สิ่งที่ ISO 42001 มอบให้และไม่ได้มอบให้แก่คุณภายใต้กฎหมาย AI ของสหภาพยุโรป (EU AI Act)

การรับรองมาตรฐาน ISO 42001 เพียงอย่างเดียวไม่ได้ทำให้องค์กรปฏิบัติตามกฎหมาย AI ของสหภาพยุโรปได้โดยทันที แต่การรับรองนี้จะสร้างและตรวจสอบอย่างอิสระถึงรากฐานการกำกับดูแลที่ใช้เป็นพื้นฐานในการปฏิบัติตามกฎหมาย AI ซึ่งมีคุณค่าอย่างมาก การรับรองนี้เป็นหลักฐานที่ชัดเจนที่สุดว่าองค์กรกำลังกำกับดูแล AI อย่างตั้งใจ ไม่ใช่แค่ตั้งใจ และเป็นส่วนหนึ่งของงานที่ใช้เวลานานที่สุดในการดำเนินการ องค์กรที่ได้รับการรับรองนี้ไม่ได้เริ่มต้นจากศูนย์ พวกเขาเริ่มต้นจากส่วนที่ยากที่สุดที่ได้ทำเสร็จแล้ว

บทความนี้จะอธิบายว่าการรับรองภายใต้พระราชบัญญัตินี้ครอบคลุมอะไรบ้าง ไม่ครอบคลุมอะไรบ้าง และใบรับรองนั้นมีน้ำหนักทางหลักฐานอย่างแท้จริงในกรณีใดบ้าง

ISO 42001 โดยสังเขป

ISO 42001 ซึ่งเผยแพร่ในเดือนธันวาคม 2023 เป็นมาตรฐานสากลฉบับแรกที่ได้รับการรับรองสำหรับระบบการจัดการปัญญาประดิษฐ์ (AIMS) โดยระบุข้อกำหนดสำหรับการจัดตั้ง การนำไปใช้ การบำรุงรักษา และการปรับปรุงอย่างต่อเนื่องในการกำกับดูแล AI ทั่วทั้งองค์กร และได้รับการสนับสนุนโดยชุดควบคุมภาคผนวก A ซึ่งครอบคลุมด้านต่างๆ เช่น นโยบายสำหรับ AI การจัดองค์กรภายใน ทรัพยากร การประเมินผลกระทบ วงจรชีวิตของระบบ AI ข้อมูล สารสนเทศสำหรับผู้มีส่วนได้ส่วนเสีย การใช้งานระบบ AI และความสัมพันธ์กับบุคคลภายนอก มาตรฐานนี้ได้รับการรับรองเป็นมาตรฐานยุโรป EN ISO 42001:2026 ในเดือนมีนาคม 2026 โดยไม่มีการเปลี่ยนแปลงข้อกำหนดทางเทคนิค

เหตุใดการรับรองเพียงอย่างเดียวจึงไม่ถือว่าเป็นการปฏิบัติตามข้อกำหนด

กฎหมาย AI ของสหภาพยุโรปให้รางวัลแก่สิ่งหนึ่งโดยเฉพาะ นั่นคือ มาตรฐานยุโรปที่สอดคล้องกัน มาตรฐานเหล่านี้เป็นมาตรฐานที่คณะกรรมาธิการยุโรปกำหนดขึ้นเพื่อสนับสนุนกฎหมาย และจะถูกอ้างอิงในวารสารทางการของสหภาพยุโรป หากเป็นไปตามมาตรฐานใดมาตรฐานหนึ่ง คุณจะได้รับข้อสันนิษฐานว่าสอดคล้อง ในทางปฏิบัติแล้ว นั่นเป็นการพลิกกลับภาระการพิสูจน์ หน่วยงานกำกับดูแลที่ท้าทายคุณจะต้องแสดงให้เห็นว่ามาตรฐานนั้นไม่เป็นไปตามที่กำหนด แทนที่คุณจะต้องแสดงให้เห็นว่าไม่เป็นเช่นนั้น

มาตรฐาน ISO 42001 ไม่ได้ถูกกำหนดขึ้นเพื่อวัตถุประสงค์ดังกล่าว ไม่มีภาคผนวก ZA ซึ่งเป็นภาคผนวกที่เชื่อมโยงมาตรฐานที่สอดคล้องกันเข้ากับข้อความทางกฎหมาย และไม่มีข้อสันนิษฐานว่าได้ปฏิบัติตามมาตรฐานนั้นแล้ว

มาตรฐานที่ใช้สำหรับงานดังกล่าวคือ EN 18286 ซึ่งตีพิมพ์ในเดือนกรกฎาคม 2026 เป็นมาตรฐานยุโรปฉบับแรกที่สนับสนุนพระราชบัญญัตินี้ ยังไม่มีการอ้างอิงมาตรฐานนี้ในวารสารทางการ ดังนั้นในขณะนี้จึงยังไม่มีมาตรฐานใดที่ให้ข้อสันนิษฐานแก่ใคร

