מהו ניהול סיכונים של בינה מלאכותית?
ניהול סיכונים בתחום הבינה המלאכותית הוא תהליך מובנה וחוזר על עצמו בו משתמש ארגון כדי לזהות, להעריך, לטפל ולנטר סיכונים הנובעים מפיתוח, אספקה או שימוש במערכות בינה מלאכותית. הוא מכסה את מחזור החיים המלא של מערכת בינה מלאכותית, החל ממסגור בעיות ואספקת נתונים דרך תכנון מודל, אימות, פריסה ובסופו של דבר הוצאה משימוש.
בניגוד לסיכוני אבטחת מידע מסורתיים, המתמקדים בעיקר בסודיות, שלמות וזמינות של מידע, ניהול סיכוני בינה מלאכותית צריך לקחת בחשבון מגוון רחב יותר של חששות. הטיה במודל, חוסר הסבר, סחף נתונים, שימוש לרעה בתוצאות, השפעה חברתית והתנהגות של מודלים של יסודות של צד שלישי - כל אלה נמצאים במסגרת התחום. זו הסיבה ISO 42001 דורש תהליך ייעודי להערכת סיכונים של בינה מלאכותית במקום לשלב את סיכון הבינה המלאכותית במרשם אבטחת מידע קיים.
באופן מעשי, ניהול סיכונים של בינה מלאכותית עונה על ארבע שאלות עבור כל מקרה שימוש של בינה מלאכותית בעסק:
- מה יכול להשתבש עם מערכת הבינה המלאכותית הזו, עבור מי, וכמה רע?
- מה הסבירות של כל אחת מהתוצאות הללו בהתחשב בבקרות שכבר יש לנו?
- מה נעשה בנוגע לסיכונים שעולים על גבול הסיבולת שלנו?
- כיצד נדע, לאחר הפריסה, האם ההערכה שלנו עדיין תקפה?
אם נעשה זאת היטב, זה נותן ללוח, את ועדת ניהול בינה מלאכותית, ולצוותי ההנדסה תפיסה משותפת לגבי אילו יוזמות בינה מלאכותית בטוחות להמשך, אילו דורשות בקרות נוספות, ואילו יש להשהות או לשנות את היקףן.
כיצד מטפל תקן ISO 42001 בסיכוני בינה מלאכותית (סעיף 6.1.2 לעומת סעיף 6.1.4)?
תקן ISO 42001 מפריד את ניהול הסיכונים של בינה מלאכותית לשתי פעילויות קשורות אך נפרדות, וערבוב ביניהן הוא אחת מטעויות היישום הנפוצות ביותר.
סעיף 6.1.2 - הערכת סיכונים של בינה מלאכותית. זוהי עדשת הסיכון המסורתית המתמקדת בארגון עצמו. אתם מזהים סיכונים הקשורים לבינה מלאכותית, מנתחים את הסבירות וההשלכות שלהם מול קריטריוני הסיכון הארגוניים שלכם, ומחליטים כיצד לטפל בהם. זהו התהליך שמאכלס את מרשם הסיכונים של הבינה המלאכותית שלכם.
סעיף 6.1.4 - הערכת השפעה על מערכת בינה מלאכותית. זוהי עדשה המבוססת על הצד החיצון. היא מעריכה את ההשפעה הפוטנציאלית של מערכת בינה מלאכותית על יחידים, קבוצות של יחידים והחברה - תוך כיסוי הגינות, בטיחות, פיקוח אנושי וזכויות יסוד. נספח A.5 מספק את מערך הבקרה שמפעיל זאת. הנחיות מפורטות מכוסות במדריך הייעודי שלנו. הערכות השפעה של AI .
שניהם נורמטיביים. יש לתעד את שניהם. שניהם נכללים בתוכנתך הצהרת תחולה וגם שלך מדיניות AIאבל הם עונים על שאלות שונות, יש להם תשומות שונות, ובדרך כלל מערבים בעלי עניין שונים. ניהולם כתרגיל משולב אחד נוטה להשמיט את עדשת ההשפעה החברתית, וזה בדיוק מה שמבקרים ורגולטורים מחפשים.
