Firma może mieć dobrze zabezpieczoną infrastrukturę, procedury dostępu, kopie zapasowe i system zarządzania incydentami, a jednocześnie nie wiedzieć, jakie modele AI wykorzystują jej pracownicy, jakie dane trafiają do zewnętrznych narzędzi, kto odpowiada za decyzje podejmowane przez algorytmy i czy wyniki generowane przez AI można odtworzyć i zweryfikować.
Dlatego w organizacjach, dla których nowe technologie są istotnym elementem funkcjonowania, spojrzenie na skuteczność systemu zarządzania powinno obejmować również sposób wykorzystywania i nadzorowania AI. To właśnie tutaj coraz częściej pojawiają się ryzyka, których tradycyjne podejście do bezpieczeństwa informacji może nie wychwycić.
Z tego artykułu dowiesz się:
Nie każda firma potrzebuje tego samego zestawu norm. Oczywiście, bazą zawsze może być ISO 9001, która porządkuje sposób zarządzania organizacją, jej procesami, ryzykiem i ciągłym doskonaleniem. W zależności od profilu działalności system można następnie rozszerzać o standardy odpowiadające na konkretne wyzwania technologiczne. Lub postawić na nie od razu, wszak logika wywodząca się z ISO 9001 i tak będzie zachowana.
W obszarze bezpieczeństwa informacji i wykorzystania sztucznej inteligencji szczególne znaczenie mają:
Pierwsza porządkuje zarządzanie bezpieczeństwem informacji, druga obejmuje zarządzanie sztuczną inteligencją. Obie mogą funkcjonować jako odrębne systemy albo zostać zintegrowane z istniejącym systemem zarządzania.
W kontekście audytów wewnętrznych warto również sięgnąć po ISO 19011:2026. Jej rola jest nieco inna. Stanowi zbiór wytycznych dotyczących audytowania systemów zarządzania. W kontekście nowych technologii ma szczególne znaczenie, ponieważ wskazuje na potrzebę uwzględniania AI i innych nowych technologii zarówno w kompetencjach audytorów, jak i w sposobie planowania i prowadzenia audytów.
Nie zawsze. ISO/IEC 27001 koncentruje się na zarządzaniu bezpieczeństwem informacji. Jej podstawowym celem jest zapewnienie odpowiedniego poziomu poufności, integralności i dostępności informacji oraz zarządzanie ryzykiem bezpieczeństwa informacji. Norma jest przeznaczona dla organizacji dowolnej wielkości i z każdego sektora.
Wyobraźmy sobie jednak firmę programistyczną, która korzysta z generatywnej AI podczas tworzenia oprogramowania. Pracownik przekazuje modelowi fragment kodu. Inny wykorzystuje AI do analizy zgłoszeń klientów. Kolejny generuje dokumentację techniczną. Dział HR korzysta z narzędzia AI podczas rekrutacji. Zarząd wykorzystuje model językowy do analizy dokumentów strategicznych.
Z punktu widzenia ISO/IEC 27001 pojawia się szereg pytań dotyczących bezpieczeństwa informacji. Niektóre mogą jednak wykraczać które poza klasyczne bezpieczeństwo informacji:
Tutaj zaczyna się przestrzeń dla ISO/IEC 42001.
ISO 42001 zmienia ogólne, filozoficzne wręcz pytanie z „czy AI jest bezpieczne?” na „czy potrafimy zarządzać wykorzystaniem AI?”
ISO/IEC 42001:2023 jest pierwszą międzynarodową normą dotyczącą systemu zarządzania sztuczną inteligencją. Dotyczy zarówno organizacji tworzących modele AI, jak i tych, które dostarczają opartych na sztucznej inteligencji rozwiązań lub je wykorzystują.
Norma nie opisuje jednego, konkretnego modelu AI. Nie mówi organizacji: „używaj takiego algorytmu”. Zamiast tego tworzy ramy zarządzania AI, by organizacja potrafiła zadać właściwe pytania i znaleźć na nie odpowiedzi.
