Jak ISMS Copilot implementuje ISO 42001

ISMS Copilot jest zbudowany na kompleksowych praktykach zgodności z normą ISO 42001:2023, demonstrując te same standardy systemu zarządzania AI, które pomagamy osiągnąć naszym klientom. Ten artykuł zapewnia przejrzystość w zakresie implementacji przez nas zarządzania AI, zarządzania ryzykiem oraz kontroli cyklu życia w naszej własnej platformie.

Dla kogo jest ten artykuł

Ten artykuł jest przeznaczony dla:

• Specjalistów ds. zgodności oceniających dojrzałość zarządzania AI w ISMS Copilot
• Menedżerów ryzyka oceniających kontrolę systemu zarządzania AI
• Audytorów weryfikujących dowody zgodności z ISO 42001
• Organizacji poszukujących dostawców z udokumentowanym zarządzaniem AI

Klasyfikacja systemu AI

Przeprowadziliśmy kompleksową ocenę wpływu AI (AIIA) dla ISMS Copilot 2.0:

Klasyfikacja ryzyka:

• Ogólny wynik: 1,9 (Niskie ryzyko w skali 1-5)
• Klasyfikacja wg unijnej ustawy o AI: Ograniczone ryzyko
• Przypadek użycia: Wsparcie zgodności i generowanie polityk (bez automatycznego podejmowania decyzji wpływających na prawa prawne)

Co to oznacza:

• ISMS Copilot nie jest klasyfikowany jako „wysokiego ryzyka” zgodnie z definicjami unijnej ustawy o AI
• Brak krytycznego wpływu na bezpieczeństwo, prawa prawne lub infrastrukturę
• Obowiązują wymogi przejrzystości (ujawnienie użycia AI, nacisk na nadzór ludzki)
• Wystarczające są standardowe kontrole ochrony danych i bezpieczeństwa

Dokumentacja projektowa systemu AI

Nasz dokument projektowy systemu AI (AI-SDD-001) służy jako podstawowe odniesienie inżynieryjne i dowód zgodności z ISO 42001:2023. Dokumentuje on:

Komponenty architektury:

• System dynamicznego wstrzykiwania wiedzy ramowej (v2.5+)
• Integracja AI od wielu dostawców (OpenAI, Anthropic, Mistral, xAI)
• Stos infrastrukturalny (Vercel Edge, Fly.io, Supabase)
• Przepływy danych i granice izolacji

Mapowanie ISO 42001:

Każda decyzja projektowa jest mapowana na konkretne kontrole ISO 42001. Przykładowo:

• A.4 (Zasoby): Infrastruktura hostowana w UE (Frankfurt), procesory zgodne z RODO
• A.5 (Ocena wpływu): Udokumentowana AIIA z analizą stronniczości, prywatności, bezpieczeństwa i wpływu społecznego
• A.6 (Odpowiedzialny rozwój): Cykl życia bezpiecznego rozwoju, testy regresji, skanowanie SAST/DAST
• A.7 (Zarządzanie danymi): Umowy o braku przechowywania danych, izolacja przestrzeni roboczych, kontrola retencji przez użytkownika
• A.8 (Interakcja z użytkownikiem): Powiadomienia o przejrzystości, projekt z udziałem człowieka, zastrzeżenia dotyczące weryfikacji
• A.9 (Odpowiedzialne użycie): Ograniczenie celu, zapobieganie jailbreakom, bariery zakresu treści

Zarządzanie ryzykiem AI

Utrzymujemy ustrukturyzowany rejestr ryzyka AI, spełniający wymagania klauzuli 6.1 ISO 42001:

Kluczowe zidentyfikowane ryzyka:

• Halucynacje (R-AI-001): AI generujące nieprawdziwe wskazówki dotyczące zgodności
• Stronniczość (R-AI-002): Nierówna jakość odpowiedzi w różnych ramach lub regionach
• Wyciek prywatności (R-AI-003): Przypadkowe ujawnienie danych treningowych lub treści użytkownika
• Dryf modelu (R-AI-004): Pogorszenie wydajności w czasie
• Ataki adversarialne (R-AI-005): Jailbreaki, wstrzykiwanie promptów, próby ominięcia zabezpieczeń

Kontrole łagodzące:

• Halucynacje: Dynamiczne wstrzykiwanie wiedzy ramowej (wykrywanie oparte na regex, zweryfikowana wiedza dostarczana do AI przed generowaniem odpowiedzi)
• Stronniczość: Testowanie parytetu regionalnego (±20% próg głębokości), rozszerzanie pokrycia wielu ram
• Prywatność: Umowy o braku przechowywania danych (ZDR) ze wszystkimi dostawcami AI, izolacja przestrzeni roboczych, szyfrowanie w spoczynku
• Dryf: Ciągłe monitorowanie wydajności (P95 opóźnienia, wyniki satysfakcji użytkowników), automatyczne testy regresji
• Ataki adversarialne: Ochrona przed wstrzykiwaniem promptów, bariery zapobiegające jailbreakom, egzekwowanie zakresu treści

Testowanie stronniczości i uczciwości

Nasz plan testowania stronniczości i uczciwości AI spełnia wymagania ISO 42001 A.5 (Ocena wpływu):

