Wat is KI-risikobestuur?
KI-risikobestuur is die gestruktureerde, herhaalbare proses wat 'n organisasie gebruik om risiko's te identifiseer, te assesseer, te behandel en te monitor wat voortspruit uit die ontwikkeling, voorsiening of gebruik van KI-stelsels. Dit dek die volle lewensiklus van 'n KI-stelsel, van probleemformulering en data-insameling tot modelontwerp, validering, ontplooiing en uiteindelike uittrede.
Anders as tradisionele inligtingsekuriteitsrisiko, wat hoofsaaklik fokus op vertroulikheid, integriteit en beskikbaarheid van inligting, moet KI-risikobestuur rekening hou met 'n wyer stel bekommernisse. Modelvooroordeel, gebrek aan verduidelikbaarheid, data-drywing, misbruik van uitsette, maatskaplike impak en die gedrag van derdeparty-stigtingsmodelle val alles vierkantig binne die bestek. Daarom ISO 42001 vereis 'n toegewyde KI-risikobepalingsproses eerder as om KI-risiko in 'n bestaande inligtingsekerheidsregister in te vou.
Prakties beantwoord KI-risikobestuur vier vrae vir elke KI-gebruiksgeval in die besigheid:
- Wat kan verkeerd gaan met hierdie KI-stelsel, vir wie, en hoe erg?
- Hoe waarskynlik is elk van daardie uitkomste gegewe die kontroles wat ons reeds het?
- Wat gaan ons doen omtrent die risiko's wat ons toleransie oorskry?
- Hoe sal ons, na ontplooiing, weet of ons assessering steeds geldig is?
Goed gedoen, dit gee die bord, die KI-bestuurskomitee, en die ingenieurspanne 'n gedeelde siening van watter KI-inisiatiewe veilig is om voort te gaan, watter addisionele beheermaatreëls benodig, en watter onderbreek of hersien moet word.
Hoe hanteer ISO 42001 KI-risiko (klousule 6.1.2 teenoor klousule 6.1.4)?
ISO 42001 skei KI-risikobestuur in twee verwante maar afsonderlike aktiwiteite, en die verwarring daarvan is een van die mees algemene implementeringsfoute.
Klausule 6.1.2 — KI-risikobepaling. Dit is die tradisionele risiko-lens wat op die organisasie self gefokus is. Jy identifiseer KI-verwante risiko's, analiseer hul waarskynlikheid en gevolge teenoor jou organisatoriese risikokriteria, en besluit hoe om dit te hanteer. Dit is die proses wat jou KI-risikoregister vul.
Klausule 6.1.4 — Impakassessering van KI-stelsels. Dit is die uitwaartse lens. Dit beoordeel die potensiële impak van 'n KI-stelsel op individue, groepe individue en die samelewing – wat billikheid, veiligheid, menslike toesig en fundamentele regte insluit. Aanhangsel A.5 verskaf die beheerstelsel wat dit operasioneel maak. Gedetailleerde leiding word in ons toegewyde KI impakbeoordelings bladsy.
Beide is normatief. Beide moet gedokumenteer word. Beide word in jou Verklaring van toepaslikheid en jou KI-beleidMaar hulle beantwoord verskillende vrae, het verskillende insette en betrek tipies verskillende belanghebbendes. Om hulle as een gekombineerde oefening te doen, is geneig om die lens van maatskaplike impak te laat vaar, wat presies is waarna ouditeure en reguleerders soek.
Normatiewe leiding vir beide aktiwiteite is ingesluit Aanhangsel B-riglyneAanhangsel C verskaf insiggewende leiding oor KI-verwante risikobronne, wat 'n nuttige begintaksonomie is wanneer jy jou register vir die eerste keer invul.
Hoe hou dit verband met inligtingsekuriteitsrisiko (ISO 27005)?
KI-risikobestuur vervang nie inligtingsekuriteitsrisikobestuur nie. Baie KI-stelsels stoor, verwerk of oordra persoonlike data en word op dieselfde infrastruktuur as ander gereguleerde werkladings gehuisves. ISO 27005 bly die regte verwysing vir die inligtingsekuriteitsrisikoproses. Die praktiese model is:
- Inligtingsekuriteitsrisiko's met betrekking tot die KI-stelsel (vertroulikheid, integriteit, beskikbaarheid van opleidingsdata, modelartefakte, API's) verskyn in die ISO 27001-risikoregister.
