Analiza ryzyka systemów AI (AIRA): przygotowanie do wdrożenia systemów AI zgodnie z normą ISO 42001

Ustanowienie podstaw AIMS (Systemu Zarządzania AI) zgodnego z wymaganiami normy ISO/IEC 42001 w organizacji w zakresie identyfikacji i mitygacji ryzyk. Klient posiada zdolność do zarządzania cyklem życia systemów AI, rozumie ryzyka etyczne i operacyjne oraz posiada procesy ich mitygacji.

Kryteria weryfikacji:

1. 1. Identyfikacja i klasyfikacja: Przeprowadzona inwentaryzacja narzędzi AI (od modeli LLM po zaawansowane systemy analityczne) udokumentowana w raporcie z analizy luk.
   2. Proces Zarządzania Ryzykiem: Ustanowiony i wdrożony Rejestr Ryzyk AI (AIRA) oraz Plan Postępowania z Ryzykiem (Risk Treatment Plan - RTP).

Kompetencje analityczne: Udział kluczowych interesariuszy w sesjach warsztatowych, potwierdzony podniesieniem świadomości w zakresie zarządzania incydentami AI i mechanizmów kontrolnych.

1. Protokół odbioru dokumentacji AIMS (zawierający: zatwierdzoną Politykę AI, Rejestr Ryzyk AI oraz Plan Postępowania z Ryzykiem).
2. Raport z audytu AIRA (dokumentacja inwentaryzacji systemów i oceny ich ryzyk).
3. Lista obecności na warsztatach wdrożeniowych (potwierdzająca przeprowadzenie szkolenia z obsługi systemu AIMS i podniesienie świadomości ryzyk AI wśród kluczowych pracowników).
4. Protokół wdrożenia systemu monitorowania AI (potwierdzenie uruchomienia mechanizmów kontroli i nadzoru wewnątrz organizacji).

7.1 Ramowy program usługi (40h)

Usługa realizowana jest w modelu doradztwa analitycznego, opartego na standardzie ISO/IEC 42001 (AIMS). Metodyka pracy koncentruje się na „inżynierii ryzyka” (AI Risk Assessment), odrzucając teoretyzowanie na rzecz twardych danych i mierzalnych wskaźników.

1. Metodyka operacyjna:

• • Inwentaryzacja Procesowa (Use-Case Discovery): Zamiast analizować „AI w ogóle”, stosujemy metodę mapowania konkretnych przypadków użycia (np. chatbot obsługi klienta, algorytmy scoringowe). Analiza odbywa się w oparciu o architekturę systemów IT klienta.
  • Metodyka AIRA (AI Risk Assessment): Stosujemy matrycę ryzyk 5x5 (Prawdopodobieństwo wystąpienia vs. Dotkliwość skutków). Każde ryzyko oceniane jest w wymiarach: operacyjnym, prawnym (zgodność z AI Act), etycznym oraz bezpieczeństwa danych.
  • Inżynieria Mitygacji (Risk Treatment Plan): Nie tworzymy polityk – tworzymy „plan naprawczy”. Metoda polega na przypisaniu do każdego zidentyfikowanego ryzyka konkretnej kontroli technicznej lub organizacyjnej (np. „wprowadzenie weryfikacji manualnej wyjścia modelu”, „anonimizacja zbiorów treningowych”).

2. Szczegółowy przebieg prac:

• • Etap I (Inwentaryzacja): Sesje techniczne z zespołem IT/Biznesem. Identyfikacja modeli (LLM, ML), przepływów danych oraz uprawnień dostępowych.
  • Etap II (Analiza AIRA): Warsztaty operacyjne. Praca „na żywo” na narzędziu analitycznym (matryca ryzyk). Wspólna ocena ryzyk z Ownerem Biznesowym – to on decyduje o „apetycie na ryzyko” firmy.
  • Etap III (Plan Postępowania - RTP): Opracowanie technicznych scenariuszy mitygacji. Definiowanie progów krytycznych (tzw. red lines), po których przekroczeniu system musi zostać wyłączony lub poddany audytowi.
  • Etap IV (Weryfikacja): Walidacja RTP. Przygotowanie „Raportu Końcowego z Analizy”, który stanowi dowód audytowy dla organów nadzorczych lub audytorów ISO.

