותית
מערכת ניהול בינה מלאכותית – AIMS
ISO/IEC 42001:2023 הוא תקן בינלאומי המגדיר דרישות למערכת ניהול בינה מלאכותית – Artificial Intelligence Management System (AIMS).
התקן מיועד לארגונים המפתחים, מספקים או משתמשים במערכות בינה מלאכותית, ומאפשר לנהל את השימוש ב־AI באופן שיטתי, אחראי ומבוקר.
מערכת הניהול אינה מתייחסת רק לטכנולוגיה עצמה. היא משלבת היבטים ארגוניים, ניהוליים ותפעוליים הנוגעים, בין היתר, למדיניות, אחריות וסמכות, סיכונים והזדמנויות, השפעות של מערכות AI, נתונים, שקיפות, פיקוח אנושי, אבטחת מידע, פרטיות, ספקים, תיעוד, ניטור ושיפור מתמיד.
למי מתאים ISO/IEC 42001?
התקן מתאים לארגונים מכל גודל ומתחומי פעילות שונים המפתחים, מספקים או משתמשים במערכות בינה מלאכותית.
לדוגמה:
- ארגונים המפתחים מערכות ויישומי AI;
- חברות המשלבות AI במוצרים ובשירותים;
- ארגונים המשתמשים בכלי AI ובבינה מלאכותית יוצרת;
- ארגונים המפעילים סוכני AI (AI Agents);
- ארגונים המשתמשים בשירותי AI של ספקים חיצוניים;
- ארגונים שבהם מערכות AI מעבדות מידע עסקי, אישי או רגיש;
- חברות תוכנה והיי־טק וכן ארגונים בתחומי הפיננסים, הבריאות, התעשייה, השירותים והמגזר הציבורי.
מדוע נדרשת מערכת ניהול לבינה מלאכותית?
בינה מלאכותית מאפשרת לארגונים לשפר תהליכים, להגביר יעילות, לנתח מידע, לבצע אוטומציה ולפתח מוצרים ושירותים חדשים.
לצד ההזדמנויות, השימוש ב־AI עשוי ליצור סיכונים והשפעות המחייבים ניהול ובקרה.
אלה עשויים להתייחס, בין היתר, לאמינות ואיכות התוצרים, פרטיות, אבטחת מידע, נתונים, שקיפות, הטיות, אחריות, פיקוח אנושי, ספקים חיצוניים ושימוש בלתי מבוקר במערכות AI.
יישום ISO/IEC 42001 מספק לארגון מסגרת שיטתית לניהול נושאים אלה ולשילובם בתהליכי הניהול הקיימים.
ניהול סיכונים והזדמנויות
ניהול הסיכונים וההזדמנויות הוא חלק מרכזי במערכת ניהול הבינה המלאכותית.
הארגון נדרש לזהות ולהעריך סיכונים והזדמנויות הקשורים למערכת הניהול ולמערכות ה־AI שבתחולתה ולקבוע פעולות מתאימות לטיפול בהם.
בהתאם לפעילות ולמערכות הרלוונטיות, עשויים להיבחן, בין היתר:
- אמינות ודיוק התוצרים;
- שימוש במידע אישי או רגיש;
- אבטחת מידע והרשאות;
- איכות ומקור הנתונים;
- הטיות ותוצאות בלתי רצויות;
- תלות בספקי AI;
- שימוש בלתי מאושר בכלי AI;
- פיקוח ומעורבות אנושית;
- אחריות לקבלת החלטות ולפעולות המתבצעות באמצעות AI.
הערכת השפעה של מערכות AI
ISO/IEC 42001 מתייחס גם לבחינת ההשפעות האפשריות של מערכות בינה מלאכותית.
בהתאם למערכת, לשימוש ולהקשר הארגוני, נבחנות ההשלכות האפשריות על אנשים, קבוצות ובעלי עניין רלוונטיים.
הערכת ההשפעה מאפשרת לארגון לזהות השלכות אפשריות, לבחון את משמעותן ולקבוע אמצעים מתאימים לניהולן.
מה כולל תהליך ההיערכות ל־ISO/IEC 42001?
תהליך ההיערכות מותאם לפעילות הארגון, לאופן השימוש בבינה מלאכותית, למערכות ה־AI שבתחולת מערכת הניהול ולסיכונים ולהשפעות הרלוונטיים.
