Mikä on AI-hallinta?
Tekoälyn hallinta on käytäntöjen, ihmisten, prosessien ja kontrollien järjestelmä, jota organisaatio käyttää varmistaakseen, että sen tekoälyä kehitetään, otetaan käyttöön ja käytetään vastuullisella, turvallisella ja tilivelvollisella tavalla. Ajattele sitä käyttöjärjestelmänä, joka vastuullinen tekoäly: rakenne, joka ympäröi jokaista mallia, tietojoukkoa, tuotantoputkea ja käyttötapausta, jotta tekoälyn tulokset ovat linjassa organisaation arvojen, lakisääteisten velvoitteiden ja riskinottohalukkuuden kanssa.
Käytännön tasolla tekoälyn hallinta vastaa kysymyksiin, kuten:
- Kuka on vastuussa jokaisesta tuotannossa olevasta tekoälyjärjestelmästä ja kuka hyväksyy olennaiset muutokset?
- Mitä käytäntöjä ja standardeja sovelletaan tekoälymallin rakentamiseen, ostamiseen tai hienosäätöön?
- Miten arvioimme ja käsittelemme tekoälylle ominaisia riskejä, kuten vinoumia, hallusinaatioita, mallin ajautumista ja vaarallista käyttäytymistä?
- Miten dokumentoimme kunkin tekoälyjärjestelmän käyttötarkoituksen, rajoitukset ja vaikutukset?
- Miten todistamme sääntelyviranomaisille, tilintarkastajille ja asiakkaille tekoälymme luotettavuuden?
Tietoturvallisuuden hallinta vastaa samoihin kysymyksiin datan osalta. Yksityisyyden hallinta vastaa niihin henkilötietojen osalta. Tekoälyn hallinta tekee saman tehtävän tekoälyjärjestelmille, ja koska tekoäly tuo mukanaan uusia riskejä (läpinäkymättömyys, autonomia, todennäköisyyspohjaiset tuotokset, nopea muutos), se tarvitsee oman erillisen rakenteensa. Juuri näin... ISO 42001 tarjoaa ensimmäisenä kansainvälisenä tekoälyn hallintajärjestelmästandardina.
Miksi tekoälyn hallinta on nyt tärkeää?
Tekoälyn hallinta oli viisi vuotta sitten marginaalinen aihe. Nykyään se on hallitustason huolenaihe. Muutosta ajaa neljä voimaa:
- Sääntely on saapunut. EU:n tekoälylaki on nyt voimassa, ja siinä on porrastetut velvoitteet järjestelmäriskin perusteella. Iso-Britannia, Yhdysvallat, Kanada, Singapore ja muut kehittävät omia järjestelmiään. Alan sääntelyviranomaiset (rahoituspalvelut, terveydenhuolto, työllisyys) lisäävät tähän vielä tekoälyyn liittyviä erityisvaatimuksia.
- Asiakashankinta on kuronut umpeen vauhtia. Yritysasiakkaat kysyvät tekoälyn hallintaa koskevia todisteita tarjouspyynnöissä ja tietoturvakyselyissä. Uusi kysymys on: ”Onko teillä tekoälypolitiikka, tekoälyriskien arviointi ja vastuullinen omistaja?” ”Onko teillä ISO 27001 -sertifioitu?”.
- Riskiprofiili on kasvanut. Mallien epäonnistumiset aiheuttavat nyt todellista kaupallista, oikeudellista ja mainevahinkoa. Automaattisten päätösten vinoumat, vuodot generatiivisten työkalujen kautta ja agenttien vaarallinen käyttäytyminen ovat kaikki hallituksen asialistalla.
- Luottamus on kilpailuvaltti. Organisaatiot, jotka pystyvät selittämään, miten tekoälynsä toimii, missä sitä käytetään ja miten sitä ohjataan, voittavat enemmän sopimuksia ja kohtaavat vähemmän vastalauseita. Ne, jotka eivät pysty, vitkastelevat.
Tekoälyn hallinta muuttaa nämä paineet strukturoiduksi ohjelmaksi reaktiivisen kamppailun sijaan. Hyvin tehtynä se ei jarruta tekoälyn käyttöönottoa. Se on turvavyö, jonka avulla voit ajaa nopeammin ja luottavaisin mielin.
