Putevi do poverenja

Put za bilo koji okvir

Koristite ga kada zakon, standard ili klijent traži dokaz. Istih devet koraka vodi kroz svaki od njih, pa je svaki okvir varijacija ovog puta.

1. Imenujte obavezu

   Šta se traži, od koga, do kada i ko odlučuje da je ispunjeno: zakon, standard, klijent.

2. Odredite obim

   Koji sistemi, usluge, ljudi i podaci su uključeni. Zapišite to prvo.

3. Mapirajte zahteve na kontrole

   Jedna kontrola može odgovarati na mnogo zahteva, zato je napišite jednom.

4. Pronađite praznine

   Uporedite šta se zaista dešava sa onim što kontrole očekuju i sačuvajte dokaze.

5. Dajte svakoj kontroli vlasnika

   Imenovana osoba, datum i prioritet rangiran prema riziku. Plan koji niko ne poseduje jeste želja.

6. Izgradite i sprovodite

   Politike koje ljudi mogu da slede i kontrole koje se izvršavaju. Dokazi treba da nastaju iz samog rada.

7. Proverite sami sebe

   Interni pregled i pregled rukovodstva pre nego što iko spolja pogleda.

8. Obezbedite nezavisno uverenje

   Gde okvir to traži: revizor, sertifikaciono telo ili prijavljeno telo. Zakon umesto toga može da sprovodi regulator, bez koraka revizije koji treba proći.

9. Održavajte ga živim

   Praćenje, kontrola promena i godišnji ritam, da naredna revizija bude rutina.

Gde AI i automatizacija pomažu

• Održavanje povezanosti mape zahtev–kontrola, vlasnika i dokaza.
• Prikupljanje dokaza po rasporedu i njihova provera u odnosu na kontrolu.
• Praćenje zanošenja: kontrola koja je prestala da se izvršava, pregled koji kasni, tvrdnja iza koje nema artefakta.

Zamke koje najviše vremena koštaju

• Početak od dokumenata umesto od obima.
• Mapa kontrola prepisana iz šablona koju niko ne ume da objasni.
• Dokazi koji postoje samo u nečijoj glavi.
• Shvatanje revizije kao cilja.

Put do SOC 2

Koristite ga kada klijenti traže uverenje o Vašem radu. SOC 2 je izveštaj revizora o tome kako Vaše kontrole ispunjavaju Trust Services Criteria. Izveštaj je proizvod: klijenti ga čitaju umesto da Vam šalju upitnik.

1. Izaberite obim

   Koje usluge i sistemi, i koji kriterijumi. Bezbednost je uvek uključena; dostupnost, poverljivost, integritet obrade i privatnost dodaju se kada klijenti to traže.

2. Opišite sistem i procenite rizik

   Opis sistema od strane rukovodstva i procena rizika koja objašnjava zašto svaka kontrola postoji. Revizori čitaju oba pre nego što išta testiraju.

3. Pronađite praznine

   Uporedite ono što danas radite sa onim što kriterijumi očekuju. Kratka procena spremnosti štedi mesece kasnije.

4. Zapišite kontrole

   Politike koje ljudi mogu da slede, imenovani vlasnici i kontrole koje odgovaraju načinu na koji tim zaista radi.

5. Prikupljajte dokaze od prvog dana

   Tiketi, recenzije, liste pristupa i rezultati testova već postoje; beležite ih dok se dešavaju.

6. Tip I: kontrole kako su dizajnirane

   CPA firma izveštava o tome da li su kontrole prikladno dizajnirane u određenom trenutku. To je najbrži prvi izveštaj. SOC 2 je atestacija, a ne sertifikacija, i izveštaj se obično deli sa klijentima uz ograničenu upotrebu.

7. Tip II: kontrole u radu

   Iste kontrole prikazane u radu tokom perioda posmatranja, često od tri do dvanaest meseci. Klijenti ovaj izveštaj obično najviše cene.

Gde AI i automatizacija pomažu

• Povlačenje dokaza iz sistema po rasporedu i njihova provera u odnosu na kontrolu, umesto snimaka ekrana u vreme revizije.
• Izrada nacrta politika i opisa kontrola iz Vaše stvarne prakse, da ih osoba pregleda i odobri.
• Praćenje zanošenja: kontrola koja je tiho prestala da se izvršava, pregled pristupa koji kasni.

Zamke koje najviše vremena koštaju

• Pisanje politika koje niko ne sledi. Revizor testira šta se dešava, a ne šta piše u dokumentu.
• Obim koji raste tokom revizije. Odlučite ga rano i zapišite.
• Dokazi koje niko ne poseduje. Svaka kontrola treba imenovanu osobu koja je proverava.

