Dojrzałość ISO/IEC 42001 · Systemy zarządzania sztuczną inteligencją (AIMS)
Zarządzanie SI w Państwa organizacji, zmierzone względem ISO 42001 i przełożone na wyceniony plan działania.
10 obszarów tematycznych, undefined pytań, skala 5 poziomów. I działanie, które pozwala przejść z jednego poziomu na kolejny.
10 obszarów tematycznych modelu referencyjnego, już opracowanych od N1 do N5. Jedna firma, jedna jednostka biznesowa, albo 300 naraz.
Dojrzałość ISO/IEC 42001 · Systemy zarządzania sztuczną inteligencją (AIMS)
10 obszarów tematycznych, undefined pytań, skala 5 poziomów.
Nordhavn Industries
53 / 100
Oni mierzą swoją dojrzałość z Datamensio
Przykład
Ta sytuacja mogłaby być Państwa sytuacją.
Weźmy przykład firmy: trzy oddziały, trzy arkusze kalkulacyjne, żadnej wspólnej odpowiedzi.
Nikt nie potrafi tego skonsolidować.
Nordhavn Industries, 2400 osób w Hamburgu, Lyonie i Porto. Zamawiający pyta, na jakim etapie jest grupa. Każdy oddział odpowiada we własnym arkuszu, z własnymi skalami.
Trzy tygodnie, jedna wspólna baza.
Diagnoza ISO/IEC 42001:2023 uruchomiona jednocześnie na trzech oddziałach, na podstawie notatek ze spotkań z osobami odpowiedzialnymi. Model referencyjny był już gotowy, podobnie jak 10 obszarów tematycznych i poziomy od N1 do N5.
Dwa wydatki uniknięte, zanim zostały poniesione.
Wynik 53 na 100, luka skoncentrowana na trzech obszarach tematycznych. Asystent IA wykrył, że dwa działania planu pokrywają się z działaniami z innego audytu. Prezentacja wyników dla komitetu powstała w jedno zdanie.
Czego dzięki temu uniknięto
- 3oddziały zmierzone na tej samej podstawie, zamiast trzech kwestionariuszy do przetworzenia
- 2zdublowane działania wykryte przed poniesieniem wydatku
- 1prezentacja wyników dla komitetu, bez ręcznego opracowania
Te liczby pochodzą z przykładu. Mogłyby być Państwa liczbami.
Norma narzuca procesy. Datamensio mówi, na jakim etapie Państwo są.
01
Model referencyjny jest już gotowy
Obszary tematyczne, pytania i poziomy od N1 do N5 opracowane. Nie zaczynają Państwo od pustego arkusza.
02
Wynik jest gotowy tego samego dnia
Online, przez link do samooceny albo podczas spotkania. Obszar po obszarze, porównywalny w czasie.
03
Luka staje się wycenionym planem
Każde przejście na kolejny poziom niesie ze sobą działanie. IA priorytetyzuje według oczekiwanego efektu, nie według kolejności z normy.
04
Postęp da się wykazać
Kampania po kampanii, względem Państwa celu i względem Państwa przeszłości. Tego właśnie oczekuje Państwa zarząd.
Skala dojrzałości
Jeden poziom, kolejny i działanie, które je łączy.
To właśnie ten mechanizm, poziom, poziom wyższy i działanie łączące oba, przekształca stwierdzenie stanu w trajektorię rozwoju.
Czy przypadki użycia SI są inwentaryzowane i oceniane przed wdrożeniem produkcyjnym?
- N1
Brak inwentaryzacji. Przypadki użycia pojawiają się w działach biznesowych bez wiedzy kierownictwa o ich istnieniu.
- N2
Istnieje rejestr, zasilany z inicjatywy nielicznych zespołów. Jest niekompletny, a ocena przed wdrożeniem pozostaje nieformalna.
- N3
Każdy nowy przypadek użycia jest zgłaszany i oceniany według wspólnej siatki przed wdrożeniem produkcyjnym. Nadal zdarzają się spóźnione zgłoszenia.
- N4
Zgłoszenie jest warunkiem dostępu do środowisk produkcyjnych. Oceny i decyzje walidacyjne są rejestrowane i przypisane do wskazanej osoby odpowiedzialnej.
- N5
Rejestr jest okresowo weryfikowany, wycofane przypadki użycia są udokumentowane, a wnioski z incydentów zasilają siatkę oceny.