הנחיות נורמטיביות לשתי הפעילויות נמצאות בשימוש. הנחיות נספח ב'נספח ג' מספק הנחיות אינפורמטיביות לגבי מקורות סיכון הקשורים לבינה מלאכותית, המהווים טקסונומיה התחלתית שימושית בעת מילוי המרשם לראשונה.
כיצד זה קשור לסיכוני אבטחת מידע (ISO 27005)?
ניהול סיכוני בינה מלאכותית אינו מחליף ניהול סיכוני אבטחת מידע. מערכות בינה מלאכותית רבות מאחסנות, מעבדות או משדרות נתונים אישיים ומאוחסנות באותה תשתית כמו עומסי עבודה מוסדרים אחרים. ISO 27005 נותר תקן הייחוס הנכון לתהליך סיכוני אבטחת מידע. המודל המעשי הוא:
- סיכוני אבטחת מידע הקשורים למערכת בינה מלאכותית (סודיות, שלמות, זמינות נתוני אימון, חפצי מודל, ממשקי API) נמצאים במרשם הסיכונים של ISO 27001.
- סיכונים ספציפיים לבינה מלאכותית (הטיה, הסבר, סטייה, שימוש לא מכוון, נזק חברתי) נמצאים במרשם הסיכונים של בינה מלאכותית תחת סעיף 6.1.2.
- הפניות צולבות מקשרות בין השניים כך שניתן לעקוב אחר אירוע סיכון יחיד על פני שתי העדשות ללא כפילויות
השמיים פער ניהול בינה מלאכותית בין אבטחת מידע לממשל בינה מלאכותית הוא בדיוק מה שסעיף 6.1.2 בתקן ISO 42001 נועד לסגור.
היכן משתלב NIST AI RMF?
מסגרת ניהול הסיכונים של NIST AI היא מסגרת אמריקאית וולונטרית המאורגנת סביב ארבע פונקציות: ניהול, מיפוי, מדידה וניהול. היא משלימה את ISO 42001 ולא מתחרה. ארגונים שכבר משתמשים ב-NIST AI RMF יכולים למפות את הפונקציות שלה ישירות לסעיפים של ISO 42001 (ניהול מתיישר עם סעיפים 4 ו-5, מיפוי עם סעיף 6.1, מדידה עם סעיף 9, ניהול עם סעיפים 8 ו-10). אם אתם בונים עבור קהל בינלאומי, ISO 42001 מספק לכם את מערכת הניהול המוסמכת. NIST AI RMF מספק לכם אוצר מילים מוכר וספרי מדריך שימושיים לפעילויות הבסיסיות.
כל מה שאתה צריך עבור ISO 42001
תוכן מובנה, סיכונים ממופים וזרימות עבודה מובנות שיעזרו לכם לנהל את הבינה המלאכותית באחריות ובביטחון.
מהן הקטגוריות העיקריות של סיכון בינה מלאכותית?
טקסונומיית סיכונים טובה של בינה מלאכותית מונעת מכם לפספס קטגוריות שלמות של סיכונים. נספח ג' של תקן ISO 42001 מספק רשימה אינפורמטיבית של מקורות סיכון הקשורים לבינה מלאכותית, שרוב הארגונים מתאימים להקשר שלהם. בפועל, שמונה קטגוריות מכסות את הרוב המכריע של סיכוני הבינה המלאכותית, ורוב הרשומות במרשם שלכם יתואמו לאחד או יותר מהם.