Metodologia testowania:

• Parytet regionalny: Jakość odpowiedzi mierzona w różnych kontekstach geograficznych (UE, USA, region Azji i Pacyfiku)
• Parytet ram: Dokładność walidowana we wszystkich 9 obsługiwanych ramach (ISO 27001, RODO, SOC 2 itp.)
• Próg głębokości: Żaden region/ramy nie otrzymują
• Przejrzystość: Ograniczenia modelu ujawnione w dokumentacji skierowanej do użytkowników

Aktualne wyniki:

• Wszystkie ramy spełniają progi parytetu (przeprowadzono testy próbne)
• Nie wykryto systematycznej stronniczości w generowaniu wskazówek dotyczących zgodności
• Ciągłe monitorowanie zintegrowane z testami regresji

Monitorowanie wydajności

Nasz plan monitorowania wydajności modeli AI zapewnia ciągłą zgodność z klauzulą 9 ISO 42001 (Ocena wydajności):

Monitorowane metryki:

• Czas odpowiedzi: Docelowy P95 opóźnienia
• Dokładność: Walidacja uziemienia wstrzykiwanej wiedzy ramowej
• Satysfakcja użytkowników: Docelowo >80% satysfakcji (mierzona poprzez feedback)
• Wskaźnik halucynacji: Śledzony poprzez raporty użytkowników i automatyczne wykrywanie
• Wskaźniki błędów: Awaria API, awaria pobierania, incydenty związane z przekroczeniem czasu

Infrastruktura monitorowania:

• Tablice wydajności w czasie rzeczywistym (tylko wewnętrzne)
• Automatyczne alerty w przypadku przekroczenia progów
• Cotygodniowe przeglądy wydajności
• Kwartalne analizy trendów i raportowanie

Zarządzanie cyklem życia AI

Stosujemy ustrukturyzowane kontrole na całym cyklu życia systemu AI:

Projektowanie i Rozwój (ISO 42001 A.6)

• Definicja wymagań: Funkcjonalne, wydajnościowe, bezpieczeństwa oraz wymagania dotyczące przetwarzania danych udokumentowane dla każdej funkcji AI
• Bezpieczeństwo z założenia: Skanowanie SAST/DAST, testy wstrzykiwania promptów, testy adwersarialne
• Testy regresji: Wymagane 100% zaliczenie testów przed wdrożeniem
• Przegląd kodu: Wszystkie zmiany w systemie AI przeglądane przez starszych inżynierów

Wdrożenie (ISO 42001 A.8)

• Walidacja przed wdrożeniem: Lista kontrolna obejmująca zaliczone testy, zatwierdzenie bezpieczeństwa, zaktualizowaną dokumentację, skonfigurowany monitoring
• Plany wycofania: Możliwość natychmiastowego wycofania w przypadku nieudanych wdrożeń
• Komunikacja z użytkownikami: Informacje o wydaniu, aktualizacje dziennika zmian, ogłoszenia nowych funkcji

Eksploatacja i Monitorowanie (ISO 42001 A.7)

• Ciągłe monitorowanie: Wydajność, dokładność, wskaźniki błędów śledzone w czasie rzeczywistym
• Reagowanie na incydenty: 24-godzinne raportowanie istotnych incydentów (zgodne z NIS2)
• Pętle informacji zwrotnej od użytkowników: Bilety wsparcia, prośby o nowe funkcje, raporty o negatywnym wpływie regularnie przeglądane

Wycofanie (ISO 42001 Klauzula 8)

• Procesy usuwania danych zgodne z ustawieniami przechowywania danych użytkowników
• Komunikacja z użytkownikami przed wycofaniem funkcji
• Zachowanie wiedzy na potrzeby przyszłych ulepszeń systemu

Proces Audytu Wewnętrznego

Utrzymujemy Wewnętrzną Listę Kontrolną Audytu Systemu Zarządzania AI obejmującą wszystkie klauzule ISO 42001 oraz kontrole Załącznika A:

Zakres audytu:

• Zgodność z klauzulami 4-10 (kontekst, przywództwo, planowanie, wsparcie, eksploatacja, ocena wydajności, doskonalenie)
• Wdrożenie kontroli Załącznika A (kontrole specyficzne dla AI)
• Gromadzenie dowodów (polityki, oceny ryzyka, zapisy testów, logi monitoringu)

Częstotliwość audytów:

• Roczny kompleksowy audyt AIMS
• Kwartalne przeglądy rejestru ryzyka
• Audyty doraźne w przypadku istotnych zmian w systemie AI

Zarządzanie wynikami:

• Niezgodności (NC) rejestrowane i śledzone do zamknięcia
• Możliwości doskonalenia (OFI) priorytetyzowane w planie rozwoju
• Przegląd zarządzania obejmuje wyniki audytów i działania korygujące

Zobowiązanie do Zerowego Przechowywania Danych

Wszyscy dostawcy AI (OpenAI, Anthropic, Mistral, xAI) działają na podstawie umów o Zerowym Przechowywaniu Danych (ZDR):

Warunki ZDR:

