הסמכה לתקן ISO/IEC 42001:2023 לניהול בינה מלאכותית בארגון
מסגרת ניהולית לפיתוח ולשימוש אחראי, מבוקר ושקוף במערכות AI לאורך כל מחזור החיים שלהן.
הסמכה לתקן ISO/IEC 42001:2023 לניהול בינה מלאכותית
מסגרת ארגונית לניהול אחראי של מערכות AI
מערכות בינה מלאכותית הופכות לחלק בלתי נפרד מתהליכי קבלת החלטות, שירות לקוחות, ניתוח מידע, פיתוח תוכנה, אבטחת מידע, משאבי אנוש, תפעול ושיווק. לצד הערך העסקי, השימוש ב־AI מעלה שאלות מהותיות בנוגע לאיכות הנתונים, הטיות, פרטיות, אבטחת מידע, שקיפות, אמינות, זכויות משתמשים ואחריות ארגונית.
ISO/IEC 42001:2023 הוא התקן הבינלאומי הראשון המגדיר דרישות למערכת ניהול בינה מלאכותית, Artificial Intelligence Management System או בקיצור AIMS. התקן מיועד לארגונים המפתחים, מספקים או משתמשים במוצרים ובשירותים המבוססים על AI, ללא תלות בגודלם או בתחום פעילותם.
התקן אינו בוחן רק מערכת או מודל מסוים. הוא בוחן כיצד הארגון מנהל את פעילות הבינה המלאכותית ברמה הארגונית: מי אחראי, כיצד מתקבלות החלטות, אילו סיכונים והשפעות נבחנים, כיצד נשמר התיעוד ואיך הארגון מודד ומשפר את התהליך לאורך זמן.
מידע נוסף על
תקינה ורגולציה
חוק הבינה המלאכותית האירופי – EU AI Act
מהו ISO/IEC 42001:2023?
מערכת ניהול לפיתוח, אספקה ושימוש אחראי ב־AI
ISO/IEC 42001:2023 מגדיר דרישות ומספק הנחיות להקמה, ליישום, לתחזוקה ולשיפור מתמשך של מערכת ניהול בינה מלאכותית בהקשר הארגוני. מערכת זו מחברת בין מדיניות, יעדים, תהליכים, בעלי תפקידים ובקרות שנועדו לאפשר פיתוח ושימוש אחראי במערכות AI.
מערכת הניהול מסייעת לארגון לבחון באופן שיטתי:
- כיצד הארגון משתמש בבינה מלאכותית.
- אילו מערכות AI מפותחות, נרכשות או מופעלות.
- אילו סיכונים והזדמנויות נובעים מהשימוש בהן.
- כיצד נבחנות ההשפעות על אנשים, לקוחות וגורמים נוספים.
- מי אחראי על אישור, הפעלה ופיקוח.
- כיצד מנוהלים נתונים, מודלים ותוצרים.
- כיצד נשמרים שקיפות, אמינות ואחריותיות.
- כיצד מטופלות תקלות, חריגות ואירועי AI.
- כיצד המערכת נמדדת ומשתפרת לאורך זמן.
התקן בנוי במבנה של תקני מערכות ניהול אחרים, ולכן ניתן לשלב אותו עם תקנים כגון ISO 27001, ISO 27701, ISO 9001 ו־ISO 22301.
מדוע ארגונים נדרשים לנהל AI באופן שיטתי?
שימוש בלתי מבוקר עלול ליצור סיכון עסקי, משפטי וטכנולוגי
ארגונים רבים כבר משתמשים בכלי בינה מלאכותית, לעיתים ללא מיפוי מרכזי וללא מדיניות אחידה. עובדים משתמשים בכלי Generative AI, יחידות עסקיות רוכשות פתרונות חיצוניים, צוותי פיתוח משלבים מודלים וממשקי API, ומערכות AI מקבלות או תומכות בהחלטות משמעותיות.
ללא מערכת ניהול מסודרת עלולים להיווצר:
- שימוש במידע רגיש בכלים שאינם מאושרים.
