ISO dla IT i firm używających sztucznej inteligencji

ISO dla IT i firm uzywających sztucznej inteligencji
ISO dla IT i firm uzywających sztucznej inteligencji

Firma może mieć dobrze zabezpieczoną infrastrukturę, procedury dostępu, kopie zapasowe i system zarządzania incydentami, a jednocześnie nie wiedzieć, jakie modele AI wykorzystują jej pracownicy, jakie dane trafiają do zewnętrznych narzędzi, kto odpowiada za decyzje podejmowane przez algorytmy i czy wyniki generowane przez AI można odtworzyć i zweryfikować.

 

Dlatego w organizacjach, dla których nowe technologie są istotnym elementem funkcjonowania, spojrzenie na skuteczność systemu zarządzania powinno obejmować również sposób wykorzystywania i nadzorowania AI. To właśnie tutaj coraz częściej pojawiają się ryzyka, których tradycyjne podejście do bezpieczeństwa informacji może nie wychwycić.

Z tego artykułu dowiesz się:

Które normy ISO są istotne dla bezpieczeństwa w IT i użytkowaniu AI?

Nie każda firma potrzebuje tego samego zestawu norm. Oczywiście, bazą zawsze może być ISO 9001, która porządkuje sposób zarządzania organizacją, jej procesami, ryzykiem i ciągłym doskonaleniem. W zależności od profilu działalności system można następnie rozszerzać o standardy odpowiadające na konkretne wyzwania technologiczne. Lub postawić na nie od razu, wszak logika wywodząca się z ISO 9001 i tak będzie zachowana.

 

W obszarze bezpieczeństwa informacji i wykorzystania sztucznej inteligencji szczególne znaczenie mają:

  • ISO/IEC 27001:2023 „Bezpieczeństwo informacji, cyberbezpieczeństwo i ochrona prywatności – Systemy zarządzania bezpieczeństwem informacji – Wymagania”
  • ISO/IEC 42001:2026 „Technika informatyczna – Sztuczna inteligencja – System zarządzania”

Pierwsza porządkuje zarządzanie bezpieczeństwem informacji, druga obejmuje zarządzanie sztuczną inteligencją. Obie mogą funkcjonować jako odrębne systemy albo zostać zintegrowane z istniejącym systemem zarządzania.

 

W kontekście audytów wewnętrznych warto również sięgnąć po ISO 19011:2026. Jej rola jest nieco inna. Stanowi zbiór wytycznych dotyczących audytowania systemów zarządzania. W kontekście nowych technologii ma szczególne znaczenie, ponieważ wskazuje na potrzebę uwzględniania AI i innych nowych technologii zarówno w kompetencjach audytorów, jak i w sposobie planowania i prowadzenia audytów.

Czy ISO 27001 wystarczy, jeżeli firma używa AI?

Nie zawsze. ISO/IEC 27001 koncentruje się na zarządzaniu bezpieczeństwem informacji. Jej podstawowym celem jest zapewnienie odpowiedniego poziomu poufności, integralności i dostępności informacji oraz zarządzanie ryzykiem bezpieczeństwa informacji. Norma jest przeznaczona dla organizacji dowolnej wielkości i z każdego sektora. 

 

Wyobraźmy sobie jednak firmę programistyczną, która korzysta z generatywnej AI podczas tworzenia oprogramowania. Pracownik przekazuje modelowi fragment kodu. Inny wykorzystuje AI do analizy zgłoszeń klientów. Kolejny generuje dokumentację techniczną. Dział HR korzysta z narzędzia AI podczas rekrutacji. Zarząd wykorzystuje model językowy do analizy dokumentów strategicznych.

 

Z punktu widzenia ISO/IEC 27001 pojawia się szereg pytań dotyczących bezpieczeństwa informacji. Niektóre mogą jednak wykraczać które poza klasyczne bezpieczeństwo informacji:

 

  • Czy organizacja wie, jakie zastosowania AI funkcjonują w jej procesach?
  • Czy ocenia ryzyka związane z konkretnymi systemami AI?
  • Czy określiła zasady nadzoru człowieka nad wynikami AI?
  • Czy wie, kiedy wynik wygenerowany przez AI może zostać wykorzystany do podjęcia decyzji?
  • Czy potrafi wykazać, dlaczego dany system został wybrany i na jakich zasadach jest monitorowany?

Tutaj zaczyna się przestrzeń dla ISO/IEC 42001.

Co zmienia wdrożenie ISO 42001?

ISO 42001 zmienia ogólne, filozoficzne wręcz pytanie z „czy AI jest bezpieczne?” na „czy potrafimy zarządzać wykorzystaniem AI?”

 

ISO/IEC 42001:2023 jest pierwszą międzynarodową normą dotyczącą systemu zarządzania sztuczną inteligencją. Dotyczy zarówno organizacji tworzących modele AI, jak i tych, które dostarczają opartych na sztucznej inteligencji rozwiązań lub je wykorzystują. 

Norma nie opisuje jednego, konkretnego modelu AI. Nie mówi organizacji: „używaj takiego algorytmu”. Zamiast tego tworzy ramy zarządzania AI, by organizacja potrafiła zadać właściwe pytania i znaleźć na nie odpowiedzi.