Pomimo tego, że ISO/IEC 42001:2023 dotyczy AI, w centrum uwagi de facto jest człowiek. Czynnik ludzki w zarządzaniu AI jest niezwykle istotny.
Organizacja powinna patrzeć na sztuczną inteligencję podobnie jak na inne obszary zarządzania:
Takie podejście powinno leżeć w kręgu zainteresowań firm, które nie tworzą własnych modeli, ale szeroko korzystają z gotowych usług AI. To właśnie tutaj pojawia się jeden z najbardziej niedocenianych problemów.
AI nie musi być wdrożone przez dział IT. Systemem opartym AI może być aplikacja kupiona na przykład przez dział marketingu, HR, sprzedaży produkcji…
Może to być chatbot wykorzystywany przez obsługę klienta, ale też rozwiązanie analizujące CV kandydatów w dziale HR. Będzie to również model wykorzystywany do prognozowania sprzedaży, a nawet funkcja AI w programie do fakturowania. Dlatego zarządzanie AI nie powinno być sprowadzone do działu IT.
Największy (a z pewnością najciekawszy) obszar ryzyka, to sztuczna inteligencja, której organizacja nie widzi – tzw. „shadow AI”. Czy masz pewność, w jaki sposób pracownicy wykorzystują modele AI? Co i gdzie przetwarzają? O co pytają?
Wystarczy konto w popularnym narzędziu, nawet na prywatnym smartfonie. Kilka minut później dane firmowe mogą znaleźć się w systemie zewnętrznego dostawcy.
Dlatego (np. podczas audytu wewnętrznego) warto odejść od pytania:
i przejść do pytania:
Do tego jednak potrzebne są kompetencje, czy też zwykłe „obeznanie” audytora ze światem AI.
Norma ISO 19011:2026 w zasadzie mówi wprost: audytor nie może już udawać, że AI nie istnieje. Audytor wewnętrzny powinien potrafić sprawdzić nie tylko politykę AI, ale również rejestr zatwierdzonych narzędzi, zasady wyboru dostawców, sposób klasyfikowania danych, wyniki ocen ryzyka, szkolenia pracowników, incydenty, działania korygujące oraz sposób monitorowania wykorzystania AI.
Uwzględnienie nowych technologii jest jednym z ważnych kierunków ISO 19011:2026. Audytor systemu zarządzania nie powinien ograniczać się do znajomości procedur audytowych. Jeżeli przedmiotem audytu są procesy wykorzystujące nowe technologie, powinien posiadać wiedzę i umiejętności pozwalające mu takie procesy skutecznie ocenić.
Największą wartość daje połączenie obu standardów. Każdy w nich odpowiada bowiem na komplementarne pytania:
| ISO/IEC 27001:2023 | ISO/IEC 42001:2026 |
|---|---|
| Czy informacje są odpowiednio chronione? | Czy transfer danych do/z AI jest odpowiednio zarządzany? |
| Jak chronimy dane? | Jak zarządzamy ryzykami AI? |
| Jak kontrolujemy dostęp? | Kto odpowiada za AI i w jakim stopniu ma kontrolę? |
| Jak reagujemy na incydenty? | Jak reagujemy na problemy z AI? |
| Jak zabezpieczamy dostawców? | Jak oceniamy dostawców AI? |
| Jak zapewniamy poufność, integralność i dostępność? | Jak zapewniamy odpowiedzialne wykorzystanie AI? |
Dobrze jest zatem, gdy oba systemy są projektowane i wdrażane jako jeden zintegrowany mechanizm.
Przysłowiową „wisienką na torcie” funkcjonowania systemu zarządzania jest uzyskanie certyfikatu wydanego przez niezależną, akredytowaną jednostkę certyfikującą. Certyfikat ISO w jest przede wszystkim niezależnym potwierdzeniem, że organizacja wdrożyła i utrzymuje określony system zarządzania oraz poddaje go regularnej ocenie przez niezależną jednostkę certyfikującą. W przypadku ISO/IEC 27001 oznacza to systematyczne zarządzanie bezpieczeństwem informacji, natomiast ISO/IEC 42001 koncentruje się na zarządzaniu sztuczną inteligencją.