Mitkä ovat tekoälyn hallinnon ydinperiaatteet?
Jokainen uskottava viitekehys perustuu samankaltaisiin periaatteisiin. Ne ovat peräisin OECD:n tekoälyperiaatteista (2019) ja ne heijastuvat ISO 42001 -standardissa, NIST:n tekoälyn riskienhallintakehyksessä ja EU:n tekoälylaissa. Yhteisen ytimen muodostavat kahdeksan periaatetta:
- Vastuullisuutta. Nimetty ihminen on vastuussa jokaisesta tekoälyjärjestelmästä ja sen tuottamista tuloksista. Vastuuta ei voida delegoida itse mallille.
- Avoimuus. Tekoälyn vaikutuspiirissä olevien ihmisten tulisi ymmärtää, milloin tekoälyä käytetään, mitä se tekee ja mitkä ovat sen rajoitukset. Tämä koskee mallin dokumentointia, käyttötarkoitusta, tietolähteitä ja tunnettuja riskejä.
- Oikeudenmukaisuus. Tekoälyjärjestelmien ei tulisi tuottaa perusteettomia syrjiviä tuloksia. Harhakuvitelmia on aktiivisesti arvioitava, mitattava ja lievennettävä koko elinkaaren ajan.
- Turvallisuus. Tekoälyjärjestelmien tulisi toimia luotettavasti eivätkä ne saisi aiheuttaa vahinkoa. Tähän sisältyy kestävyys odottamattomia syötteitä vastaan, turvalliset vikatilat ja jatkuva valvonta.
- Yksityisyyttä. Tekoälyn käyttämät henkilötiedot on suojattava tietosuojalainsäädännön mukaisesti. Koulutusdata, kehotteet ja tulosteet kuuluvat kaikki suojan piiriin.
- Ihmisen valvonta. Ihmisten on voitava puuttua tekoälyjärjestelmien toimintaan, ohittaa ne tai poistaa ne käytöstä, erityisesti silloin, kun päätökset vaikuttavat olennaisesti yksilöihin.
- Inklusiivisuus. Tekoälyjärjestelmien tulisi palvella monimuotoista käyttäjäkuntaa ja ne tulisi suunnitella esteettömyys ja edustus huomioon ottaen.
- Kestävyys. Tekoälyjärjestelmien tulisi olla vastustuskykyisiä virheille, hyökkäyksille ja ajautumiselle, ja niiden validoinnin ja suorituskyvyn seurannan tulisi olla jatkuvaa.
Nämä eivät ole tavoiteltavia luettelokohtia. Jokainen periaate vastaa konkreettisia vaatimuksia tärkeimmissä viitekehyksissä, ja jokaisesta tulee auditoitava kontrolli, kun se otetaan käyttöön.
Mitä tekoälyn hallinta oikeastaan kattaa?
Tekoälyn hallinta on laajempaa kuin malliriskienhallinta tai koneoppimisoperaatiot. Se kattaa tekoälyjärjestelmän koko elinkaaren rakentamis- tai ostopäätöksestä aina käytöstä poistamiseen asti. Kypsä ohjelma käsittelee seitsemää tasoa:
- Strategia ja politiikka. Tekoälystrategia AI-politiikka, hyväksyttävän käytön ohjeet ja tukevat aihekohtaiset käytännöt (tiedot, tietoturva, yksityisyys, etiikka).
- Roolit ja vastuuvelvollisuus. Selkeä omistajuus hallitus-, johto-, tuote- ja suunnittelutasolla, ja tekoälyn hallintojohtaja on nimetty, ja olennaisia päätöksiä varten on oltava tekoälyn eettinen tai arviointiryhmä.
- Riskien ja vaikutusten arviointi. Prosessi tekoälyyn liittyvien erityisten riskien (harha, hallusinaatiot, väärinkäyttö, ajautuminen) tunnistamiseksi ja kunkin tekoälyjärjestelmän vaikutusten arvioimiseksi yksilöihin, ryhmiin ja yhteiskuntaan.
