Jak zbudować politykę AI zgodną z unijnymi wytycznymi i nie zatonąć w biurokracji?

Poradnik dla startupów bez działu prawnego

Wprowadzenie unijnego rozporządzenia AI Act oraz normy ISO/IEC 42001 stawia przed startupami nowe wyzwania związane z zarządzaniem systemami sztucznej inteligencji (AI). Dla wielu młodych firm, zwłaszcza tych bez dedykowanego działu prawnego, spełnienie wymogów regulacyjnych może wydawać się skomplikowane. Niniejszy poradnik ma na celu przedstawienie krok po kroku, jak opracować politykę AI zgodną z unijnymi wytycznymi, minimalizując przy tym obciążenia biurokratyczne.

1. Zrozumienie wymogów AI Act i ISO/IEC 42001

AI Act to rozporządzenie Unii Europejskiej mające na celu zapewnienie bezpiecznego i etycznego rozwoju oraz stosowania systemów AI. Klasyfikuje systemy AI według poziomu ryzyka i nakłada określone obowiązki na dostawców i użytkowników tych systemów. ISO/IEC 42001:2023 to międzynarodowa norma określająca wymagania dla systemu zarządzania AI (AIMS). Pomaga organizacjom w ustanowieniu, wdrożeniu, utrzymaniu i ciągłym doskonaleniu zarządzania AI w sposób odpowiedzialny i zgodny z przepisami.

2. Ocena obecnego stanu i identyfikacja luk

Przed przystąpieniem do opracowania polityki AI zgodnej z unijnymi wytycznymi, kluczowe jest przeprowadzenie analizy luk (gap analysis), która pozwoli zidentyfikować różnice między aktualnymi praktykami a wymaganiami określonymi w AI Act oraz normie ISO/IEC 42001.

Dla startupów bez dedykowanego działu prawnego, proces ten może być uproszczony poprzez zastosowanie strukturalnego podejścia.

a) Zdefiniowanie zakresu analizy

Rozpocznij od określenia, które systemy i procesy w Twojej organizacji wykorzystują lub planują wykorzystać sztuczną inteligencję. Zidentyfikuj wszystkie działy i zespoły zaangażowane w rozwój, wdrażanie oraz utrzymanie systemów AI. Ustal, czy Twoje rozwiązania mogą być sklasyfikowane jako wysokiego ryzyka zgodnie z AI Act, np. systemy stosowane w rekrutacji, ocenie kredytowej czy zarządzaniu infrastrukturą krytyczną .

b) Porównanie z wymaganiami ISO/IEC 42001

Skorzystaj z listy kontrolnej opartej na strukturze normy ISO/IEC 42001, która obejmuje m.in. następujące pytania:

• Czy zidentyfikowano wewnętrzne i zewnętrzne czynniki wpływające na zarządzanie AI oraz oczekiwania interesariuszy?
• Czy najwyższe kierownictwo wykazuje zaangażowanie w zarządzanie AI poprzez ustanowienie polityk i przypisanie odpowiedzialności?
• Czy przeprowadzono ocenę ryzyka związanego z AI i określono cele zarządzania AI?
• Czy zapewniono odpowiednie zasoby, kompetencje oraz świadomość w zakresie AI?
• Czy istnieją procedury dotyczące cyklu życia systemów AI, w tym zarządzania danymi, testowania i monitorowania?
• Czy monitoruje się i mierzy wydajność systemów AI oraz zgodność z wymaganiami?
• Czy istnieją mechanizmy ciągłego doskonalenia systemu zarządzania AI?

c) Identyfikacja luk i priorytetyzacja działań

Dla każdego obszaru, w którym stwierdzono brak zgodności lub niepełną zgodność z wymaganiami, opisz istniejące luki. Następnie, przypisz priorytety do działań naprawczych, biorąc pod uwagę ryzyko związane z daną luką oraz jej wpływ na organizację. Na przykład, brak procedur oceny ryzyka dla systemów AI może stanowić wysokie ryzyko i powinien być traktowany priorytetowo.

d) Opracowanie planu działania

Na podstawie zidentyfikowanych luk, stwórz plan działania zawierający konkretne kroki, odpowiedzialności oraz terminy realizacji. Przykładowe działania mogą obejmować:

• Opracowanie i wdrożenie polityki AI zgodnej z ISO/IEC 42001.
• Przeprowadzenie szkoleń dla pracowników w zakresie etyki i bezpieczeństwa AI.
• Ustanowienie procedur monitorowania i oceny wydajności systemów AI.
• Regularnie przeglądaj i aktualizuj plan działania, aby zapewnić ciągłe doskonalenie i dostosowanie do zmieniających się wymagań regulacyjnych.

