ISO 42001 sistem upravljanja veštačkom inteligencijom

ISO/IEC 42001:2023 je prvi međunarodni standard za sistem upravljanja veštačkom inteligencijom. Objavljen je u decembru 2023. i traži od organizacije da uredi kako uvodi, koristi i nadzire AI — ko odlučuje, na osnovu čega, ko odgovara kada sistem pogreši i kako se to dokazuje.

Nije tehnički standard. Ne propisuje kako se model gradi niti koje se biblioteke koriste. Propisuje upravljanje, isto kao što ISO 9001 ne propisuje kako se pravi proizvod nego kako se upravlja kvalitetom.

Zašto ISO 27001 ovde nije dovoljan

Ovo je pitanje koje se najčešće postavlja, i odgovor je konkretan. ISO 27001 štiti informaciju — njenu poverljivost, integritet i dostupnost. Pita da li neko može da ukrade, izmeni ili obori podatke. ISO 42001 dodaje pitanje koje 27001 uopšte ne postavlja: šta sistem radi čoveku na koga se odnosi njegova odluka.

Razlika se najbolje vidi na dva primera:

  • Model koji propušta podatke iz obuke. To je problem i za 27001 i za 42001 — curi informacija.
  • Model koji pri odabiru kandidata sistematski zapostavlja jednu grupu. Ništa nije procurelo, ništa nije izmenjeno, svi ISO 27001 zahtevi su ispunjeni — a šteta je nastala. Ovo hvata samo ISO 42001.

Zato se dva standarda ne isključuju nego se slažu jedan na drugi. Ko ima 27001, ima polovinu posla gotovu: kontekst, liderstvo, interne provere i pregled rukovodstva su isti.

Kako je standard sastavljen

ISO 42001 prati istu strukturu kao ISO 9001, 14001, 45001 i 27001, pa se sa njima spaja bez dupliranja dokumentacije. Zahtevi stoje u tačkama 4 do 10: kontekst, liderstvo, planiranje, podrška, izvođenje, vrednovanje učinka i poboljšavanje.

Uz to idu četiri priloga:

  • Aneks A — 38 kontrola raspoređenih u 9 ciljeva. To je referentni spisak sa kojim se poredi sopstvena praksa, slično Aneksu A u ISO 27001.
  • Aneks B — uputstvo za primenu svake kontrole.
  • Aneks C — mogući ciljevi organizacije i izvori rizika vezanih za AI.
  • Aneks D — primena sistema po sektorima i oblastima.

Standard je sertifikabilan — postoji provera treće strane i sertifikat, kao kod ostalih sistema upravljanja.

Procena uticaja AI sistema — ono što ovaj standard čini drugačijim

Najvažniji zahtev je procena uticaja AI sistema. Klasična procena rizika pita šta može da naudi organizaciji. Ova pita šta sistem može da uradi pojedincu i društvu — podnosiocu zahteva za kredit, kandidatu za posao, pacijentu, korisniku usluge.

U praksi to znači da se za svaki AI sistem zapisuje:

  • koga njegov izlaz pogađa i kako
  • šta se dešava kada pogreši, i koliko je ta greška skupa za pogođenog
  • da li pogođeni zna da je odluku doneo sistem
  • ko sme da preinači odluku i po kom postupku
  • na kojim podacima je sistem naučen i da li su ti podaci prikladni za tu upotrebu

Ovo je i praktična odbrana. Kada regulator ili kupac postavi pitanje, odgovor je dokument, a ne sećanje.

Uloge — verovatno ste „korisnik", i to je i dalje obaveza

Standard razlikuje uloge: onoga ko AI razvija, ko ga isporučuje, ko ga koristi, partnera u lancu i lice na koje se odluka odnosi. Jedna organizacija često ima više uloga odjednom.

Ovo se najčešće pogrešno razume. Firma koja ne pravi nijedan model, nego samo kupuje alat i pušta ga u rad, i dalje odgovara za način na koji ga koristi — za podatke koje u njega unosi, za odluke koje na osnovu njega donosi i za nadzor nad njim. Kupovina ne prenosi odgovornost na dobavljača.