Certyfikacja może stać się nie tylko potwierdzeniem zgodności, ale również narzędziem budowania zaufania klientów, ograniczania ryzyka i wzmocnienia przewagi konkurencyjnej.
W przypadku organizacji wykorzystujących sztuczną inteligencję dochodzą kolejne korzyści. Certyfikat ISO/IEC 42001 pozwala pokazać, że wykorzystywanie AI nie odbywa się wyłącznie na podstawie decyzji pojedynczych pracowników, lecz jest objęte określonym systemem zarządzania. To oznacza jedno: odpowiedzialność. Dotyczy to między innymi identyfikacji zastosowań AI, oceny ryzyka, określenia ról i dostępów, nadzoru nad systemami oraz monitorowania ich funkcjonowania.
Certyfikat ISO powinien być przedstawiany jako dowód określonego sposobu zarządzania, a nie jako obietnica absolutnego bezpieczeństwa lub bezbłędnego działania sztucznej inteligencji.
W przypadku ISO/IEC 27001 warto komunikować przede wszystkim to, jak certyfikowany system wspiera zarządzanie bezpieczeństwem informacji. Można pokazywać konkretne rozwiązania dotyczące zarządzania ryzykiem, kontroli dostępu, bezpieczeństwa dostawców, reagowania na incydenty albo zachowania ciągłości działania w sytuacjach niestandardowych.
W przypadku ISO/IEC 42001 komunikacja może koncentrować się na tym, w jaki sposób organizacja zarządza wykorzystaniem AI. Warto pokazywać procesy identyfikacji zastosowań AI, oceny ryzyka, nadzoru człowieka, budowania świadomości pracowników, monitorowania działania systemów oraz zarządzania zmianami.
Pamiętaj: największą wartość daje połączenie certyfikatu z konkretnymi dowodami działania systemu.
Wdrożenie systemu zarządzania nie kończy się na przygotowaniu dokumentacji i uzyskaniu certyfikatu. W branży IT oraz w organizacjach wykorzystujących AI, system zarządzania musi nadążać za zmianami technologicznymi, wymaganiami klientów i regulacjami.
Eksperci WISO Group wspierają firmy w budowaniu, wdrażaniu, utrzymywaniu i doskonaleniu systemów zarządzania ISO 27001 i ISO 42001. Jesteśmy z Tobą na każdym etapie, od analizy wymagań i oceny zgodności, przez szkolenia i budowanie kompetencji, po audyty wewnętrzne i przygotowanie do certyfikacji. Możemy również wesprzeć Twój zespół podczas audytu certyfikującego oraz wykonać zalecenia audytora po jego zakończeniu.
Pomagamy przełożyć wymagania norm na rozwiązania, które rzeczywiście przynoszą korzyści biznesowe w dłuższej perspektywie, zamiast tworzyć dokumentację funkcjonującą wyłącznie „na audyt”.
Jeżeli chcesz, aby system ISO był narzędziem zarządzania, a nie tylko certyfikatem na ścianie, porozmawiajmy o rozwiązaniu dopasowanym do Twojej organizacji.
Napisz lub zadzwoń, by poznać szczegóły współpracy.
Zobacz także:
W większości firm redukcja śladu węglowego zaczyna się od liczb. Raport ESG pokazuje emisje CO₂e, pojawia się cel redukcyjny, a następnie lista działań: efektywność energetyczna, modernizacja instalacji, energia odnawialna – zazwyczaj krążymy wokół energii i różnych jej nośników. Na papierze wszystko wygląda logicznie. Do momentu, w którym ktoś zadaje proste pytanie: „Dlaczego nasze emisje nadal nie spadają tak,
ul. Rynek 29/5
32-300 Olkusz
NIP: 6372199840
Wszystkie prawa zastrzeżone. Copyright 2021-23 – WISO GROUP.