3. Opracowanie polityki AI krok po kroku

a) Określenie zakresu polityki

Zdefiniuj, jakie systemy i procesy będą objęte polityką AI. Uwzględnij wszystkie etapy cyklu życia systemu AI – od projektowania po wycofanie z eksploatacji.

b) Ustanowienie zasad etycznych i zgodności

Określ podstawowe zasady, takie jak:

• Przejrzystość: Użytkownicy powinni być informowani o interakcji z systemem AI.
• Odpowiedzialność: Jasne przypisanie odpowiedzialności za decyzje podejmowane przez systemy AI.
• Bezpieczeństwo: Zapewnienie, że systemy AI nie stanowią zagrożenia dla użytkowników.

c) Zarządzanie ryzykiem

Opracuj procedury identyfikacji, oceny i minimalizacji ryzyk związanych z systemami AI. Uwzględnij potencjalne zagrożenia, takie jak:

• Stronniczość algorytmiczna
• Naruszenie prywatności
• Błędy decyzyjne

d) Szkolenia i świadomość

Zadbaj o odpowiednie szkolenia dla pracowników zaangażowanych w rozwój i wdrażanie systemów AI. Podnieś świadomość na temat potencjalnych ryzyk i obowiązków wynikających z AI Act i ISO/IEC 42001.

e) Monitorowanie i przegląd

Ustal regularne przeglądy polityki AI, aby zapewnić jej aktualność i skuteczność. Wprowadź mechanizmy monitorowania działania systemów AI oraz reagowania na incydenty.

4. Dokumentacja i komunikacja

Sporządź dokumentację polityki AI w sposób zrozumiały dla wszystkich interesariuszy. Upewnij się, że polityka jest łatwo dostępna i komunikowana zarówno wewnętrznie, jak i zewnętrznie, w razie potrzeby.

5. Wsparcie zewnętrzne

Jeśli organizacja nie posiada odpowiednich zasobów wewnętrznych, rozważ skorzystanie z usług doradców specjalizujących się w AI governance i zgodności z przepisami. Mogą oni pomóc w:

• Przeprowadzeniu audytu zgodności
• Opracowaniu lub przeglądzie polityki AI
• Szkoleniu personelu

Porównanie aktualnych praktyk z wymaganiami normy ISO/IEC 42001 stanowi kluczowy element w opracowywaniu polityki AI zgodnej z unijnymi wytycznymi. Jednakże, przeprowadzenie takiej analizy nie ogranicza się jedynie do znajomości samej normy. Wymaga to również wiedzy multidyscyplinarnej, obejmującej aspekty techniczne, prawne, etyczne oraz zarządzania ryzykiem.

Zespół Frontline AI posiada doświadczenie w pracy z różnorodnymi organizacjami, co pozwala na skuteczne identyfikowanie luk i opracowywanie planów działania dostosowanych do specyfiki każdej firmy. Dzięki temu, startupy mogą nie tylko spełnić wymagania regulacyjne, ale również zbudować zaufanie wśród inwestorów i klientów, co jest kluczowe w dynamicznie rozwijającym się środowisku AI. Współpraca z ekspertami Frontline AI zapewnia kompleksowe wsparcie w procesie dostosowywania się do normy ISO/IEC 42001 oraz unijnych regulacji, minimalizując ryzyko i przyspieszając proces wdrożenia zgodnych z przepisami systemów AI.

Źródła: ISO/IEC 42001:2023 – AI management systems
How ISO 42001 helps with EU AI Act compliance – Vanta
Understanding ISO 42001 for Startups – ISMS.online