 

Pomimo tego, że ISO/IEC 42001:2023 dotyczy AI, w centrum uwagi de facto jest człowiek. Czynnik ludzki w zarządzaniu AI jest niezwykle istotny.

Jak traktować AI w zarządzaniu organizacją?

Organizacja powinna patrzeć na sztuczną inteligencję podobnie jak na inne obszary zarządzania:

  • zbadać kontekst i oczekiwania interesariuszy,
  • przypisać role i odpowiedzialności,
  • zidentyfikować ryzyka i szanse,
  • określić cele, zasady działania, nadzór i monitorowanie,
  • zapewnić doskonalenie.

Takie podejście powinno leżeć w kręgu zainteresowań firm, które nie tworzą własnych modeli, ale szeroko korzystają z gotowych usług AI. To właśnie tutaj pojawia się jeden z najbardziej niedocenianych problemów.

 

AI nie musi być wdrożone przez dział IT. Systemem opartym AI może być aplikacja kupiona na przykład przez dział marketingu, HR, sprzedaży produkcji…

 

Może to być chatbot wykorzystywany przez obsługę klienta, ale też rozwiązanie analizujące CV kandydatów w dziale HR. Będzie to również model wykorzystywany do prognozowania sprzedaży, a nawet funkcja AI w programie do fakturowania. Dlatego zarządzanie AI nie powinno być sprowadzone do działu IT.

Jakie jest największe ryzyko związane z AI?

Największy (a z pewnością najciekawszy) obszar ryzyka, to sztuczna inteligencja, której organizacja nie widzi – tzw. „shadow AI”. Czy masz pewność, w jaki sposób pracownicy wykorzystują modele AI? Co i gdzie przetwarzają? O co pytają?

Wystarczy konto w popularnym narzędziu, nawet na prywatnym smartfonie. Kilka minut później dane firmowe mogą znaleźć się w systemie zewnętrznego dostawcy.

 

Dlatego (np. podczas audytu wewnętrznego) warto odejść od pytania:

  • „Czy organizacja posiada politykę korzystania ze sztucznej inteligencji?”

i przejść do pytania:

  • „Skąd organizacja wie, że jej pracownicy rzeczywiście postępują zgodnie z tą polityką?”

Do tego jednak potrzebne są kompetencje, czy też zwykłe „obeznanie” audytora ze światem AI.

Co istotnego dla zarządzania AI wprowadza ISO 19011:2026?

Norma ISO 19011:2026 w zasadzie mówi wprost: audytor nie może już udawać, że AI nie istnieje. Audytor wewnętrzny powinien potrafić sprawdzić nie tylko politykę AI, ale również rejestr zatwierdzonych narzędzi, zasady wyboru dostawców, sposób klasyfikowania danych, wyniki ocen ryzyka, szkolenia pracowników, incydenty, działania korygujące oraz sposób monitorowania wykorzystania AI.

 

Uwzględnienie nowych technologii jest jednym z ważnych kierunków ISO 19011:2026. Audytor systemu zarządzania nie powinien ograniczać się do znajomości procedur audytowych. Jeżeli przedmiotem audytu są procesy wykorzystujące nowe technologie, powinien posiadać wiedzę i umiejętności pozwalające mu takie procesy skutecznie ocenić.

ISO 27001 + ISO 42001 to dwa systemy czy dwa poziomy kontroli?

Największą wartość daje połączenie obu standardów. Każdy w nich odpowiada bowiem na komplementarne pytania:

ISO/IEC 27001:2023ISO/IEC 42001:2026
Czy informacje są odpowiednio chronione?Czy transfer danych do/z AI jest odpowiednio zarządzany?
Jak chronimy dane?Jak zarządzamy ryzykami AI?
Jak kontrolujemy dostęp?Kto odpowiada za AI i w jakim stopniu ma kontrolę?
Jak reagujemy na incydenty?Jak reagujemy na problemy z AI?
Jak zabezpieczamy dostawców?Jak oceniamy dostawców AI?
Jak zapewniamy poufność, integralność i dostępność?Jak zapewniamy odpowiedzialne wykorzystanie AI?

Dobrze jest zatem, gdy oba systemy są projektowane i wdrażane jako jeden zintegrowany mechanizm.

Co daje certyfikat ISO w branży IT i firmach wykorzystujących AI?

Przysłowiową „wisienką na torcie” funkcjonowania systemu zarządzania jest uzyskanie certyfikatu wydanego przez niezależną, akredytowaną jednostkę certyfikującą. Certyfikat ISO w jest przede wszystkim niezależnym potwierdzeniem, że organizacja wdrożyła i utrzymuje określony system zarządzania oraz poddaje go regularnej ocenie przez niezależną jednostkę certyfikującą. W przypadku ISO/IEC 27001 oznacza to systematyczne zarządzanie bezpieczeństwem informacji, natomiast ISO/IEC 42001 koncentruje się na zarządzaniu sztuczną inteligencją.