- פגיעה בפרטיות של עובדים, לקוחות או משתמשים.
- החלטות המבוססות על נתונים שגויים או מוטים.
- קושי להסביר כיצד התקבלה החלטה.
- הסתמכות מופרזת על תוצרי AI.
- שימוש במודלים או במאגרי מידע ללא הרשאות מתאימות.
- חשיפה לקניין רוחני ולסיכוני זכויות יוצרים.
- הכנסת חולשות אבטחה לתהליכים ולמערכות.
- חוסר בהירות לגבי אחריות אנושית.
- תלות בספקי AI ללא בקרה מספקת.
- אי־עמידה בדרישות רגולטוריות וחוזיות.
- פגיעה באמון הלקוחות והשותפים.
ISO 42001 מסייע להפוך את השימוש ב־AI מיוזמות נפרדות למערכת ארגונית מנוהלת, מתועדת ומבוקרת.
למי מתאים תקן ISO 42001?
לא רק לחברות שמפתחות מודלים
התקן מתאים לכל ארגון שמפתח, מספק או משתמש במערכות בינה מלאכותית.
הוא רלוונטי במיוחד עבור:
- חברות המפתחות מוצרי AI או Machine Learning.
- ספקי תוכנה ופתרונות SaaS המשלבים יכולות AI.
- ארגונים המשתמשים ב־AI בתהליכי קבלת החלטות.
- חברות המפעילות צ'אטבוטים או עוזרים דיגיטליים.
- ארגונים המשתמשים ב־Generative AI.
- חברות המבצעות ניתוח מידע וחיזוי.
- מוסדות פיננסיים וחברות ביטוח.
- ארגוני בריאות ומכשור רפואי.
- גופים ציבוריים ורשויות מקומיות.
- ארגוני משאבי אנוש וגיוס.
- חברות טכנולוגיה וסייבר.
- ארגונים המעבדים מידע אישי או מידע רגיש.
- ספקים הנדרשים להציג ממשל AI בפני לקוחות.
- ארגונים הנערכים לרגולציה בתחום הבינה המלאכותית.
גם ארגון שאינו מפתח AI בעצמו, אך רוכש או משתמש בפתרונות מבוססי AI, נדרש להבין את הסיכונים ואת חלוקת האחריות בינו לבין הספק.
מהי מערכת AIMS?
מנגנון ניהולי שמחבר בין אסטרטגיה, סיכונים ובקרות
AIMS, Artificial Intelligence Management System, היא מערכת ניהול ארגונית שנועדה לקבוע מדיניות, יעדים ותהליכים לפיתוח, לאספקה או לשימוש אחראי במערכות AI.
המערכת אינה מוגבלת למחלקת הטכנולוגיה. היא מחייבת מעורבות של הנהלה, משפטים, פרטיות, אבטחת מידע, ניהול סיכונים, פיתוח, רכש, משאבי אנוש והיחידות העסקיות.
מערכת AIMS אפקטיבית כוללת:
- מדיניות AI ארגונית.
- הגדרת תפקידים וסמכויות.
- מיפוי מערכות ושימושי AI.
- הערכת סיכונים והזדמנויות.
- הערכת השפעות של מערכות AI.
- קביעת בקרות ומגבלות שימוש.
- ניהול נתונים ומקורות מידע.
- ניהול מחזור החיים של מערכות AI.
- פיקוח אנושי.
- ניהול ספקים וגורמי צד שלישי.
- ניטור ביצועים ואירועים.
- מנגנוני דיווח והסלמה.
- ביקורת פנימית וסקר הנהלה.
- שיפור מתמשך.
העקרונות המרכזיים של ISO 42001
שימוש אחראי, שקוף ומבוסס סיכון
התקן נועד לסייע לארגון לנהל את ההזדמנויות והסיכונים הנובעים מ־AI באופן מאוזן. הוא אינו אוסר שימוש בבינה מלאכותית ואינו מכתיב טכנולוגיה מסוימת, אלא מחייב את הארגון להפעיל שיקול דעת ולבסס החלטות על סיכון, הקשר והשפעה.
