תקינה והסמכות · בינה מלאכותית
ISO 42001 - מערכת ניהול AI שעוברת מבדק, לא מצגת על אחריות
ISO 42001 הוא התקן הבינלאומי למערכת ניהול בינה מלאכותית. הוא לא עוסק באלגוריתמים אלא בשאלה ניהולית פשוטה: האם הארגון יודע איפה הוא משתמש ב-AI, מי אחראי על כל שימוש, ומה קורה כשמשהו משתבש.
הטמעתי את התקן בחברת טכנולוגיה ישראלית, כולל מיפוי מלא של שימושי ה-AI בארגון, והארגון עבר את מבדק ההסמכה בהצלחה.
מה באמת קשה בהטמעה
הציפייה הרווחת היא שהחלק הקשה הוא הבקרות הטכניות. בפועל, השלב שמפיל את רוב הארגונים הוא המיפוי.
כמעט בכל ארגון שבו עשיתי את זה, ההנהלה גילתה יותר שימושי AI ממה שהעריכה. לא בגלל הסתרה - בגלל שכלי AI נכנסים היום דרך תוספים, דרך ספקים, ודרך עובדים שפתרו לעצמם בעיה. מיפוי כן הוא הבסיס לכל השאר, והוא גם החלק שהמבדק בודק הכי לעומק.
המסקנה המעשית: מי שמתחיל מכתיבת מדיניות לפני מיפוי, כותב מדיניות לארגון דמיוני.
מה התקן דורש
- הקשר הארגון ומדיניות AI - מה הארגון עושה עם AI ומה גבולותיו.
- מיפוי שימושי ה-AI, כולל כלים שהוכנסו דרך ספקים ותוספים.
- הערכת השפעה וסיכון לכל שימוש, לפי רמת ההשפעה על אנשים.
- בקרות לאורך מחזור החיים: נתונים, אימון, בדיקה, הפעלה וניטור.
- תפקידים, אחריות וסמכות - מי מאשר שימוש חדש ומי עוצר אותו.
- ניטור, מבדקים פנימיים וסקר הנהלה.
תקנים ורגולציה שנוגעים בזה
| תקן / רגולציה | מה הוא מוסיף |
|---|---|
| ISO 42001 | מערכת הניהול עצמה - המסגרת שאליה מסמיכים |
| ISO 23894 | הנחיות לניהול סיכוני AI, משלימות את מערכת הניהול |
| ISO 42005 | הערכת השפעה של מערכות AI - המתודולוגיה שמאחורי הערכות ההשפעה שהתקן דורש |
| ISO 27001 | בסיס אבטחת המידע שעליו יושבות הבקרות |
| תיקון 13 | חובות הפרטיות שחלות על עיבוד המידע שמזין את המודלים |
| EU AI Act | רלוונטי לארגונים ישראליים שמוכרים לשוק האירופי |
| CSA AICM | מטריצת בקרות ה-AI של Cloud Security Alliance - 247 בקרות ב-18 תחומים, ממופות ל-ISO 42001, ל-EU AI Act ול-NIST AI RMF. שימושית כרשימת הבקרות בפועל מול מערכת הניהול |
מה כולל הליווי
- סקר מצב ומיפוי שימושי ה-AI בארגון, כולל שימושים שהוכנסו לא דרך IT
- קביעת מדיניות AI וגבולות שימוש מאושרים
- הערכות השפעה וסיכון לפי רמת ההשפעה של כל שימוש
- בניית הבקרות והתיעוד שהתקן דורש
- הכשרת בעלי התפקידים ומנגנון אישור לשימוש חדש
- מבדק פנימי והכנה למבדק ההסמכה
- ליווי במהלך המבדק ובסגירת אי-התאמות
שאלות נפוצות
כמה זמן לוקחת הטמעה?
בארגון בינוני, בין ארבעה לשמונה חודשים עד המבדק, תלוי בעיקר בכמה שימושי AI קיימים ובכמה מהם דורשים בקרה.
אנחנו כבר מוסמכים ל-ISO 27001 - זה עוזר?
מאוד. חלק ניכר מהתשתית הניהולית והבקרות כבר קיים, והעבודה מתמקדת בשכבת ה-AI עצמה.
אנחנו רק משתמשים בכלי AI מסחריים, לא מפתחים. זה רלוונטי?
כן. התקן חל גם על מי שמשתמש, לא רק על מי שמפתח. חלק מהסיכונים הגדולים ביותר מגיעים דווקא משימוש בכלים של אחרים.
מה ההבדל בין ISO 42001 ל-EU AI Act?
התקן הוא מסגרת ניהולית שאפשר להסמיך אליה; הרגולציה האירופית היא חובה משפטית. מערכת ניהול לפי התקן מקלה מאוד על ההיערכות לרגולציה.
מתחילים בסקר מיפוי קצר
הצעד הראשון הוא בדרך כלל סקר מיפוי קצר, שכבר בו מתברר כמה עבודה באמת נדרשת.