 

Certyfikacja może stać się nie tylko potwierdzeniem zgodności, ale również narzędziem budowania zaufania klientów, ograniczania ryzyka i wzmocnienia przewagi konkurencyjnej. 

 

W przypadku organizacji wykorzystujących sztuczną inteligencję dochodzą kolejne korzyści. Certyfikat ISO/IEC 42001 pozwala pokazać, że wykorzystywanie AI nie odbywa się wyłącznie na podstawie decyzji pojedynczych pracowników, lecz jest objęte określonym systemem zarządzania. To oznacza jedno: odpowiedzialność.  Dotyczy to między innymi identyfikacji zastosowań AI, oceny ryzyka, określenia ról i dostępów, nadzoru nad systemami oraz monitorowania ich funkcjonowania.

Jak skutecznie wykorzystać certyfikat ISO 27001 i ISO 42001 w komunikacji firmy IT?

Certyfikat ISO powinien być przedstawiany jako dowód określonego sposobu zarządzania, a nie jako obietnica absolutnego bezpieczeństwa lub bezbłędnego działania sztucznej inteligencji.

 

W przypadku ISO/IEC 27001 warto komunikować przede wszystkim to, jak certyfikowany system wspiera zarządzanie bezpieczeństwem informacji. Można pokazywać konkretne rozwiązania dotyczące zarządzania ryzykiem, kontroli dostępu, bezpieczeństwa dostawców, reagowania na incydenty albo zachowania ciągłości działania w sytuacjach niestandardowych.

 

W przypadku ISO/IEC 42001 komunikacja może koncentrować się na tym, w jaki sposób organizacja zarządza wykorzystaniem AI. Warto pokazywać procesy identyfikacji zastosowań AI, oceny ryzyka, nadzoru człowieka, budowania świadomości pracowników, monitorowania działania systemów oraz zarządzania zmianami.

 

Pamiętaj: największą wartość daje połączenie certyfikatu z konkretnymi dowodami działania systemu.

Jak eksperci wspierają zarządzanie w branży IT i firmach wykorzystujących AI?

Wdrożenie systemu zarządzania nie kończy się na przygotowaniu dokumentacji i uzyskaniu certyfikatu. W branży IT oraz w organizacjach wykorzystujących AI, system zarządzania musi nadążać za zmianami technologicznymi, wymaganiami klientów i regulacjami.

 

Eksperci WISO Group wspierają firmy w budowaniu, wdrażaniu, utrzymywaniu i doskonaleniu systemów zarządzania ISO 27001 i ISO 42001. Jesteśmy z Tobą na każdym etapie, od analizy wymagań i oceny zgodności, przez szkolenia i budowanie kompetencji, po audyty wewnętrzne i przygotowanie do certyfikacji. Możemy również wesprzeć Twój zespół podczas audytu certyfikującego oraz wykonać zalecenia audytora po jego zakończeniu.

 

Pomagamy przełożyć wymagania norm na rozwiązania, które rzeczywiście przynoszą korzyści biznesowe w dłuższej perspektywie, zamiast tworzyć dokumentację funkcjonującą wyłącznie „na audyt”. 

 

Jeżeli chcesz, aby system ISO był narzędziem zarządzania, a nie tylko certyfikatem na ścianie, porozmawiajmy o rozwiązaniu dopasowanym do Twojej organizacji.

Chcesz dowiedzieć
się więcej?

Chcesz dowiedzieć się więcej?

Napisz lub zadzwoń, by poznać szczegóły współpracy.





    WISO, członek zespołu, Martyna

    Zobacz także:

    audytor

    Rola audytora wewnętrznego w systemie zarządzania energią

    Nawet najlepiej opracowana polityka energetyczna, procedury, cele i wskaźniki nie zagwarantują poprawy efektywności energetycznej. Organizacja musi regularnie sprawdzać, czy przyjęte rozwiązania są stosowane w praktyce i przynoszą oczekiwane rezultaty. W tym procesie istotną rolę odgrywa audytor wewnętrzny ISO 50001. Dobrze dobrany zespół audytorów wewnętrznych, dzięki niezależności od audytowanego obszaru, może spojrzeć na dany proces z innej perspektywy.   Audyt wewnętrzny

    Czytaj dalej
    Powrót do bloga
    Wiso

    WISO GROUP Sp. z o.o.

    ul. Rynek 29/5
    32-300 Olkusz
    NIP: 6372199840

    Usługi

    Wdrożenie Systemów Zarządzania
    Obsługa abonamentowa
    Audyt Systemowy firmy
    Szkolenia zamknięte i otwarte​
    Oferta szkoleń WISO
    Obsługa środowiskowa
    Ocena zgodności z wymaganiami prawnymi

    Produkty

    ISO 9001​
    ISO 14001
    ISO 45001
    ISO 50001
    ISO 27001
    ISO/IEC 42001
    ISO 19443
    BDO, SUP, KOBIZE

    Więcej o nas

    Polityka prywatności
    Baza Usług Rozwojowych
    Kontakt

    Wszystkie prawa zastrzeżone. Copyright 2021-23 – WISO GROUP.