ארגונים שנערכים ל-ISO/IEC 42001 נדרשים להבין שלוש שאלות מרכזיות:
- מה דורש התקן ISO/IEC 42001
- כיצד מקימים AIMS – Artificial Intelligence Management System
- מה נדרש כדי להגיע למוכנות להסמכה
ISO/IEC 42001:2023 הוא תקן בינלאומי למערכת ניהול מערכות בינה מלאכותית – Artificial Intelligence Management System ובקיצור AIMS. AIMS מגדיר כיצד להקים, להפעיל, לתחזק ולשפר מערכת ניהול ארגונית עבור פעילות הכוללת AI.
התקן אינו בוחן רק מודל, כלי או פרויקט נקודתי. הוא בוחן את הדרך שבה הארגון מנהל את פעילות ה-AI בהיקף שהגדיר על פי 7 נקודות מרכזיות:
- הקשר ארגוני
- מדיניות
- אחריות
- סיכונים והשפעות
- תיעוד
- בקרה
- שיפור
בכך הוא יוצר מסגרת ניהולית שניתן להפעיל ולהציג גם בביקורת.
הצורך במסגרת כזו נובע מהמאפיינים הייחודיים של מערכות AI:
הן עשויות להישען על נתונים, להשתנות לאורך זמן, לספק תוצאות שאינן תמיד ניתנות להסבר מלא ולהשפיע על תהליכים, לקוחות או עובדים.
העיקרון המנחה: ISO/IEC 42001 אינו מחליף שיקול דעת ארגוני. הוא מספק מערכת להגדרת אחריות, בחינת סיכונים, בחירת בקרות והוכחת יישום לאורך זמן.
מידע נוסף במאמר סיכוני אבטחת מידע בהטמעת AI.
כאן נתמקד בדרישות התקן וביישום AIMS בפועל.
מהו ISO/IEC 42001 ומהי מערכת AIMS?
AIMS היא מערכת ניהול – לא מערכת טכנולוגית אחת. היא מחברת בין מדיניות, יעדים, תהליכים, תפקידים, מידע מתועד ובקרות, כדי לנהל פיתוח, אספקה או שימוש במערכות AI באופן עקבי. התקן מיועד לארגונים שמשתמשים במוצרים או בשירותים הכוללים AI, וכן לארגונים שמפתחים או מספקים אותם, בלי תלות בגודל הארגון או בענף.
בדומה לתקני מערכות ניהול אחרים, נקודת המוצא אינה רשימת בקרות אחידה לכל ארגון. יש להגדיר את היקף המערכת, להבין את צרכי בעלי העניין ולבחור תהליכים ובקרות לפי מאפייני השימושים והסיכון.
ISO מדגישה כי ניתן לשלב את AIMS בתהליכים ובמבנה הניהולי הקיימים, תוך התייחסות לנושאים ייחודיים ל-AI, כגון שקיפות, איכות נתונים, אבטחה, הוגנות וניהול מחזור החיים.
תקן ISO/IEC 42001 מתרגם עקרונות אלה לדרישות מערכת ניהול שניתן ליישם, למדוד ולבקר.
מידע נוסף במאמר על ניהול מדיניות בינה מלאכותית בארגון – AI Governance בארגון
דרישות ISO 42001: שבעת סעיפים המרכזיים של מערכת הניהול
ליבת התקן בנויה במבנה המקובל של תקני מערכות ניהול. 7 הסעיפים המרכזיים (הסעיפים 4-10) מגדירים את הדרישות להקמה ולהפעלה של AIMS; Annex A מציע מטרות בקרה ובקרות ייחודיות התומכות ביישום. הטבלה מסכמת את משמעות הדרישות ברמה מעשית, אך אינה מחליפה עיון בנוסח התקן המלא.
