ISO/IEC 42001: jak dát firemnímu využití AI pravidla

Co řeší ISO/IEC 42001

ISO/IEC 42001:2023 popisuje požadavky na zavedení, provoz, udržování a průběžné zlepšování systému řízení umělé inteligence. Podle oficiálního přehledu ISO je určená organizacím, které produkty nebo služby s AI poskytují či používají, napříč obory a velikostmi. Její záběr není omezený na generativní AI: týká se různých aplikací a prostředí.

Pro firmu je užitečné přemýšlet o ní jako o způsobu, jak spojit rozhodování vedení s každodenním používáním AI. Zákaznický asistent, odhad poptávky i třídění dokumentů mají jiný účel a jiné následky chyby. Nestačí proto společné pravidlo „výstup vždy zkontrolujte“. Potřebujete vědět, kdo ho kontroluje, proti čemu a co udělá při problému.

Článek vychází z veřejných přehledů. Doporučení pro pracovní postup jsou moje a nenahrazují úplné znění normy.

Kdy se vyplatí zavést společný způsob řízení

Řízení AI bych začal společnými pravidly, jakmile nástroj používá více lidí nebo jeho výsledek vstupuje do rozhodnutí o zákaznících, penězích či zaměstnancích. Počet licencí sám tento krok nezdůvodní. Rozhoduje rozsah používání a dopad chyby. Formální zavedení normy posuzujte podle potřeb organizace.

V menší firmě můžete začít s lidmi, kteří už danou práci řeší. Potřebujete člověka, který rozumí účelu použití AI a může rozhodnout o omezení nebo zastavení provozu. IT pomůže s přístupy a integrací, kolegové z provozu poznají chyby v odpovědích. S vedením domluvte očekávaný přínos a následky chyby, které firma přijme.

Zaveďte pravidla pro jedno použití AI

První přehled můžete sestavit nad jedním použitím, třeba nad návrhy zákaznických odpovědí. Projděte ho s kolegou, který návrhy kontroluje před odesláním. Snáze zjistíte, jaké podklady potřebuje a kde může vzniknout chyba. Do přehledu pak zapište účel, odpovědnosti a používaná data.

• Účel a vlastník: jakou práci AI pomáhá zvládnout a kdo za použití odpovídá.
• Vstupy a výstupy: odkud data přicházejí, co se smí vložit a kam výsledek pokračuje.
• Dodavatel: jaká služba a verze se používá, kdo může změnit nastavení a jak zjistíte změnu podmínek.
• Kontrola: kdo může výsledek přijmout, opravit nebo odmítnout a kdy se použije běžný postup bez AI.

Pak sepište několik konkrétních způsobů selhání. Asistent může slíbit neexistující službu, zveřejnit interní informaci nebo odpovědět nesprávnému zákazníkovi. Ke každému scénáři navrhněte opatření a ověřte ho na příkladu. Riziko hodnotíte podle použití a dopadu, nikoli jen podle názvu modelu.

Co udělat jako první

S vlastníkem procesu a IT projděte běžný požadavek, chybný návrh a změnu podkladů. Pokud nevíte, kdo návrh odmítne nebo zastaví provoz, doplňte odpovědnost před rozšířením použití. Pro formální zavádění normy pracujte s jejím plným zněním a posuďte zvolený rozsah.

Jak poznat, že pravidla fungují

Před pilotem si připravte malou sadu běžných i problematických případů. Porovnávejte výsledek s očekávanou odpovědí, zapisujte chyby a měřte skutečně ušetřený čas včetně oprav. Vyšší počet automaticky vytvořených odpovědí sám o sobě neznamená lepší práci.

Uchovávejte přiměřené podklady: účel pilotu, schválené hranice, výsledky zkoušek, rozhodnutí o spuštění a záznamy důležitých změn. Nemusíte kvůli tomu kopírovat veškeré zákaznické údaje do další evidence. Často stačí identifikátor případu, popis problému, výsledek kontroly a odpovědná osoba.

Dodavatele posuzujte i provozně: jak oznamuje změny, co se stane při výpadku a jak službu opustíte. Po změně modelu, datového zdroje nebo procesu zopakujte relevantní zkoušky. Domluvte pravidelné vyhodnocení s vlastníkem a možnost pilot pozastavit, pokud přibývají chyby nebo mizí očekávaný přínos.

Jak souvisí s dalšími pravidly a nástroji

Pro práci s riziky lze vedle normy použít NIST AI Risk Management Framework, který NIST představuje jako dobrovolný rámec pro řízení rizik AI. Jeho verze 1.0 sdružuje činnosti do funkcí Govern, Map, Measure a Manage. Oficiální popis jádra zdůrazňuje průběžnou práci během životního cyklu, nikoli jednorázový seznam kontrol.

Ve firmě doporučuji propojit evidenci AI s existujícím schvalováním dodavatelů, bezpečnostními incidenty a správou změn. Zavedení ISO/IEC 42001 však samo neposuzuje každou konkrétní službu ani automaticky neprokazuje splnění AI Actu, pravidel ochrany osobních údajů či smluvních závazků. Tyto otázky řešte samostatně podle skutečného použití.