| קטגוריה | דוגמה | בקרת ISO 42001 | טיפול טיפוסי |
|---|---|---|---|
| הטיה והגינות | מודל ניקוד אשראי מדרג באופן שיטתי פחות קבוצה מוגנת | א.6.2.2, א.6.2.4, א.7.4 | להפחית באמצעות נתוני אימון מאוזנים, בדיקות הוגנות, ביקורת אנושית |
| הסבר ושקיפות | מודל הטריאז' הרפואי אינו יכול להצדיק את המלצותיו לרופאים | א.6.2.4, א.8.2, א.8.3 | לצמצם באמצעות מודלים ניתנים לפירוש, תיעוד וכרטיסי מודל |
| אבטחה | מתקפת הזרקה מיידית גונבת מידע סודי ממנהל משפטים (LLM). | א.6.2.3, א.7.3, א.8.4 | צמצום באמצעות אימות קלט, מעקות בטיחות, מידול איומים |
| פרטיות | נתוני הדרכה מכילים נתונים אישיים שנעשה בהם שימוש ללא בסיס חוקי | א.7.2, א.7.4, א.8.2 | צמצום באמצעות מזעור נתונים, אנונימיזציה, והתאמה ל-DPIA |
| בְּטִיחוּת | מערכת אוטונומית גורמת נזק פיזי באמצעות התנהגות בלתי צפויה | א.6.2.4, א.9.3, א.9.4 | צמצום באמצעות אימות, פריסה מדורגת, מתגי כיבוי אש, פיקוח אנושי |
| חברתית | מודל ניהול תוכן מגביר מידע שגוי או מדכא ביטוי לגיטימי | א.5.2, א.5.3, א.5.4 | צמצום באמצעות הערכת השפעה, מעורבות בעלי עניין ובדיקה שוטפת |
| מבצעי | סטיית המודל גורמת לירידה בדיוק התחזית לאחר שישה חודשי ייצור | א.6.2.6, א.6.2.7, א.6.2.8 | להפחית באמצעות ניטור, טריגרים לאימון מחדש, ספי ביצועים |
| שרשרת אספקה | ספק מודל הבסיס משנה התנהגות ללא אזהרה, ושובר מקרה שימוש במורד הזרם | א.10.2, א.10.3, א.10.4 | צמצום באמצעות בדיקת נאותות של ספקים, חוזים וספקי חלופה |
רוב הארגונים מאמצים טקסונומיה זו כעמוד השדרה של מרשם הסיכונים של בינה מלאכותית, ולאחר מכן מוסיפים קטגוריות ספציפיות למגזר (לדוגמה, שירותים פיננסיים מוסיפים מודל ניהול סיכונים תחת SR 11-7, שירותי בריאות מוסיפים בטיחות קלינית). המפתח הוא שכל מקרה שימוש בבינה מלאכותית נבדק מול כל קטגוריה, אפילו לזמן קצר, כך שסיכונים לא יתפספסו בטעות.
כיצד מבצעים הערכת סיכונים של בינה מלאכותית?
תהליך ההערכה לפי סעיף 6.1.2 עוקב אחר הקצב המוכר של תכנון-ביצוע-בדיקה-פעולה של מערכות ניהול ISO, אך עם תשומות ספציפיות לבינה מלאכותית בכל שלב. שיטה מעשית וניתנת לחזרה כוללת שישה שלבים.
שלב 1: הגדרת היקף וקריטריוני סיכון
לפני שאתם מעריכים משהו, הגדירו מה נחשב כמערכת בינה מלאכותית בארגון שלכם (זה אמור להיות כבר במערכת שלכם). מערכת ניהול בינה מלאכותית (AIMS) הצהרת היקף) ואילו קריטריוני סיכון תשתמשו בהם. קריטריוני הסיכון כוללים את סולמות הסבירות וההשלכות שלכם, סף קבלת הסיכון שלכם וקטגוריות ההשלכות שמעניינות אתכם (פיננסיות, תפעוליות, רגולטוריות, מוניטין, בטיחותיות, חברתיות).
שלב 2: זיהוי מקרי שימוש ונכסים של בינה מלאכותית
ערכו רשימה של כל מערכת בינה מלאכותית הנכללת בתוכנית. עבור כל אחת מהן, יש לאסוף את השימוש המיועד, קלט הנתונים, סוג המודל (קנייני, מכוון עדין, מודל בסיס של צד שלישי), משתמשים, צדדים מושפעים, סביבת פריסה וקריטיות. רשימה זו היא הבסיס לשאר התהליך.
שלב 3: זיהוי סיכונים באמצעות הטקסונומיה
הדרכת כל מערכת בינה מלאכותית דרך שמונה קטגוריות הסיכון לעיל. השתמשו במקורות סיכון בנספח ג', בטכניקות מידול איומים ובסיעור מוחות מובנה עם קבוצה חוצת תפקידים (מדעי נתונים, הנדסה, אבטחה, משפט, מוצר, ובמידת הצורך, יחידת העסקים שתשתמש בפלט). לכודו כל סיכון כאירוע ספציפי עם סיבה ותוצאה, לא תווית כללית.