SOC paket i kriterijumi (AICPA) ↗↗ Više referenci u biblioteci →

Put do ISO 27001

Koristite ga kada Vam treba nezavisan, sertifikovan dokaz o tome kako vodite informacionu bezbednost. ISO 27001 sertifikuje sistem upravljanja, a ne proizvod: način rada koji se stalno unapređuje i koji proverava nezavisno telo.

1. Razumite kontekst

   Ko zavisi od Vas, šta zahtevaju zakon i ugovori i šta mora da se štiti.

2. Odredite obim i politiku

   Koji delovi organizacije i koja imovina su uključeni. Najviše rukovodstvo poseduje politiku.

3. Procenite rizik i postupajte po njemu

   Metod rizika koji možete da ponovite, registar sa vlasnicima i odluke o tome šta smanjiti, prihvatiti, preneti ili izbeći.

4. Izaberite kontrole

   Birajte iz kontrola Aneksa A (ISO/IEC 27001:2022) i zabeležite izbore i razloge u Izjavi o primenljivosti.

5. Sprovodite sistem

   Sprovodite kontrole, obučavajte ljude, pratite i čuvajte zapise koji to pokazuju.

6. Revidirajte sebe, zatim pregledajte

   Interna revizija, korektivne mere za njene nalaze i pregled rukovodstva pre dolaska sertifikacionog tela.

7. Sertifikacija i ciklus

   Revizija u dve faze koju vrši akreditovano sertifikaciono telo, godišnje nadzorne revizije i resertifikacija na kraju trogodišnjeg ciklusa.

Gde AI i automatizacija pomažu

• Održavanje povezanosti registra rizika, liste kontrola i dokaza.
• Praćenje datuma pregleda, zadataka koji kasne i korektivnih mera, uz podsećanje vlasnika.
• Priprema interne revizije: uzorkovanje, provere dokaza i prva lista nalaza koje revizor treba da potvrdi.

Zamke koje najviše vremena koštaju

• Shvatanje ovoga kao dokumentarnog projekta. Revizori traže sistem koji radi i unapređuje se.
• Izjava o primenljivosti prepisana iz šablona sa razlozima koje niko ne ume da objasni.
• Dozvoljavanje da pregled rukovodstva postane formalnost. To je mesto na kojem se beleže odluke.

ISO/IEC 27001 (ISO) ↗↗ Više referenci u biblioteci →

Put do ISO/IEC 42001

Koristite ga kada razvijate, pružate ili koristite AI i treba Vam način upravljanja njime koji nezavisno telo može da proveri. ISO/IEC 42001 je standard sistema upravljanja za AI, objavljen 2023. Ako već vodite ISO 27001, struktura je zajednička i mnogo toga može da se iskoristi ponovo.

1. Razumite svoju ulogu

   Da li AI razvijate, pružate ili koristite? Ko zavisi od njega i šta očekuju zakon i Vaši klijenti?

2. Odredite obim i AI politiku

   Koji AI sistemi i delovi organizacije su uključeni, i politika koju poseduje najviše rukovodstvo.

3. Popišite AI sisteme

   Svaki sistem, njegov vlasnik, podaci koje koristi i dobavljači iza njega. Ne možete upravljati onim što ne vidite.

4. Procenite rizik i uticaj

   AI rizici za organizaciju i procena uticaja svakog sistema na ljude koje dotiče. Ponovite kada se sistem promeni.

5. Izaberite kontrole

   Izaberite kontrole koje odgovaraju, zabeležite razloge i pokrijte životni ciklus AI: podatke, razvoj, testiranje, uvođenje i praćenje.

6. Radite sa ljudima u petlji

   Ljudski nadzor gde je važan, praćenje onoga što sistem zaista radi i postupanje sa incidentima i pritužbama.

7. Revizija i pregled

   Interna revizija i pregled rukovodstva, zatim sertifikaciona revizija akreditovanog tela, a potom nadzorne revizije.

Gde AI i automatizacija pomažu

• Održavanje AI inventara ažurnim čitanjem onoga što je zaista isporučeno i isticanje upotreba koje niko nije registrovao.
• Prikupljanje dokaza praćenja po rasporedu: performanse, zanošenje, ručna preinačenja od strane ljudi.
• Izrada nacrta procena uticaja da ih osoba pregleda i odobri.

Zamke koje najviše vremena koštaju

• Pisanje jedne politike i smatranje posla završenim.
• Previd AI-ja koji stiže unutar proizvoda dobavljača.
• Shvatanje procene uticaja kao obrasca umesto kao razgovora sa pogođenim ljudima.

