ISO/IEC 42001

ISO/IEC 42001(Information technology — Artificial intelligence — Management system)은 조직이 인공지능 시스템을 책임 있게 개발·제공·사용하도록 인공지능 경영시스템(AIMS, AI Management System)을 수립·이행·유지·개선하는 요구사항을 정한 국제표준이다.

개요

ISO/IEC 42001 은 ISO/IEC JTC 1/SC 42(인공지능 분과)가 만들어 2023년 12월 제정·발행했다(ISO/IEC 42001:2023). AI 에 관한 최초의 인증 가능한 경영시스템 표준으로, 제3자 인증기관의 심사를 받아 인증을 취득할 수 있다.

AI 시스템은 학습 데이터에 따라 결과가 달라지고, 판단 근거를 설명하기 어려우며, 운영 중에도 성능이 변한다. 이런 특성 때문에 편향, 투명성 부족, 개인정보 침해, 안전 문제가 생길 수 있다. 이 표준은 개별 기술을 규정하지 않고, 조직이 AI 관련 위험과 기회를 체계적으로 관리하는 관리 체계를 요구한다. AI 를 개발하는 기업뿐 아니라 AI 서비스를 제공하거나 단순히 사용하는 조직, 공공기관에도 적용된다.

구조

다른 ISO 경영시스템 표준과 같은 공통 구조(Harmonized Structure, 옛 Annex SL)를 따르므로 ISO/IEC 27001, ISO 9001 과 통합해 운영하기 쉽다. 본문 4~10절이 요구사항이고 PDCA 순환으로 개선한다.

절	내용	PDCA
4. 조직 상황	내·외부 이슈, 이해관계자 요구, 조직의 AI 역할(개발자·제공자·사용자 등), AIMS 적용 범위	Plan
5. 리더십	최고경영자 의지, AI 정책 수립, 역할·책임·권한 부여	Plan
6. 기획	AI 위험 평가·처리, AI 시스템 영향 평가, AI 목표와 달성 계획, 적용성 보고서(SoA)	Plan
7. 지원	자원, 역량, 인식, 의사소통, 문서화된 정보	Do
8. 운영	운영 계획·통제, AI 위험 평가·처리와 영향 평가의 실행	Do
9. 성과 평가	모니터링·측정·분석, 내부 심사, 경영 검토	Check
10. 개선	부적합 시정 조치, 지속적 개선	Act

부속서

부속서	내용
A(규범)	관리 목표와 통제 38개(9개 영역)
B(규범)	부속서 A 통제의 구현 지침
C(참고)	AI 관련 조직 목표(공정성, 보안, 안전, 프라이버시, 투명성·설명 가능성, 책임성 등)와 위험 원천
D(참고)	여러 산업·분야에서 AIMS 를 쓰는 방법

부속서 A 통제 영역

영역	주요 내용
A.2 AI 관련 정책	AI 정책 수립, 다른 정책과의 정렬, 정책 검토
A.3 내부 조직	AI 역할·책임, 우려 사항 보고 체계
A.4 AI 시스템 자원	데이터·도구·컴퓨팅·인적 자원 문서화
A.5 AI 시스템 영향 평가	개인·집단·사회에 미치는 영향 평가 절차와 문서화
A.6 AI 시스템 수명주기	책임 있는 개발 목표, 요구사항, 설계·개발, 검증·확인, 배포, 운영·모니터링, 기술 문서, 이벤트 로그
A.7 AI 시스템을 위한 데이터	데이터 획득, 품질, 출처(provenance), 준비
A.8 이해관계자 정보	사용자 정보 제공, 외부 보고, 사고 통지
A.9 AI 시스템 사용	책임 있는 사용 절차·목표, 의도된 용도 내 사용
A.10 제3자·고객 관계	공급자·고객과의 책임 배분

특징

위험 기반: 조직이 스스로 AI 위험을 평가하고 필요한 통제를 고른다. 적용하지 않는 통제는 적용성 보고서에 이유를 남긴다
영향 평가: 정보보호 위험(조직 관점)과 별도로, AI 가 개인과 사회에 미치는 영향을 평가하게 한 점이 27001 과 다르다
수명주기 관리: 기획부터 폐기까지 데이터·모델·운영을 통제 대상에 넣는다
규제 대응 근거: EU 인공지능법, 국내 인공지능기본법 같은 규제의 위험 관리·투명성 의무를 이행했다는 근거로 쓸 수 있다

ISO/IEC 27001 과 비교

구분	ISO/IEC 27001	ISO/IEC 42001
대상	정보보호 경영시스템(ISMS)	인공지능 경영시스템(AIMS)
보호 목표	정보의 기밀성·무결성·가용성	공정성·투명성·책임성·안전·프라이버시 등 신뢰할 수 있는 AI
평가	정보보호 위험 평가	AI 위험 평가 + AI 시스템 영향 평가
부속서 A	정보보호 통제 93개(2022판)	AI 통제 38개
구조	공통 구조(4~10절)	공통 구조(4~10절)

출처

「ISO/IEC 42001:2023 Information technology — Artificial intelligence — Management system」, ISO/IEC, 2023.

같이 보기

개요

구조

부속서

부속서 A 통제 영역

특징

ISO/IEC 27001 과 비교

관련 표준

출처

같이 보기