בין הנושאים המרכזיים:
אחריותיות
הגדרת בעלי תפקידים האחראים על מערכות AI, על אישורן, על ניטורן ועל הטיפול בחריגות.
שקיפות
מתן מידע מתאים על מטרת המערכת, מגבלותיה, אופן השימוש בה והגורמים המעורבים בהחלטותיה.
פיקוח אנושי
הגדרת המצבים שבהם נדרש אדם לבדוק, לאשר, לעצור או לעקוף תוצאה שהופקה על ידי AI.
ניהול סיכונים
זיהוי סיכונים הנוגעים לאיכות, בטיחות, אבטחה, פרטיות, הטיה, אמינות, זכויות וציות.
הערכת השפעות
בחינת ההשלכות האפשריות של מערכת AI על יחידים, קבוצות, לקוחות, עובדים והחברה.
איכות נתונים
ניהול מקורות המידע, איכותם, התאמתם, חוקיות השימוש בהם והטיות אפשריות.
אמינות וביצועים
בדיקת יכולת המערכת לפעול באופן עקבי, מדויק ומתאים למטרה שלשמה נועדה.
שיפור מתמשך
מעקב אחר ביצועים, תלונות, אירועים, שינויים במודלים ובנתונים והפקת לקחים לאורך זמן.
ניהול סיכוני AI
מעבר מסיכון טכנולוגי לסיכון ארגוני רחב
סיכוני AI אינם מסתכמים בתקלה טכנית או בתוצאה שגויה. הם עשויים להשפיע על לקוחות, עובדים, תהליכים עסקיים, זכויות, מוניטין ועמידה ברגולציה.
סקר סיכוני AI עשוי לבחון:
- תוצאות שגויות או בלתי מדויקות.
- הטיות בנתונים או במודל.
- אפליה ישירה או עקיפה.
- קבלת החלטות ללא פיקוח אנושי מתאים.
- פגיעה בפרטיות.
- דליפת מידע רגיש.
- שימוש לא מורשה במידע.
- מתקפות על מודלים ונתונים.
- הרעלת נתונים.
- Manipulation של קלט או Prompt Injection.
- גניבת מודלים או קניין רוחני.
- הסתמכות על תוצרים מומצאים.
- אובדן יכולת להסביר החלטות.
- תלות בספק חיצוני.
- שינוי בביצועי המודל לאורך זמן.
- שימוש במערכת מעבר למטרה המקורית.
- חוסר התאמה בין המערכת למשתמשים או להקשר.
הערכת הסיכונים משמשת בסיס לבחירת הבקרות ולבניית תוכנית טיפול מדורגת.
מידע נוסף:
- סקר סיכוני אבטחת מידע
- האיום החדש של Voice Cloning על ארגונים – כשהקול כבר לא מוכיח מי מדבר
הערכת השפעת מערכות AI
בחינת ההשפעה על אנשים ולא רק על המערכת
אחד המרכיבים המשמעותיים בתקן הוא הצורך לבחון את ההשפעות האפשריות של מערכות AI. הערכה זו שונה מסקר סיכונים טכנולוגי רגיל, משום שהיא בוחנת גם כיצד המערכת עשויה להשפיע על יחידים, קבוצות ובעלי עניין.
הערכת ההשפעה יכולה לכלול:
- מטרת המערכת והשימושים המתוכננים.
- האוכלוסיות שעלולות להיות מושפעות.
- סוגי ההחלטות שהמערכת מקבלת או תומכת בהן.
- חומרת ההשלכות של שגיאה.
- חשש להטיה או אפליה.
- השפעה על פרטיות וזכויות.
- רמת השקיפות הנדרשת.
- יכולת ערעור או תיקון החלטה.
- מידת הפיקוח האנושי.
- סיכונים הנובעים משימוש לרעה.
- השפעה על עובדים ועל תהליכי עבודה.
- תלות במקורות מידע או בספקים חיצוניים.
