استاندارد ISO/IEC 42001؛ حلقه گمشده امنیت و حاکمیت هوش مصنوعی در سازمان‌ها

تا چند سال پیش، وقتی از امنیت اطلاعات صحبت می‌شد، ذهن مدیران فناوری بیشتر به سمت سرورها، شبکه، فایروال، پایگاه‌های داده، حساب‌های کاربری و دارایی‌های اطلاعاتی می‌رفت. اما امروز یک دارایی تازه وارد سازمان‌ها شده است که اگرچه همیشه دیده نمی‌شود، می‌تواند به همان اندازه یا حتی بیشتر از زیرساخت‌های سنتی، ریسک ایجاد کند: سامانه‌های مبتنی بر هوش مصنوعی.

کارکنان با مدل‌های زبانی محتوا تولید می‌کنند، واحد منابع انسانی رزومه‌ها را با هوش مصنوعی بررسی می‌کند، تیم مالی از مدل‌های پیش‌بینی بهره می‌گیرد، مراکز تماس از دستیارهای هوشمند استفاده می‌کنند و بسیاری از سازمان‌ها به سمت Agentهای هوشمند برای خودکارسازی فرآیندهای عملیاتی حرکت کرده‌اند. در این میان، یک پرسش اساسی همچنان پابرجاست:

چه کسی بر نحوه تصمیم‌گیری این سامانه‌ها نظارت می‌کند؟

اگر یک مدل هوش مصنوعی اطلاعات محرمانه سازمان را افشا کند، مسئولیت با چه کسی است؟

اگر داده‌های آموزشی آلوده باشند، چه رخ می‌دهد؟

اگر خروجی یک مدل باعث تصمیم اشتباه، خسارت مالی یا نقض الزامات قانونی شود، پاسخ‌گویی با چه نهادی است؟

همین پرسش‌ها باعث شده‌اند که امنیت اطلاعات، مدیریت ریسک و حاکمیت سازمانی با مسئله‌ای تازه و جدی مواجه شوند. استاندارد ISO/IEC 42001:2023 دقیقاً برای پاسخ به همین نیاز شکل گرفته است.

ISO/IEC 42001 استاندارد توسعه هوش مصنوعی نیست، استاندارد مدیریت آن است

یکی از برداشت‌های نادرست درباره ISO/IEC 42001 این است که این استاندارد را دستورالعمل طراحی الگوریتم یا آموزش مدل تلقی می‌کنند. در حالی‌که ISO/IEC 42001 نخستین استاندارد بین‌المللی برای ایجاد سیستم مدیریت هوش مصنوعی، یا AIMS، است. این استاندارد به سازمان‌ها کمک می‌کند تا سامانه‌های هوش مصنوعی را در سطح مدیریتی کنترل کنند، نه این‌که صرفاً درباره ساخت مدل صحبت کند.

همان‌طور که ISO/IEC 27001 چارچوب مدیریت امنیت اطلاعات را تعریف می‌کند، ISO/IEC 42001 نیز چارچوبی برای مدیریت چرخه عمر سامانه‌های هوش مصنوعی، کنترل ریسک‌های مرتبط با آن‌ها، تعیین مسئولیت‌ها، استقرار سازوکارهای نظارتی و بهبود مستمر ارائه می‌دهد. به بیان ساده، این استاندارد به سازمان پاسخ می‌دهد که چه سامانه‌های AI در مجموعه وجود دارند، چه داده‌هایی را پردازش می‌کنند، چه تصمیم‌هایی بر اساس خروجی آن‌ها گرفته می‌شود، مالک هر سامانه چه کسی است، ریسک‌های هر مدل چگونه ارزیابی می‌شوند و کدام کنترل‌ها برای کاهش این ریسک‌ها لازم است.

پس موضوع اصلی در ISO/IEC 42001 خود هوش مصنوعی نیست؛ موضوع، حاکمیت بر هوش مصنوعی است.

چرا این استاندارد برای مدیران امنیت اطلاعات مهم است؟

از منظر امنیت سایبری، هر سامانه هوش مصنوعی یک دارایی اطلاعاتی جدید است. این دارایی می‌تواند به داده‌های مشتریان، اطلاعات محرمانه، فرآیندهای عملیاتی و حتی لایه‌های تصمیم‌گیری سازمان دسترسی داشته باشد. اگر چنین سامانه‌ای بدون نظارت، بدون ارزیابی ریسک و بدون کنترل‌های مشخص به کار گرفته شود، سازمان با تهدیدهایی روبه‌رو می‌شود که در چارچوب‌های سنتی امنیت اطلاعات به‌تنهایی قابل مهار نیستند.

ISO/IEC 42001 از این جهت اهمیت دارد که ریسک را در قالب یک سیستم مدیریتی پوشش می‌دهد، نه به صورت پراکنده و واکنشی. این استاندارد به سازمان کمک می‌کند تا برای هوش مصنوعی همان‌قدر ساختار، فرآیند، مسئولیت و کنترل تعریف کند که برای امنیت اطلاعات یا تداوم کسب‌وکار تعریف می‌کند.

نسبت ISO/IEC 42001 و ISO/IEC 27001 چیست؟

یکی از پرسش‌های رایج این است که آیا با استقرار ISO/IEC 42001 هنوز به ISO/IEC 27001 نیاز هست یا نه. پاسخ کوتاه، بله است.