Działanie umożliwiające przejście z poziomu 2 na 3
Opublikować jedną siatkę oceny przypadków użycia (cel, osoby, których dotyczy, wykorzystywane dane, poziom ryzyka) i wpisać jej rozpatrywanie na stałe do porządku obrad istniejącego komitetu ds. danych, z obowiązkowym punktem kontrolnym przed każdym wdrożeniem produkcyjnym.
« Dzięki Datamensio realizujemy nasze cele ze znacznie większą skutecznością. Służby inspekcyjne EFRR oraz naszego ministerstwa nadzorującego szczególnie doceniły to podejście, które dostarcza im wiarygodnych danych. »
Dyrektorka CCI 94CCI Île-de-France
« Uważamy, że to rozwiązanie najlepiej odpowiada potrzebie skalowania naszego projektu transformacji i mierzenia jego wpływu zgodnie z naszymi wymaganiami. »
Maja SucekChief Operating Officer, Interreg Danube
Rzadko sam
Model referencyjny da się łączyć z innymi. Niech Państwo połączą kilka, by objąć całą działalność, albo pozwolą IA napisać własny.
Wykonajcie swój pierwszy pomiarna ISO 42001.
O czym jest ten model referencyjny
ISO/IEC 42001, opublikowana w 2023 roku, jest pierwszą międzynarodową normą podlegającą certyfikacji, poświęconą zarządzaniu sztuczną inteligencją. Przyjmuje wspólną strukturę norm systemów zarządzania: kontekst, przywództwo, planowanie, wsparcie, działania operacyjne, ocenę wyników, doskonalenie. Jej specyfika opiera się na dwóch mechanizmach właściwych dla SI: ocenie skutków dla osób i społeczeństwa, odrębnej od oceny ryzyka dla organizacji, oraz udokumentowanym nadzorze nad cyklem życia systemów SI, od projektowania po wycofanie, także gdy model pochodzi od dostawcy.
W praktyce trudność nie polega na zrozumieniu normy, lecz na ustaleniu, gdzie znajduje się organizacja. Czy wdrożone przypadki użycia SI są kompletnie zinwentaryzowane, w tym te wprowadzone przez komponent oprogramowania dostawcy. Kto decyduje, że system może trafić do produkcji, i na podstawie jakich udokumentowanych kryteriów. Czy skutki dla osób, których dotyczy system, są oceniane przed wdrożeniem, czy dopiero po pierwszych reklamacjach. Przy tych trzech pytaniach rozbieżność między deklarowanym zarządzaniem a rzeczywistą praktyką jest często znacząca.
Stale powraca jedno nieporozumienie: ISO 42001 i europejskie rozporządzenie w sprawie SI nie zastępują się nawzajem. Rozporządzenie klasyfikuje systemy według poziomu ryzyka i nakłada wiążące obowiązki na dostawców i podmioty wdrażające. Norma natomiast opisuje organizację wewnętrzną pozwalającą te obowiązki trwale spełniać. System zarządzania zgodny z ISO 42001 stanowi wielokrotnego użytku podstawę do wykazania wymaganej kontroli, nie zwalniając jednak z analizy stosowalności artykuł po artykule.
Diagnoza dojrzałości odpowiada na inne pytanie niż audyt certyfikujący. Audyt kończy się stwierdzeniem zgodności albo niezgodności. Diagnoza umieszcza każdą praktykę na skali progresywnej i wskazuje konkretne działanie prowadzące na wyższy poziom. To pozwala przygotować certyfikację bez rozpoczynania prac po omacku oraz porównać jednostki biznesowe, które nie posuwają się w tym samym tempie.
W Datamensio model referencyjny jest gotowy do użycia i można go dostosować. SI dopasowuje obszary tematyczne, pytania i poziomy do Państwa branży i zakresu, albo buduje wersję opartą na Państwa własnych dokumentach: polityce SI, rejestrze przypadków użycia, procedurach walidacji modeli.
Norma referencyjna: ISO/IEC 42001:2023
Oceniane obszary tematyczne
Kontekst i zakres AIMS
Określenie zakresu, ról organizacji (dostawca, podmiot wdrażający, twórca), stron zainteresowanych, deklaracji stosowania środków z załącznika A.
Przywództwo i polityka SI
Sformalizowana i rozpowszechniona polityka SI, zaangażowanie kierownictwa, alokacja zasobów, powiązanie z innymi systemami zarządzania.
Role, odpowiedzialności i zarządzanie
Przypisanie odpowiedzialności w cyklu życia, organ decyzyjny dla przypadków użycia, rozdzielenie rozwoju i walidacji, eskalacja decyzji.