שלב 4: ניתוח הסבירות והתוצאה
דרג כל סיכון בהתאם לקריטריונים שלך. הסבירות צריכה להתחשב בסביבת הבקרה הנוכחית, ולא במצב הבלתי מבוקר. התוצאה צריכה להתחשב בכל הצדדים המושפעים, לא רק בארגון - כאן חשוב הגישור להערכת ההשפעה של סעיף 6.1.4. תעד את הנמקתך; רואה חשבון ישאל כיצד הגעת לציון גבוה או נמוך.
שלב 5: הערכה מול קריטריוני סיכון
שרטטו כל סיכון על המטריצה שלכם והשוו אותו לסף קבלת הסיכון שלכם. כל סיכון מעל הסף דורש החלטה טיפולית. כל סיכון הנמצא בסף או מתחתיו יכול להתקבל עם נימוק מפורש שנרשם במרשם.
שלב 6: תיעוד וסקור
רישום הסיכונים של בינה מלאכותית הוא מידע מתועד תחת סעיף 7.5. הוא זקוק לבעלים, מחזורי סקירה, היסטוריית גרסאות ואישור. הוא מוזן ישירות לתוך הצהרת תחולה — בקרות מנספח א' נבחרות ומוצדקות על סמך הסיכונים במרשם זה.
כיצד מטפלים בסיכוני בינה מלאכותית?
עבור כל סיכון מעל סף הקבלה שלך, סעיף 6.1.3 דורש קבלת החלטה בנוגע לטיפול. ארבע האפשרויות הקלאסיות חלות, עם ניואנסים ספציפיים לבינה מלאכותית:
- הימנע. אין לבנות, לפרוס או להשתמש במערכת הבינה המלאכותית. מתאים במקרים בהם הסיכון השיורי אינו מקובל אפילו עם בקרות חזקות (לדוגמה, מקרה שימוש שמאפשר אוטומציה של החלטה בעלת השפעה משפטית משמעותית על אנשים ללא מעורבות אנושית).
- לְהַקֵל. יש ליישם בקרות כדי להפחית את הסבירות, התוצאה או שניהם. זהו הטיפול הנפוץ ביותר. בקרות נלקחות מ בקרות נספח א', בתוספת אמצעים ספציפיים למגזר או למקרה שימוש. אמצעים אופייניים להגנה כוללים נתוני הדרכה מאוזנים, בדיקות הוגנות, מעקות בטיחות של קלט ופלט, פיקוח אנושי, פריסה מדורגת וניטור מתמשך.
- לְהַעֲבִיר. העברת סיכונים באמצעות חוזה, ביטוח או אחריות ספק. שימושי לסיכוני שרשרת אספקה (לדוגמה, הסכמי רמת שירות חוזיים עם ספק מודל של יסוד), אך היזהרו: ניתן להעביר אחריות פיננסית אך לעיתים רחוקות להעביר אחריות, במיוחד לרגולטורים.
- קבל. שמור על הסיכון עם הצדקה מפורשת ומתועדת ובעלים. מתאים רק לסיכונים הנמצאים בסף הקבלה או מתחתיו, או כאשר הטיפול אינו יעיל מבחינת עלות והשלכותיו מוגבלות.
כל החלטה בנוגע לטיפול זקוקה לבעלים, תאריך יעד והוכחת השלמה המקושרת לפנקס. תוכנית טיפול ללא הוכחת ביצוע היא אחת מאי-ההתאמות הנפוצות ביותר בביקורות הסמכה של תקן ISO 42001.
התחל בקלות עם הדגמת מוצר אישית
אחד ממומחי הקליטה שלנו ידריך אותך בפלטפורמה שלנו כדי לעזור לך להתחיל בביטחון.
כיצד אתם עוקבים אחר סיכוני בינה מלאכותית לאחר הפריסה?
סיכון בינה מלאכותית אינו סטטי. מודל שהיה בטוח בעת ההשקה יכול להפוך ללא בטוח שישה חודשים לאחר מכן עקב סחיפות נתונים, שינויים בהתנהגות המשתמש, שינויים בסביבה הרגולטורית או עדכון של מודל בסיס במעלה הזרם. סעיף 9 להערכת ביצועים ובקרות ניטור תפעוליות של נספחים A.6.2.6 עד A.6.2.8 מחייבים אותך להמשיך לעקוב.