החל משנת 2025 קיים גם ISO/IEC 42005, המספק מסגרת ייעודית להערכת השפעה של מערכות AI ומשלים את מערכת הניהול של ISO 42001.
ניהול מחזור החיים של מערכות AI
מהגדרת הצורך ועד להוצאה משימוש
מערכת AI נדרשת לניהול לאורך כל מחזור חייה, ולא רק בשלב הפיתוח או הרכישה.
השלבים עשויים לכלול:
- הגדרת הצורך העסקי.
- בחינת התאמת AI לפתרון.
- הגדרת מטרות ודרישות.
- איסוף ובחירת נתונים.
- פיתוח או רכישת המערכת.
- בדיקות ואימות.
- אישור להפעלה.
- הטמעה והדרכת משתמשים.
- ניטור ביצועים.
- ניהול שינויים ועדכוני מודל.
- טיפול בתקלות ובאירועים.
- הערכה מחודשת של סיכונים.
- הפסקת שימוש והוצאה מסודרת משירות.
בכל שלב יש להגדיר תיעוד, אחריות וקריטריונים לאישור. שינוי במודל, בנתונים או במטרת השימוש עשוי לדרוש הערכה מחודשת.
ניהול נתונים במערכות AI
איכות הנתונים משפיעה ישירות על איכות ההחלטה
מערכות AI נשענות על נתונים לצורך אימון, בדיקה, התאמה והפקת תוצרים. לכן, ISO 42001 מחייב התייחסות סדורה לאופן שבו הארגון מנהל את הנתונים המשמשים את מערכות ה־AI.
התהליך עשוי לכלול:
- זיהוי מקורות הנתונים.
- בדיקת הרשאות וזכויות שימוש.
- בחינת איכות ושלמות הנתונים.
- בדיקת רלוונטיות למטרת המערכת.
- זיהוי הטיות וחוסרים.
- תיעוד תהליכי ניקוי והכנה.
- הפרדה בין נתוני אימון, בדיקה והערכה.
- ניהול גרסאות.
- שמירה על פרטיות וסודיות.
- הגדרת זמני שמירה ומחיקה.
- בקרה על נתונים המתקבלים מספקים.
- הגנה מפני שינוי או הרעלת נתונים.
ניהול נתונים נכון מחייב חיבור בין צוותי AI, אבטחת מידע, פרטיות, משפטים והיחידות העסקיות.
פיקוח אנושי וממשל AI
האחריות נשארת בידי הארגון
גם כאשר מערכת AI פועלת באופן אוטומטי, האחריות על השימוש בה נשארת בידי הארגון. נדרש להגדיר מתי ניתן להסתמך על תוצאה אוטומטית ומתי נדרשת בדיקה אנושית.
ממשל AI כולל, בין היתר:
- ועדת AI או פורום ניהולי מתאים.
- הגדרת בעלים לכל מערכת.
- מנגנון לאישור שימושים חדשים.
- סיווג מערכות לפי רמת סיכון.
- הגדרת שימושים מותרים ואסורים.
- תהליך לאישור ספקי AI.
- הגדרת דרישות לפיקוח אנושי.
- תיעוד החלטות מהותיות.
- מנגנון דיווח על תוצאות חריגות.
- טיפול בתלונות ובערעורים.
- בקרה על Shadow AI.
- דיווח תקופתי להנהלה.
המטרה אינה לעכב חדשנות, אלא לאפשר שימוש ב־AI באופן מבוקר ובר־הגנה.
מיחדע נוסף:
- AI Literacy – אוריינות בינה מלאכותית שכל ארגון צריך להכיר
אבטחת מידע ופרטיות ב־ISO 42001
AI אינו מנותק ממערך ההגנה הארגוני
מערכות בינה מלאכותית עשויות לעבד מידע אישי, מידע עסקי רגיש, קניין רוחני וקוד מקור. הן עשויות להתחבר למערכות ארגוניות, לשירותי ענן ולמאגרי מידע.