- KI-spesifieke risiko's (vooroordeel, verduidelikbaarheid, afwyking, onbedoelde gebruik, maatskaplike skade) verskyn in die KI-risikoregister onder klousule 6.1.2.
- Kruisverwysings verbind die twee sodat 'n enkele risikogebeurtenis oor beide lense sonder duplisering nagespoor kan word.
Die KI-bestuursgap tussen inligtingsekuriteit en KI-bestuur is presies wat ISO 42001-klousule 6.1.2 ontwerp is om af te sluit.
Waar pas NIST AI RMF in?
Die NIST KI Risikobestuursraamwerk is 'n vrywillige Amerikaanse raamwerk wat rondom vier funksies georganiseer is: Regeer, Karteer, Meet en Bestuur. Dit is aanvullend tot ISO 42001 eerder as mededingend. Organisasies wat reeds NIST KI RMF gebruik, kan die funksies daarvan direk op die ISO 42001-klousules karteer (Regeer stem ooreen met Klousules 4 en 5, Karteer met Klousule 6.1, Meet met Klousule 9, Bestuur met Klousules 8 en 10). As jy vir 'n internasionale gehoor bou, gee ISO 42001 jou die sertifiseerbare bestuurstelsel. NIST KI RMF gee jou 'n wyd erkende woordeskat en nuttige handleidings vir die onderliggende aktiwiteite.
Alles wat jy nodig het vir ISO 42001
Gestruktureerde inhoud, gekarteerde risiko's en ingeboude werkvloeie om jou te help om KI verantwoordelik en met selfvertroue te bestuur.
Wat is die hoofkategorieë van KI-risiko?
'n Goeie KI-risikotaksonomie verhoed dat jy hele klasse van risiko mis. Aanhangsel C van ISO 42001 verskaf 'n insiggewende lys van KI-verwante risikobronne wat die meeste organisasies by hul eie konteks aanpas. In die praktyk dek agt kategorieë die oorgrote meerderheid van KI-risiko's, en die meeste inskrywings in jou register sal na een of meer daarvan verwys.
| kategorie | voorbeeld | ISO 42001-beheer(e) | Tipiese behandeling |
|---|---|---|---|
| Vooroordeel en regverdigheid | Kredietbeoordelingsmodel onderskat 'n beskermde groep sistematies | A.6.2.2, A.6.2.4, A.7.4 | Versagting via gebalanseerde opleidingsdata, billikheidstoetsing, menslike hersiening |
| Verduidelikbaarheid en deursigtigheid | Mediese triagemodel kan nie sy aanbevelings aan klinici regverdig nie | A.6.2.4, A.8.2, A.8.3 | Versagting via interpreteerbare modelle, dokumentasie, modelkaarte |
| Sekuriteit | Vinnige inspuitingsaanval verwyder vertroulike data van 'n LLM | A.6.2.3, A.7.3, A.8.4 | Versagting via invoervalidering, beskermingsrelings, bedreigingsmodellering |
| privaatheid | Opleidingsdata bevat persoonlike data wat sonder 'n wettige basis gebruik word | A.7.2, A.7.4, A.8.2 | Versagting via dataminimalisering, anonimisering, DPIA-belyning |
| Veiligheid | Outonome stelsel veroorsaak fisiese skade deur onverwagte gedrag | A.6.2.4, A.9.3, A.9.4 | Versagting via validering, gefaseerde uitrol, doodskakelaars, menslike toesig |
| maatskaplike | Inhoudmodereringsmodel versterk waninligting of onderdruk wettige spraak | A.5.2, A.5.3, A.5.4 | Versagting via impakstudie, betrokkenheid van belanghebbendes, deurlopende hersiening |
| operasionele | Modelverskuiwing veroorsaak dat voorspellingsakkuraatheid na ses maande in produksie afneem | A.6.2.6, A.6.2.7, A.6.2.8 | Versag via monitering, heropleidings-snellers, prestasiedrempels |
| Voorsieningsketting | Stigtingmodelverskaffer verander gedrag sonder waarskuwing, wat 'n stroomafgebruiksgeval verbreek | A.10.2, A.10.3, A.10.4 | Versagting via verskaffersondersoek, kontrakte, terugvalverskaffers |
Die meeste organisasies neem hierdie taksonomie as die ruggraat van hul KI-risikoregister aan, en voeg dan sektorspesifieke kategorieë by (byvoorbeeld, finansiële dienste voeg modelrisikobestuur onder SR 11-7 by, gesondheidsorg voeg kliniese veiligheid by). Die sleutel is dat elke KI-gebruiksgeval teen elke kategorie gekeur word, selfs kortliks, sodat risiko's nie per ongeluk misgekyk word nie.
