Ny AI-standard på plats – så kommer du i gång

– De här standarderna har varit under utveckling under ett par år och det här är den första riktigt stora milstolpen, säger Patric Ridell.

Publiceringen innebär att leverantörer som följer standarden får så kallad presumtion om överensstämmelse. Enkelt uttryckt förutsätts de lagkrav som standarden täcker vara uppfyllda. Det ger leverantörerna en tydligare väg att visa att de följer förordningen, enligt den europeiska standardiseringskommittén CEN-CENELEC JTC 21.

– Det här är viktigt för att organisationer inte ska behöva gå runt i ovisshet och inte veta hur de ska visa lagefterlevnad mot AI-förordningen, säger Patric Ridell.

En del av kraven

EN 18286 gäller kvalitetsledningssystem enligt artikel 17 i AI-förordningen. Den riktar sig till leverantörer av högrisk-AI och beskriver hur de ska organisera sitt kvalitetsarbete.

Patric Ridell liknar ledningssystemet vid ett maskineri som hjälper organisationen att arbeta med de tekniska kraven. Det behövs rutiner för arbetet, men också ett tydligt ansvar och uppföljning av hur det fungerar.

Standarden ger däremot inget generellt klartecken för ett AI-system. Leverantören måste fortfarande uppfylla övriga tillämpliga krav, bland annat på riskhantering, datahantering, teknisk dokumentation och cybersäkerhet. Fler standarder är under utveckling, exempelvis för loggning och mänsklig tillsyn.

Det är också frivilligt att använda EN 18286. Den som väljer en annan väg behöver själv visa hur arbetssättet uppfyller kraven.

Börja med att hitta luckorna

För en leverantör som vill komma i gång börjar arbetet i den egna verksamheten. Vilka AI-system finns? Hur berörs de av förordningen och vilket ansvar har organisationen?

När det är klarlagt går det att jämföra standardens krav med befintliga processer. En sådan gapanalys ska visa vad som redan fungerar och vad som behöver kompletteras.

– Det kommer inte räcka med att man bara arbetar systematiskt utan man behöver kunna visa det på något sätt, säger han.

Därför behöver leverantören också bestämma hur arbetet ska dokumenteras och vilka kontroller som ska göras. Ansvarsfördelningen måste vara tydlig, liksom hur resultaten ska följas upp.

Patric Ridell trycker extra på ledningens roll. De som ska genomföra kvalitetsarbetet behöver få mandat att göra det. Och uppföljningen måste fortsätta när systemet har börjat användas.

– Det här gäller även efter lansering under hela AI-systemets livscykel.

Ta vara på befintligt ISO-arbete

Den som redan arbetar enligt ISO/IEC 42001 behöver inte börja om från början. Den internationella standarden har funnits sedan 2023 och ger enligt Patric Ridell en grund för ansvarsfull utveckling och användning av AI.

Den är däremot inte skriven för en viss lagstiftning eller specifikt för högrisk-AI. ISO/IEC 42001 har ett bredare fokus på organisationen. EN 18286 är framtagen för AI-förordningens krav på kvalitetsledningssystem och är mer inriktad på arbetet med AI-systemet.

– Det är inte så att de krockar med varandra, säger Patric Ridell.

Bilagor i EN 18286 visar hur innehållet motsvarar delar av ISO/IEC 42001 och kvalitetsledningsstandarden ISO 9001. De kan användas för att se vad som går att bygga vidare på och var kompletteringar behövs.

Hans råd till berörda verksamheter är att börja arbetet med att uppfylla lagkraven snarast. Även om fler standarder är på väg finns det redan nu anledning att inventera systemen och granska de egna processerna.