לכן, מערכת AIMS נדרשת להשתלב עם:
- ניהול הרשאות וזהויות.
- הצפנה והגנה על מידע.
- אבטחת ממשקי API.
- ניהול סודות ומפתחות.
- ניהול חולשות.
- ניטור ותיעוד פעילות.
- פיתוח מאובטח.
- ניהול ספקים.
- תגובה לאירועים.
- בדיקות פרטיות.
- שמירה על זכויות נושאי מידע.
- מדיניות שמירה ומחיקה.
ISO 42001 אינו מחליף את ISO 27001 או ISO 27701. הוא מוסיף שכבת ניהול ייעודית לבינה מלאכותית ומאפשר לשלב בין מערכות הניהול.
קישורים פנימיים מומלצים:
Annex A של ISO 42001
בקרות ייעודיות לניהול בינה מלאכותית
נספח A של התקן כולל תחומי בקרה שנועדו לתמוך ביישום מערכת ניהול AI. הבקרות נבחרות בהתאם לסיכונים, לשימושים ולתפקיד הארגון כמפתח, ספק או משתמש במערכות AI.
תחומי הבקרה כוללים, בין היתר:
- מדיניות הקשורה לבינה מלאכותית.
- ארגון פנימי וחלוקת אחריות.
- משאבים הנדרשים למערכות AI.
- הערכת השפעות של מערכות AI.
- ניהול מחזור החיים של מערכות AI.
- ניהול נתונים עבור מערכות AI.
- מסירת מידע לבעלי עניין.
- שימוש אחראי במערכות AI.
- קשרים עם ספקים, לקוחות וגורמי צד שלישי.
הארגון נדרש לבחון אילו בקרות רלוונטיות, ליישם אותן בהתאם לסיכון ולתעד את הבחירות וההצדקות.
מה ההבדל בין ISO 42001 ל-ISO 27001?
מערכת ניהול AI מול מערכת ניהול אבטחת מידע
ISO 27001 מתמקד בניהול סיכונים הקשורים לסודיות, לשלמות ולזמינות המידע. ISO 42001 מתמקד בניהול הארגוני של מערכות בינה מלאכותית, לרבות אחריות, שקיפות, השפעות, נתונים, פיקוח אנושי ושימוש אחראי.
קיימת חפיפה בתחומים כגון:
- ניהול סיכונים.
- מדיניות ונהלים.
- הגדרת תפקידים.
- ניהול ספקים.
- ניהול אירועים.
- ביקורת פנימית.
- סקר הנהלה.
- שיפור מתמשך.
- אבטחת מידע ופרטיות.
עם זאת, ISO 42001 מוסיף תחומים ייחודיים כגון הערכת השפעות AI, הטיות, פיקוח אנושי, מחזור חיי מודלים, נתוני אימון ומידע למשתמשים.
ISO מציעה גם חבילת תקנים משולבת של ISO 42001 ו-ISO 27001, המדגישה את הקשר בין ניהול AI לניהול אבטחת מידע.
בנוסף לISO מתודולוגיית עבודה וסקרים כ-ISO 27002 ו-ISO 27032 המביאים מתודולגיית עבודה
הקשר בין ISO 42001 לרגולציית AI
תקן ניהולי התומך בהיערכות לדרישות רגולטוריות
ISO 42001 אינו מחליף חוק או רגולציה, אך הוא מספק תשתית ניהולית שיכולה לסייע לארגון להיערך לדרישות בתחום הבינה המלאכותית.
מערכת הניהול מסייעת בתחומים כגון:
- מיפוי מערכות ושימושי AI.
- סיווג סיכונים.
- תיעוד מטרות ושימושים.
- הערכת השפעות.
- שקיפות ומתן מידע.
- פיקוח אנושי.
- ניהול ספקים.
- ניטור ביצועים.
- דיווח על אירועים.
- ניהול שינויים.
- שמירת ראיות לציות.
היישום צריך להתבצע בהתאם למדינות שבהן הארגון פועל, לסוגי המערכות ולדרישות הענפיות החלות עליו.