ISO/IEC 27001 از دارایی‌های اطلاعاتی سازمان محافظت می‌کند، اما فرض می‌کند سامانه‌هایی که این دارایی‌ها را پردازش می‌کنند، رفتار نسبتاً قابل پیش‌بینی دارند. در مقابل، سامانه‌های هوش مصنوعی ماهیتی پویا، داده‌محور و گاهی غیرشفاف دارند. همین ویژگی‌ها باعث می‌شود که علاوه بر کنترل‌های امنیتی متداول، به سازوکارهای اختصاصی برای مدیریت ریسک، نظارت انسانی، ارزیابی عملکرد، کنترل کیفیت داده، شفافیت تصمیم‌گیری و پاسخ‌گویی نیز نیاز باشد.

به همین دلیل، ISO/IEC 42001 را می‌توان لایه حاکمیت هوش مصنوعی بر بستر ISMS دانست. این دو استاندارد نه‌تنها با هم تداخل ندارند، بلکه در کنار هم تصویر کامل‌تری از مدیریت فناوری در سازمان ارائه می‌دهند. ISO/IEC 27001 امنیت زیرساخت و داده را تقویت می‌کند و ISO/IEC 42001 اعتماد به رفتار و خروجی سامانه‌های AI را.

ISO/IEC 42001 چه چیزهایی را کنترل می‌کند؟

در این استاندارد، توجه اصلی روی چرخه عمر سامانه‌های هوش مصنوعی است. یعنی از مرحله تعریف نیاز و انتخاب مدل تا جمع‌آوری داده، آموزش، آزمون، استقرار، پایش، بازآموزی و حتی خروج سامانه از بهره‌برداری. این نگاه چرخه‌محور باعث می‌شود کنترل‌ها فقط در نقطه استقرار اعمال نشوند، بلکه تمام عمر سامانه را پوشش دهند.

موضوع مهم دیگر، کیفیت و منشأ داده است. در سامانه‌های هوش مصنوعی، اگر داده آموزشی ناقص، آلوده یا سوگیرانه باشد، خروجی مدل نیز قابل اتکا نخواهد بود. ISO/IEC 42001 سازمان را وادار می‌کند که کیفیت داده، زنجیره تأمین داده و مستندسازی مرتبط با آن را روشن و قابل پیگیری نگه دارد.

شفافیت و توضیح‌پذیری نیز از محورهای مهم این استاندارد است. سازمان باید بداند مدل چه محدودیت‌هایی دارد، با چه سطحی از خطا کار می‌کند و خروجی آن در چه شرایطی ممکن است نادرست یا گمراه‌کننده باشد. در کنار این موارد، نظارت انسانی نقش کلیدی دارد. برای تصمیم‌های حساس، نباید همه چیز به مدل واگذار شود؛ انسان باید امکان مداخله، تأیید یا توقف تصمیم را داشته باشد.

پایش مستمر عملکرد نیز بخش جدانشدنی این استاندارد است. مدل‌ها پس از استقرار ممکن است دچار افت دقت، تغییر رفتار یا drift شوند. بنابراین، پایش و بازنگری مدل باید بخشی دائمی از مدیریت آن باشد، نه یک اقدام مقطعی.

چرا این استاندارد برای آینده سازمان‌ها حیاتی است؟

همان‌طور که در سال‌های گذشته ISO/IEC 27001، COBIT و چارچوب‌های NIST به بلوغ امنیت اطلاعات کمک کردند، ISO/IEC 42001 نیز در حال تبدیل شدن به یکی از ارکان اصلی حاکمیت فناوری در عصر هوش مصنوعی است. در آینده نزدیک، یکی از پرسش‌های جدی ممیزان، نهادهای نظارتی، مشتریان و هیئت‌مدیره این خواهد بود که سازمان شما ریسک‌های ناشی از هوش مصنوعی را چگونه مدیریت می‌کند.

سازمان‌هایی که از هوش مصنوعی استفاده می‌کنند، باید بتوانند نشان دهند که برای این فناوری نیز همان اندازه که برای امنیت اطلاعات، کیفیت خدمات یا تداوم کسب‌وکار برنامه دارند، ساختار، فرآیند، مسئولیت و کنترل تعریف کرده‌اند. ISO/IEC 42001 دقیقاً برای همین هدف طراحی شده است.

جمع‌بندی

ISO/IEC 42001 حلقه‌ای است که میان هوش مصنوعی، امنیت اطلاعات، مدیریت ریسک، انطباق و اعتماد دیجیتال ارتباط برقرار می‌کند. این استاندارد جایگزین ISO/IEC 27001 نیست؛ بلکه در کنار آن قرار می‌گیرد و لایه‌ای تخصصی برای حاکمیت مسئولانه سامانه‌های هوش مصنوعی ایجاد می‌کند. در سازمان‌هایی که AI به بخشی از عملیات روزمره تبدیل شده است، نداشتن چنین چارچوبی دیگر یک خلأ نظری نیست؛ یک ریسک واقعی است.

در مقاله بعدی، می‌توانیم وارد کنترل‌های ISO/IEC 42001 و نحوه پیاده‌سازی عملی آن در سازمان شویم.

مطالعه بیشتر: تمایز ISO/IEC 42001 و ISO/IEC 27001 در حاکمیت هوش مصنوعی و امنیت اطلاعات