มีข้อจำกัดเพิ่มเติมอีกสามประการที่ควรทราบ

กฎหมายฉบับนี้ควบคุมระบบ ไม่ใช่องค์กรการจัดทำเอกสาร การบันทึก การกำกับดูแล และความถูกต้องแม่นยำ ต้องได้รับการพิสูจน์สำหรับทุกระบบที่มีความเสี่ยงสูงที่คุณนำออกสู่ตลาด ระบบการจัดการมีส่วนสนับสนุนการทำงานเหล่านั้น ไม่ได้มาแทนที่การทำงานเหล่านั้น

ข้อห้ามก็ยังคงเป็นข้อห้ามระบบที่ได้รับการรับรองซึ่งบันทึกกรณีการใช้งานที่ต้องห้ามไว้อย่างละเอียดถี่ถ้วน ก็ยังคงเป็นกรณีการใช้งานที่ต้องห้ามอยู่ดี

การประเมินความสอดคล้องเป็นขั้นตอนทางกฎหมายแยกต่างหากซึ่งการรับรองไม่ครอบคลุมถึง

อ้างอิงความคุ้มครอง: ข้อผูกพันตามข้อผูกพัน

ตารางด้านล่างนี้แสดงให้เห็นว่า ISO 42001 มีส่วนช่วยอะไรบ้าง และส่วนใดที่ยังคงค้างอยู่ สำหรับข้อผูกพันหลักแต่ละข้อ ข้อผูกพันทั้งหมดภายใต้กฎหมาย AI ของสหภาพยุโรปนั้นมาจากข้อความรวมของระเบียบ (EU) 2024/1689 ส่วนที่ ISO 42001 มีส่วนช่วยนั้นมาจากตัวมาตรฐานเอง

รูปแบบนี้สอดคล้องกัน การรับรองเป็นการสร้างกลไก: กระบวนการ ความรับผิดชอบ ความสามารถ และหลักฐานต่างๆ ที่กฎหมายสันนิษฐานว่าองค์กรมีอยู่แล้ว จากนั้นกฎหมายจะขอผลลัพธ์เฉพาะระบบจากกลไกนั้น องค์กรที่มองการรับรองเป็นจุดสิ้นสุดจะพบช่องว่างช้าเกินไป ในขณะที่องค์กรที่มองการรับรองเป็นรากฐานจะดำเนินการในระดับระบบควบคู่กันไปและได้ผลลัพธ์ที่เป็นหลักฐานมากกว่าแค่ความตั้งใจ

ในกรณีที่การรับรองมีความสำคัญ

สิ่งเหล่านี้ไม่ได้ลดทอนคุณค่าของใบรับรองแต่อย่างใด

ใบรับรองมาตรฐาน ISO 42001 ที่ได้รับการรับรองอย่างเป็นทางการ เป็นหลักฐานที่ได้รับการตรวจสอบอย่างอิสระว่าการกำกับดูแล AI ขององค์กรนั้นใช้งานได้จริง มีการประเมินความเสี่ยงตามวิธีการที่กำหนดไว้ มีการกำหนดความรับผิดชอบ มีการรักษาความสามารถ มีการบริหารจัดการซัพพลายเออร์ และมีการตรวจสอบและปรับปรุงระบบโดยรวม

นั่นไม่ใช่หลักฐานที่แสดงถึงการปฏิบัติตามบทความใด ๆ โดยเฉพาะ และไม่ควรนำไปขายในฐานะหลักฐาน มันเป็นสิ่งที่ใช้งานได้จริงมากกว่า มันช่วยขจัดคำถามที่ว่าการกำกับดูแลพื้นฐานมีอยู่จริงหรือไม่ ซึ่งเป็นคำถามที่ครอบงำการมีส่วนร่วมด้านกฎระเบียบ การจัดซื้อจัดจ้าง การตรวจสอบสถานะลูกค้า และการรับรองของคณะกรรมการ

การรับรองมาตรฐานคือสิ่งที่ทำให้หลักฐานนั้นมีความน่าเชื่อถือ LRQA เป็นหน่วยงานรับรองมาตรฐาน ISO 42001 ที่ได้รับการรับรองจาก UKAS ซึ่งหมายความว่าความสามารถและความเป็นกลางของเราได้รับการประเมินอย่างอิสระแล้ว

กำหนดการอาจเปลี่ยนแปลงไป แต่ทิศทางยังคงเดิม

กฎระเบียบด้านปัญญาประดิษฐ์ (AI) ฉบับดิจิทัล (Digital Omnibus on AI) ที่คณะกรรมาธิการยุโรปเสนอในเดือนพฤศจิกายน 2025 มีผลบังคับใช้เมื่อวันที่ 27 กรกฎาคม 2026 โดยเลื่อนกำหนดบังคับใช้ข้อผูกพันที่มีความเสี่ยงสูงสำหรับระบบ Annex III แบบแยกเดี่ยว ซึ่งครอบคลุมโดเมนต่างๆ เช่น ไบโอเมตริกส์ การจ้างงานและการสรรหาบุคลากร การให้คะแนนเครดิต การศึกษา และโครงสร้างพื้นฐานที่สำคัญ ไปเป็นวันที่ 2 ธันวาคม 2027 และสำหรับ AI ที่มีความเสี่ยงสูงซึ่งฝังอยู่ในผลิตภัณฑ์ที่อยู่ภายใต้การกำกับดูแลของ Annex I ไปเป็นวันที่ 2 สิงหาคม 2028