לתוכנית ניטור פרגמטית יש חמישה אותות:
- ביצועי המודל. מדדי דיוק, רמת דיוק, זיכרון, כיול והגינות שנבדקו מול ספים שנקבעו בפריסה. פרצות מפעילות אימון מחדש או חזרה למצב אחר.
- סחף נתונים. השוואה סטטיסטית של התפלגויות תשומות ייצור לעומת התפלגויות אימון. סטייה משמעותית מפעילה הערכה האם המודל עדיין מתאים למטרה.
- אירועים וכמעט תאונות. ערוץ רשמי לדיווח על חששות הקשורים לבינה מלאכותית עבור משתמשים, צדדים מושפעים וצוות פנימי, הכולל מיון, ניתוח גורמי שורש ופעולות מתקנות המתועדות במסגרת סעיף 10.
- יעילות הבקרה. בדיקות תקופתיות לכך שההפחתות בתוכנית הטיפול אכן פועלות. נספח A.6.2.6 דורש במפורש אימות של בקרות תפעוליות.
- הקשר חיצוני. רגולציה חדשה, דפוסי איום חדשים, שינויים במודלים של צד שלישי ושיטות עבודה מומלצות מתפתחות. נתונים אלה משולבים בהערכת הסיכונים בכל סקירה מתוזמנת.
התפוקות משמשות לסקירת ההנהלה (סעיף 9.3) ומניעות עדכונים למרשם הסיכונים, להצהרת הישימות ולמדיניות הבינה המלאכותית. המחזור הוא רציף, לא שנתי.
כיצד ISMS.online בונה את ניהול הסיכונים של בינה מלאכותית?
ISMS.online מספק בית ייעודי לתהליך ניהול סיכוני בינה מלאכותית מלא, בהתאם לסעיף 6.1.2 ולהנחיות הנורמטיביות בנספח ב'. אתם מקבלים רישום סיכוני בינה מלאכותית המשולב עם שאר מערכת ה-AIMS שלכם במקום להיות בגיליון אלקטרוני נפרד.
הפלטפורמה נותנת לך:
- רישום סיכונים ייעודי של בינה מלאכותית נפרד מרישום סיכוני אבטחת המידע שלך, עם שדות עבור מאפיינים ספציפיים לבינה מלאכותית (מקרה שימוש, מקורות נתונים, סוג מודל, צדדים מושפעים, קטגוריית סיכון) לצד שדות סטנדרטיים של סבירות, תוצאה, טיפול ובעלים
- טקסונומיית סיכונים של בינה מלאכותית טעונה מראש מכסה את שמונה הקטגוריות הנ"ל בתוספת מקורות סיכון בנספח ג', כך שהצוותים מתחילים עם רשימה מקיפה ולא דף ריק
- הערכות השפעה של מערכות בינה מלאכותית מקושרות עבור סעיף 6.1.4, כך שנקודת המבט של ההשפעה הפונה כלפי חוץ תישאר מחוברת לנקודת המבט של הסיכון הארגוני ללא כפילויות
- קישור שליטה ישיר מכל סיכון ועד לבקרות הרלוונטיות בנספח א', דרך הראיות המדגימות את הטיפול, ועד להצהרת הישימות
- סקירת זרימות עבודה ותזכורות אוטומטיות כך שסיכונים נבדקים במחזור המוגדר שלהם, לא כשמישהו זוכר
- הפניה צולבת עם סיכוני ISO 27001 כאשר לאירוע יש גם ממדי אבטחת מידע וגם ממדי בינה מלאכותית, מניעת ספירה כפולה ותוכניות טיפול סותרות
- תצוגות דיווח עבור הדירקטוריון, ועדת הממשל של בינה מלאכותית ומבקרי הסמכה, המופקים מאותם נתונים בסיסיים
התוצאה היא תהליך סיכון של בינה מלאכותית שמבקר יכול לעבור מקצה לקצה בפחות מעשר דקות, ושהארגון יכול בפועל להפעיל בין ביקורות.