| סעיף בתקן | מה נדרש לבנות או להפעיל בפועל |
| 4. הקשר הארגון | הבנת ההקשר הפנימי והחיצוני, זיהוי צרכי בעלי עניין, הגדרת גבולות ה-AIMS והקמת מערכת הניהול בתחום שהוגדר. |
| 5. מנהיגות | מחויבות הנהלה, מדיניות AI, והגדרת תפקידים, אחריות וסמכויות. |
| 6. תכנון | זיהוי סיכונים והזדמנויות, קביעת יעדי AI, תכנון פעולות להשגתם ותכנון שינויים. |
| 7. תמיכה | הקצאת משאבים, כשירות ומודעות, תקשורת, וניהול מידע מתועד הנדרש להפעלת המערכת ולהוכחת יישומה. |
| 8. הפעלה | תכנון ובקרה תפעוליים, הערכת סיכוני AI, טיפול בסיכונים והערכת השפעת מערכות AI במקרים המתאימים. |
| 9. הערכת ביצועים | ניטור, מדידה, ניתוח והערכה; מבדקים פנימיים; וסקר הנהלה הבוחן את ביצועי המערכת והתאמתה. |
| 10. שיפור | טיפול באי-התאמות ובפעולות מתקנות, לצד שיפור מתמשך של מערכת הניהול. |
4. הקשר הארגון והגדרת ההיקף
היישום מתחיל בהגדרת היקף ברורה: אילו יחידות, שירותים, מוצרים, מערכות או תהליכים נכללים ב-AIMS. ההיקף יכול לכלול את כלל פעילות ה-AI בארגון או פעילות מוגדרת, בהתאם למטרות הארגון, לדרישות לקוחות ולרמת הבשלות. חשוב שהגבולות יהיו מתועדים, מובנים ועקביים עם אופן הפעולה בפועל.
בשלב זה נבחנים גם בעלי העניין והדרישות שלהם: לקוחות, משתמשים, עובדים, ספקים, רגולטורים וגורמים נוספים שעשויים להשפיע על פעילות ה-AI או להיות מושפעים ממנה. התוצאה אינה רק רשימה; היא בסיס לקביעת מדיניות, יעדים ותהליכי בקרה רלוונטיים.
5–7. מנהיגות, תכנון ותמיכה
סעיפים אלה הופכים את הכוונה למערכת ניתנת להפעלה. הנהלה נדרשת לתת כיוון ולהגדיר מדיניות; הארגון קובע יעדים ותוכנית לטיפול בסיכונים ובהזדמנויות; ונבנית תשתית של משאבים, כשירות, מודעות ותקשורת.
בפועל, נדרש להגדיר בעלות ברורה על ה-AIMS ועל שימושי AI מהותיים, גם כאשר האחריות מחולקת בין יחידות עסקיות, IT, אבטחת מידע, פרטיות, רכש ומשפטי. נדרש גם מידע מתועד: מסמכים שמנחים את הפעילות, ורשומות המהוות ראיות לכך שהתהליכים בוצעו. לדוגמה, הערכת סיכון, אישור שינוי, תוצאת מבדק או החלטת סקר הנהלה.
8. הפעלה: סיכונים, השפעות ובקרה תפעולית
התקן דורש תכנון ובקרה של פעילות ה-AI, הערכת סיכונים, טיפול בסיכונים והערכת השפעה של מערכות AI. הערכת השפעה היא תהליך מתועד לזיהוי, הערכה וטיפול בהשפעות אפשריות על יחידים, קבוצות או החברה, בהקשר של מוצר או שירות המשתמש ב-AI.
עומק הבדיקה צריך להיקבע לפי ההקשר. שימוש בעל השפעה מוגבלת אינו דומה למערכת המשפיעה על אנשים, מעבדת מידע רגיש, מחוברת למערכות ליבה או תומכת בהחלטות מהותיות. המטרה אינה להחיל אותו מנגנון על כל שימוש, אלא להפעיל רמת בקרה שמתאימה לסיכון ולתפקיד הארגון ביחס למערכת.
9-10. מדידה, מבדק ושיפור
AIMS אינה מסתיימת בכתיבת מדיניות או בהטמעת בקרות. יש לקבוע מה מודדים, מתי מבצעים בדיקה, איך מדווחים להנהלה וכיצד מטפלים באי-התאמות. מבדק פנימי בוחן אם דרישות המערכת והתהליכים שהוגדרו מיושמים; סקר הנהלה בוחן אם המערכת נשארת מתאימה, מספקת ואפקטיבית.
גישה זו יוצרת מחזור של תכנון, יישום, בדיקה ושיפור. לפי ISO, המחזור מסייע לארגון להתאים את אופן ניהול ה-AI לשינויי שימוש, טכנולוגיה, סביבה עסקית ודרישות רלוונטיות.