Ocena ryzyka związanego z SI
Metoda oceny, kryteria akceptacji, hierarchizacja przypadków użycia, postępowanie z ryzykiem i akceptacja ryzyka szczątkowego.
Ocena skutków dla osób i społeczeństwa
Identyfikacja osób, których dotyczy system, analiza wpływu na prawa podstawowe, uwzględnienie grup wrażliwych, identyfikowalność wniosków.
Cykl życia systemów SI
Wymagania projektowe, zbiory danych i ich pochodzenie, weryfikacja i walidacja przed wdrożeniem produkcyjnym, dokumentacja techniczna, warunki wycofania.
Dane wykorzystywane przez systemy SI
Jakość i reprezentatywność danych, zarządzanie obciążeniami (biasami), identyfikowalność pochodzenia, prawa do wykorzystania, kontrola danych doszkalających.
Przejrzystość i informowanie użytkowników
Informowanie o wykorzystaniu SI, wyjaśnialność proporcjonalna do zastosowania, dokumentacja przekazywana podmiotom wdrażającym, obsługa reklamacji i odwołań do decyzji człowieka.
Dostawcy i podmioty trzecie
Kryteria wyboru, wymagania umowne dotyczące modeli i usług SI, ocena wykorzystywanych komponentów, nadzór nad zmianami narzucanymi przez dostawcę.
Monitorowanie, audyt wewnętrzny i doskonalenie
Wskaźniki wydajności systemów produkcyjnych, wykrywanie odchyleń, audyty wewnętrzne, przegląd zarządzania, działania korygujące i wnioski z doświadczeń.
Krótsza wersja modelu referencyjnego, licząca 32 pytań, jest dostępna do samooceny online. Pełna wersja obejmuje 10 obszarów tematycznych i undefined pytań.
Najczęściej zadawane pytania
Czy ISO 42001 podlega certyfikacji?
Tak, to norma systemu zarządzania podlegająca certyfikacji przez akredytowaną jednostkę, na wzór ISO 27001. Datamensio mierzy Państwa dojrzałość i przygotowuje do audytu. Nie wydaje natomiast żadnej certyfikacji.
Jaka jest różnica między tą diagnozą a audytem certyfikującym?
Audyt sprawdza obecność wymagań i kończy się stwierdzeniem zgodności albo niezgodności. Diagnoza umieszcza każdą praktykę na skali dojrzałości i wskazuje działanie prowadzące na kolejny poziom. Diagnoza przygotowuje, audyt zatwierdza.
Czy trzeba już posiadać certyfikat ISO 27001, aby rozpocząć?
Nie, ale to atut. Struktura obu norm jest wspólna: kontekst, przywództwo, planowanie, ocena wyników. Organizacje, które posiadają już system zarządzania, wykorzystują część swoich procedur i dokumentacji.
Jak ta diagnoza łączy się z europejskim rozporządzeniem w sprawie SI?
Rozporządzenie nakłada obowiązki zależnie od poziomu ryzyka systemu. Norma opisuje organizację, która pozwala te obowiązki spełniać w sposób trwały. Solidna diagnoza ISO 42001 stanowi wielokrotnego użytku podstawę, a przekrojowa mapa drogowa pozwala łączyć oba zagadnienia bez dublowania działań.
Ile czasu zajmuje ocena?
Wersja skrócona wypełniana jest w 20 do 30 minut. Wersja pełna, w trybie zespołowym, trwa zazwyczaj od tygodnia do dwóch. Większość czasu poświęca się na zebranie informacji od zespołów ds. danych, bezpieczeństwa, prawa i biznesu.
Czy model referencyjny można dostosować do naszego kontekstu?
Tak. Mogą Państwo zmodyfikować pytania, poziomy i obszary tematyczne albo wyjść od własnych dokumentów, aby zbudować własną wersję. SI redaguje treści i doprecyzowuje poziomy zgodnie z metodą CMMI. Model referencyjny pozostaje pod Państwa kontrolą.
Czy odpowiadanie na pytania wymaga wiedzy technicznej z zakresu uczenia maszynowego?
Pytania dotyczą praktyk zarządzania, nie architektury modeli. Niektóre wymagają udziału data scientist albo architekta. Tryb zespołowy pozwala przypisać te pytania właściwej osobie.
Gdzie przechowywane są dane?
We Francji, u OVH, z kopią zapasową u Scaleway. Żaden transfer poza Unię Europejską nie ma miejsca. Wykorzystywane modele SI mogą być wybierane, również spośród rozwiązań europejskich.