למה לבחור ב-ISMS.online לניהול סיכונים בבינה מלאכותית?
רוב כלי ה-GRC מתייחסים לסיכון של בינה מלאכותית כאל מחשבה שלאחר מעשה המצורפת למודל אבטחת מידע. ISMS.online תוכנן תוך שימוש בניהול בינה מלאכותית כיכולת מהשורה הראשונה. הנה המשמעות בפועל:
- אוגרים נפרדים אך מחוברים. סיכון בינה מלאכותית (סעיף 6.1.2), הערכת השפעה על מערכת בינה מלאכותית (סעיף 6.1.4) וסיכון אבטחת מידע (ISO 27005) יושבים במסגרות נפרדות אך משולבות זו בזו, כך שכל עדשה נשארת חדה בעוד שהנתונים משותפים היכן שהם צריכים להיות.
- טקסונומיית סיכונים של בינה מלאכותית בנויה מראש. מקורות הסיכון של נספח ג' ומודל שמונה הקטגוריות טעונים מראש, כך שהצוות שלך מזהה סיכונים מול מסגרת מובנית במקום להמציא אחת כזו.
- מיפוי חי אל בקרות נספח א'. כל סיכון קשור ישירות לבקרות המטפלות בו, לראיות המוכיחות שהטיפול עובד, ולערך בהצהרת הישימות המצדיק אותו.
- נבנה עבור ההנחיות של נספח B. זרימת העבודה פועלת לפי הנחיות היישום הנורמטיביות בנספח ב', כך שהתהליך שלך מותאם לתקנים כברירת מחדל ולא דורש תצורה מותאמת אישית.
- משולב עם AIMS המלא. סיכונים מתחברים אליך מדיניות AI, הערכות ההשפעה שלכם, תוכנית הביקורת שלכם (סעיף 9.2) ופעולות התיקון שלכם (סעיף 10), כך ששום דבר לא ייפול בין הפער.
- שיטת תוצאות מובטחות. נתיב יישום מוכח ותמיכה אנושית שסייעו למאות ארגונים להגיע להסמכה בפעם הראשונה, עם ניהול סיכוני בינה מלאכותית מוטמע מההתחלה ולא משולב בשלב מאוחר.
בין אם אתם בונים את רישום הסיכונים הראשון שלכם בתחום הבינה המלאכותית או מבשילים רישום קיים, ISMS.online נותן לך את המבנה והכלים להפעלת סעיף 6.1.2 כתהליך חי. להקשר רחב יותר, עיין במדריך שלנו מדריך יישום.
מוכנים לראות את הפלטפורמה בפעולה? הזמן הדגמה.
שאלות נפוצות
מה ההבדל בין הערכת סיכונים של בינה מלאכותית (סעיף 6.1.2) לבין הערכת השפעה על מערכת בינה מלאכותית (סעיף 6.1.4)?
סעיף 6.1.2 הוא עדשת הסיכון הארגונית הפונה פנימה - מה יכול להשתבש עבור הארגון, מטרותיו ופעילותו, וכיצד נתייחס לכך. סעיף 6.1.4 הוא עדשת הפנים - מה מערכת הבינה המלאכותית יכולה לעשות לאנשים, קבוצות ולחברה, הכוללת הוגנות, בטיחות וזכויות יסוד. שניהם נורמטיביים, יש לתעד את שניהם, והם מזינים זה את זה. ניהולם כפעילות משולבת אחת בדרך כלל פירושו שעדשת ההשפעה החברתית הולכת לאיבוד, וזו ממצא נפוץ בביקורת.
האם אני יכול לעשות שימוש חוזר במרשם הסיכונים שלי לפי ISO 27001 לניהול סיכוני בינה מלאכותית?
לא, לא כמרשם משולב יחיד. סיכון אבטחת מידע (ISO 27005) וסיכון בינה מלאכותית (ISO 42001 סעיף 6.1.2) הם בעלי היקפים חופפים אך שונים. אבטחת מידע מכסה סודיות, שלמות וזמינות של מידע. סיכון בינה מלאכותית מכסה בנוסף הטיה, הסבר, סחיפה, בטיחות והשפעה חברתית - חששות שאינם משתלבים בצורה מסודרת למודל CIA. הדפוס הנכון הוא שני אוגרים מחוברים עם הפניות צולבות שבהן אירוע יחיד כולל את שני הממדים. ISMS.online תומך בדיוק בהסדר הזה.