ข้อผูกพันหลายประการไม่ได้ถูกเลื่อนออกไป ข้อกำหนดด้านความโปร่งใสตามมาตรา 50 มีผลบังคับใช้ตั้งแต่เดือนสิงหาคม 2569 โดยมีการขยายเวลาสั้นๆ ไปจนถึงเดือนธันวาคม 2569 สำหรับข้อกำหนดเรื่องลายน้ำที่มีผลต่อระบบที่วางจำหน่ายในตลาดอยู่แล้ว ข้อห้ามและหน้าที่ด้านความรู้ความเข้าใจเกี่ยวกับ AI ยังคงมีผลบังคับใช้ และกฎหมายฉบับรวมได้เพิ่มข้อห้ามเพิ่มเติมในมาตรา 5 ซึ่งครอบคลุมถึงภาพอนาจารที่สร้างโดย AI โดยไม่ได้รับความยินยอม และสื่อลามกอนาจารเด็ก

บทลงโทษยังคงสูงมาก โดยอาจปรับสูงสุดถึง 35 ล้านยูโร หรือ 7 เปอร์เซ็นต์ของยอดขายรวมทั่วโลกต่อปี สำหรับการกระทำที่ต้องห้าม และสูงสุดถึง 15 ล้านยูโร หรือ 3 เปอร์เซ็นต์ สำหรับการละเมิดอื่นๆ

การขยายเวลาดังกล่าวทำให้มีทรัพยากรที่ดีขึ้นในการจัดทำเอกสารและการกำกับดูแล นี่ไม่ใช่เหตุผลที่จะต้องเลื่อนงานออกไป

สำหรับองค์กรที่ได้รับการรับรองมาตรฐาน ISO 27001 แล้ว

ISO 42001 เขียนขึ้นตามโครงสร้างที่สอดคล้องกันซึ่งกำหนดไว้ในภาคผนวก SL ของคำสั่ง ISO/IEC ซึ่งเป็นกรอบงานสิบข้อทั่วไปและคำศัพท์ที่ใช้ร่วมกันซึ่งมาตรฐานระบบการจัดการของ ISO ปฏิบัติตามISO 27001ก็ใช้โครงสร้างเดียวกันนี้เช่นกัน ทำให้การใช้งานทั้งสองมาตรฐานร่วมกันเป็นระบบเดียวที่บูรณาการเข้าด้วยกันนั้นง่ายกว่าการใช้งานแบบคู่ขนาน

องค์กรที่มีระบบการจัดการความปลอดภัยของข้อมูลที่จัดตั้งขึ้นแล้ว จึงมีโครงสร้างพื้นฐานที่จำเป็นอยู่แล้วมากมาย เช่น กระบวนการที่จัดทำเป็นเอกสาร วงจรการทบทวนการจัดการ โปรแกรมการตรวจสอบภายใน และบันทึกความสามารถ จากประสบการณ์ของเรา การขยายระบบที่มีอยู่ให้ครอบคลุมขอบเขตของ AIMS นั้นรวดเร็วและใช้ทรัพยากรน้อยกว่าการสร้างระบบใหม่ตั้งแต่เริ่มต้น และการตรวจสอบแบบบูรณาการจะช่วยลดภาระงานด้านการรับรองอย่างต่อเนื่อง

งานระดับระบบในตารางด้านบนยังคงเป็นงานเพิ่มเติมและต้องมีกำหนดเวลาของตัวเอง ไม่จำเป็นต้องเริ่มต้นจากศูนย์

การกำกับดูแล AI ที่คุณสามารถพิสูจน์ได้ ไม่ใช่แค่สัญญา

องค์กรที่จะอยู่ในตำแหน่งที่แข็งแกร่งที่สุดในเดือนธันวาคม 2027 ไม่ใช่องค์กรที่มีใบรับรองมากที่สุด แต่เป็นองค์กรที่สามารถแสดงให้เห็นได้ทั้งในระดับองค์กรและระดับระบบว่าการกำกับดูแลกิจการของตนนั้นได้ผล และได้รับการตรวจสอบจากหน่วยงานอิสระแล้ว มาตรฐาน ISO 42001 ซึ่งออกโดยหน่วยงานรับรองที่ได้รับการรับรองจาก UKAS คือจุดเริ่มต้นของหลักฐานดังกล่าว

เรียนรู้เพิ่มเติมเกี่ยวกับบริการ ISO 42001 ของเรา