Sertifikacija prema ISO/IEC 42001 sama po sebi ne pokazuje usklađenost sa EU AI Act, koji je zakon sa sopstvenim zahtevima.

ISO/IEC 42001 (ISO)↗ NIST AI Risk Management Framework↗ Više u biblioteci

Put do EU AI Act

Koristite ga kada gradite, pružate ili koristite AI sisteme i zakon bi mogao da se odnosi na Vas. EU AI Act je zakon, a ne standard: obaveze zavise od Vaše uloge i od toga koliko su Vaši AI sistemi rizični. Prvo pitanje je koja se kategorija odnosi na Vas.

1. Pronađite svoju ulogu

   Provajder, korisnik sistema (deployer), uvoznik, distributer ili ovlašćeni zastupnik. Dužnosti zavise od toga šta ste, a možete biti i više njih.

2. Popišite svoje AI sisteme

   Svaki sistem i svaka upotreba, uključujući one koje kupujete i one ugrađene u druge alate.

3. Klasifikujte rizik

   Zabranjene prakse (već na snazi), sistemi visokog rizika, sistemi sa dužnostima transparentnosti i ostali. Kategorija odlučuje šta sledi.

4. Dužnosti provajdera za sisteme visokog rizika

   Upravljanje rizikom, upravljanje podacima, tehnička dokumentacija, evidentiranje, transparentnost prema korisnicima, ljudski nadzor, tačnost i otpornost i sistem upravljanja kvalitetom. Provajderi AI modela opšte namene imaju sopstvene dužnosti.

5. Dužnosti korisnika sistema (deployer)

   Koristite sistem prema uputstvu, dodelite ljudski nadzor kompetentnim ljudima, pratite ga, čuvajte logove i obavestite pogođene ljude. Neki korisnici sistema moraju da procene i uticaj na osnovna prava. Sistemi koji razgovaraju sa ljudima ili generišu sintetički sadržaj nose dužnosti transparentnosti.

6. Dokažite

   Za većinu sistema visokog rizika provajder sam procenjuje usaglašenost; prijavljeno telo je uključeno samo za neke. Registrujte gde je potrebno i čuvajte dokumentaciju koju bi nadležni organ mogao da pročita.

7. Izgradite AI pismenost

   Ova dužnost se već primenjuje: ljudi koji rade sa AI-jem treba da ga razumeju dovoljno da to rade odgovorno.

8. Pratite nakon pokretanja

   Posmatrajte sistem u upotrebi, prijavljujte ozbiljne incidente i ažurirajte dosije kada se promeni sistem ili zakon.

Gde AI i automatizacija pomažu

• Održavanje inventara i klasifikacije ažurnim, uz osobu koja potvrđuje svaku odluku.
• Prikupljanje logova i dokaza praćenja tako da se tehnički dosije gradi sam.
• Praćenje koje se obaveze primenjuju od kog datuma i na koje sisteme.

Zamke koje najviše vremena koštaju

• Klasifikovanje po nadi umesto po tekstu.
• Zaboravljanje da korišćenje tuđeg AI-ja i dalje čini Vas korisnikom sistema (deployer) sa dužnostima.
• Shvatanje ovoga kao jednokratnog projekta kada se dužnosti nastavljaju nakon pokretanja.

Opšte smernice, a ne pravni savet. Akt je stupio na snagu u avgustu 2024. Koliko razumem raspored, zabrane i dužnost AI pismenosti primenjuju se od februara 2025, pravila za AI modele opšte namene od avgusta 2025, a datumi za pravila o visokom riziku zavise od vrste sistema i mogu biti izmenjeni. Proverite zvanični tekst i sve izmene za datume koji se danas odnose na Vas.

EU AI Act, zvanični tekst↗ Nezavisni vodič sa pretragom↗ Više u biblioteci

Više njih bez dvostrukog posla

Putevi dele najveći deo terena. Izgradite kontrole i dokaze jednom, mapirajte ih na svaki okvir koji Vam treba i neka svaka revizija čita iste zapise.

• Jedan zapis kontrole povezan sa svakim zahtevom na koji odgovara, kroz SOC 2, ISO 27001, ISO/IEC 42001 i AI Act.
• Jedan trag dokaza za svaku reviziju.
• Jedan registar rizika koji objašnjava zašto svaka kontrola postoji.

Želite pomoć oko izbora ili početka puta? Saradnja sa mnom → Pročitajte: usklađenost kao graf → Nazad na AI World →