Annex A: תחומי הבקרה של ISO/IEC 42001
Annex A של ISO/IEC 42001 מרכז את מטרות הבקרה והבקרות הייעודיות לניהול מערכות AI. הבקרות משלימות את דרישות מערכת הניהול שבסעיפים 4–10 ומסייעות לארגון לתרגם את הערכת הסיכונים וההשפעות למדיניות, תהליכים ובקרות מעשיות. הבחירה והיישום צריכות להתבצע בהתאם להקשר הארגוני, לתפקיד הארגון ביחס למערכת ה־AI ולסיכונים שזוהו.
| סעיף | תחום הבקרה | המשמעות הארגונית |
| A.2 | Policies related to AI | הגדרת מדיניות ועקרונות ארגוניים לפיתוח, אספקה ושימוש אחראי ב־AI. |
| A.3 | Internal organization | הגדרת תפקידים, אחריות, סמכויות וממשקי עבודה בניהול AI. |
| A.4 | Resources for AI systems | זיהוי וניהול המשאבים הנדרשים למערכות AI, לרבות נתונים, כלים, תשתיות ומשאבים אנושיים. |
| A.5 | Assessing impacts of AI systems | קביעת תהליכים לבחינה ותיעוד של ההשפעות האפשריות של מערכות AI. |
| A.6 | AI system life cycle | שילוב בקרות לאורך מחזור החיים של מערכת AI – מתכנון ופיתוח ועד הפעלה ושינויים. |
| A.7 | Data for AI systems | ניהול הנתונים המשמשים מערכות AI, לרבות איכות, מקור, הכנה ושימוש מתאים. |
| A.8 | Information for interested parties | קביעת המידע שיש לספק לבעלי עניין ושמירה על שקיפות מתאימה ביחס למערכת ולשימוש בה. |
| A.9 | Use of AI systems | ניהול השימוש הארגוני במערכות AI והגדרת תהליכים לשימוש אחראי ובהתאם למטרות שהוגדרו. |
| A.10 | Third-party and customer relationships | ניהול אחריות, דרישות וממשקים הקשורים לספקים, לקוחות וצדדים שלישיים במערכת האקולוגית של AI. |
המשמעות המעשית היא ש-Annex A אינו עוסק רק באבטחת מידע.
הוא מרחיב את הבקרה לנושאים כמו אחריות ארגונית, נתונים, השפעות, מחזור החיים של מערכת ה־AI, שקיפות, שימוש בפועל ותלות בצדדים שלישיים. לכן, יישום ISO/IEC 42001 דורש בדרך כלל שיתוף פעולה בין הנהלה, יחידות עסקיות, IT, אבטחת מידע, פרטיות, משפטי, רכש וגורמי סיכון וציות.
איך בוחרים ומיישמים את בקרות Annex A?
הבחירה בבקרות של Annex A אינה תהליך אוטומטי של סימון Checklist.
הארגון נדרש לבחון את הבקרות בהתאם להיקף ה־AIMS, לתוצאות הערכת הסיכונים וההשפעות ולהקשר שבו נעשה שימוש ב־AI. בהתאם לכך, יש לתעד את הבקרות שנבחרו ליישום ואת ההצדקה להכללה או לאי-הכללה של בקרות רלוונטיות, ולשמור ראיות לאופן שבו הבקרות שנבחרו מיושמות בפועל. תיעוד זה מאפשר לקשור בין הסיכונים שזוהו לבין אמצעי הטיפול והבקרה, ומהווה חלק חשוב ממערכת ניהול AI שניתנת למדידה ולביקורת.
כיצד מיישמים AIMS בצורה מדורגת?
יישום AIMS של תקן ISO/IEC 42001 אינו חייב להתחיל בפרויקט רחב. מסלול מדורג מאפשר לארגון לבנות בסיס נכון, להבין את הפערים ולתעדף פעולות לפי החשיפה והיעדים.
- הגדרת היקף, הקשר ויעד. מגדירים איזו פעילות AI נכללת במערכת, אילו דרישות עסקיות, חוזיות או רגולטוריות רלוונטיות, ומהו היעד: שליטה ניהולית, מוכנות ללקוח, יישום תקן או היערכות להסמכה.
- הערכת מצב מול דרישות התקן. בוחנים תהליכים, תיעוד, תפקידים וראיות קיימים מול סעיפים 4–10 ו-Annex A. במסגרת זו ניתן לבצע סקר פערים ולגבש תוכנית סגירה מתועדפת. המיפוי צריך להתייחס גם לשימושים שאינם מנוהלים באופן מרכזי, לרבות Shadow AI, ככל שהם רלוונטיים לתחום שהוגדר.
- הערכת סיכונים והשפעות ובחירת בקרות. מזהים את הסיכונים וההשפעות של השימושים שבתחום, קובעים טיפול מתאים, ובוחרים בקרות Annex A ובקרות נוספות לפי הצורך. הבחירה וההצדקה מתועדות ב-SoA.
