ISO/IEC 42001 i NIST AI RMF: system zarządzania AI w średniej firmie
ISO/IEC 42001:2023 to międzynarodowa norma określająca wymagania dla systemu zarządzania sztuczną inteligencją, a NIST AI RMF to dobrowolne ramy zarządzania ryzykiem AI opublikowane przez amerykański NIST. Artykuł porównuje oba dokumenty, opisuje ich elementy, pokazuje przeliczony przykład zakresu wdrożenia i wskazuje typowe błędy.
Kwoty i wartości w przykładach są danymi ilustracyjnymi, które pokazują sposób obliczeń. W projektach stosujemy dane klienta.
Dominik Dębski · Lemur Media · · czas czytania: 4 min
Sprawdził: Dominik Dębski, 1.11.2026
Czym są ISO/IEC 42001 i NIST AI RMF?
ISO/IEC 42001 opisuje, jak zbudować i utrzymać system zarządzania sztuczną inteligencją (Artificial Intelligence Management System, AIMS), a NIST AI RMF opisuje, jak identyfikować, mierzyć i ograniczać ryzyka systemów AI. Norma ISO/IEC 42001:2023 „Information technology. Artificial intelligence. Management system” została opublikowana 18 grudnia 2023 roku. Dotyczy organizacji każdej wielkości, które rozwijają, dostarczają lub wykorzystują produkty i usługi oparte na AI, i opiera się na cyklu Plan-Do-Check-Act. Ramy NIST AI Risk Management Framework (AI RMF 1.0, dokument NIST AI 100-1) opublikował amerykański National Institute of Standards and Technology 26 stycznia 2023 roku; są przeznaczone do dobrowolnego stosowania. W lipcu 2024 roku NIST wydał profil dla generatywnej AI (NIST AI 600-1), a na stronie ram informuje o trwającej rewizji wersji 1.0.
Jakie funkcje ma NIST AI RMF?
| Funkcja | Zakres |
|---|---|
| Zarządzanie (Govern) | Kultura zarządzania ryzykiem, zasady, dokumentacja i struktury odpowiedzialności; funkcja przekrojowa, która wspiera trzy pozostałe |
| Mapowanie (Map) | Kontekst systemu AI i jego ryzyk; wynik stanowi podstawę wstępnej decyzji o kontynuacji lub zatrzymaniu |
| Pomiar (Measure) | Metody ilościowe i jakościowe do analizy, testowania i monitorowania ryzyk przed wdrożeniem i w trakcie działania |
| Postępowanie (Manage) | Przydział zasobów do zidentyfikowanych ryzyk, plany reagowania na incydenty i komunikacji |
Czym różnią się oba dokumenty?
| Cecha | ISO/IEC 42001 | NIST AI RMF |
|---|---|---|
| Charakter | Norma z wymaganiami systemu zarządzania | Dobrowolne ramy i zalecenia |
| Certyfikacja | Możliwa przez akredytowane jednostki certyfikujące | Stosowanie dobrowolne |
| Punkt ciężkości | Polityki, cele, procesy i ciągłe doskonalenie | Ryzyka konkretnych systemów AI |
| Zastosowanie w firmie | Dowód dla klientów i partnerów, że AI jest zarządzana systemowo | Metodyka oceny ryzyk w projektach AI |
Możliwość certyfikacji potwierdzają akredytacje jednostek certyfikujących; przykładowo BSI ogłosiło 9 grudnia 2024 roku akredytację w zakresie systemów zarządzania AI. W praktyce oba dokumenty się uzupełniają: ISO/IEC 42001 porządkuje system zarządzania, a NIST AI RMF dostarcza metod oceny ryzyk dla poszczególnych przypadków użycia.
Jak przebiega wdrożenie w średniej firmie?
Wdrożenie zaczyna się od rejestru systemów AI i polityki użycia, a ocena ryzyk i procesy systemu zarządzania obejmują najpierw systemy o największym wpływie. W naszej praktyce stosujemy pięć kroków.
- Rejestr systemów AI: wszystkie narzędzia i modele używane w firmie, z właścicielem, celem użycia i dostawcą.
- Polityka użycia AI: zasady dla pracowników, zakres danych dopuszczonych do narzędzi zewnętrznych, odpowiedzialności.
- Ocena ryzyk: dla każdego systemu według funkcji Map i Measure z NIST AI RMF, z naciskiem na wpływ na klientów i decyzje dotyczące ludzi.
- Procesy systemu zarządzania: zatwierdzanie nowych systemów, monitorowanie, obsługa incydentów, przegląd zarządu.
- Decyzja o certyfikacji: podejmowana, gdy klienci lub partnerzy wymagają dowodu zgodności z ISO/IEC 42001.
Firma, która nie planuje certyfikacji, może korzystać z obu dokumentów jako wzorców dobrych praktyk i wdrażać je w zakresie proporcjonalnym do liczby i wpływu systemów AI.
Jak oszacować zakres wdrożenia?
Zakres wdrożenia wynika z rejestru systemów AI: liczby systemów, ich wpływu na klientów i decyzje oraz źródła pochodzenia. Przykład dotyczy firmy usługowej zatrudniającej 250–999 osób.
| Grupa systemów | Liczba | Ocena ryzyka na system | Łącznie dni pracy |
|---|---|---|---|
| Narzędzia ogólne (asystenci, tłumaczenia) | 14 | 0,5 dnia | 7 |
| Systemy w procesach wewnętrznych | 7 | 2 dni | 14 |
| Systemy wpływające na klientów lub decyzje kadrowe | 3 | 5 dni | 15 |
| Razem | 24 | 36 dni |
Trzy systemy o największym wpływie (12,5% rejestru) zajmują 15 z 36 dni, czyli ok. 42% pracy. Dlatego wdrożenie rozpoczyna się od nich, a narzędzia ogólne obejmuje się polityką użycia i krótką oceną. Szacunek aktualizuje się co kwartał, ponieważ liczba systemów w rejestrze zwykle rośnie wraz z nowymi funkcjami AI w narzędziach, z których firma już korzysta.
Jakie są typowe błędy?
- Wdrażanie normy przed utworzeniem rejestru systemów AI: nie wiadomo, czego dotyczy system zarządzania.
- Traktowanie certyfikatu ISO/IEC 42001 jako potwierdzenia zgodności z AI Act: wymagania rozporządzenia ocenia się osobno.
- Ocena ryzyka jednorazowo przed wdrożeniem, bez monitorowania działania systemu.
- System zarządzania AI prowadzony wyłącznie przez dział prawny lub IT, bez właścicieli biznesowych przypadków użycia.
- Dokumentacja tworzona na potrzeby audytu, która nie zmienia sposobu zatwierdzania i monitorowania systemów AI.
Źródła
- ISO: ISO/IEC 42001:2023 Artificial intelligence, Management system
- NIST: AI Risk Management Framework
- NIST: Artificial Intelligence Risk Management Framework (AI RMF 1.0), NIST AI 100-1
- NIST AI Resource Center: AI RMF Core
- BSI: BSI announced as an accredited AI management system certification body (9.12.2024)