Listen over ISO 42001-foranstaltninger: alle 38 foranstaltninger i bilag A

Foranstaltningerne om at skrive organisationens holdning til AI ned: hvad den vil og ikke vil bruge AI til, og hvordan den holdning holdes aktuel, når systemerne ændrer sig.

• A.2.2En skriftlig politik for, hvordan denne organisation arbejder med AI
• A.2.3Få AI-politikken til at hænge sammen med de politikker, I allerede har
• A.2.4Gennemgå AI-politikken efter plan og når tingene ændrer sig

Foranstaltningerne om, hvem i organisationen der er ansvarlig for AI, og hvordan beslutninger om det træffes og eskaleres.

• A.3.2Hvem der er ansvarlig for hvad inden for AI
• A.3.3En vej til at rejse en bekymring om et AI-system

Foranstaltningerne om, hvad et AI-system er bygget af: dataene, værktøjerne, regnekraften og menneskene, og at vide, hvad man rent faktisk afhænger af.

• A.4.2Skriv ned hvad hvert AI-system afhænger af
• A.4.3De data, et AI-system har brug for, gjort op
• A.4.4De værktøjer, AI-systemer bygges og drives med
• A.4.5Den regnekraft og infrastruktur, AI-systemer kører på
• A.4.6De mennesker og kompetencer, et AI-system afhænger af

Foranstaltningerne om konsekvenser for mennesker og for samfundet, til forskel fra konsekvenser for organisationen. Det er gruppen uden modstykke i ISO 27001 og grunden til, at en 42001-risikovurdering stiller spørgsmål, som en sikkerhedsvurdering ikke gør.

• A.5.2En fastlagt proces for at vurdere, hvad et AI-system gør ved mennesker
• A.5.3Gem resultatet af hver konsekvensvurdering
• A.5.4Vurdér skade for enkeltpersoner og for grupper
• A.5.5Vurdér skade ud over dem, der bruger systemet

Foranstaltningerne om et AI-system fra design til udfasning: hvordan det specificeres, verificeres, frigives, overvåges i drift og til sidst trækkes tilbage.

• A.6.1.2Hvad ansvarlig udvikling betyder her, formuleret som mål
• A.6.1.3Design- og udviklingsprocesser der bærer de mål
• A.6.2.2Skriv ned hvad AI-systemet skal kunne, før I bygger det
• A.6.2.3En optegnelse over hvordan systemet blev designet og bygget
• A.6.2.4Test at systemet gør det, der blev angivet
• A.6.2.5Sæt et AI-system i drift bevidst frem for tilfældigt
• A.6.2.6Hold øje med et kørende AI-system, og grib ind når det driver af
• A.6.2.7Teknisk dokumentation til dem, der skal forstå den
• A.6.2.8Log hvad et AI-system gjorde, så det kan rekonstrueres

Foranstaltningerne om de data, et AI-system lærer af og arbejder med: hvor de kommer fra, hvilken kvalitet de har, og hvad de må bruges til.

• A.7.2Afgør hvilke data der må bruges til at bygge og forbedre et system
• A.7.3Vid hvor data kom fra og på hvilke vilkår
• A.7.4Om data er gode nok til det, de bruges til
• A.7.5Hold data' oprindelse og historik sporbar
• A.7.6Hvordan rådata bliver til trænings- eller inputdata

Foranstaltningerne om, hvad organisationen fortæller folk udenfor: hvad et system gør, hvordan det blev bygget, og hvordan nogen, der berøres af det, kan rejse en bekymring.

• A.8.2Fortæl brugerne hvad systemet gør, og hvordan det bruges
• A.8.3En måde for udenforstående at melde et problem
• A.8.4Fortæl de berørte når der sker en AI-hændelse
• A.8.5Hold øvrige interessenter orienteret

Foranstaltningerne om at bruge AI ansvarligt, når den kører: hvad den må bruges til, hvem der må bruge den, og hvilket tilsyn der sidder mellem systemet og en beslutning, der påvirker nogen.

• A.9.2Regler for hvordan organisationen selv bruger AI
• A.9.3Hvad ansvarlig brug betyder her, formuleret som mål
• A.9.4Brug et system til det, det blev bygget til

Foranstaltningerne om AI, I ikke har bygget, og AI, I leverer til andre: hvad I kræver af en leverandør, og hvad jeres egne kunder har ret til at vide.

• A.10.2Hvem der er ansvarlig for hvad i AI-leverandørkæden
• A.10.3Vurdér leverandører der leverer eller driver AI for jer
• A.10.4Hvad I skylder kunder, der bruger jeres AI-system