תהליך ההכנה להסמכת ISO 42001
מסקר פערים ועד למבדק החיצוני
אינפוגארד מתאימה את תהליך ההכנה למבנה הארגון, להיקף השימוש ב-AI, לרמת הבשלות ולדרישות העסקיות והרגולטוריות.
שלב 1: הגדרת היקף מערכת הניהול
מגדירים אילו יחידות, מוצרים, שירותים, מערכות ותהליכים ייכללו בהיקף ההסמכה. ההיקף יכול להתייחס לכל הארגון או לפעילות AI מוגדרת.
שלב 2: מיפוי מערכות ושימושי AI
מזהים מערכות AI קיימות ומתוכננות, לרבות כלים חיצוניים, מערכות פנימיות, מודלים, ממשקי API ושימושים של עובדים.
שלב 3: סקר פערים
בוחנים את המדיניות, התהליכים, התיעוד והבקרות הקיימים מול דרישות התקן. בסיום מתקבל דוח פערים ותוכנית עבודה מתועדפת.
שלב 4: הבנת ההקשר והצדדים המעוניינים
ממפים את בעלי העניין, צורכיהם, דרישות רגולטוריות, חוזיות ואתיות וההשפעות האפשריות של פעילות ה־AI.
שלב 5: הערכת סיכונים והשפעות
מבצעים הערכת סיכונים למערכות AI והערכת השפעות על אנשים, לקוחות, עובדים וגורמים נוספים.
שלב 6: גיבוש מדיניות וממשל AI
מגדירים מדיניות, יעדים, ועדות, תחומי אחריות, תהליכי אישור ושימושים מותרים או מוגבלים.
שלב 7: בחירה והטמעה של בקרות
בוחרים בקרות מתוך Annex A וממסגרות נוספות ומטמיעים אותן בהתאם לסיכון ולהקשר.
שלב 8: כתיבת נהלים ותיעוד
מגבשים נהלים לניהול מחזור חיים, נתונים, ספקים, אירועים, שינויים, פיקוח אנושי ובדיקות.
שלב 9: הדרכה והעלאת מודעות
מדריכים את ההנהלה, צוותי הפיתוח, משתמשים ובעלי תפקידים בהתאם לאחריותם.
שלב 10: מדידה, ביקורת פנימית וסקר הנהלה
מגדירים מדדים, מבצעים ביקורת פנימית, מציגים את תוצאות המערכת להנהלה ומטפלים בממצאים.
שלב 11: הכנה למבדק ההסמכה
מרכזים ראיות, בוחנים את שלמות התיעוד, מכינים בעלי תפקידים ומלווים את תיקון הפערים לקראת המבדק החיצוני.
אילו תוצרים מקבל הארגון?
תשתית ארגונית לניהול AI שניתן להפעיל ולהוכיח
בהתאם להיקף הפרויקט, התוצרים עשויים לכלול:
- דוח סקר פערים מול ISO 42001.
- תוכנית עבודה להשלמת הפערים.
- הגדרת היקף מערכת AIMS.
- מפת מערכות ושימושי AI.
- מיפוי בעלי עניין ודרישות.
- מדיניות בינה מלאכותית.
- מבנה ממשל AI.
- מטריצת תפקידים ואחריות.
- מתודולוגיית סיווג מערכות AI.
- סקר סיכוני AI.
- הערכות השפעה למערכות AI.
- תוכנית טיפול בסיכונים.
- מיפוי בקרות Annex A.
- נוהל פיתוח ורכישת מערכות AI.
- נוהל ניהול מחזור חיים.
- נוהל ניהול נתונים.
- נוהל פיקוח אנושי.
- נוהל ניהול ספקי AI.
- נוהל טיפול באירועים וחריגות.
- הנחיות לשימוש עובדים בכלי AI.
- תוכנית הדרכה ומודעות.
- מדדים לניטור המערכת.
- תוכנית ביקורת פנימית.
- תיעוד סקר הנהלה.
- תיק ראיות למבדק ההסמכה.