• Brak przechowywania danych użytkowników poza przetwarzaniem żądania
• Brak trenowania modeli na treściach klientów
• Zgodne z GDPR transfery danych (Standardowe Klauzule Umowne)
• Egzekwowane standardy bezpieczeństwa przedsiębiorstw

Zgodność:

• ISO 42001 A.7.2: Kontrole zarządzania i przechowywania danych
• GDPR Artykuł 28: Obowiązki procesora
• ISO 27001 A.5.34: Prywatność i ochrona danych osobowych

Przejrzystość i Ujawnianie Informacji

ISO 42001 A.8.3 wymaga przejrzystości w zakresie wykorzystania systemów AI. Wdrażamy to poprzez:

Ujawnienia skierowane do użytkowników:

• Jasna identyfikacja treści generowanych przez AI (interfejs czatu, branding asystenta)
• Ograniczenia uznane w każdej interakcji z AI („zawsze weryfikuj krytyczne informacje”)
• Możliwości i ograniczenia modeli udokumentowane publicznie
• Nacisk na przegląd ludzki („AI wspomaga, nigdy nie zastępuje profesjonalnej oceny”)

Przejrzystość techniczna:

• Architektura udokumentowana publicznie (dynamiczne wstrzykiwanie wiedzy, wielu dostawców)
• Praktyki testowe ujawnione (regresja, stronniczość, adwersarialne)
• Udostępniane wskaźniki monitorowania (cele wydajnościowe, śledzenie halucynacji)
• Komunikacja o incydentach poprzez stronę statusu i alerty e-mail

Ciągłe Doskonalenie

Klauzula 10 ISO 42001 wymaga ciągłego doskonalenia AIMS. Nasze praktyki obejmują:

Integracja informacji zwrotnej:

• Raporty użytkowników o halucynacjach napędzają aktualizacje bazy wiedzy
• Wyniki testów bezpieczeństwa uruchamiają ulepszenia zabezpieczeń
• Monitorowanie wydajności identyfikuje możliwości optymalizacji
• Zmiany regulacyjne odzwierciedlane w dokumentacji i kontrolach

Potok innowacji:

• Nowe frameworki dodawane do systemu wstrzykiwania wiedzy (planowane NIST 800-53, PCI DSS)
• Rozszerzone testy stronniczości dla nowych przypadków użycia
• Zaawansowane możliwości monitorowania (wykrywanie dryfu, rozpoznawanie wzorców adwersarialnych)
• Eksploracja certyfikacji ISO 42001 przez stronę trzecią

Co to oznacza dla klientów

Nasza implementacja ISO 42001 zapewnia, że:

• Zarządzanie: Systemy AI są zarządzane za pomocą ustrukturyzowanych polityk, ocen ryzyka i kontroli cyklu życia
• Przejrzystość: Masz wgląd w to, jak działa AI, co potrafi/czego nie potrafi oraz jak je monitorujemy
• Bezpieczeństwo: Ryzyka takie jak halucynacje, stronniczość i wycieki prywatności są aktywnie łagodzone i monitorowane
• Odpowiedzialność: Jasne określenie odpowiedzialności, reagowanie na incydenty i procesy ciągłego doskonalenia
• Zaufanie: Stosujemy te same standardy zarządzania AI, które pomagamy osiągnąć Tobie

Dostęp do Dokumentacji

Nasza dokumentacja implementacji ISO 42001 obejmuje:

• Dokument Projektowy Systemu AI (AI-SDD-001): Architektura, przepływy danych, mapowanie ryzyka
• Ocena Wpływu AI (AI-IMP-001): Klasyfikacja ryzyka, zgodność z unijną ustawą o AI
• Plan Testów Stronniczości i Sprawiedliwości AI: Metodologia, progi, wyniki testów
• Plan Monitorowania Wydajności Modeli AI: Metryki, infrastruktura monitoringu, alerty
• Wewnętrzna Lista Kontrolna Audytu AIMS: Pokrycie klauzul/kontroli, wyniki, dowody

Dostępność:

• Podsumowania wysokiego poziomu opublikowane w centrum pomocy (ten artykuł, kolekcja Bezpieczeństwo AI)
• Szczegółowe dokumenty techniczne dostępne na żądanie dla klientów korporacyjnych i audytorów
• Zewnętrzne Centrum Zaufania udostępnia polityki zarządzania i certyfikaty

Co dalej

• Poznaj zabezpieczenia AI i praktyki odpowiedzialnego wykorzystania
• Poznaj techniczną architekturę i projektowanie systemów AI
• Zrozum standard ISO 42001 i wskazówki dotyczące wdrożenia
• Odwiedź Centrum Zaufania, aby zapoznać się ze szczegółową dokumentacją zarządczą

Pomoc

W przypadku pytań dotyczących naszego wdrożenia normy ISO 42001 lub w celu uzyskania szczegółowej dokumentacji:

• Skontaktuj się z pomocą techniczną za pośrednictwem menu Centrum Pomocy
• Zapoznaj się z Centrum Zaufania w celu uzyskania informacji o politykach zarządczych
• Sprawdź Stronę Statusu pod kątem statusu systemu AI