Hoe voer jy 'n KI-risikobepaling uit?
Die assesseringsproses onder Klousule 6.1.2 volg die bekende Beplan-Doen-Kontroleer-Optree-ritme van ISO-bestuurstelsels, maar met KI-spesifieke insette in elke stadium. 'n Praktiese, herhaalbare metode het ses stappe.
Stap 1: Definieer Omvang en Risikokriteria
Voordat jy enigiets assesseer, definieer wat as 'n KI-stelsel in jou organisasie tel (dit behoort reeds in jou KI-bestuurstelsel (AIMS) omvangsverklaring) en watter risikokriteria jy sal gebruik. Risikokriteria sluit in jou waarskynlikheids- en gevolgskale, jou risiko-aanvaardingsdrempel, en die kategorieë van gevolg waaroor jy omgee (finansieel, operasioneel, regulatories, reputasie, veiligheid, maatskaplik).
Stap 2: Identifiseer KI-gebruiksgevalle en -bates
Maak 'n inventaris van elke KI-stelsel binne die omvang. Vir elkeen, leg die beoogde gebruik, data-insette, modeltipe (eie, fyn ingestel, derdeparty-fondamentmodel), gebruikers, geaffekteerde partye, ontplooiingsomgewing en kritieke aspekte vas. Hierdie inventaris is die fondament van die res van die proses.
Stap 3: Identifiseer risiko's met behulp van die taksonomie
Loop elke KI-stelsel deur die agt risikokategorieë hierbo. Gebruik Aanhangsel C se risikobronne, bedreigingsmodelleringstegnieke en gestruktureerde dinkskrums met 'n kruisfunksionele groep (datawetenskap, ingenieurswese, sekuriteit, regswese, produk, en waar relevant die sake-eenheid wat die uitset sal gebruik). Leg elke risiko vas as 'n spesifieke gebeurtenis met 'n oorsaak en gevolg, nie 'n generiese etiket nie.
Stap 4: Analiseer Waarskynlikheid en Gevolg
Beoordeel elke risiko teen jou kriteria. Waarskynlikheid moet die huidige beheeromgewing in ag neem, nie die onbeheerde toestand nie. Gevolg moet alle betrokke partye in ag neem, nie net die organisasie nie – dit is waar die brug na Klousule 6.1.4 impakbepaling saak maak. Dokumenteer jou redenasie; 'n ouditeur sal vra hoe jy by 'n hoë of lae telling uitgekom het.
Stap 5: Evalueer teen risikokriteria
Stippel elke risiko op jou matriks uit en vergelyk dit met jou risiko-aanvaardingsdrempel. Enige risiko bo die drempel benodig 'n behandelingsbesluit. Enige risiko daaronder of daaronder kan aanvaar word met 'n eksplisiete rasionaal wat in die register aangeteken is.
Stap 6: Dokumenteer en hersien
Die KI-risikoregister is gedokumenteerde inligting onder Klousule 7.5. Dit benodig eienaars, hersieningsiklusse, weergawegeskiedenis en goedkeuring. Dit word direk in die Verklaring van toepaslikheid — kontroles uit Aanhangsel A word gekies en geregverdig op grond van die risiko's in hierdie register.
Hoe hanteer jy KI-risiko's?
Vir elke risiko bo jou aanvaardingsdrempel vereis Klausule 6.1.3 'n behandelingsbesluit. Die vier klassieke opsies is van toepassing, met KI-spesifieke nuanses:
- Verhoed. Moenie die KI-stelsel bou, ontplooi of gebruik nie. Gepas waar die oorblywende risiko onaanvaarbaar is, selfs met sterk beheermaatreëls (byvoorbeeld 'n gebruiksgeval wat 'n besluit outomatiseer met beduidende regsimpak op individue sonder 'n mens in die lus).