- הקמת התשתית הניהולית. מגבשים מדיניות, יעדים, תפקידי אחריות, נהלים תפעוליים ותהליכי ניהול שינוי. במקביל, מגדירים אילו ראיות נשמרות לאורך הדרך.
- הטמעה והפעלת המערכת. מפעילים את התהליכים, מתקשרים אותם לגורמים הרלוונטיים, מפתחים כשירות ומיישמים את הבקרות שנבחרו. השלב חשוב משום שהתקן בוחן יישום בפועל ולא רק מסמכי מדיניות.
- בחינת ביצועים ומוכנות למבדק. מבצעים ניטור, מבדק פנימי, סקר הנהלה וטיפול בממצאים. ארגונים המבקשים להתקדם באופן מסודר יכולים להיעזר בליווי והיערכות להסמכה לתקן ISO 42001 כדי להתאים את תהליך היישום להיקף הפעילות ולדרישות הביקורת.
- תהליך כזה מתחבר לעולמות רחבים של GRC – ממשל, סיכונים וציות, אך נשאר ממוקד בדרישות הייחודיות של מערכת ניהול AI.
יישום AIMS לעומת הסמכה: מה ההבדל?
יישום AIMS הוא הקמה והפעלה של מערכת ניהול בהתאם לדרישות התקן: הגדרת היקף, מדיניות, הערכות סיכון והשפעה, בקרות, תיעוד, מבדק פנימי ושיפור. ארגון יכול ליישם AIMS גם אם לא החליט בשלב זה לגשת להסמכה.
הסמכה היא שלב נפרד, שבו גוף התעדה חיצוני בוחן את מערכת הניהול ואת הראיות ליישומה מול דרישות התקן. לכן, ארגון שמכוון להסמכה צריך לא רק להקים את המערכת אלא גם להפעיל אותה לאורך זמן, לשמור ראיות ולבצע בדיקות פנימיות וסקרי הנהלה כנדרש.
ההחלטה אם ומתי לגשת להסמכה תלויה בדרישות שוק, לקוחות, מכרזים, רגולציה ומטרות הארגון. בכל מקרה, בסיס היישום צריך להיות תהליך שעובד בפועל ולא היערכות נקודתית לביקורת.
למידע על שלבי ההכנה והמוכנות למבדק – ליווי והיערכות להסמכה לתקן ISO 42001.
ISO 42001 מול ISO 27001, NIST AI RMF ו-EU AI Act
ISO/IEC 42001 אינו פועל בחלל ריק. ארגונים רבים משלבים אותו עם תקני אבטחת מידע, מסגרות לניהול סיכון ודרישות רגולטוריות. לכל אחת מהמסגרות תפקיד שונה.
| מסגרת | המוקד המרכזי | הקשר ל-ISO/IEC 42001 |
| ISO/IEC 42001 | דרישות למערכת ניהול AI ארגונית – AIMS. | המסגרת הניהולית המרכזית לפעילות AI בתחום שהוגדר. |
| ISO/IEC 27001 | מערכת ניהול אבטחת מידע (ISMS). | תומך בניהול מידע, זהויות, הרשאות, ספקים, אירועים ובקרות אבטחה שעליהם נשענים גם שימושי AI. |
| NIST AI Risk Management Framework | מסגרת וולונטרית לניהול סיכוני AI. | יכולה לשמש מתודולוגיה משלימה להבנת, מדידת וטיפול בסיכוני AI, לצד AIMS. |
| EU AI Act | מסגרת רגולטורית אירופית עם חובות משפטיות במקרים שבהם היא חלה. | אינה מוחלפת על ידי התקן; יש לבחון תחולה ודרישות ספציפיות לפי תפקיד הארגון, המערכת והשוק הרלוונטי. |
תקני מערכות ניהול בנויים באופן המאפשר שילוב עם מערכות ניהול נוספות. לכן, ארגון שכבר מפעיל תהליכים לפי ISO/IEC 27001 יכול לעיתים להרחיב מדיניות, ניהול סיכונים, מבדקים, סקרי הנהלה ותיעוד קיימים, תוך הוספת הדרישות הייעודיות ל-AI.
מתי כדאי להתחיל בהערכות לתקן ISO 42001?
