ISO 42001: Дополнительный стандарт или катализатор регуляторной конвергенции?

Использование ИИ в финансовом секторе ускоряется, и нормативно-правовая база обретает форму. Опубликованный в июле 2026 года «Цифровой сводный регламент по ИИ» (Digital Omnibus Regulation on AI) подтвердил общее направление AI Act 2024 года, одновременно отложив некоторые сроки. Поэтому усилия по обеспечению соответствия должны продолжаться.

Однако возникает новая проблема: как банки могут обеспечить качество, контроль рисков и безопасность систем ИИ в условиях быстрого умножения вариантов использования?

Здесь на помощь приходят стандарты ISO. Опубликованный в декабре 2023 года ISO/IEC 42001 — это первый международный стандарт, посвященный управлению искусственным интеллектом. Он предлагает устойчивую структуру управления, охватывающую политики, обязанности, управление рисками, контроль и постоянное совершенствование.

Но какую ценность он может принести банковскому сектору? Возможно, вопрос следует поставить иначе: может ли дополнительный стандарт помочь упростить соблюдение других нормативных требований?

Для банков ценность выходит за рамки перспективы сертификации. Она заключается прежде всего в оптимизации управления ИИ и процессов обеспечения соответствия.

AI Act устанавливает обязательства в зависимости от характера систем, уровня их риска и роли учреждения. Банки должны выявлять соответствующие варианты использования, классифицировать их и применять соответствующие требования: документация, данные, прослеживаемость, человеческий контроль и надежность.

ISO 42001 работает на более организационном уровне: как учреждение должно быть организовано, чтобы соответствовать этим требованиям с течением времени? Не заменяя AI Act, он предоставляет структуру управления, которая может облегчить его внедрение.

Индустриализация вместо умножения проектов по обеспечению соответствия

Основная проблема для крупных учреждений — растущее число систем ИИ. С развитием машинного обучения, генеративного ИИ и агентного ИИ рассматривать каждый проект изолированно станет все труднее. Банкам придется обеспечивать постоянное соответствие нескольких сотен систем, работающих параллельно.

ISO 42001 может помочь банкам перейти от проектного подхода к индустриализированному управлению ИИ.

Стандарт поощряет структурированный обзор разрабатываемых или используемых систем. Эта инвентаризация может служить основой для их классификации в соответствии с AI Act, без создания двух параллельных механизмов. Общая классификация рисков позволяет соответствующим образом корректировать уровни валидации и контроля.

Когда банк сам классифицируется как поставщик в соответствии с AI Act, ISO 42001 также может помочь стандартизировать необходимые процессы: валидацию перед развертыванием, мониторинг систем, контроль изменений и обработку инцидентов.

Наконец, обязанности между бизнес-подразделениями, функциями Data/AI, ИТ, рисками, комплаенсом, юридическим отделом и аудитом должны быть определены глобально, а не от проекта к проекту. Таким образом, стандарт может рационализировать роли, процедуры и средства контроля, одновременно облегчая регуляторный надзор.

Поставщики ИИ — точка конвергенции рисков

Эта конвергенция между стандартами и регулированием также применяется к надзору за внешними поставщиками.

Растущая доля систем ИИ, используемых банками, опирается на SaaS-решения, облачные платформы, API или компоненты, разработанные третьими сторонами. Надзор становится необходимым: понимание решений, их документирование, отслеживание эволюции моделей, распределение обязанностей, мониторинг и определение условий выхода.

Два недавних регламента сходятся в этом вопросе: AI Act организует обязанности по всей цепочке создания стоимости ИИ, в то время как DORA регулирует риски, связанные с поставщиками ИКТ-услуг, в частности технологические зависимости, субподряд, непрерывность и концентрацию.

Таким образом, один поставщик может подпадать под действие нескольких внутренних систем контроля, которые не обязательно скоординированы.

ISO 42001 может помочь согласовать их путем укрепления существующих процессов управления поставщиками ИИ: обеспечения более четких обязанностей, гармонизированных требований и последовательного мониторинга рисков.

Сертификация как дополнительный источник ценности

Помимо внутренней организации, ISO 42001 открывает возможность независимой сертификации. В этом сценарии орган по сертификации проводит аудит системы управления ИИ. Он проверяет не только то, что политики, обязанности и средства контроля, требуемые стандартом, существуют, но и то, что они работают на практике на основе документальных свидетельств.

Сертификация навязывает дисциплину: четкие обязанности, формализованный контроль, продемонстрированная эффективность и постоянное совершенствование.

Ее ценность заключается в этой внешней гарантии, а также в помощи банкам более эффективно организовать выполнение регуляторных обязательств. ISO 42001 предоставляет проверяемую структуру управления, в которую могут быть интегрированы применимые требования AI Act: управление рисками, документация, человеческий контроль, мониторинг систем, контроль изменений и обработка инцидентов.

Опора на существующие структуры

Ключом к успеху, однако, будет предотвращение превращения ISO 42001 в еще одну программу комплаенса. У банков уже есть многие из необходимых компонентов: управление моделями, управление данными, внутренний контроль, кибербезопасность, валидация проектов и управление третьими сторонами.

Поэтому цель состоит в том, чтобы проанализировать разрывы между регуляторными обязательствами и требованиями ISO 42001, выявить области конвергенции и дополнительные потребности. Существующие процессы и средства контроля могут быть адаптированы для удовлетворения этих потребностей без создания параллельной структуры. Этот подход должен возглавляться функцией, ответственной за управление ИИ, в тесном сотрудничестве с отделами рисков и комплаенса.

При таком подходе инвестиции в ISO 42001 можно оценить с точки зрения предельных затрат: какие дополнительные ресурсы действительно необходимы, чтобы сделать существующие механизмы последовательными, проверяемыми и, потенциально, сертифицируемыми?

Возможность, которую стоит изучить сейчас

ISO 42001 остается относительно малоизвестным в финансовом секторе. Тем не менее, его потенциальные преимущества ощутимы: индустриализация соблюдения AI Act, рационализация механизмов управления и предоставление внешней гарантии того, как они работают.

В секторе, где доверие остается важнейшим активом, вхождение в число первых учреждений во Франции, получивших сертификацию ISO 42001, может стать дифференцирующим фактором.

Подобно роли, которую играет ISO 27001 в кибербезопасности, эта сертификация может стать сильным сигналом зрелости и контроля в области ИИ, адресованным клиентам, партнерам и регуляторам.

Sopra Steria поддерживает финансовые учреждения в этом двойном подходе: оценка их практики ИИ на соответствие AI Act и создание проверяемой, устойчивой структуры управления в соответствии с ISO 42001. Мы считаем, что эти два направления работы должны быть разработаны вместе с самого начала, чтобы объединить усилия, избежать избыточных механизмов и максимально использовать уже сделанные инвестиции.