במסגרת הליווי אני מבצעת, בהתאם לצורך, בין היתר:
- סקר פערים מול דרישות התקן;
- הגדרת תחולת מערכת ניהול הבינה המלאכותית (AIMS);
- מיפוי מערכות, כלי AI והשימושים בהם;
- זיהוי בעלי עניין ודרישות רלוונטיות;
- כתיבת מדיניות AI והגדרת יעדים;
- הגדרת תפקידים, אחריות וסמכות;
- הערכת סיכונים והזדמנויות הקשורים ל־AI;
- הערכת השפעה של מערכות AI בהתאם לנדרש;
- קביעת הבקרות הנחוצות והכנת הצהרת ישימות;
- כתיבת נהלים, טפסים ומידע מתועד;
- בחינת ספקי AI ושירותים חיצוניים;
- הגדרת פיקוח אנושי, הרשאות ומגבלות שימוש בהתאם לצורך;
- ליווי יישום והטמעת הדרישות והבקרות;
- הדרכת עובדים ובעלי תפקידים;
- קביעת מדדים, ניטור ובקרה;
- ביצוע מבדק פנימי;
- הכנת סקירת הנהלה;
- טיפול בפערים ובפעולות מתקנות;
- הכנת הארגון למבדק ההתעדה וליווי במהלך המבדק.
הצהרת ישימות ובקרות ISO/IEC 42001
כחלק ממערכת ניהול הבינה המלאכותית נקבעות הבקרות הנחוצות לארגון ומוכנת הצהרת ישימות – Statement of Applicability (SoA) בהתאם לדרישות התקן.
הצהרת הישימות מציגה את הבקרות הנחוצות, את ההצדקה להכללתן, את מצב יישומן ואת ההצדקה לאי־הכללת בקרות ייחוס שאינן נחוצות.
המטרה היא ליצור עקיבות בין הסיכונים וההשפעות, אופן הטיפול בהם, הבקרות שנקבעו והיישום בפועל בארגון.
ספקי AI ושירותים חיצוניים
ארגונים רבים אינם מפתחים בעצמם את מערכות הבינה המלאכותית שבהן הם משתמשים, אלא מסתמכים על ספקים ושירותים חיצוניים.
לכן מערכת הניהול צריכה להתייחס גם לסיכונים ולדרישות הקשורים לספקי AI, לשירותי ענן, למידע המועבר למערכות חיצוניות ולחלוקת האחריות בין הארגון לבין הספק.
ההתייחסות נקבעת בהתאם לאופי השירות, לשימוש ולסיכונים הרלוונטיים לארגון.
שילוב ISO/IEC 42001 עם ISO 27001 ו־ISO 9001
ארגון שכבר מפעיל מערכת ניהול לפי ISO/IEC 27001:2022 או ISO 9001:2015 יכול לשלב תהליכים משותפים במסגרת מערכת ניהול משולבת.
ניתן לשלב, בין היתר, ניהול מידע מתועד, ניהול סיכונים, אחריות וסמכות, כשירות והדרכה, ניהול ספקים, ניטור ומדידה, מבדקים פנימיים, סקירת הנהלה, פעולות מתקנות ושיפור מתמיד.
עם זאת, ל־ISO/IEC 42001 דרישות ובקרות ייעודיות לניהול בינה מלאכותית, ולכן יש לתת להן מענה במסגרת מערכת הניהול המשולבת.
הכנה וליווי ל־ISO/IEC 42001:2023
אני מבצעת עם הארגון את העבודה הנדרשת להקמה וליישום של מערכת ניהול בינה מלאכותית בהתאם ל־ISO/IEC 42001:2023.
הליווי אינו מסתכם בייעוץ ובהכוונה. הוא כולל התאמת דרישות התקן לפעילות הארגון, מיפוי מערכות וכלי AI, הערכות סיכונים והשפעות, כתיבת המדיניות, הנהלים והמידע המתועד, הכנת הצהרת הישימות, דוחות וכלי בקרה וליווי יישום הדרישות והבקרות בפועל.
בהמשך מבוצעים מבדק פנימי וסקירת הנהלה, טיפול בפערים והכנת הארגון למבדק ההתעדה, כולל ליווי במהלך המבדק וטיפול בממצאים ככל שיידרש.
שילוב בין ניתוח מערכות לניהול בינה מלאכותית
הרקע שלי כמנתחת מערכות מאפשר לי לבחון את השימוש ב־AI כחלק מהמערכת הארגונית הכוללת – תהליכים עסקיים, מערכות מידע, ממשקים, זרימת מידע, הרשאות, ספקים, סיכונים ובקרות.
גישה זו חשובה במיוחד בארגוני תוכנה והיי־טק, שבהם מערכות AI משולבות לעיתים במערכות, בתהליכי פיתוח, בשירותים ובתהליכים עסקיים קיימים.
המטרה היא לבנות מערכת ניהול מעשית ומותאמת לארגון, המאפשרת שימוש אחראי, מבוקר ושיטתי בבינה מלאכותית לאורך זמן.
מעוניינים להיערך ל־ISO/IEC 42001:2023?
ניתן ליצור איתי קשר לקבלת מידע על תהליך ההיערכות והליווי: 052-540-0566