- Versag. Pas beheermaatreëls toe om waarskynlikheid, gevolg of albei te verminder. Dit is die mees algemene behandeling. Beheermaatreëls word verkry uit Bylae A kontroles, aangevul met sektor- of gebruiksgevalspesifieke maatreëls. Tipiese versagtingsmaatreëls sluit in gebalanseerde opleidingsdata, billikheidstoetsing, invoer- en uitvoer-beskermingsmaatreëls, menslike toesig, gefaseerde uitrol en deurlopende monitering.
- Oordrag. Verskuif risiko deur kontrak-, versekering- of verskaffersverantwoordelikheid. Nuttig vir voorsieningskettingrisiko's (byvoorbeeld, kontraktuele SLA's met 'n stigtingsmodelverskaffer), maar wees versigtig: jy kan finansiële aanspreeklikheid oordra, maar selde aanspreeklikheid, veral aan reguleerders.
- Aanvaar. Behou die risiko met eksplisiete, gedokumenteerde regverdiging en 'n eienaar. Slegs gepas vir risiko's op of onder die aanvaardingsdrempel, of waar behandeling bewysbaar nie koste-effektief is nie en gevolge beperk is.
Elke behandelingsbesluit benodig 'n genoemde eienaar, 'n teikendatum en bewys van voltooiing wat teruggekoppel is aan die register. 'n Behandelingsplan sonder bewys van uitvoering is een van die mees algemene nie-ooreenstemmings in ISO 42001-sertifiseringsoudits.
Begin maklik met 'n persoonlike produkdemonstrasie
Een van ons aanboordspesialiste sal jou deur ons platform lei om jou te help om met selfvertroue te begin.
Hoe monitor jy KI-risiko's na ontplooiing?
KI-risiko is nie staties nie. 'n Model wat veilig was met bekendstelling, kan ses maande later onveilig word omdat data-afwykings, gebruikersgedrag verander, die regulatoriese omgewing verander, of 'n stroomop-fondamentmodel opgedateer word. Klousule 9 se prestasie-evaluering en Aanhangsel A.6.2.6 tot A.6.2.8 se operasionele moniteringskontroles vereis dat u aanhou dophou.
'n Pragmatiese moniteringsprogram het vyf seine:
- Modelprestasie. Akkuraatheid, presisie, herroeping, kalibrasie en billikheidsmaatstawwe wat nagespoor word teen drempels wat by ontplooiing gestel is. Oortredings veroorsaak heropleiding of terugrol.
- Data-drywing. Statistiese vergelyking van produksie-insetverspreidings teenoor opleidingsverspreidings. Beduidende afwyking veroorsaak 'n assessering of die model steeds geskik is vir die doel.
- Voorvalle en byna-ongelukke. 'n Formele kanaal vir gebruikers, betrokke partye en interne personeel om KI-verwante bekommernisse aan te meld, met triage, oorsaakontleding en korrektiewe stappe wat ingevolge Klousule 10 aangeteken word.
- Beheerdoeltreffendheid. Periodieke kontroles dat die versagtingsmaatreëls in die behandelingsplan werklik werk. Aanhangsel A.6.2.6 vereis uitdruklik verifikasie van operasionele beheermaatreëls.
- Eksterne konteks. Nuwe regulasies, nuwe bedreigingspatrone, veranderinge aan derdeparty-modelle en opkomende beste praktyke. Dit word teruggevoer na die risikobepaling by elke geskeduleerde hersiening.
Die uitsette word gebruik vir bestuursoorsig (Klausule 9.3) en dryf opdaterings aan die risikoregister, die Verklaring van Toepaslikheid en die KI-beleid. Die siklus is deurlopend, nie jaarliks nie.
Hoe struktureer ISMS.online KI-risikobestuur?
ISMS.aanlyn bied 'n doelgeboude tuiste vir die volledige KI-risikobestuursproses, in lyn met Klousule 6.1.2 en die normatiewe riglyne in Aanhangsel B. Jy kry 'n KI-risikoregister wat geïntegreer is met die res van jou AIMS eerder as om in 'n aparte sigblad te woon.
