השוואה מעשית בין שתי המסגרות המובילות לניהול סיכוני בינה מלאכותית: מה כל אחת נותנת, מה ההבדל בין תקן שניתן להסמכה למסגרת התנדבותית, כיצד הן מתייחסות לחוק ה-AI האירופי, ובאיזו מהן כדאי להתחיל.
ארגון שמחליט לסדר את ניהול סיכוני הבינה המלאכותית שלו מגיע מהר לשתי מסגרות: תקן ISO/IEC 42001 ומסגרת NIST AI RMF. השתיים מוזכרות לעיתים באותה נשימה, כאילו מדובר בשתי דרכים לאותו דבר. הן לא. ההבדל ביניהן מעשי, והוא קובע באיזו מהן נכון להתחיל.
ISO/IEC 42001 הוא תקן למערכת ניהול בינה מלאכותית, בנוי במבנה המוכר משאר תקני מערכות הניהול של ISO, ובראשם תקן אבטחת המידע. הוא דורש מדיניות כתובה, הגדרת תפקידים ואחריות, תהליך מובנה להערכת סיכונים ולהערכת השפעה של מערכות, בקרות, ביקורת פנימית וסקירת הנהלה תקופתית.
התכונה שמייחדת אותו היא שניתן להסמיך אליו. גוף הסמכה מוכר מבקר את הארגון ומנפיק תעודה. זה הופך את התקן לנכס מסחרי ולא רק לכלי פנימי: הוא משהו שאפשר להציג ללקוח, לשים במענה למכרז, ולהניח על השולחן בבדיקת נאותות.
מסגרת NIST AI RMF היא מסמך התנדבותי שפרסם המכון האמריקאי לתקנים. היא בנויה סביב ארבע פונקציות: ממשל, מיפוי, מדידה וניהול. הממשל הוא הרוחבי מביניהם והוא נועד לחלחל לשלושת האחרים.
אין אליה הסמכה ואין תעודה. מה שהיא כן נותנת הוא שפה משותפת ומבנה לחשיבה, ובנוסף חומרי יישום מפורטים, ובכללם נספח ייעודי למערכות ג'נרטיביות. היא זולה משמעותית לאימוץ, כי אין בה מחזור ביקורות ואין בה עלות הסמכה.
השאלה הנכונה אינה איזו מסגרת טובה יותר, אלא מה הארגון צריך.
ארגון שנשאל על ידי לקוחות או במכרזים אם יש לו ניהול סיכוני AI מוסמך, צריך תעודה. שם ISO 42001 הוא התשובה, על כל העלות והמחזוריות שבו.
ארגון שרוצה קודם כול להבין מה יש לו, איפה הסיכונים ומי אחראי, צריך מבנה חשיבה ולא מבקר. שם NIST AI RMF נותן ערך מהיר בהרבה ובעלות נמוכה בהרבה.
בפועל השתיים אינן מתחרות. ארגונים רבים משתמשים במסגרת של NIST כדי לארגן את העבודה, ובהמשך, כשדרישה מסחרית מחייבת זאת, ממירים אותה לתשתית שניתן להסמיך.
זו נקודה שמרבים לטעות בה. אף אחת משתי המסגרות אינה מקנה חזקת התאמה אוטומטית לחוק ה-AI האירופי. תקנים מתואמים לצורך זה נמצאים בהליכי גיבוש נפרד בגופי התקינה האירופיים.
עם זאת, החוק דורש ממערכות בסיכון גבוה מערכת מתועדת לניהול סיכונים לאורך מחזור החיים, וזו בדיוק הדרישה שתקן 42001 בנוי סביבה. ארגון שהטמיע אותו ברצינות יגיע לדרישה הזו עם רוב העבודה מאחוריו. זה יתרון מעשי משמעותי, גם בלי חזקה משפטית.
לפני שבוחרים מסגרת, כדאי לעשות את הצעד שאינו דורש אף אחת מהן: מיפוי. אילו מערכות בינה מלאכותית פועלות בארגון, מי הספק של כל אחת, איזו החלטה נשענת על הפלט שלה, ואיזה מידע נכנס אליה.
מניסיוני, השלב הזה לבדו חושף את מרבית החשיפה. ארגונים מגלים בו כלים שאיש לא אישר, נתונים שנכנסו בלי בדיקת מקור, והחלטות שנשענות על פלט שלא תועד. אלה בעיות שאף תקן לא פותר לבדו, והן מה שיקבע איזו מסגרת בכלל מתאימה.
הערה: אין באמור ייעוץ משפטי או תחליף לו, והוא אינו מהווה חוות דעת מחייבת. כל מקרה מחייב בחינה פרטנית מול עורך דין מוסמך.
נושא: בינה מלאכותית וממשל סיכונים
ייעוץ נדל״ן והתחדשות עירונית · ייעוץ AI · ייעוץ משפטי · גישור ויישוב סכסוכים · מאמרים · שאלות ותשובות · מבדק מוכנות · תיאום פגישה