- Elinkaaren hallinta. Vaatimukset ja suojakaiteet jokaisessa vaiheessa: tavoitteiden asettaminen, tiedonhankinta, suunnittelu, kehitys, validointi, käyttöönotto, toiminta, valvonta, muutoshallinta ja käytöstä poistaminen.
- Dokumentointi ja läpinäkyvyys. Mallikortit, järjestelmäkortit, datalehdet, käyttötarkoituslausunnot, käyttäjätiedotteet ja päätösten tiedot.
- Kolmannen osapuolen hallinta. Tekoälytoimittajien, perustamallien ja isännöityjen palveluiden valvonta, mukaan lukien sopimusehdot, due diligence ja jatkuva varmennus.
- Varmennus ja tarkastus. Sisäinen ja ulkoinen arviointi, seuranta, mittarit, johdon arviointi ja jatkuva parantaminen.
Useimmilla organisaatioilla on jo osia tästä tietoturva-, yksityisyys- tai riskiohjelmissaan. Tekoälyn hallinta yhdistää ne yhtenäiseksi ja auditoitavaksi järjestelmäksi. Juuri se on tehtävä, AI-hallintajärjestelmä (AIMS) ISO 42001 -standardissa on tarkoitus tehdä.
Kaikki mitä tarvitset ISO 42001:een
Strukturoitu sisältö, kartoitetut riskit ja sisäänrakennetut työnkulut auttavat sinua hallitsemaan tekoälyä vastuullisesti ja luottavaisesti.
Mitkä viitekehykset tukevat tekoälyn hallintaa?
Ei ole olemassa yhtä ainoaa tekoälyn hallintastandardia, joka kattaisi kaikki. Useimmat kehittyneet ohjelmat käyttävät pientä pinoa toisiaan täydentäviä kehyksiä: yksi johtamisjärjestelmälle, yksi riskille, yksi sääntelylle ja kansainväliset periaatteet päällekkäin. Viisi yleisintä kohtaamaasi viitekehystä ovat:
| Puitteet | Tyyppi | Pätee | Sertifioitavissa? | Ensisijainen käyttötapaus |
|---|---|---|---|---|
| ISO / IEC 42001 | Kansainvälinen johtamisjärjestelmän standardi | Mikä tahansa organisaatio, joka kehittää, tarjoaa tai käyttää tekoälyä | Kyllä, akkreditoitujen sertifiointilaitosten toimesta | Tekoälynhallintajärjestelmän toimintakehys, sertifioitava ja auditoitava |
| NIST AI RMF | Yhdysvaltain vapaaehtoinen riskienhallintakehys | Mikä tahansa organisaatio, jota käytetään laajalti Yhdysvalloissa | Ei | Strukturoitu lähestymistapa tekoälyriskiin kaikissa Hallinta-, Kartoitus-, Mittaa- ja Hallinta-toiminnoissa |
| EU:n tekoälylaki | Asetus (oikeudellisesti sitova EU:ssa) | EU:ssa sijoitettujen tai käytettyjen tekoälyjärjestelmien toimittajat ja käyttöönottajat | Vaatimustenmukaisuuden arviointi, ei sertifiointi | Pakolliset vaatimustenmukaisuusvelvoitteet porrastettu tekoälyjärjestelmän riskitason mukaan |
| OECD:n tekoälyperiaatteet | Kansainväliset poliittiset periaatteet | Hallitukset ja organisaatiot maailmanlaajuisesti | Ei | Korkean tason periaatteet, jotka ovat useimpien kansallisten järjestelmien ja standardien perustana |
| ISO / IEC 23894 | Kansainvälinen ohjeistusstandardi | Mikä tahansa organisaatio, joka toimii AI riskinhallinta | Ei (ohjeita, ei vaatimuksia) | Yksityiskohtaiset tekoälyriskien hallintaohjeet, joita käytetään usein ISO 42001 -standardin rinnalla |
Useimpien organisaatioiden käytännön toimintamalli on yksinkertainen. ISO 42001 on selkäranka, koska se tarjoaa sertifioitavan johtamisjärjestelmän, joka sisältää liitteen A mukaiset kontrollit, normatiiviset toteutusohjeet ja selkeän vastaavuuden muihin standardeihin. NIST AI RMF yksityiskohtainen riskiluokitusjärjestelmä, erityisesti Yhdysvaltojen toimintojen osalta. EU:n tekoälylaki on ensisijaisesti sitova säännös kaikelle EU:n markkinoille saatetulle tai käytettävälle. OECD:n periaatteet ovat eettinen päällekkäisyys. ISO 23894 syventää riskienhallintakerrosta.