Die platform gee jou:
- 'n Toegewyde KI-risikoregister onderskeibaar van jou inligtingsekuriteitsrisikoregister, met velde vir KI-spesifieke eienskappe (gebruiksgeval, databronne, modeltipe, geaffekteerde partye, risikokategorie) langs standaard waarskynlikheids-, gevolg-, behandelings- en eienaarvelde
- 'n Voorafgelaaide KI-risikotaksonomie wat die agt kategorieë hierbo plus Aanhangsel C-risikobronne dek, sodat spanne begin met 'n omvattende lys eerder as 'n leë bladsy
- Gekoppelde KI-stelsel-impakbeoordelings vir Klousule 6.1.4, sodat die uitwaartse impakbeskouing verbind bly met die organisatoriese risikobeskouing sonder duplisering
- Direkte beheer skakeling van elke risiko tot die relevante Aanhangsel A-kontroles, tot die bewyse wat die behandeling demonstreer, en tot die Verklaring van Toepaslikheid
- Hersien werkvloeie en outomatiese herinnerings sodat risiko's op hul gedefinieerde siklus hersien word, nie wanneer iemand onthou nie
- Kruisverwysing met ISO 27001-risiko's waar 'n gebeurtenis beide inligtingsekuriteits- en KI-dimensies het, wat dubbeltelling en teenstrydige behandelingsplanne voorkom
- Rapportering-aansigte vir die direksie, die KI-bestuurskomitee en sertifiseringsouditeure, vervaardig uit dieselfde onderliggende data
Die resultaat is 'n KI-risikoproses wat 'n ouditeur van begin tot einde in minder as tien minute kan afhandel, en wat die organisasie eintlik tussen oudits kan bedryf.
Waarom ISMS.online vir KI-risikobestuur kies?
Die meeste GRC-instrumente behandel KI-risiko as 'n nagedagte wat aan 'n infosec-model vasgebout is. ISMS.aanlyn is ontwerp met KI-beheer as 'n eersteklas-vermoë. Hier is wat dit in die praktyk beteken:
- Afsonderlike maar gekoppelde registers. KI-risiko (Klausule 6.1.2), KI-stelsel-impakbepaling (Klausule 6.1.4) en inligtingsekuriteitsrisiko (ISO 27005) sit in afsonderlike maar kruisverwysende registers, sodat elke lens skerp bly terwyl data gedeel word waar dit moet wees.
- Voorafgeboude KI-risikotaksonomie. Aanhangsel C se risikobronne en die agtkategorie-model is vooraf gelaai, sodat jou span risiko's teen 'n gestruktureerde raamwerk identifiseer eerder as om een uit te vind.
- Regstreekse kartering na Bylae A kontroles. Elke risiko skakel direk met die kontroles wat dit behandel, die bewyse wat bewys dat die behandeling werk, en die inskrywing in die Verklaring van Toepaslikheid wat dit regverdig.
- Gebou vir Aanhangsel B-leiding. Die werkvloei volg die normatiewe implementeringsriglyne in Aanhangsel B, dus is u proses standaarde-in lyn gebring eerder as om pasgemaakte konfigurasie te vereis.
- Geïntegreer met die volledige AIMS. Risiko's hou verband met jou KI-beleid, u impakstudies, u ouditprogram (Klausule 9.2), en u korrektiewe stappe (Klausule 10), sodat niks deur die gaping val nie.
- Metode van versekerde resultate. 'n Bewese implementeringspad en menslike ondersteuning wat honderde organisasies gehelp het om die eerste keer sertifisering te bereik, met KI-risikobestuur wat van die begin af ingebed is eerder as laat bygevoeg.
Of jy nou jou eerste KI-risikoregister bou of 'n bestaande een laat groei, ISMS.aanlyn gee jou die struktuur en die gereedskap om Klousule 6.1.2 as 'n lewende proses te bedryf. Vir breër konteks, sien ons implementeringsgids.
Gereed om die platform in aksie te sien? Bespreek 'n demo.
Vrae & Antwoorde
Wat is die verskil tussen KI-risikobepaling (Klausule 6.1.2) en KI-stelsel-impakbepaling (Klausule 6.1.4)?
Klausule 6.1.2 is die inwaarts gerigte organisatoriese risiko-lens – wat kan verkeerd gaan vir die organisasie, sy doelwitte en sy bedrywighede, en hoe sal ons dit hanteer. Klausule 6.1.4 is die uitwaarts gerigte lens – wat kan die KI-stelsel aan individue, groepe en die samelewing doen, wat billikheid, veiligheid en fundamentele regte dek. Beide is normatief, beide moet gedokumenteer word, en hulle voed mekaar. Om hulle as een gekombineerde aktiwiteit te bedryf, beteken gewoonlik dat die maatskaplike impaklens verlore gaan, wat 'n algemene ouditbevinding is.
Kan ek my ISO 27001-risikoregister hergebruik vir KI-risikobestuur?