האם NIST AI RMF מהווה חלופה ל-ISO 42001 לניהול סיכונים?
הם משלימים, לא אלטרנטיבות. NIST AI RMF היא מסגרת אמריקאית התנדבותית המאורגנת סביב פונקציות של ממשל, מיפוי, מדידה וניהול, עם הדרכה מצוינת של אנשי מקצוע. ISO 42001 הוא תקן מערכת ניהול בינלאומי המאושר. ארגונים משתמשים לעתים קרובות באוצר המילים ובספרי ההדרכה של NIST AI RMF כדי לבצע את הפעילויות ש-ISO 42001 דורש. השניים מתאימים זה לזה בצורה חלקה וארגונים רבים מיישמים את שניהם במקביל.
אילו קטגוריות של סיכון בינה מלאכותית עליי לכסות במרשם שלי?
לכל הפחות: הטיה והגינות, הסבר ושקיפות, אבטחה, פרטיות, בטיחות, השפעה חברתית, תפעול (סחיפה, ביצועים, זמינות) ושרשרת אספקה (מודלים של צד שלישי, ספקי נתונים). נספח ג' של תקן ISO 42001 מספק רשימה אינפורמטיבית של מקורות סיכון הקשורים לבינה מלאכותית, התואמים את הטקסונומיה הזו. יש להוסיף קטגוריות ספציפיות למגזר, כגון ניהול סיכוני מודל עבור שירותים פיננסיים או בטיחות קלינית עבור שירותי בריאות, במידת הצורך.
באיזו תדירות עליי לבדוק את רישום הסיכונים של בינה מלאכותית?
לפחות פעם בשנה, כסקירה מלאה, שתתרום לסקירת ההנהלה לפי סעיף 9.3. לסיכונים בודדים צריכים להיות מחזורי סקירה משלהם המבוססים על קריטיות - בדרך כלל רבעוניים עבור סיכונים גבוהים ושישה חודשים עבור סיכונים בינוניים. כל שינוי מהותי צריך לעורר סקירה אד-הוק: מקרה שימוש חדש בבינה מלאכותית, עדכון משמעותי של מודל, רגולציה חדשה, אירוע מדווח או שינוי בספק צד שלישי מרכזי. הרישום הוא מסמך חי, לא פרט תאימות שנתי.
האם ISO 42001 דורש ניטור סיכונים אוטומטי של בינה מלאכותית?
התקן אינו קובע אוטומציה, אך הוא דורש ניטור מתמשך של ביצועי מערכת הבינה המלאכותית ויעילות הבקרה (סעיף 9.1 ונספחים A.6.2.6 עד A.6.2.8). עבור כל דבר מעבר לקומץ מערכות בינה מלאכותית בסיכון נמוך, ניטור אוטומטי של ביצועי המודל, סחף נתונים ויעילות בקרה הוא הדרך היחידה לעמוד בדרישה בפועל. ניטור ידני בקנה מידה גדול נוטה לייצר נתונים מיושנים ואירועים שהוחמצו, אשר צפים כאי התאמות בביקורת המעקב.
מי צריך להחזיק בניהול סיכוני בינה מלאכותית בארגון?
האחריות צריכה להיות בידי מנהל ייעודי, בדרך כלל מנהל מערכות מידע ראשיות (CISO), מנהל סיכונים ראשי (Chief Risks Manager), או ראש ייעודי של ניהול בינה מלאכותית, בהתאם לגודל הארגון ולבשלות הבינה המלאכותית. האחריות היומיומית נמצאת בידי ועדת ניהול בינה מלאכותית או קבוצה חוצת-פונקציות מקבילה המורכבת ממדעי הנתונים, הנדסה, אבטחה, משפט, פרטיות ויחידות עסקיות המשתמשות בבינה מלאכותית. לכל סיכון בנפרד יש בעלים ייעודי האחראי לטיפול ולניטור. סעיף 5.3 דורש שתפקידים, אחריות וסמכויות אלה יוקצו ויתוקשרו באופן רשמי.