Katso rinnakkainen näkymä kahden korkeimman profiilin viitekehyksen vuorovaikutuksesta ISO 42001 vs. EU:n tekoälylakiKäytännönläheistä etenemissuunnitelmaa varten toteutusopas käy läpi jokaisen kohdan. Ja organisaatioille, jotka ovat alkaneet rakentaa tekoälyn hallintoa epävirallisesti, tekoälyn hallintokuilun kurominen umpeen osoittaa, miten se yhdistetään tunnustettuun standardiin.
Kuka on vastuussa tekoälyn hallinnasta organisaatiossa?
Tekoälyn hallinta on joukkuelaji. Se ei kuulu yhteen toimintoon, ja sen keskittäminen vain yhteen (yleensä IT:hen tai vaatimustenmukaisuuteen) on yleinen epäonnistumismalli. Kypsä hallintorakenne jakaa selkeät roolit neljällä tasolla:
- Hallitus ja johtoryhmä. Vastaa tekoälystrategiasta, riskinottohalukkuudesta ja lopullisesta vastuuvelvollisuudesta. Hyväksyy tekoälypolitiikan ja saa säännöllisiä raportteja tekoälyyn liittyvistä riskeistä, suorituskyvystä ja tapahtumista. Monissa organisaatioissa tätä tukee nyt tekoälyjohtaja tai nimetty toimitusjohtaja.
- Tekoälyn hallintojohtaja tai tekoälyn eettinen toimikunta. Omistettu henkilö tai monialainen ryhmä (laki-, tietoturva-, yksityisyys-, riski-, tuote-, suunnittelu-, henkilöstöhallinto), joka tarkastelee tekoälyn olennaisia käyttötapauksia, hyväksyy korkean riskin järjestelmät ja ylläpitää hallintokehystä päivittäin.
- Riski, turvallisuus, yksityisyys ja lakiasiat. Vastaa erikoiskomponenteista: tekoälyn riskinarviointi, mallien turvallisuus, tietosuojan vaikutustenarvioinnit, sopimusvalvonta ja sääntelyn tulkinta. Näissä rooleissa suoritetaan tyypillisesti tekoälyn riski- ja vaikutustenarviointeja ISO 42001 -standardin kohdan 6 mukaisesti.
- Tuote- ja suunnittelutiimit. Rakenna, ota käyttöön ja käytä tekoälyjärjestelmiä hyväksyttyjen kaiteiden sisällä. Vastaa mallin dokumentoinnista, validoinnista, valvonnasta ja häiriötilanteisiin reagoinnista järjestelmätasolla.
Kultainen sääntö: jokaisella tuotannossa olevalla tekoälyjärjestelmällä tulisi olla nimetty ihmisomistaja, joka pystyy vastaamaan kolmeen kysymykseen epäröimättä. Mihin tätä järjestelmää käytetään? Mitkä ovat sen tunnetut riskit ja rajoitukset? Kuka valtuutti sen käyttöönoton? Jos jokin vastaus on epäselvä, hallintorakenteessasi on aukko.
Mitkä ovat tekoälyn hallinnan kypsyystasot?
Tekoälyn hallinto ei näytä olevan täysin muodostunutta. Useimmat organisaatiot käyvät läpi neljä tasoa:
- Ad hoc Ei tekoälykäytäntöjä, ei keskitettyä inventaariota, yksittäiset tiimit käyttävät tekoälyä ilman valvontaa. Riski on näkymätön ja mittaamaton.
- Reaktiivinen. Luonnos tekoälypolitiikasta, perusohjeet hyväksyttävään käyttöön, jonkin verran tietoisuutta sääntelyyn liittyvästä altistumisesta. Hallinto astuu voimaan tapahtuman jälkeen eikä ennen sitä.
