Mit követel az AI Act kockázatkezelési rendszere, és miben más, mint az ISO 42001?
A 9. cikk nem szervezeti kockázatot kezel, hanem azt, amit a rendszer harmadik személyek egészségére, biztonságára és alapjogaira jelent — folyamatos, a teljes életciklusra kiterjedő, dokumentált és tesztelésre alapozott folyamatban. Az ISO 31000 és az ISO/IEC 42001 más alanyt véd, és egyik sem harmonizált szabvány, így megfelelőségi vélelmet nem keletkeztet.
A 9. cikk (2) négy lépést ír elő: az ismert és ésszerűen előrelátható kockázatok azonosítása rendeltetésszerű használat mellett; becslés és értékelés rendeltetésszerű és ésszerűen előrelátható visszaélésszerű használat mellett is; a piacra hozatal utáni monitoringból nyert adatok értékelése; végül célzott kockázatkezelési intézkedések. Csak azok a kockázatok tartoznak ide, amelyek tervezéssel vagy megfelelő műszaki információval ésszerűen mérsékelhetők.
Az (5) bekezdés a nem nulla maradványkockázat elvét rögzíti. A maradványkockázatot veszélyenként és összesítve is elfogadhatónak kell ítélni, a rangsor pedig kötött: kiküszöbölés tervezéssel, majd kontrollintézkedések, végül tájékoztatás és képzés. A (6)–(8) bekezdés előre meghatározott mérőszámok és valószínűségi küszöbértékek ellenében kötelező tesztelést ír elő, a piacra hozatal előtt.
A fő eltérés az alany és a mérce. Az ISO 31000 a szervezet céljaira ható bizonytalanságot kezeli kockázati étvágy alapján; a 9. cikk kívülálló személyek alapjogait védi, és az elfogadható maradványkockázat mércéje jogi, nem üzleti döntés. Az ISO/IEC 42001 közelebb áll, de nem tartalmazza a 9. cikk (8) szerinti előzetes metrika- és küszöbérték-alapú tesztelést. A 9. cikk (10) viszont megengedi az integrálást meglévő belső kockázatkezelési eljárásba.
A dokumentált képzés az, ami igazolható
A 4. cikk gondossági kötelem: nem a tudás önmagában számít, hanem hogy a cég bizonyíthatóan tett érte. Az alapcsomagunkkal ez ingyen elkezdhető.
Ingyenes kezdésKapcsolódó kérdések
- Elég-e az ISO 42001 az AI Act megfeleléshez?
- Mi az elfogadható maradványkockázat az AI Actben?
- Hogyan teszteljük a magas kockázatú AI-rendszert?
- Kell-e külön kockázatkezelési rendszer az AI-ra?
- Mit jelent az ésszerűen előrelátható visszaélésszerű használat?
- Beépíthető-e az AI-kockázatkezelés a meglévő rendszerbe?
- Mi a különbség az ISO 31000 és a 9. cikk között?
Tovább a tudásbázisban
- Kötelező-e tanúsított minőségirányítási rendszer, és elég-e az ISO/IEC 42001?Tanúsított rendszer nem kötelező: a 17. cikk dokumentált minőségirányítási rendszert követel, nem akkreditált tanúsítványt. Az ISO/IEC 42001 hasznos váz, de nem harmonizált szabvány, így a 40. cikk szerinti megfelelőségi vélelmet nem keletkezteti, és önmagában nem fedi le a 17. cikk (1) valamennyi pontját.
- Mi a szolgáltató kötelezettségeinek teljes listája magas kockázatú AI-rendszernél?A 16. cikk tizenkét pontban sorolja fel őket, két rétegben. A termék-réteg a 8–15. cikk: kockázatkezelés, adatkormányzás, műszaki dokumentáció, naplózás, átláthatóság, emberi felügyelet, pontosság és kiberbiztonság. A szervezeti réteg a 17–21., 43. és 47–49. cikk: minőségirányítás, dokumentumőrzés tíz évig, megfelelőségértékelés, EU-megfelelőségi nyilatkozat, CE-jelölés és regisztráció.
- Hogyan mérhető és dokumentálható az AI pontossága, robusztussága és kiberbiztonsága szabvány nélkül?A 15. cikk célkötelmet fogalmaz meg — megfelelő szintű pontosság, robusztusság és kiberbiztonság —, mérőszámot nem ír elő. Harmonizált szabvány ma nincs, ezért a szolgáltatónak magának kell megindokolnia és dokumentálnia a választott mérőszámokat, a IV. melléklet 4. és 7. pontja alapján. A bizonyítás terhe teljes egészében rajta van.