Искусственный интеллект уже работает в отделах продаж, поддержке клиентов, бухгалтерии и разработке. При этом в большинстве компаний никто не может ответить на простые вопросы: какие сервисы ИИ используют сотрудники, какие данные туда уходят и кто отвечает за результат. Аудитор и эксперт по управлению ИИ Кирилл Проскурня объясняет, зачем появился стандарт ISO/IEC 42001 и как он помогает.
Что такое ISO/IEC 42001
ISO/IEC 42001 это первый международный стандарт системы управления искусственным интеллектом, опубликованный в конце 2023 года. По структуре он похож на ISO/IEC 27001, но вместо информационной безопасности его предмет это ответственное использование и разработка ИИ.
Стандарт применим и к компаниям, которые создают ИИ-продукты, и к тем, кто просто использует готовые инструменты. По словам Кирилла Проскурни, второй случай встречается чаще: «Типичный клиент это компания, где маркетинг пишет тексты через чат-бот, разработчики используют помощника для кода, а HR прогоняет резюме через сервис оценки. Ни одного из этих инструментов нет в реестре, и никто не проверял, куда уходят данные».
Зачем это бизнесу
Три практические причины, с которыми сталкивается Кирилл Проскурня в работе с клиентами:
- Европейский регламент об ИИ. С августа 2026 года начинают действовать требования к системам высокого риска: подбор персонала, кредитный скоринг, образование, медицина. Компании нужно доказать, что система управляется. ISO/IEC 42001 дает готовую структуру.
- Требования клиентов. Корпоративные заказчики добавляют в анкеты поставщиков вопросы об ИИ: используете ли вы его в оказании услуг, как защищены наши данные, есть ли политика.
- Внутренние риски. Утечка клиентских данных через публичный сервис, ошибка модели, которую никто не проверил, репутационный ущерб от сгенерированного контента.
Что требует стандарт
Основные элементы системы управления ИИ по ISO/IEC 42001:
- Политика использования ИИ: что разрешено, что запрещено, кто утверждает новые инструменты.
- Реестр систем ИИ с указанием назначения, данных, поставщика и владельца.
- Оценка воздействия: как система влияет на людей, клиентов, сотрудников.
- Управление данными: откуда берутся данные для обучения и запросов, как обеспечивается их качество и конфиденциальность.
- Человеческий контроль: кто проверяет результат до того, как он попадет к клиенту.
- Мониторинг инцидентов и обратной связи.
Как внедрить за разумные сроки
Кирилл Проскурня рекомендует начинать с инвентаризации: за одну-две недели собрать перечень всех инструментов ИИ в компании, включая те, которыми сотрудники пользуются неофициально. Обычно список оказывается в два-три раза длиннее, чем ожидало руководство.
Дальше следует оценить риски для каждого инструмента, утвердить политику и закрыть самые очевидные проблемы: запретить загрузку персональных данных в публичные сервисы, определить ответственных, настроить корпоративные аккаунты вместо личных.
Компании, у которых уже есть ISO/IEC 27001, проходят путь быстрее, потому что большая часть процессов совпадает. Сертификацию по ISO/IEC 42001 имеет смысл рассматривать, когда ИИ становится частью продукта или когда этого требуют клиенты.
«ISO/IEC 42001 не запрещает ИИ и не замедляет работу. Он отвечает на вопрос, который рано или поздно задаст клиент, регулятор или совет директоров: вы контролируете то, что делает ваш искусственный интеллект?», резюмирует Кирилл Проскурня.
Подробнее об аудите и внедрении ISO/IEC 42001 на сайте Кирилл Проскурня.
Об авторе: Кирилл Проскурня, ведущий аудитор ISO/IEC 27001 и ISO/IEC 42001, CISA, AIGP (сертифицированный специалист по управлению ИИ, IAPP), основатель BALTUM. Автор видеокурса об ISO/IEC 42001 на YouTube.