- Strukturoitu. Dokumentoitu tekoälypolitiikka, tekoälyn käyttötapausluettelo, riski- ja vaikutusarviointiprosessi, nimetty hallintojohtaja, alustavat kontrollit käytössä. Usein löyhästi yhdistetty kehykseen, kuten NIST AI RMF.
- Hallittu ja sertifioitavissa. Täysin tekoälyyn perustuva hallintajärjestelmä ISO 42001, kaikkien 38 kanssa Liite A valvonta sovellettavuuslausunnon kautta, integroituna laajempiin tietoturvan hallintajärjestelmiin ja yksityisyyden suojaan liittyviin ohjelmiin, sisäisen tarkastuksen sykli käynnissä, johdon katselmus tehty. Valmis kolmannen osapuolen sertifiointiin.
Suurin osa työstä keskittyy tasojen 2 ja 4 väliseen kuiluun. Siellä on myös suurin osa kaupallisesta arvosta, koska taso 4 rauhoittaa sääntelyviranomaisia, asiakkaita ja vakuutusyhtiöitä.
Aloita helposti henkilökohtaisella tuote-esittelyllä
Yksi perehdytysasiantuntijoistamme opastaa sinua alustamme läpi ja auttaa sinua alkuun luottavaisin mielin.
Miten ISMS.online toteuttaa tekoälyn hallinnan?
Periaatteet ja viitekehykset ovat helppo osa. Useimmat ohjelmat epäonnistuvat, kun tekoälyn hallintaa jatketaan viikosta toiseen ja todisteet kestävät tilintarkastajan vaatimukset. ISMS.online muuttaa ISO 42001 -standardin toimivaksi hallintajärjestelmäksi, jotta tekoälyn hallinta on jotain, jota johdat, ei jotain, mistä puhut.
Alusta toteuttaa tekoälyn hallinnan viidellä eri osa-alueella:
- Strukturoitu tekoälyhallintajärjestelmä. Valmiiksi rakennettu AIMS, joka on linjassa kaikkien ISO 42001 -standardin 10 lausekkeen kanssa, joten kontekstilla, johtajuudella, suunnittelulla, tuella, toiminnalla, suorituskyvyn arvioinnilla ja parantamisella on kullakin oma kotinsa työskentelypohjineen.
- Tekoälykohtaiset riski- ja vaikutustyökalut. Tekoälyriskille (kohta 6.1.2) ja tekoälyjärjestelmän vaikutukselle (kohta 6.1.4) on omat rekisterit, jotka sisältävät pisteytyksen, käsittelyn, omistajan määrittämisen, tarkastussyklit ja automaattiset linkit kutakin havaintoa käsitteleviin kontrolleihin ja näyttöön.
- Käytäntökirjasto todistuksineen. Valmiiksi laaditut tekoälykäytännöt, jotka ovat linjassa kohdan 5.2 ja liitteen A.2 kanssa, ja jotka sijaitsevat käytäntöpaketeissa, jotka sisältävät versiohallinnan, hyväksyntätyönkulut ja käyttäjien vahvistukset, jotta tekoälykäytäntösi on aktiivinen eikä passiivinen.
- Ohjauskirjasto yhdistetty liitteeseen A. Kaikki 38 liitteen A mukaista valvontatoimenpidettä yhdeksällä valvonta-alueella ovat käytettävissä suoraan paketista, ja niihin sisältyy toteutusohjeet ja todisteet, jotka tukevat reaaliaikaista sovellettavuuslausuntoa.
- Integroitu varmuus. Sisäisten tarkastusten (kohta 9.2), johdon katselmusten (kohta 9.3) ja korjaavien toimenpiteiden (kohta 10) tarkastusten hallinta, jotka kaikki liittyvät niiden käsittelemiin riskeihin, kontrolleihin, käytäntöihin ja todisteisiin.
