Что такое ISO 42001? Стандарт системы менеджмента ИИ

Когда компании начинают использовать искусственный интеллект (ИИ) с помощью отдельных инструментов, вопрос, который задают советы директоров, меняется: «Какие системы ИИ мы используем, кто отслеживает риски и как мы можем это доказать?» ISO 42001 — международный стандарт, который отвечает на этот вопрос в рамках системы менеджмента. Эта статья объясняет, что такое ISO 42001, для кого он предназначен, как устроена сертификация и как стандарт соотносится с Законом ЕС об ИИ.

Что такое ISO 42001?

Официальное название этого международного стандарта — ISO/IEC 42001:2023. Он устанавливает требования к созданию, внедрению, поддержанию и постоянному улучшению системы менеджмента искусственного интеллекта (англ. AIMS) в организации. По формулировке ISO, это первый в мире стандарт системы менеджмента ИИ.

Стандарт разработан для организаций, которые предоставляют или используют продукты либо услуги на основе ИИ. Его цель — гарантировать ответственную разработку и использование систем ИИ.

Справочные сведения на странице стандарта на сайте ISO выглядят так:

Как и ISO 27001, стандарт подготовлен совместно ISO и Международной электротехнической комиссией (IEC), поэтому его официальное сокращённое обозначение — ISO/IEC 42001.

Что значит «система менеджмента искусственного интеллекта»?

ISO определяет это понятие как совокупность взаимосвязанных элементов, которые задают политику и цели организации в области ответственной разработки, предоставления или использования систем ИИ и выстраивают процессы для достижения этих целей.

Ключевой момент здесь такой: ISO 42001 не рассматривает технические детали отдельного приложения ИИ. По информации ISO, стандарт предлагает практичный способ управлять связанными с ИИ рисками и возможностями во всей организации. Применение стандарта строится на цикле «Планируй — Делай — Проверяй — Действуй» (PDCA).

Преимущества, которые ISO выделяет на странице стандарта:

• Рамочная модель для управления рисками и возможностями
• Возможность показать, что ИИ используется ответственно
• Прослеживаемость, прозрачность и надёжность
• Поддержка соответствия правовым и регуляторным ожиданиям

ISO отмечает, что стандарт затрагивает и специфические для ИИ проблемы, такие как этические соображения, прозрачность и непрерывное обучение систем.

Для кого этот стандарт?

Ответ ISO широк: организации любого размера, которые разрабатывают, предоставляют или используют продукты либо услуги на основе ИИ. Стандарт применим ко всем отраслям; он подходит как компаниям, так и государственным учреждениям и некоммерческим организациям. ISO добавляет, что стандарт спроектирован так, чтобы его можно было применять к различным приложениям ИИ и контекстам использования.

Это означает, что в сферу действия стандарта могут попасть не только технологические компании, разрабатывающие модели ИИ, но и производственная, финансовая или сервисная компания, использующая готовые инструменты ИИ в своих бизнес-процессах. Вопрос о том, какими инструментами и с какими данными работают сотрудники, — одна из первых тем системы менеджмента. Эта тема отдельно разобрана в статье об использовании ИИ сотрудниками и управлении им.

Другие стандарты ИИ, связанные с ISO 42001

В области ИИ у ISO есть несколько взаимодополняющих стандартов. Чаще всего лицам, принимающим решения, приходится сталкиваться со следующими:

ISO/IEC 23894 — это руководство, а не свод требований. По описанию ISO, этот документ объясняет, как организации, которые разрабатывают, производят, вводят в эксплуатацию или используют продукты, системы и услуги на основе ИИ, могут управлять специфичными для ИИ рисками, и призван встроить управление рисками в деятельность, связанную с ИИ. На практике ISO 42001 отвечает на вопрос «что нужно делать», а ISO 23894 — на вопрос «как это можно делать» в части рисков.

Чем он отличается от ISO 27001?

Эти два стандарта опираются на одну и ту же логику системы менеджмента, но защищают разное. ISO 27001 сосредоточен на защите конфиденциальности, целостности и доступности информации. ISO 42001, в свою очередь, ориентирован на ответственную разработку и использование систем ИИ, то есть на этику, прозрачность и риски, специфичные для ИИ.