3. Dyscyplina pracy (Zasady współpracy):

• • Dostępność danych: Usługa ma charakter analityczny. Warunkiem koniecznym jest zapewnienie przez klienta dostępu do dokumentacji technicznej/architektury systemów AI. Brak tych danych w Etapie I uniemożliwia rzetelną analizę i skutkuje wstrzymaniem prac bez roszczeń finansowych po stronie klienta.
  • Rola Ownera Biznesowego: Sesje robocze wymagają obecności osoby decyzyjnej. Decyzje o poziomie akceptowalnego ryzyka są podejmowane w czasie rzeczywistym podczas warsztatów – nie ma „pracy w tle” bez udziału klienta.

Dostarczalność: Każdy etap zamyka się przekazaniem sfinalizowanego fragmentu dokumentacji analitycznej (Inwentaryzacja -> Rejestr Ryzyk -> RTP -> Raport), co stanowi podstawę odbioru częściowego

Uczestnik otrzymuje pakiet narzędzi analitycznych i dokumentację inżynieryjną, opracowaną w toku usługi:

1. 1. Matryca AIRA (.xlsx): Autorskie narzędzie analityczne do przeprowadzania ilościowej i jakościowej oceny ryzyka dla każdego wdrożonego systemu AI.
   2. Plan Postępowania z Ryzykiem (RTP): Dokument techniczno-operacyjny zawierający skonkretyzowane środki mitygacji (techniczne i organizacyjne) dla zidentyfikowanych ryzyk (zgodny z wymogami ISO 42001).
   3. Raport końcowy z audytu ryzyka AI: Dokumentacja podsumowująca inwentaryzację systemów, ocenę luk (gap analysis) oraz rekomendacje dot. dalszego utrzymania systemu zarządzania ryzykiem.

AI Compliance Toolkit: Zestaw dokumentów wdrożeniowych wspierających zarządzanie zgodnością z AI Act i ISO/IEC 42001. Zawiera m.in. ustrukturyzowany słownik pojęć, definicje ról i odpowiedzialności w procesie AI Governance oraz wzory dokumentacji operacyjnej (w tym szablony rejestrów i karty modeli).

1. Kluczowy interesariusz: W każdej sesji warsztatowej musi uczestniczyć tzw. „Owner Biznesowy” – osoba decyzyjna w zakresie zarządzania procesami IT/biznesowymi i budżetem, posiadająca pełną wiedzę na temat implementacji AI w organizacji.

2. Gotowość dokumentacyjna: Przed rozpoczęciem Etapu I uczestnik zobowiązany jest do przygotowania (po zawarciu NDA) dostępu do dokumentacji technicznej i opisów procesów wykorzystujących systemy AI.

3. Profil uczestnika: Usługa dedykowana kadrze zarządzającej (CEO, CTO, CIO), specjalistom ds. compliance, DPO oraz managerom IT. Wymagana wiedza operacyjna o architekturze systemów firmy.

4. Zaangażowanie: Udział w pełnym cyklu warsztatowym. Brak możliwości oddelegowania do sesji osób nieposiadających uprawnień decyzyjnych w zakresie wdrażania zmian w systemach AI

• Platforma komunikacyjna: usługa realizowana jest zdalnie, w czasie rzeczywistym, za pośrednictwem MS Teams, Google Meets lub innego systemu używanego przez przedsiębiorcę. Wymagane jest zapewnienie stabilnego połączenia audio-wideo umożliwiającego pełną interakcję „face-to-face” (obowiązkowe włączenie kamery przez uczestnika).
• Wymagania sprzętowe: Laptop lub komputer stacjonarny wyposażony w sprawną kamerę oraz zestaw słuchawkowy (dla zapewnienia poufności rozmowy). Praca na urządzeniach mobilnych (tablet, smartfon) jest niedopuszczalna ze względu na konieczność analizy rozbudowanej dokumentacji (arkusze kalkulacyjne, mapy kompetencji) oraz sprawnego współdzielenia ekranu.
• Parametry łącza: Stabilne łącze internetowe o przepustowości min. 5 Mbps, gwarantujące płynność udostępniania ekranu oraz transmisji wideo.
• Oprogramowanie i uprawnienia:
• Aktualna przeglądarka internetowa.
• Pakiet biurowy do obsługi plików (MS Word, MS Excel, PDF).
• Narzędzie do dekompresji plików (ZIP/7-Zip).

Pełne uprawnienia do współdzielenia ekranu oraz edycji plików na urządzeniu, z którego uczestnik bierze udział w sesji.