Koska alusta on monistandardinen, tekoälyn hallintaohjelmasi täydentää olemassa olevaa ISO 27001 -standardia, GDPR:ää ja muuta työtä. Jaetut riskit, jaettu näyttö, jaettu auditointiohjelma. Rakennat tekoälyn hallintaa jo olemassa olevan päälle sen sijaan, että perustaisit toisen vaatimustenmukaisuustoiminnon.
Miksi valita ISMS.online tekoälyn hallintaan?
ISMS.online on suunniteltu erityisesti ISO 42001 -standardin mukaisen tekoälyn hallinnan operationalisointia varten, eikä sitä asenneta jälkikäteen tietoturvatuotteeseen. Saat seuraavat ominaisuudet:
- Käyttövalmis AIMS. Esikonfiguroitu hallintajärjestelmä, joka kattaa kaikki ISO 42001 -standardin 10 kohtaa ja kaikki 38 kohtaa Liite A valvonta, joten tiimisi räätälöi sen sijaan, että suunnittelee alusta alkaen.
- Tekoälyn natiivit riski- ja vaikutusarvioinnit. Tekoälyriskien ja tekoälyjärjestelmän vaikutusten rekisterit, joissa on pisteytys, käsittely, tarkistussyklit ja jäljitettävät linkit kaikkiin kontrollitekijöihin ja todisteisiin.
- Käytäntömallit, jotka heijastavat periaatteita. Valmiiksi laaditut tekoälykäytännöt, jotka kattavat vastuuvelvollisuuden, läpinäkyvyyden, oikeudenmukaisuuden, turvallisuuden, yksityisyyden suojan, ihmisen suorittaman valvonnan, osallistavuuden ja luotettavuuden, sekä hyväksyntäprosessit ja vahvistukset.
- Live-soveltavuuslausunto. Jokainen liitteen A mukainen kontrolli on perusteltu, yhdistetty kontrolliin, todisteisiin ja omistajiin, aina ajantasainen eikä staattinen dokumentti.
- Auditointi on oletusarvoisesti valmis. Sisäisen tarkastuksen ohjelmat, johdon arvioinneissa käytetyt tiedot, korjaavat toimenpiteet ja todisteet ovat kaikki linkitettyjä ja versioituja, joten sertifiointitarkastukset ovat ennustettavia eivätkä tuskallisia.
- Taattujen tulosten menetelmä. Todistettu käyttöönottomenetelmä, jota tukevat perehdytys, koulutus ja live-inhimillinen tuki. Se on auttanut satoja organisaatioita saavuttamaan sertifioinnin ensimmäisellä kerralla ISO 27001-, ISO 42001- ja muiden standardien mukaisesti.
Olitpa sitten kirjoittamassa ensimmäistä tekoälykäytäntöäsi, tekemässä aukkoanalyysiä tai valmistautumassa kolmannen osapuolen sertifiointiin, ISMS.online tarjoaa alustan tekoälyn hallinnan muuttamiseksi diaesityksestä käyttöjärjestelmäksi. Lue standardin vaatimusten täydellinen konteksti toteutusopas tai kappale päällä tekoälyn hallintokuilun kurominen umpeen.
Oletko valmis näkemään alustan toiminnassa? Varaa demo.
UKK
Mitä on tekoälyn hallinta yksinkertaisesti sanottuna?
Tekoälyn hallinta on joukko käytäntöjä, ihmisiä, prosesseja ja valvontamekanismeja, jotka varmistavat, että organisaatiosi tekoälyä kehitetään, otetaan käyttöön ja käytetään turvallisesti, oikeudenmukaisesti, vastuullisesti ja lainmukaisesti. Se on tekoälylle samaa kuin tietoturvallisuuden hallinta tiedolle tai yksityisyyden hallinta henkilötiedoille – erillinen toimintamalli tekoälyn mukanaan tuomille erityisriskeille ja velvoitteille.
Mitkä ovat tekoälyn hallinnan pääperiaatteet?