Šta ovo znači za firmu u Srbiji

Srbija nema poseban zakon o veštačkoj inteligenciji. Ali dve stvari već važe:

  • Zakon o zaštiti podataka o ličnosti usklađen je sa GDPR-om i već uređuje automatizovano donošenje odluka i profilisanje. Ako sistem sam donosi odluku koja proizvodi pravne posledice po pojedinca, obaveze postoje danas, bez obzira na ISO.
  • Evropska uredba o veštačkoj inteligenciji ne primenjuje se na Srbiju neposredno, ali stiže kroz posao. Obaveze su ušle u primenu postepeno — zabrane nedozvoljenih praksi i AI pismenost od februara 2025, obaveze za modele opšte namene od avgusta 2025, a najveći deo obaveza za sisteme visokog rizika od avgusta 2026. Domaći dobavljač koji isporučuje softver ili uslugu evropskom kupcu ta pitanja dobija ugovorom.

Važno razgraničenje: sertifikat po ISO 42001 nije dokaz usklađenosti sa evropskom uredbom. To su dva odvojena okvira. Sertifikat pokazuje da organizacija ima uređen sistem upravljanja i dokumentovane postupke, što posao usklađivanja znatno skraćuje — ali ga ne zamenjuje.

Odakle se počinje

Pet koraka koji se mogu uraditi pre nego što se iko odluči za sertifikaciju:

  1. Popis AI sistema. Šta se sve u firmi već koristi — uključujući alate koje su zaposleni sami uveli. Taj spisak je gotovo uvek duži nego što uprava očekuje.
  2. Pravilo o unosu podataka. Šta sme, a šta ne sme da se unese u javni alat: ugovori, podaci o klijentima, izvorni kod, podaci o zaposlenima. Bez tog pravila zabrana ne postoji, postoji samo naknadno iznenađenje.
  3. Pitanja za dobavljača. Gde se obrađuju podaci, da li se koriste za obuku modela, koliko se čuvaju, šta se dešava pri raskidu ugovora, kako se prijavljuje incident.
  4. Ljudski nadzor. Za svaku odluku u kojoj sistem učestvuje — ko je sme preinačiti, na osnovu čega i gde se to beleži.
  5. Procena uticaja za sisteme koji dodiruju ljude: zapošljavanje, ocenjivanje, odobravanje, rangiranje.

Česta pitanja

Da li nam treba ISO 42001 ako samo koristimo gotove alate?

Sertifikat možda ne. Ali pravila o tome šta se unosi u te alate, ko nadzire njihove izlaze i kako se biraju dobavljači imaju smisla i sa pet zaposlenih, i mogu se uvesti kao deo postojećeg sistema.

Imamo ISO 27001 — koliko je posla dodatno?

Manje nego što izgleda. Zajedničke tačke 4–10, dokumentacija, interne provere i pregled rukovodstva se ne rade ponovo. Dodaje se ono što je svojstveno AI: popis sistema, procena uticaja, upravljanje podacima za obuku, transparentnost i ljudski nadzor.

Da li ISO 42001 znači usklađenost sa evropskom uredbom o AI?

Ne. To su dva odvojena okvira. Sertifikat pomaže jer traži uređen sistem i dokaze, ali usklađenost sa uredbom se utvrđuje posebno.

Šta ako zabranimo zaposlenima da koriste AI alate?

Zabrana bez zamene po pravilu ne uspeva — alat se koristi sa privatnog naloga i van svake evidencije. Uređena i odobrena alternativa daje bolji ishod nego zabrana koja se ne može proveriti.

Izvori

  • ISO/IEC 42001:2023, Information technology — Artificial intelligence — Management system, Međunarodna organizacija za standardizaciju — iso.org/standard/42001
  • Uredba (EU) 2024/1689 o veštačkoj inteligenciji, zvaničan tekst — EUR-Lex
  • Zakon o zaštiti podataka o ličnosti („Sl. glasnik RS“, br. 87/2018)

Pročitajte i

Zahtev za ponudu