Один стандарт не заменяет другой. Об этом говорит и то, что ISO предлагает оба стандарта вместе, комплектом: поскольку системы ИИ чаще всего работают с чувствительными данными, информационная безопасность и управление ИИ в одной компании оказываются нужны одновременно. Компания, у которой уже есть система менеджмента по ISO 27001, может перенести в ISO 42001 такие сложившиеся практики, как определение области применения, оценка рисков, внутренний аудит и анализ со стороны руководства.

Кто выдаёт сертификат?

Как и в случае с ISO 27001, основное правило здесь то же: ISO не проводит сертификацию и не выдаёт сертификаты. Сертификацию проводят независимые органы по сертификации.

Что касается ISO 42001, в этой области появилась новость. Опубликованный в июле 2025 года стандарт ISO/IEC 42006 устанавливает дополнительные требования к органам, которые проводят аудит и сертификацию систем менеджмента ИИ по ISO 42001. По информации ISO, он строится на базе ISO/IEC 17021-1 — общего стандарта сертификации систем менеджмента — и нацелен на то, чтобы аудиторы обладали компетенцией, достаточной для оценки специфичных для ИИ вопросов.

При выборе органа по сертификации действуют общие рекомендации ISO: сравнить несколько организаций, проверить, аккредитован ли орган, и для этого обратиться в национальный орган по аккредитации в своей стране или в базу данных IAF CertSearch Международного форума по аккредитации. ISO также отмечает, что аккредитация не является обязательной, но свидетельствует о независимом подтверждении компетентности. Если поставщик предъявляет сертификат ISO 42001, следует проверить, каким органом, с какой областью сертификации и под аккредитацией или без неё он выдан.

Связь с Законом ЕС об ИИ

Для турецких компаний, поставляющих продукцию или услуги в ЕС, частый вопрос состоит в том, означает ли сертификат ISO 42001 соответствие Закону ЕС об ИИ (Регламент (ЕС) 2024/1689).

Закон требует от поставщиков систем ИИ высокого риска наличия системы управления качеством (ст. 17) и системы управления рисками (ст. 9), которая поддерживается на протяжении всего жизненного цикла системы. Эти требования основаны на логике системы менеджмента, документированной в письменных политиках, процедурах и инструкциях; поскольку ISO 42001 тоже выстраивает структуру такого рода, он может дать общую основу при подготовке.

Однако, согласно статье 40 Закона, презумпция соответствия предоставляется системам, которые отвечают гармонизированным стандартам, ссылки на которые опубликованы в Официальном журнале ЕС. Поэтому не следует делать вывод, что сертификат ISO 42001 сам по себе означает соответствие Закону. Поэтапный график применения Закона кратко изложен в статье о новом графике Закона ЕС об ИИ.

С чего начать: первые шаги

Приведённая ниже последовательность — не перечень пунктов стандарта, а общая рамка для планирования подготовки:

1. Проведите инвентаризацию. Какие системы ИИ в компании разрабатываются, закупаются или используются сотрудниками?
2. Определите свою роль. В каждой системе вы выступаете как разработчик, поставщик или пользователь?
3. Уточните область применения. Будет ли система менеджмента охватывать всю компанию или только определённые продукты и процессы?
4. Пропишите политику и ответственность. Кто принимает решения об использовании ИИ, кто утверждает, кто отслеживает?
5. Оцените риски. Для специфичных для ИИ рисков ориентиром может служить подход, изложенный в ISO/IEC 23894.
6. Измеряйте и анализируйте. Выстройте цикл внутреннего аудита и анализа со стороны руководства; если нужна сертификация, затем обратитесь в аккредитованный орган.

Заключение

ISO 42001 — это рамочная модель, которая выводит использование ИИ за пределы отдельных проектов и превращает его в отслеживаемую часть управления компанией. Даже если сертификация не планируется, вопросы, которые ставит стандарт (какие системы, какие риски, кто отвечает), — полезная отправная точка для компании любого масштаба. Организации, которые рассматривают создание системы менеджмента ИИ, могут начать с предварительной оценки, чтобы увидеть, где их существующие процессы совпадают с этой моделью, а где есть пробелы.

#interimmanagement #forwarddeployedengineering