Useimmat uskottavimmat viitekehykset ovat yhtä mieltä kahdeksasta ydinperiaatteesta: vastuuvelvollisuus, läpinäkyvyys, oikeudenmukaisuus, turvallisuus, yksityisyys, ihmisen valvonta, osallistavuus ja luotettavuus. Nämä ovat peräisin OECD:n tekoälyperiaatteista ja ne heijastuvat ISO 42001 -standardissa, NIST:n tekoälyn riskienhallintakehyksessä ja EU:n tekoälylaissa. Jokainen periaate muuttuu konkreettisiksi, auditoitaviksi kontrolleiksi, kun se otetaan käyttöön tekoälyn hallintajärjestelmässä.
Onko tekoälyn hallinta sama asia kuin tekoälyn etiikka?
Ne liittyvät toisiinsa, mutta eivät ole samoja. Tekoälyn etiikka on joukko arvoja ja periaatteita, jotka kuvaavat, miltä vastuullisen tekoälyn tulisi näyttää. Tekoälyn hallinta on käyttöjärjestelmä, joka muuttaa nämä periaatteet käytännöiksi, prosesseiksi, kontrolleiksi ja todisteiksi. Etiikka vastaa kysymykseen "mitä meidän pitäisi tehdä?". Hallinto vastaa kysymykseen "miten varmistamme, että todella teemme sen, ja miten todistamme sen?".
Minkä tekoälyn hallintakehyksen meidän tulisi omaksua?
Useimmille organisaatioille järkevä ratkaisu on: ISO 42001 sertifioitavan hallintajärjestelmän selkärankana, NIST AI RMF yksityiskohtaisena riskiluokituksena, EU:n tekoälylaki sitovana asetuksena soveltuvin osin ja OECD:n tekoälyperiaatteet eettisenä päällekkäisenä standardina. ISO 42001 on yleensä ensisijainen valinta, koska se on kansainvälinen, sertifioitavissa ja selkeästi yhdistetty muihin standardeihin, kuten ISO 27001.
Kenen tulisi vastata tekoälyn hallinnasta organisaatiossa?
Lopullinen vastuu on hallituksella ja toimivalla johdolla. Päivittäinen vastuu on yleensä nimetyllä tekoälyn hallintojohtajalla, jota usein tukee tekoälyn eettinen tai arviointikomitea, joka koostuu laki-, riski-, tietoturva-, yksityisyys-, tuote- ja suunnitteluosastolta. Jokaisella tuotannossa olevalla tekoälyjärjestelmällä tulisi myös olla nimetty järjestelmäomistaja, joka voi selittää sen tarkoituksen, riskit ja hyväksymistilan. Hallinnon keskittäminen yhteen toimintoon (kuten IT) on yleinen vikatila.
Sovelletaanko tekoälyn hallintaa, jos ainoastaan käytämme tekoälyä sen rakentamisen sijaan?
Kyllä. Tekoälyn hallinta koskee organisaatioita, jotka kehittävät, tarjoavat tai käyttävät tekoälyjärjestelmiä. Jos otat käyttöön kolmannen osapuolen tekoäly työkaluja liiketoimintakriittisissä prosesseissa (esimerkiksi asiakastietoja käsittelevät apupilotit tai automatisoituja päätöksiä tekevät tekoälyagentit), tarvitset silti tekoälypolitiikan, käyttötapausluettelon, riski- ja vaikutusarvioinnit, toimittajien due diligence -tarkastuksen ja valvonnan. ISO 42001 kattaa nimenomaisesti tekoälyä käyttävät organisaatiot, ei vain sitä kehittäviä.
Miten tekoälyn hallinta liittyy ISO 27001 -standardiin ja GDPR:ään?
Tekoälyn hallinta rinnastuu tietoturvaan ja yksityisyyden hallintaan sen sijaan, että se korvaisi ne. ISO 27001 suojaa tietovaroja, GDPR suojaa henkilötietoja ja ISO 42001 hallitsee tekoälyjärjestelmiä. Nämä kolme täydentävät toisiaan ja ovat voimakkaasti päällekkäisiä: ISO 42001 noudattaa ISO 27001:n jakamaa Annex SL -hallintajärjestelmärakennetta, ja ISO 42001:n liite D tarjoaa selkeän vastaavuuden ISO 27001 -kontrolleille. Niiden suorittaminen yhdellä alustalla, kuten ISMS.online välttää riskien, todistusaineiston ja tarkastusten päällekkäisyyttä.