האם ניתן לקבל הסמכה לתקן ISO 42001?
כן, באמצעות גוף התעדה חיצוני
ISO/IEC 42001 הוא תקן מערכת ניהול הכולל דרישות שניתן לבחון במסגרת מבדק הסמכה. ההסמכה מבוצעת על ידי גוף התעדה חיצוני ולא על ידי ISO עצמה. ISO אינה מבצעת מבדקים ואינה מנפיקה תעודות.
בשנת 2025 פורסם ISO/IEC 42006, המגדיר דרישות לגופים המבצעים ביקורת והסמכה של מערכות ניהול AI לפי ISO 42001. התקן נועד לתמוך באחידות, באמינות ובשקיפות של תהליכי ההסמכה.
אנחנו באינפוגארד מלווים את הארגון בהקמה, בהטמעה ובהכנה למבדק, אך גוף ההתעדה העצמאי הוא שמבצע את הביקורת ומנפיק את התעודה.
כמה זמן נמשך תהליך ההסמכה?
משך התהליך תלוי בהיקף השימוש ובבשלות הארגונית
משך ההכנה משתנה בהתאם ל:
- מספר מערכות ה-AI.
- מורכבות המוצרים והשירותים.
- היקף ההסמכה.
- רמת התיעוד הקיימת.
- קיומה של מערכת ISO 27001 או מערכת ניהול אחרת.
- רמת הבשלות של תהליכי ניהול הסיכונים.
- זמינות בעלי התפקידים.
- מספר הספקים והשותפים.
- רמת הסיכון וההשפעה של המערכות.
לאחר סקר פערים ניתן להעריך את היקף העבודה ולבנות תוכנית יישום מדורגת.
שילוב ISO 42001 עם תקנים נוספים
מערכת ניהול משולבת במקום תהליכים מקבילים
ניתן לשלב את ISO 42001 עם תקנים ומסגרות משלימות:
- ISO 27001: מערכת ניהול אבטחת מידע.
- ISO 27002: בקרות אבטחת מידע.
- ISO 27701: מערכת לניהול מידע אישי.
- ISO 23894: הנחיות לניהול סיכוני AI.
- ISO 42005: הערכת השפעה של מערכות AI.
- ISO 38507: ממשל ארגוני והשלכות השימוש ב-AI.
- ISO 22301: ניהול המשכיות עסקית.
- NIST AI Risk Management Framework: ניהול סיכוני AI.
- תקנות הגנת הפרטיות: הגנה על מידע אישי.
- GDPR: פרטיות ועיבוד מידע אישי.
- SOC 2: בקרות אמון ואבטחת שירותים.
ISO/IEC 23894:2023 מספק הנחיות ייעודיות לניהול סיכוני AI ויכול להשלים את תהליך הערכת הסיכונים במסגרת ISO 42001.
למה אינפוגארד?
שילוב בין תקינה, אבטחת מידע, פרטיות וניהול סיכונים
הסמכה ל-ISO 42001 דורשת יותר מהיכרות עם כלי AI. היא מחייבת הבנה של מערכות ניהול, רגולציה, פרטיות, אבטחת מידע, ניהול נתונים, תהליכים עסקיים וסיכונים ארגוניים.
באינפוגארד אנו מחברים בין התחומים ומסייעים לארגון לבנות מערכת ניהול שמתאימה לפעילותו בפועל.
הגישה שלנו מבוססת על:
- ראייה הוליסטית: חיבור בין הנהלה, טכנולוגיה, משפטים, פרטיות ואבטחת מידע.
- התאמה אישית: מערכת המותאמת לשימושים, למוצרים ולרמת הסיכון.
- יישום מעשי: נהלים ובקרות שניתן להפעיל ולא רק להציג במבדק.
- שיתוף ידע: הכשרת בעלי התפקידים ובניית יכולת פנימית.
- שקיפות: תמונת מצב ברורה ותוכנית עבודה מתועדפת.
- ניהול סיכונים: חיבור בין הסיכון הטכנולוגי, העסקי והאנושי.