כאשר AI כבר משולב בתהליכים עסקיים, נעשה שימוש במידע רגיש, קיימים מספר ספקי AI, לקוחות מתחילים לדרוש הוכחות ל-AI Governance או שהארגון שוקל הסמכה, כדאי לבחון את המצב הקיים מול דרישות התקן. Gap Analysis מוקדם מאפשר לזהות אילו תהליכים קיימים כבר יכולים לשמש את ה-AIMS ואילו פערים דורשים טיפול.
מידע נוסף על ליווי והסמכה לתקן ISO 42001
תקן AI שמתרגם Governance למערכת ניהול
ISO/IEC 42001 מספק מסגרת ברורה לארגונים המבקשים להפוך שימוש, פיתוח או אספקה של AI לפעילות מנוהלת. הדרישות בסעיפים 4–10 מגדירות את מערכת הניהול; Annex A מסייע בבחירת בקרות; והמחזור של מדידה, מבדק ושיפור מאפשר לשמור על התאמה גם כשהשימושים והטכנולוגיה משתנים.
הדרך הנכונה להתחיל אינה בהכרח הסמכה מיידית. היא מתחילה בהגדרת היקף, בחינת המצב הקיים והחלטה על תהליך יישום שמתאים לסיכון, לדרישות וליכולת הארגונית. כאשר נדרשת היערכות מקיפה או מוכנות למבדק, InfoGuard מסייעת בארגונים בליווי והיערכות עבור הסמכה לתקן ISO 42001, החל ממיפוי פערים ותיעדוף ועד לבניית תהליך ישים ומתועד.
שאלות נפוצות
מהו ISO/IEC 42001?
ISO/IEC 42001:2023 הוא תקן בינלאומי המגדיר דרישות להקמה, יישום, תחזוקה ושיפור מתמשך של מערכת ניהול בינה מלאכותית (AIMS). הוא מיועד לארגונים שמשתמשים, מפתחים או מספקים מוצרים ושירותים הכוללים AI.
מה כוללות דרישות ISO 42001?
הדרישות המרכזיות נמצאות בסעיפים 4–10 של התקן: הקשר הארגון, מנהיגות, תכנון, תמיכה, הפעלה, הערכת ביצועים ושיפור. הן כוללות, בין היתר, הגדרת היקף, מדיניות, תפקידים, ניהול סיכונים והשפעות, מידע מתועד, מבדק פנימי וסקר הנהלה.
מהו Annex A בתקן ISO 42001?
Annex A כולל מטרות בקרה ובקרות ייחודיות ל-AI, בתחומים כגון מדיניות, ארגון פנימי, הערכת השפעות, מחזור חיים, נתונים, שקיפות, שימוש במערכות AI וקשרים עם צדדים שלישיים. הארגון בוחר את הבקרות הרלוונטיות לפי הסיכון וההקשר ומתעד את הבחירה ב-SoA.
האם כל ארגון שמשתמש ב-AI חייב לקבל הסמכה?
לא בהכרח. התקן מתאים לארגונים מסוגים וגדלים שונים, אך ההחלטה על הסמכה תלויה במטרות הארגון, בדרישות לקוח, במכרזים, ברגולציה ובמאפייני השימוש. אפשר להתחיל ביישום מדורג של AIMS ובבחינת פערים, גם לפני החלטה על מבדק הסמכה.
מה ההבדל בין יישום AIMS לבין הסמכה?
יישום הוא הקמה והפעלה של מערכת הניהול בארגון. הסמכה היא הערכה חיצונית של המערכת והראיות ליישומה על ידי גוף התעדה. מערכת שפועלת בפועל, נבדקת ומשתפרת היא הבסיס למוכנות להסמכה.
האם ISO/IEC 42001 מחליף את ISO/IEC 27001?
לא. ISO/IEC 42001 עוסק במערכת ניהול AI, בעוד ISO/IEC 27001 עוסק במערכת ניהול אבטחת מידע. הם משלימים זה את זה ויכולים להישען על תהליכים ארגוניים משותפים, כגון ניהול סיכונים, תיעוד, מבדקים ושיפור.
מאיפה נכון להתחיל?
נכון להתחיל בהגדרת היקף ויעד, בבחינת מצב קיים מול דרישות התקן ובתיעדוף פערים. לאחר מכן אפשר לקבוע מדיניות, בעלי אחריות, תהליך הערכת סיכונים והשפעות, בקרות וראיות הנדרשות להפעלת AIMS.
מקורות
[1] ISO/IEC 42001:2023 – Information technology – Artificial intelligence – Management system
[2] ISO – AI management systems: What businesses need to know