Nee, nie as 'n enkele gekombineerde register nie. Inligtingsekuriteitsrisiko (ISO 27005) en KI-risiko (ISO 42001 Klousule 6.1.2) het oorvleuelende maar verskillende omvange. Inligtingsekuriteit dek vertroulikheid, integriteit en beskikbaarheid van inligting. KI-risiko dek ook vooroordeel, verduidelikbaarheid, drywing, veiligheid en maatskaplike impak – bekommernisse wat nie netjies in 'n CIA-model pas nie. Die regte patroon is twee gekoppelde registers met kruisverwysings waar 'n enkele gebeurtenis beide dimensies het. ISMS.aanlyn ondersteun presies hierdie reëling.
Is NIST AI RMF 'n alternatief vir ISO 42001 vir risikobestuur?
Hulle is komplementêr, nie alternatiewe nie. NIST AI RMF is 'n vrywillige Amerikaanse raamwerk wat georganiseer is rondom Bestuur-, Karteer-, Meet- en Bestuursfunksies, met uitstekende praktisynsleiding. ISO 42001 is 'n internasionaal sertifiseerbare bestuurstelselstandaard. Organisasies gebruik dikwels NIST AI RMF-woordeskat en -handleidings om die aktiwiteite uit te voer wat ISO 42001 vereis. Die twee pas mekaar perfek bymekaar en baie organisasies implementeer albei parallel.
Watter kategorieë van KI-risiko moet ek in my register dek?
Ten minste: vooroordeel en billikheid, verduidelikbaarheid en deursigtigheid, sekuriteit, privaatheid, veiligheid, maatskaplike impak, operasionele (drywing, prestasie, beskikbaarheid), en voorsieningsketting (derdeparty-modelle, dataverskaffers). Aanhangsel C van ISO 42001 verskaf 'n insiggewende lys van KI-verwante risikobronne wat ooreenstem met hierdie taksonomie. Sektorspesifieke kategorieë soos modelrisikobestuur vir finansiële dienste of kliniese veiligheid vir gesondheidsorg moet bygevoeg word waar relevant.
Hoe gereeld moet ek die KI-risikoregister hersien?
Ten minste jaarliks as 'n volledige hersiening, wat invoer in bestuursoorsig kragtens Klousule 9.3. Individuele risiko's moet hul eie hersieningsiklusse hê gebaseer op kritiekheid - tipies kwartaalliks vir hoë risiko's en ses maandeliks vir medium risiko's. Enige wesenlike verandering moet 'n ad-hoc-hersiening veroorsaak: nuwe KI-gebruiksgeval, beduidende modelopdatering, nuwe regulasie, 'n gerapporteerde voorval, of 'n verandering aan 'n belangrike derdepartyverskaffer. Die register is 'n lewende dokument, nie 'n jaarlikse voldoeningsartefak nie.
Vereis ISO 42001 outomatiese KI-risikomonitering?
Die standaard skryf nie outomatisering voor nie, maar dit vereis wel deurlopende monitering van KI-stelselprestasie en beheerdoeltreffendheid (Klausule 9.1 en Aanhangsel A.6.2.6 tot A.6.2.8). Vir enigiets meer as 'n handjievol lae-risiko KI-stelsels, is outomatiese monitering van modelprestasie, data-drywing en beheerdoeltreffendheid die enigste manier om aan die vereiste in die praktyk te voldoen. Handmatige monitering op skaal is geneig om verouderde data en gemiste voorvalle te lewer, wat as nie-ooreenstemmings by toesigoudits na vore kom.
Wie behoort KI-risikobestuur in die organisasie te besit?
Verantwoordelikheid behoort by 'n benoemde uitvoerende beampte te berus, gewoonlik die KISO, Hoofrisikobeampte, of 'n toegewyde Hoof van KI-bestuur, afhangende van die grootte van die organisasie en KI-volwassenheid. Daaglikse eienaarskap berus by 'n KI-bestuurskomitee of ekwivalente kruisfunksionele groep wat saamgestel is uit datawetenskap, ingenieurswese, sekuriteit, regsdienste, privaatheid en die sake-eenhede wat KI gebruik. Individuele risiko's het elk 'n benoemde eienaar wat verantwoordelik is vir behandeling en monitering. Klousule 5.3 vereis dat hierdie rolle, verantwoordelikhede en magte formeel toegeken en gekommunikeer word.