- ליווי מלא: מסקר הפערים ועד למבדק ההסמכה ולשיפור המתמשך.
- שילוב עם תקנים קיימים: צמצום כפילויות וחיבור ל־ISO 27001 ולמערכות ניהול אחרות.
המטרה אינה רק לקבל תעודה, אלא לאפשר לארגון לפתח ולהשתמש ב־AI באופן אחראי, מבוקר ומבוסס אמון.
שאלות נפוצות בנושא הסמכה לתקן ISO 42001
מהו ISO/IEC 42001:2023?
זהו תקן בינלאומי המגדיר דרישות ומספק הנחיות להקמה, ליישום, לתחזוקה ולשיפור מתמשך של מערכת לניהול בינה מלאכותית. הוא מתאים לארגונים שמפתחים, מספקים או משתמשים במערכות AI.
האם ISO 42001 הוא תקן הסמכה?
כן. מדובר בתקן מערכת ניהול שניתן לעבור לפיו מבדק הסמכה חיצוני. ההסמכה מבוצעת על ידי גוף התעדה עצמאי ולא על ידי ISO.
האם התקן מתאים גם לארגון שרק משתמש בכלי AI?
כן. התקן מיועד גם לארגונים המשתמשים במוצרים או בשירותים מבוססי AI, ולא רק לחברות שמפתחות מודלים בעצמן.
האם התקן מתייחס ל-Generative AI?
התקן חל על סוגים שונים של מערכות AI, לרבות שימושים המבוססים על Generative AI. הארגון נדרש להתאים את ניהול הסיכונים, הבקרות והפיקוח לאופי השימוש.
מה ההבדל בין ISO 42001 ל-ISO 27001?
ISO 27001 עוסק במערכת לניהול אבטחת מידע. ISO 42001 עוסק במערכת לניהול בינה מלאכותית, לרבות אחריות, השפעות, הטיות, נתונים, שקיפות ופיקוח אנושי. התקנים משלימים וניתן לשלב ביניהם.
האם ISO 42001 מחליף רגולציה בתחום ה-AI?
לא. התקן אינו מחליף חוקים או רגולציה. הוא מספק מסגרת ניהולית שיכולה לתמוך בהיערכות לדרישות רגולטוריות ולסייע ביצירת תיעוד, אחריות ובקרות.
האם נדרשת הערכת השפעה לכל מערכת AI?
הצורך והעומק של ההערכה תלויים בהקשר, בשימוש, ברמת הסיכון ובהשפעה האפשרית. מערכות בעלות השפעה משמעותית ידרשו בדרך כלל בחינה מקיפה יותר.
האם ניתן לשלב את ההסמכה עם ISO 27001?
כן. המבנה המשותף של תקני מערכות הניהול מאפשר לשלב מדיניות, ניהול סיכונים, ביקורות, סקרי הנהלה ותהליכי שיפור.
מי מעניק את תעודת ההסמכה?
גוף התעדה חיצוני ועצמאי מבצע את מבדק ההסמכה ומנפיק את התעודה. אינפוגארד מלווה את הארגון בהכנה, בהטמעה ובתיקון הממצאים.
מהו השלב הראשון בתהליך?
השלב הראשון הוא בדרך כלל מיפוי שימושי ה-AI והמערכות הקיימות וביצוע סקר פערים מול דרישות התקן. לאחר מכן ניתן להגדיר היקף ותוכנית עבודה.
מוכנים להפוך את השימוש ב־AI למערכת מנוהלת ואחראית?
אינפוגארד תלווה אתכם ממיפוי מערכות ה-AI וסקר הפערים, דרך ניהול הסיכונים וההשפעות, ועד להטמעת מערכת AIMS ולהכנה למבדק ISO 42001 עד הסמכה.
בואו נבצע סקר פערים לתקן ISO 42001 ונתחיל תהליך לחיזוק הארגון.
דברו איתנו על הסמכה לניהול בטוח, תואם רגולציה של בינה מלאכותית
